ストーリー

NISTインシデント対応フレームワーク

6つのフェーズ

graph LR
    P["準備<br/>Preparation"] --> D["検知<br/>Detection"]
    D --> C["封じ込め<br/>Containment"]
    C --> E["根絶<br/>Eradication"]
    E --> R["復旧<br/>Recovery"]
    R --> L["教訓整理<br/>Lessons"]
    L -->|継続的改善| P

    classDef prepare fill:#0d6efd,stroke:#0a58ca,color:#fff
    classDef detect fill:#f5a623,stroke:#c47d10,color:#fff
    classDef contain fill:#e94560,stroke:#c23050,color:#fff
    classDef recover fill:#198754,stroke:#146c43,color:#fff

    class P prepare
    class D detect
    class C,E contain
    class R,L recover

インシデント重大度分類

インシデント対応体制

役割と責任（RACI）

War Room の運用

War Room 設置基準: P1 または P2 インシデント

構成:
  - 専用Slackチャンネル: #incident-YYYY-MM-DD-概要
  - ビデオ通話: 常時接続（Zoom/Meet）
  - ドキュメント: インシデントノート（Google Doc / Notion）

ルール:
  1. ICの指示に従う
  2. 調査結果は必ずチャンネルに記録
  3. 推測と事実を明確に区別する
  4. 30分ごとにステータス更新

コミュニケーション計画

社内コミュニケーション

社外コミュニケーション

インシデント対応プレイブック例

Webアプリケーション侵害の場合

1. 検知・トリアージ（15分）
   □ アラートの確認と重大度判定
   □ 影響範囲の初期評価
   □ インシデントコマンダーの任命

2. 封じ込め（30分）
   □ 該当サーバーのネットワーク隔離
   □ 侵害されたアカウントの無効化
   □ WAFルールの緊急追加
   □ フォレンジック用のログ・メモリダンプ取得

3. 根絶（2-4時間）
   □ 攻撃経路の特定
   □ バックドアの除去
   □ 脆弱性のパッチ適用
   □ 影響を受けた認証情報のローテーション

4. 復旧（1-2時間）
   □ クリーンな環境からの再デプロイ
   □ サービスの段階的復旧
   □ 監視強化（24時間）

5. 教訓整理（1週間以内）
   □ タイムラインの整理
   □ ポストモーテムの実施
   □ 改善アクションアイテムの策定

まとめ

次のステップへ

次はセキュリティ文化の醸成について学びます。

推定読了時間: 25分