インシデント対応の事例

初動の問題は、正しい行動を「並べ替え」させます

これまでの2回は、原因はどこかを探す事例でした。インシデント対応の事例は少し性質が違います。選択肢に並ぶ行動は、どれも単体では正しく見えます。上司へ報告する、ウイルス対策ソフトで検査する、端末を初期化する、顧客へ知らせる。間違っているのは行動そのものではなく、やる順番です。

順番を決める根拠は2つだけです。1つめは被害を広げないこと、2つめは原因を調べられる状態を壊さないことです。この2つがぶつかったときは、被害の拡大防止を先に取ります。

対応の流れ

事故が起きてから終わるまでの流れには決まった名前が付いています。

組織として対応にあたる専門チームをCSIRTと呼びます。事例文に情報セキュリティ委員会やCSIRTという言葉が出てきたら、個人で判断せずそこへ連絡する、というのが答えの筋になります。

事例を1つ読んでみます

食品卸のあかね商事で、経理部のDさんが取引先を名乗るメールの添付ファイルを開いたところ、見慣れない画面が一瞬表示され、その後パソコンの動作が重くなりました。Dさんのパソコンは社内のファイルサーバに常時接続しており、経理の共有フォルダを開いたままでした。同社にはCSIRTがあり、不審な事象は情報システム部へ電話で連絡する手順が定められています。Dさんは、まず自分で確かめようと考え、ウイルス対策ソフトの手動検査を始め、検査が終わるまで誰にも知らせませんでした。検査では何も見つからなかったため、Dさんはそのまま業務を続けました。

拾うべきなのは、常時接続していること、共有フォルダを開いたままであること、連絡手順があるのに使っていないこと、そして検査で何も出なくても安全とは限らないことです。

正しい順番を組み立てます

最初にやるのは、ネットワークからの切り離しです。有線ならケーブルを抜き、無線なら切ります。感染していた場合、つながっている限り共有フォルダの他のファイルへ広がり、外部との通信も続くからです。ここで注意したいのは、電源を切らないという点です。電源を落とすとメモリ上にしか無い情報が消え、後の調査ができなくなります。切り離すが、落とさない、と覚えてください。

次に、定められた窓口へ連絡します。Dさんが最初にやった手動検査は、この後の調査に含まれる行為です。検査に時間をかけている間も感染は広がるので、順番として後ろになります。また、検査で何も検出されないことは、未知のマルウェアであれば普通に起こります。何も出なかったから安全だという判断は事例問題では必ず誤りです。

初期化も同じ理由で早すぎます。原因が分からないまま消してしまうと、他の端末に同じことが起きているかを確かめられません。

外部への連絡は調査のあと

顧客や取引先への連絡は必要ですが、何がどこまで漏れたか分からない段階で伝えると、後から訂正することになり混乱を大きくします。順番としては調査で範囲が固まってからです。ただし、法令や契約で期限が決められている届出は、範囲の確定を待たずに出すことがあります。事例文にそうした取り決めが書かれていたら、そちらが優先します。

行動の正しさではなく順番を問われている、と気付けるかどうかが、この型の分かれ目です。