インシデント対応の初動と振り返り
被害を広げないことと、調査に必要な情報を残すこと。慌てて消す前に、連絡と判断の役割を整理します。
独自の事例練習4問 · 2026年11月6日更新
- 認知・連絡いつ・どこで・何が起きたかを担当へ伝える
- 対応・復旧責任者が影響を評価し、手順に従って被害拡大を抑える
- 原因・再発防止原因と対応を見直し、訓練や手順へ反映する
実際の事故対応は組織の手順・担当者の指示に従います。外部への通知・報告の要否も別途判断します。
連絡のために確定を待ちすぎない
被害の全容が判明する前でも、異常を見つけた時刻、対象端末、画面の状況、直前の操作などを連絡できます。推測は推測と分けて伝えます。平時に窓口と代替連絡手段を決めておくことが、初動の遅れを減らします。
復旧しただけで終えない
サービスが使えるようになっても、侵入経路や漏えい範囲が未確認のことがあります。必要な記録を残し、原因を調べ、再発防止と対応手順の改善へつなげます。自己判断で初期化すると、調査に必要な証拠を失う可能性があります。
4つの場面で確かめる
架空の場面を使った入門問題です。答えを開く前に、判断の理由も考えてみてください。
例題1 確実になるまで黙る？
業務端末に見慣れない警告が出た。感染と断定できないので、調査が終わるまで窓口へ知らせないと決めた。この判断は適切？
答え・考え方を確認する
適切ではありません。疑いの段階でも決められた窓口へ連絡します。
断定できないことを明示し、確認できた事実を伝えます。独断で使い続けたり、報告を遅らせたりすると対応が遅れる可能性があります。
例題2 報告に入れる内容
「たぶん外部から攻撃された」とだけ報告する場合と、発見時刻・対象端末・警告の内容・直前の操作を添える場合。初動の判断に役立つのはどちら？
答え・考え方を確認する
確認できた事実を添える場合です。
原因の推測だけでは影響範囲や対応を判断しにくくなります。分からない項目は未確認と記載し、調査で分かった内容を更新します。
例題3 記録を消して復旧する？
担当窓口へ連絡する前に、異常のある端末を自己判断で初期化する案が出た。速く動くために最優先で行ってよい？
答え・考え方を確認する
一律に最優先とはできません。担当者の判断と手順に従います。
初期化により、原因や影響を調べる記録が失われるおそれがあります。被害拡大防止と証拠保全を考慮して対応を決めます。ここでは個別機器の操作を指示していません。
例題4 復旧後の宿題
メールを利用できる状態へ戻せた。侵入経路が未確認で、同じ認証情報を使うサービスも調べていないが、対応完了としてよい？
答え・考え方を確認する
復旧だけで対応完了とは言えません。
原因、影響範囲、残っている不正アクセスの可能性などを確認し、再発防止へつなげます。業務再開の判断と、調査・改善の完了は同じ時点とは限りません。
本試験の全範囲・問題形式に対応する模試ではありません。6テーマの一覧と収録範囲を見る →