インシデントレスポンス.

インシデントレスポンス(IR)は、情報資産の機密性・完全性・可用性を脅かす事象に対する構造化された対応です。

フレームワーク。 NIST SP 800-61 Rev. 2 は4 フェーズのライフサイクル(準備、検知と分析、封じ込め・根絶・復旧、事後活動)を定義していました。2025 年 4 月に公開された Rev. 3 は硬直的なフェーズ模型を廃し、IR の活動を CSF 2.0 の 6 つの機能(統治・特定・防御・検知・対応・復旧)へ対応づけます。SANS の PICERL モデルは作業を準備・特定・封じ込め・根絶・復旧・教訓の 6 ステップに分け、研修やランブックで今も広く使われています。

時限が重要。 規制は厳格な時計を課します。米 SEC は上場企業に重大インシデントを 4 営業日以内に開示するよう求め、EU の GDPR は個人データ侵害を認知してから 72 時間以内に監督当局へ通知するよう義務づけ、PCI DSS は即時発動可能な対応計画を要求します。これらの期限を逃すと、技術的被害とは別に法的リスクが生じます。

実務。 有効な IR は、検証済みプレイブック、オンコール体制、帯域外の連絡網(攻撃者は社内メールを監視しがち)、法務・広報の早期関与、後のフォレンジックのための証拠保全、SIEM・SOAR・EDR/XDR・トリアージスイートといったツールに支えられます。最終フェーズは具体的な改善を検知・予防へ還元し、同じ侵入が再発しないようにします。

flowchart LR
  A[準備:プレイブック・ツール・演習] --> B[検知と分析:アラート選別・範囲特定]
  B --> C[封じ込め:ホスト隔離・トークン失効]
  C --> D[根絶:マルウェア除去・侵入経路の遮断]
  D --> E[復旧:復元・再感染の監視]
  E --> F[事後:教訓の反映]
  F --> A