インシデント対応計画テンプレート: 準備、検出、対応、回復

IBM のデータ侵害コスト レポートによると、インシデント対応計画とチームを備えた組織は、そうでない組織に比べて侵害コストを平均 266 万ドル削減し、侵害を 54 日早く特定できることが明らかになりました。しかし、組織の 77% は、一貫して適用されるインシデント対応計画を持っていません。

インシデント対応 (IR) 計画は、棚に置かれている文書ではありません。これは、チームが理解し、実践し、プレッシャーの下でも実行できる戦略です。このガイドでは、NIST フレームワークに準拠した完全なカスタマイズ可能な IR 計画テンプレートを提供します。

---

パート 1: 計画の概要

目的

このインシデント対応計画では、サイバーセキュリティ インシデントの検出、対応、封じ込め、回復の手順を確立します。これにより、損傷と回復時間を最小限に抑える、調整された効率的な対応が保証されます。

範囲

このプランは、以下を含む組織内のすべての情報システム、ネットワーク、データ、およびユーザーを対象としています。

• オンプレミスとクラウドのインフラストラクチャ
• 従業員および請負業者のデバイス
• 組織データを処理するサードパーティ システム
• IT資産に影響を及ぼす物理的なセキュリティインシデント

インシデントの分類

---

パート 2: 役割と責任

インシデント対応チーム

RACI マトリックス

R = 責任がある、A = 説明責任がある、C = 相談を受ける、I = 情報を得る

---

パート 3: インシデント対応の 6 つの段階

フェーズ 1: 準備

準備は事件が起こる前に行われます。

技術的な準備:

• セキュリティ監視ツールの展開および構成 (SIEM、EDR、IDS/IPS)
• すべての重要なシステムからの一元的なログ収集
• バックアップ システムはテスト済み (復元は過去 30 日以内に検証済み)
• 現在およびオフラインでアクセス可能なネットワーク図
• 現在の資産インベントリ (すべてのシステム、アプリケーション、データ ストア)
• 組み立てられたフォレンジック ツールキット (イメージング ツール、書き込みブロッカー、保管管理フォーム)

組織的な準備:

• IR チームのメンバーが特定され、トレーニングを受けました
• 現在の連絡先リスト (営業時間外および週末の電話番号を含む)
• ドラフトされたコミュニケーション テンプレート (顧客、規制当局、メディア、従業員)
• 法的義務の文書化 (管轄区域による通知要件)
• 過去 6 か月以内に実施された机上演習
• サードパーティの IR 担当者を配置 (フォレンジック事務所、法律事務所)
• サイバー保険契約が確認され、現在適用されています

フェーズ 2: 検出と分析

検出ソース:

最初のトリアージの質問:

1. 何が起こったのですか? (何を、誰が、いつ検出したのか?)
2. どのシステムが影響を受けますか? （範囲の評価）
3. インシデントはまだ進行中ですか? (現在進行中と過去のもの)
4. どのようなデータが危険にさらされる可能性がありますか? (分類レベル)
5. ビジネスへの影響は何ですか? （業務妨害）
6. これにより、規制上の通知要件がトリガーされますか?

最初の 1 分からのドキュメント:

Incident ID: INC-[YEAR]-[SEQUENTIAL]
Date/Time Detected: [YYYY-MM-DD HH:MM UTC]
Detected By: [Person/System]
Detection Method: [Alert/Report/Discovery]
Initial Classification: [P1/P2/P3/P4]
Affected Systems: [List]
Initial Description: [What is known]
Assigned To: [Incident Commander]

フェーズ 3: 封じ込め

短期封じ込め (出血を止める):

長期封じ込め(調査中):

封じ込め決定マトリックス:

フェーズ 4: 根絶

インシデントの根本原因を取り除きます。

駆除チェックリスト:

• すべてのマルウェア/バックドアを特定して削除します
• 悪用された脆弱性にパッチを適用します。
• 漏洩した認証情報 (パスワード、API キー、証明書) をすべてリセットします。
• 影響を受けるシステムの構成を確認して強化します
• すべてのシステムをスキャンして侵害の痕跡 (IoC) を検出します。
• 攻撃者の永続化メカニズムが削除されていることを確認します
• ログを確認して、他のシステムが侵害されていないことを確認します

フェーズ 5: 回復

システムと操作を通常の状態に戻します。

回復プロセス:

1. 駆除が完了したことを確認します (再スキャン、ログの確認)
2. クリーンなバックアップからシステムを復元します (必要な場合)
3. 運用に戻る前にシステムの整合性を検証する
4. 回復したシステムを 30 日間、警戒を強化して監視します
5. 段階的に通常の運用を復元します (最初に重要なシステム)
6. データの整合性を検証します (バックアップと比較し、変更がないか確認します)。
7. 業務が正常に機能していることを確認する

フェーズ 6: インシデント後のレビュー

インシデントが終了してから 5 営業日以内に実施します。

議題の確認:

1. タイムラインの再構成 --- 何が、いつ、どのような順序で起こったのか?
2. 検出の有効性 --- インシデントはどのように検出されましたか?もっと早くに発見できたのでしょうか？
3. 対応の有効性 ---何がうまくいきましたか?何ができなかったのでしょうか？
4. 根本原因分析 --- 根本的な原因は何でしたか? (技術的な脆弱性だけでなく、プロセス/ポリシーのギャップも問題です)
5. 教訓 --- その結果、私たちは何を変えるのでしょうか?
6. アクションアイテム --- 所有者との具体的な改善と期限

---

パート 4: コミュニケーション テンプレート

社内コミュニケーション (従業員への通知)

Subject: Security Incident Update - [Date]

Team,

We have identified a security incident affecting [brief description].

What we know:
- [Factual summary of the situation]
- [Systems/data potentially affected]

What we are doing:
- [Response actions taken]
- [Timeline for resolution]

What you should do:
- [Specific employee actions, e.g., change passwords]
- [Who to contact with questions]

We will provide updates every [frequency].

[Incident Commander Name]

顧客への通知 (必要な場合)

Subject: Important Security Notice from [Company]

Dear [Customer],

We are writing to inform you of a security incident that may have
affected your data. We take the security of your information seriously
and want to be transparent about what occurred.

What happened: [Brief, factual description]
When: [Date range of the incident]
What information was involved: [Specific data types]
What we have done: [Response and remediation actions]
What you can do: [Recommended customer actions]

For questions, contact our dedicated response team at [contact info].

[Executive Name and Title]

---

パート 5: 計画のテスト

机上演習のテンプレート

シナリオ: 「従業員がフィッシングメールのリンクをクリックしました。2 時間後、セキュリティ チームは従業員のワークステーションから未知の外部 IP への暗号化されたトラフィックを検出しました。」

各フェーズでのディスカッションの質問:

1. 誰が最初に通知を受けますか?どうやって？
2. これはどの程度の重大度に分類されますか?
3. 私たちは直ちにどのような封じ込め措置を講じますか?
4. どのような証拠を保存しますか?
5. より広範な組織に連絡するのは誰ですか?
6. 弁護士に相談するのはどのような場合ですか?
7. これは規制当局への通知をトリガーしますか?

机上演習を四半期ごとに実施します。 完全なシミュレーション演習を年に 1 回実施します。

---

関連リソース

• 違反通知とインシデント対応 --- 規制上の通知要件
• ゼロトラスト実装ガイド --- インシデントの防止
• セキュリティ意識向上トレーニング --- 人為的事故の削減
• ペネトレーション テスト ガイド --- 攻撃者よりも先に脆弱性を発見

---

インシデント対応計画は、避けられない事態に対する組織の保険です。侵害が発生したとき、制御された対応と混乱の違いは準備の有無です。インシデント対応計画およびセキュリティ評価サービスについては、ECOSIRE にお問い合わせください。