2023年3月10日

NEC サイバーセキュリティ戦略統括部 セキュリティ技術センターの山本和也です。今回のセキュリティブログでは、情報セキュリティインシデント対応に役に立つ、各団体が提供するガイドラインを比較しつつ紹介します。

1. 情報セキュリティインシデントについて

企業活動においてランサムウェア[1]などのマルウェアに感染する被害が発生すると、個人情報や機密情報の漏えいにより直接的・間接的ともに甚大な被害が発生します。例えば調査・復旧一つを取ってみても、復旧に2ヶ月以上を要するケースや、総額5,000万円以上を費やすケースも報告されております [2]。事業継続のためにも、万一の状況に備えて普段からどのような想定をしておくのか、また実際に情報セキュリティインシデントが発生してしまった際の対応プロセスなどを検討しておく必要があります。サイバーセキュリティ経営ガイドライン [3]においては以下のように述べられております。

3. 情報セキュリティ対策を実施する上での責任者となる担当幹部（CISO 等）に指示すべき「重要10項目」 [3]

また情報セキュリティインシデントは、マルウェアに感染するケースだけではなくメール誤送信やPC・スマートフォン・紙書類の紛失などによる個人情報や機密情報の漏えいのケースも含まれます。個人情報保護委員会の年次報告によると、令和3年度における5,846件の漏えい等事案報告の発生原因のうち54.9%は「書類及び電子メールの誤送付並びに書類及び電子媒体の紛失」であったとのことです [4]。マルウェア感染に比べると単体での被害額は低いことが多いですが、一つ一つの情報セキュリティインシデントが顧客との関係性を悪化させ、最悪の場合はビジネスを喪失することにも繋がるため、情報セキュリティインシデント対応の体制を構築する上では、ある特定のタイプの情報セキュリティインシデントにだけフォーカスするのではなく様々な事例に対しても対応できる体制を整えていく必要があります。

過去のNECセキュリティブログにおいては、有事の際の情報セキュリティインシデント対応のポイントについて述べた記事を提供しております [5]。このブログにおいては、主にサイバー攻撃のケースについて「最初の一歩、一時的な封じ込め・復旧・調査・復旧」の観点での考え方の一例を述べました。

2. 各団体が提供するガイドライン

情報セキュリティインシデントに対してどのように対応をしていくのかを考える場合には、フェーズや内容など検討事項は多岐に渡ります。細部まで一から検討していくと多大なコストが必要となる場合や、ノウハウ等の不足により不適切な対応となってしまう可能性があります。
検討を支援する方法の一つとして、様々な団体から無償でガイドラインやツールが提供されており、それらを参考にする方法があります [6]。

表1で示すように、各組織で情報セキュリティインシデントが発生した場合に対応するためのCSIRT [14]と呼ばれるチームおよびCSIRTと連携する社内各部門の体制を整える上で参考となる情報が様々な団体から提供されております。
以降はそれぞれのガイドラインについて、共通的な事項や特徴的な事項を紹介します。

3. 各ガイドラインの概略

各ガイドラインでは、共通的に触れられている事項と各ガイドラインで特徴的な事項が存在します。

各ガイドラインで共通的な事項

まず各ガイドラインにおいて共通的に触れられている事項について述べます。

フェーズごとの基本的な対応方法

各ガイドラインで用語やカバー範囲は一部異なりますが、いずれのガイドラインにおいても以下に対しての対応方法が述べられております。

1. 事故発生前の体制構築・準備

情報セキュリティインシデントが発生した場合に被害を極力抑えて対処するためには、対処に必要な人員を確保し、必要なドキュメントを揃え、専門人員以外の社員および経営層も含めて周知・準備を行います。また訓練なども実施して有事の際に備えておくことが必要となります。

2. 事故の発見・検知および初動対応

情報セキュリティインシデントが発生した場合には、最初に被害を拡大させないための現状把握や被害拡大防止策を取り、必要な顧客対応を行います。その上で影響が大きい場合は、社内外の関係者への周知を行うことも必要となります。

3. 初動対応後、事態収束のための対応

情報セキュリティインシデントを解決に向かうための必要な対応を実施し、ビジネスの復旧を行うことが必要となります。また事態が収束したあとには、原因分析や再発防止策の検討が必要となります。

各ガイドラインで特徴的な事項

次に、共通的な事項に加えて各ガイドラインで提供されている情報の中で特徴的な部分について紹介します。

■情報漏えい発生時の対応ポイント集(IPA) 　[7]

目的

特徴的な事項

“紛失・盗難”、”誤送信・Webでの誤公開等”など7つの”漏えいタイプによるポイント”として表現されるように、マルウェアに感染した以外のケースにおいてもそれぞれ以下の例示がされております。各項目は数行程度とシンプルな整理となっております。

また事象の情報管理のために”情報漏えい情報共有シート(例)”として、実際の報告書のイメージなどもサンプルとして添付されております。

全28ページと短時間で読むことができ各ポイントも簡易にまとめられていることから、目的に記載されているように”経営者をはじめとする対応チームの方々が短時間に理解”することができるようなガイドラインとなっております。

提供資料

以下の資料が提供されております。

■CSIRTマテリアル(JPCERT/CC) 　[8]

目的

特徴的な事項

CSIRTを運用していくにあたって、以下の3つのフェーズに分けて包括的な資料が提供されております。各フェーズにおいて充実した資料が提供されており、CSIRTが組織内に存在しない場合においてもステップバイステップで体制構築を進めていくことができます。

ガイドラインに加えて提供されているCSIRTマテリアルとして特徴的なもののひとつは、構築フェーズにおいての実践的なツール群です。CSIRT構築を一つのプロジェクトと捉えたときに必要となる、構築に必要な見積もり・現状把握・活動の定義などがWORDのテンプレートで提供されており、実際の構築計画がイメージしやすいものとなっております。

直接的に情報セキュリティインシデント対応を行う部分は運用フェーズの“インシデントハンドリングマニュアル”が該当しており、情報セキュリティインシデント発生後のフローチャートの中で担当者とCSIRTがどのように関わっていくべきかという点が図示含め説明されております。

提供資料

以下の通りフェーズ別に複数の資料が提供されております。

構想フェーズ

構築フェーズ

運用フェーズ

■情報セキュリティ事故対応ガイドブック(情報セキュリティ大学院大学) 　[11]

目的

特徴的な事項

以下のA,B,Cの3つのケースそれぞれについて、管理者・窓口・従業員・外部組織の4つのロールに分け、どのような対応フローとなるかが整理されております。

実際に適用するにあたっては、合わせて提供されているEXCELのチェックリストを元に各組織において対応が必要な事項を確認しながら進めることができます。

具体的な適用イメージとして、小規模企業の場合と中規模企業の場合の2ケースを仮想的な組織を想定してシナリオベースで記述することで、実際の担当者の方もイメージしながら理解することができます。

提供資料

以下の資料が提供されております。

■セキュリティ対応組織の教科書(ISOG-J) 　[12] 　[13]

目的

特徴的な事項

本ガイドラインのv2.1 [12]の構成方法としては、情報セキュリティインシデントに対して組織全体としてどのように取り組んでいくかを考える上で取り組むべき業務を9カテゴリ54種の役割に分類し”一旦すべて書き出した上で”再構成するという方針で作成されております。これによって、実際に実務上のプロセスに落とし込んでいく上でより具体的な議論ができるようになります。

ガイドラインの後半では、SOCやCSIRTの体制を実際に検討していくにあたって、上記の書き出しを活用する形でどのような業務にどのような人材を配置し、全体としてどのように対応していくべきかという部分がモデルケースとして提示されております。

特徴的な内容としては、細分化された役割の人材を揃えるために人材育成・組織成熟度という面で充実した資料が同時に紹介されております。

また本ガイドラインは、2021年10月に公開されたITU-T勧告X.1060、X.1060の日本語版の標準となるTTC標準JT-X1060に合わせた形での全面的な改版が2023年2月に行われております。 [13]

提供資料

以下の資料が提供されております。

4. 各ガイドラインの活用例

前章にて各ガイドラインの概要を紹介しました。最後に実際にガイドラインを読んでいくにあたっての一つの読み方を紹介します。

全体像の理解

業務経験が少なくこれからはじめるケースや、一部の業務をされていて改めて情報セキュリティインシデント対応における全体像を理解したい場合は、ページ数が少なく平易に整理されている”情報漏えい発生時の対応ポイント集 [7]”をまずはご一読いただくのが良いでしょう。

業務への適用

全体的な理解の後はその他資料も含めて、より詳細なフロー、実務上注意する必要のある情報、特徴的なトピックや、合わせて提供されているツールを抽出し、自組織に適用しやすいものを選択していくことが良いと考えます。

例えばCSIRTを構築するプロジェクトをこれから立ち上げる場合、”CSIRTマテリアル [8]”の構築フェーズで提供されている各種WORDツールを活用すれば効率よくプロジェクト立ち上げが行えます。”情報セキュリティ事故対応ガイドブック [11]”で提供されている”事前チェックリスト”で現在の組織状態の把握が行えます。”セキュリティ対応組織の教科書 [12] [13]”で提供されている”セキュリティ対応組織成熟度セルフチェックシート”を用いて具体的な機能としての強み弱みが把握できます。

定期的な見直し

情報セキュリティインシデント対応を行うための体制・プロセスを構築した後もそれで終わりではありません。法改正によって対応が必要になるケース、実際に運用してみるとうまく行かないケース、組織の体制変更などによって想定していたプロセスでは対応できないケースなどが徐々に発生してきます。この際には、実務の中で抽出した課題を解決するためのヒントとして各ガイドラインを見直していくのも良いですし”CSIRTマテリアル [8]”で提供されている” 付録：インシデント対応演習プログラム”なども活用してプロセスの検証やセキュリティ意識の向上を進めていくのも良いと考えます。

5. まとめ

情報セキュリティインシデントが発生した場合に対する準備、および情報セキュリティインシデントが実際に発生した後の対応方法、またそれを実現させるために有用なツールなどを、共通的な事項と特徴的な事項に分けて、各団体から提供されているガイドラインの概要を紹介しました。

また実際にどのように活用していくのかについて活用例という形で紹介しました。
情報セキュリティインシデント対応については現場の対応、マネジメントの状況把握、経営層としての判断など多層にわたる対応が必要となるため、このように俯瞰的に捉えられるガイドラインが各団体から提供されていることは非常に有用なものであると考えます。

情報セキュリティインシデントが起こらないのが一番ですが、もし有事の際においても、本ブログをお読みいただいた皆様の各組織において適切な対応を行うための助けとなれば幸いです。

参考：

執筆者の他の記事を読む