インシデント対応は、セキュリティ侵害の検出から復旧までを包括的に処理します。そのプロセスは、準備、特定、封じ込め、根絶、復旧、教訓というフレームワークに沿って進められます。各フェーズにはそれぞれ課題があります。準備フェーズでは、チーム、ツール、プレイブックを構築します。特定フェーズでは、インシデントが誤報ではなく、実際に発生したものであることを確認します。封じ込めフェーズでは、拡散を阻止します。根絶フェーズでは、攻撃者のアクセス権を剥奪します。復旧フェーズでは、通常の運用を復旧します。教訓フェーズでは、次のインシデントの発生を防止します。

あらゆる段階でスピードが重要です。攻撃者が侵入している時間が長ければ長いほど、被害は大きくなります。侵入から検出までの平均的な滞留時間は年々短縮されていますが、多くの組織では依然として数週間かかります。ランサムウェア攻撃グループはより迅速に行動します。数日でデータを抜き取り、システムを暗号化します。実行に1週間かかる対応計画は、この時間軸では役に立ちません。最高のインシデント対応チームは訓練を積んでいます。机上演習を行い、侵害をシミュレーションし、コミュニケーションのリハーサルを行います。誰が法務部に連絡し、誰が報道機関に対応し、誰が攻撃者と交渉するかを把握しています。実際のインシデントが発生したとき、彼らは初めて対応策を考えるのではなく、以前に実行した計画を実行するのです。

インシデント対応フェーズ

• 準備 ― チーム、ツール、プレイブック
• 識別 — 事件を確認し、その範囲を特定する
• 封じ込め ― 拡散を阻止する
• 根絶 — 攻撃者のアクセス権を削除する
• 復旧 — 業務の再開
• 教訓を得た ― 次回に活かす

インシデント対応はチームスポーツだ。技術的な作業はその半分に過ぎない。コミュニケーションと連携が結果を左右する。