インシデント対応とは？

01インシデント対応とは

インシデント対応は、サイバー事故が起きたあと、被害を最小限にするための「事後」の対応です（JPCERT/CCの定義）。被害を止める、原因を調べて塞ぐ、元に戻す、関係者に知らせる、までを含みます。何を事故と呼ぶかはインシデントのページで説明しています。

02起きたら最初にやること

JPCERT/CCは、侵入型ランサムウェアの初動対応の相談に対し、次の3つの方針を伝えています。ほかの事故でも考え方は同じです。

1. 被害の範囲をつかみ、被害を最小限にする
2. 考えられる侵入経路を塞ぐ
3. 攻撃者の要求には応じず、バックアップから復旧する

具体的な動きは次の順です。

JPCERT/CCは、原因を塞がずに復旧すると、別の攻撃者にまた侵入されるおそれがあるため、復旧の前に侵入経路として考えられる原因はすべて対処するよう求めています。

03やってはいけないこと

• 感染した機器の電源を切ること。警察庁は、調査に必要なログが消えることがあるとしています。
• 攻撃者と交渉すること。JPCERT/CCは、交渉は推奨されず、脅迫のメッセージにも反応しないよう求めています。
• 原因が分からないまま「元どおり」にすること。

04備えておくこと

事故が起きてから依頼先を探すと、見積りや契約で時間がかかります。調査や駆け付けを頼める会社と平時に話をしておくと、すぐに動けます。依頼先は事故対応・フォレンジックから探せます。中小企業なら、相談・監視・駆け付け・保険がセットのお助け隊サービスも選択肢です。

あわせて、調べるための材料を残しておきます。警察庁は、ネットワーク機器や端末のログは調査の重要な手がかりになるため、日頃から取得しておくよう勧めています。バックアップから実際に戻せるかも、訓練で確かめておきます。