ー 計画と準備（組織的管理策編）③ ー
文書化されたルールと手順による対応の標準化
はじめに
本ブログでは、インシデント対応のための準備、その中でも組織的管理策にフォーカスして何を実施すべきかを考察しています。
インシデントが発生した際、対応が属人的であったり判断に迷ったりする状況では、被害拡大や対応遅延に発展するリスクが高まります。それを防ぐために必要なのが事前に文書化されたルールや手順です。この管理策により組織全体に共通の行動規範と判断基準を提供し、迅速かつ一貫性のある対応を可能にします。
本稿は、「インシデントマネジメントにおける計画と準備（組織的管理策編）」の第３回として、文書化されたルールと手順による対応の標準化と題し、整備すべきな文書の種類や考慮すべきポイントについて具体的に考えます。
- 本シリーズの構成
| 回 | タイトル | 内容概要 |
|---|---|---|
| 第1回 | 組織的管理策の重要性について | 組織的管理策の全体像 |
| 第2回 | 方針と体制の整備による計画的対応の基盤構築 | 対応方針の策定、体制図の整備、役割の明確化 |
| 第3回 | 文書化されたルールと手順による対応の標準化 | 計画と手順、SOP/プレイブック、トリアージ基準 |
| 第4回 | 情報連携と通報体制の整備 | 報告ルール、POC、対外連携、通信手段の多様化 | |
具体的な実施例
１．ルール及び手順の整備
１．１．インシデント対応計画と手順
インシデント対応に一貫性を持たせるためには、対応ルールや実施手順をあらかじめ文書化し、関係者間において共通認識を形成しておくことが必要です。一般的には、「インシデント対応計画」と「インシデント対応手順」の2種類の文書を整備することが基本とされており、それぞれの役割に応じて次のような特徴があります。
- インシデント対応計画（Incident Response Plan）
組織がどのようなポリシーや戦略でインシデントに対応するかを定義する上位文書。主に戦略的・組織的な視点で全体像を示す。 - インシデント対応手順（Procedures）
具体的に何をどのように行うのか、実務的な手順を詳細に示した実行指示書。現場対応者が迷わず動くためのガイド。
インシデント対応計画と手順は、それぞれ異なる役割を持ち互いに補完し合う関係にあります。それぞれを整備することで、組織全体として統一されたポリシーを示し、現場が迅速かつ適切に行動できる体制を構築することができます。
１．２．手順の標準化（SOPとプレイブック）
手順を標準化するためには、標準作業手順書（SOP）とプレイブックという2種類の文書を整備することが一般的です。SOPは、全体のインシデント対応に共通する基本的な作業や判断の流れを定めた文書であり、組織内で作業を標準化することができます。一方、プレイブックは特定のインシデントやその状況（マルウェア感染、DDoS攻撃など）に特化した詳細な手順書で、対応に必要なツールの使い方（EDRやSIEMの操作など）や、具体的な対応手順を示します。それぞれを適切に使い分けることで、標準化された対応と状況に応じた現場判断を両立し、実効性の高い体制を構築することができます。
| 文書種別 | 対象 | 主な内容 | 備考 |
|---|---|---|---|
| 標準作業手順書（SOP） | 全インシデント共通 | エスカレーション手順、記録様式、報告書の構成 | 組織全体で共通化された基本手順 |
| プレイブック（Playbook） | 特定シナリオ（例：マルウェア、DDoS、内部不正） | 対応フロー、使用ツールの操作方法、関係部門との連携 | EDRやSIEMなどのツール利用手順も含む |
なお、全ての脅威に対しプレイブックを整備するのは現実的ではないため、次のようにリスクベースアプローチによって整備の優先順位を明らかにします：
１．３．インシデント管理プロセスの可視化
手順書やルールを有効に活用するためには、関係者が自身の責任と役割を全体の中で把握できることが重要です。そのためには、次のような手法でプロセスの可視化を行います：
- 各フェーズを整理したインシデント対応の全体フロー図の作成
- 各役割ごとのアクションタイムラインやRACIチャート
- 責任の境界と連携ポイントを明確にした図表
各担当者が自らの責任範囲や判断の基準を正しく理解していれば、突発的に発生するインシデントに遭遇しても初動対応の遅れを防ぐことができ、関係部門との連携も円滑に進めることが可能となります。
１．４．手順書を補完する資料
手順書を補完する次のような資料を整備することで、対応手順の抜け漏れの防止や記録の一貫性、正確性の確保などの効果により、インシデント対応時の作業品質が向上します。
- フローチャート：手順の可視化
- チェックリスト：実施漏れの防止
- 記録様式（フォーム）：一貫した情報収集と報告の標準化
- ログ取得・復旧手順のランブック：技術的な再現性の確保
- ツール一覧と使用手順：EDRやSIEMなどの活用法明示
２．基準及び指標の整備
２．１．トリアージ基準
限られた時間とリソースでインシデントに対応するためには、優先順位付け（トリアージ）が欠かせません。次のような観点で事前に基準を定めておくことで有事の際のスムーズな対応が可能になります：
- 影響の重大性（Criticality）
CIA（機密性・完全性・可用性）の観点での影響度 - 影響の範囲（Scope）
関係システムの広がり、外部影響の有無 - 緊急度（Urgency）
報告義務の有無、業務中断の可否
なお、評価指標を検討する際は、技術的・セキュリティ的な観点だけではなく、業務の中断、顧客対応への影響、法令違反の可能性など、事業継続性や外部への波及というようなビジネス上の観点も合わせて考慮する必要があります。
２．２．インシデント対応能力と有効性の評価指標
インシデント対応の質を継続的に高めるには、計画や手順を整備するだけでなく、それらの有効性を測定し、定期的にレビューする評価の仕組みが不可欠です。次のような視点により事前に指標を設け、評価・改善のサイクルを回せるようにしておくことが重要です。
対応時間の指標化：
- インシデント発生から検知までの時間
- 検知から対応開始までの時間
- 対応開始から復旧までの時間
トリアージ基準の妥当性確認：
- 実際の被害との整合性があるか
対応の有効性：
- 対応が適切だったか、目標が達成されたか
- 教訓が次に活かされているか（類似インシデントの再発防止）
手順やプロセスの順守状況：
- SOPやプレイブックが正しく使われたか
- 関係者間のコミュニケーションは円滑だったか
- 報告書や記録の内容は有効だったか
まとめ
インシデント対応を計画的かつ一貫性のあるものにするためには、対応ルールや手順のような文書の整備に加え、対応の優先順位や有効性を評価するための基準・指標を定めておくことが必要になります。代表的な文書には、インシデント対応計画や手順書が挙げられ、これらを整備することで、現場での判断の戸惑いやばらつきを抑え、迅速で適切な対応を可能にします。また、プレイブックとしてEDRやSIEMなどのツールの操作手順を整備しておくことで、技術的対応の精度と再現性を高める効果が期待できます。
さらに、トリアージ基準や評価指標、チェックリストや記録様式といった補完資料を併せて整備することで、対応の標準化と品質向上を図ることができます。
本稿で取り上げた各種管理策を平時に整えておくことで、インシデント対応を組織全体で標準化し、各担当者が自らの役割に応じて、迅速で効果的かつ一貫性と秩序のある対応を実現できるようにするための基盤となります。
次回（第４回）は、報告体制や通報手順を含む情報連携と通報体制の整備について考察します。
参考文献
本稿は、以下のガイドラインを参考にしています。より詳細な情報を得たい方や、正確性を重視される方は、以下の一次資料をご参照ください。
- NIST SP 800-61 Revision 2: Computer Security Incident Handling Guide
- CISA: Cybersecurity Incident & Vulnerability Response Playbooks Nov. 2021
- ISO/IEC 27002:2022 Information security, cybersecurity and privacy protection — Information security controls
- ISO/IEC 27035-1 Information technology — Security techniques — Information security incident management Part 1: Principles of incident management
- NIST SP 800-184 Guide for Cybersecurity Event Recovery
