ひとことで言うと
ウイルス感染・不正アクセス・情報漏えいなど、セキュリティの事故やその手前の出来事
EXAMPLE
たとえば
「怪しいメールを開いてしまった」も、届け出て確かめるべきインシデントです。小さいうちに報告できる職場ほど、被害が小さく済みます。
01インシデントとは
インシデントは、セキュリティの事故や、その手前の出来事のことです。JPCERT/CCは、コンピュータセキュリティインシデントを「情報および制御システムの運用におけるセキュリティ上の問題として捉えられる事象」と定義しています。
例として挙げられているのは、情報の流出、フィッシングサイト、不正侵入、マルウェア感染、Webサイトの改ざん、DoS（DDoS）攻撃などです。JPCERT/CCは、意図的なものだけでなく偶発的なもの、疑いがある段階のものも含むとしています。リソースの不正使用、サービス妨害、データの破壊、意図しない情報の開示に加え、それらに至るための行為も含まれます。
つまり「被害が確定したもの」だけがインシデントではありません。社内でよく起きる次のような出来事も、届け出て確かめるべきインシデントです。
- 怪しいメールの添付ファイルを開いた、リンクを押した
- パソコンやUSBメモリをなくした
- メールを宛先を間違えて送った
- 知らないログインの通知が来た
02起きたら最初にやること
- 決めてある社内の窓口に、すぐ報告する。「たぶん大丈夫」で止めない
- 感染が疑われるパソコンはネットワークから切り離す。電源は切らない（警察庁は、調査に必要なログが消えることがあるとしています）
- いつ・何をしたか・何が表示されたかをメモする。画面は写真に撮る
- 担当者が影響の範囲を調べ、外部への連絡が必要かを判断する
判断に迷ったら、IPAの情報セキュリティ安心相談窓口やJPCERT/CCに相談できます。
03やってはいけないこと
- 黙って自分で直そうとすること。ウイルス対策ソフトで駆除して終わりにすると、ほかの端末への広がりや情報の持ち出しを見落とします。
- パソコンを初期化すること。原因を調べる手がかりが消えます。
- 報告した人を責めること。次から報告されなくなります。
04備えておくこと
JPCERT/CCは、インシデントへの対応が遅れたり不十分だったりすると、被害の発生や拡大につながると説明しています。改ざんされた自社のWebサーバーを放置すれば、見に来た人のパソコンがマルウェアに感染するおそれもあります。
- 報告の窓口と連絡方法を決め、全員に知らせる（CSIRTの第一歩）
- 相談先・依頼先の連絡先を一覧にしておく
- 事故の種類ごとの最初の動きを紙1枚にまとめる
実際に起きたときの対応の流れはインシデント対応のページで説明しています。