インシデントへの対応では、復旧して終わりではありません。事故の原因を特定し、同様の事故を繰り返さないための恒久的な再発防止策を検討します。
読み終えるころには、事例の対策が技術的な修正で止まっていないかを見分けられるようになります。
先に結論：材料・範囲・確認で考える
| 観点 | 確認すること |
|---|---|
| 材料 | 複数の情報や記録を関連付け、原因を切り分ける |
| 範囲 | 技術的な原因だけでなく、業務手順や管理上の背景も確認する |
| 確認 | 対策を実施しただけで終わらず、有効性を確認して見直す |
SGシラバスでの位置付け
SGシラバス Ver.4.1の技能8-3「分析及び復旧」では、セキュリティ情報、事故に関する様々な情報、操作記録、アクセス記録などを基に、事故の原因を特定することが求められています。用語例には「原因の切分け」があります。
続く8-4「再発防止策の提案・実施」では、同様の事故が発生しないようにするための恒久的な再発防止策を検討できることが求められ、用語例は「再発防止、業務手順の見直し」です。
有効性はISMSの知識項目に明示されています。8-4の用語例ではありませんが、対策実施後の確認へ接続して理解します。
SGで問われるのは、原因をどう切り分け、どこまでを再発防止として考えるかという判断の順序までです。個別の分析手法の手順や、統計的な分析技法までは扱いません。
1．原因は一つの情報だけで決めない
利用者の説明だけで原因を確定すると、記憶違いや見落としによって誤った結論になる場合があります。
例えば、次の情報を関連付けます。
- 操作記録・アクセス記録
- 端末やネットワークの記録
- システムの設定情報
- 関係者への確認結果
確認できた事実と仮説を分け、複数の情報から原因を切り分けることが重要です。
2．技術的な修正だけで終わらせない
例えばアクセス権の設定ミスを直しても、なぜ誤った設定が承認され、なぜ長期間発見されなかったのかが残れば、別の場所で同じ問題が起こる可能性があります。
恒久策を検討するときは、必要に応じて次の背景も確認します。
- 申請・承認手続
- 教育・手順の周知
- 権限の付与・点検
- 変更時のレビュー
- 監視・検知の仕組み
重要なのは、原因を「担当者の不注意」や「設定ミス」の一言だけで終わらせず、同様の事故を防ぐために何を変える必要があるかまで考えることです。
3．対策を実施した後に確認する
「設定を変更した」「研修を実施した」という事実だけでは、対策が有効だったとは判断できません。
目的に応じて、例えば次を確認します。
- 同種のインシデントが減ったか
- 検知・報告までの時間が改善したか
- テストや訓練で手順どおり対応できたか
- 監査などで同じ問題が再び指摘されていないか
NIST SP 800-61 Rev.3でも、対応から得た教訓や根本原因分析を改善へ反映する考え方が示されています。
よくある取り違え
| 誤った考え方 | 正しい整理 |
|---|---|
| 利用者の説明だけで原因を確定する | 複数の情報や記録から切り分ける |
| 設定を直せば再発防止は完了 | 背景要因も確認し、恒久策を検討する |
| 対策を実施したので評価は不要 | 効果を確認し、必要なら見直す |
| 再発していないだけで直ちに有効と判断する | 検知状況や確認方法も含めて評価する |
まとめ
- 8-3では、様々な情報や操作記録・アクセス記録などを基に原因を特定する
- 8-4では、同様の事故を防ぐ恒久的な再発防止策を検討する
- 原因分析は一つの説明だけで決めず、複数の情報を関連付ける
- 技術的な修正だけでなく、業務手順や管理上の背景も確認する
- 対策は実施して終わりではなく、有効性を確認して必要なら見直す
関連記事
- C3-T05：ISMSのPDCAと運用
- C5-T09：ログ管理と監視
- C6-T03：封じ込めから復旧まで
- C6-T04：証拠保全とデジタルフォレンジックス
- C10-T05：システム監査の流れ
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- NIST SP 800-61 Rev.3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile」
コメント