インシデントが発生したとき、感染端末をネットワークから切り離しただけで対応が完了するわけではありません。
被害の拡大を抑えた後、マルウェア、不正アカウント、悪用された脆弱性などを取り除き、安全に戻せることを確認して業務を復旧します。
本記事では、インシデントレスポンスの具体的な行動を、封じ込め・根絶・復旧の流れで整理します。併せて、テイクダウン、縮退運用、復元試験を見分けます。
読み終えるころには、事例の処置が何を止め、何を取り除き、何を戻すものかを切り分け、原因が残ったまま復旧していないかを確認できるようになります。
先に結論：止める・取り除く・戻す
| 整理 | 中心となる行動 | 代表的な表現 |
|---|---|---|
| 封じ込め | 被害の拡大を止める | 隔離する、切り離す、通信を制限する |
| 根絶 | 原因や侵入経路を取り除く | マルウェアを除去する、脆弱性を修正する |
| 復旧 | 安全を確認して業務を戻す | 正常なデータを戻す、再接続する、監視する |
教材上の基本順序は、次のように整理します。
封じ込め → 根絶 → 復旧
原因が残ったまま復旧すると、再感染・再侵入につながるおそれがあります。
SGシラバスでの位置付け
SGシラバス Ver.4.1では、知識側の「情報セキュリティ管理におけるインシデント管理」にインシデントレスポンス（対応）とテイクダウンが明示されています。
技能側には8-3 「分析及び復旧」があり、被害状況・被害範囲の調査、損害・影響の評価、原因の特定などが求められています。また「情報セキュリティ継続」には復旧計画、災害復旧、障害復旧、バックアップによる対策があります。
一方、「封じ込め」「根絶」「縮退運用」「復元試験」という語そのものは、Ver.4.1の用語例には明示されていません。
本記事では、封じ込め・根絶をインシデント対応の理解を助ける実務的な整理として、縮退運用・復元試験を復旧・事業継続・バックアップへ接続する補助概念として扱います。
1．封じ込め：被害が広がる経路を止める
封じ込めは、インシデントの影響が他の端末・システム・利用者へ広がらないようにする対応です。
例えば、次のような処置があります。
- 感染が疑われる端末をネットワークから隔離する
- 不正利用されたアカウントを一時停止する
- 悪用されている通信先との接続を制限する
- 影響を受けたサービスの一部を停止する
- アクセス制御を一時的に変更する
NIST SP 800-61 Rev.3でも、containmentはインシデントの拡大を防ぐ活動として扱われています。
封じ込めは状況に応じて選ぶ
全面停止によって被害拡大を抑えられる場合がある一方、重要業務まで停止する影響も考慮する必要があります。
- 影響範囲
- 攻撃や不正通信が継続しているか
- 停止による業務影響
- 調査に必要な情報を失わないか
- 一時対策を解除する条件
- 対応に必要な権限
を踏まえて判断します。
証拠保全と隔離の具体的な進め方は「証拠保全とデジタルフォレンジックス」の記事で扱います。
2．根絶：原因や侵入経路を取り除く
根絶は、インシデントを継続・再発させる要素を取り除く対応です。
- マルウェアやバックドアを除去する
- 悪用された脆弱性を修正する
- 不正に作られたアカウントを無効化・削除する
- 漏えいした認証情報を失効・変更する
- 不正な設定や持続化の仕組みを取り除く
NIST SP 800-61 Rev.3でも、eradicationの例としてマルウェア削除、侵害されたアカウントの無効化、悪用された脆弱性への対処などが挙げられています。
隔離によって異常が見えなくなっても、原因が残っているなら復旧へ進めません。
3．復旧：安全性を確認して業務を戻す
復旧では、影響を受けたシステムや業務を利用可能な状態へ戻します。
- 正常なバックアップや構成から復元する
- 必要な修正プログラム・安全な設定を適用する
- アカウントや認証情報を見直す
- 業務機能が正常に動作するか確認する
- 必要に応じて段階的に再接続する
- 復旧後のログや通信を監視する
NIST SP 800-61 Rev.3も、クリーンなバックアップからの復元、再構築、パッチ適用、パスワード変更などを復旧活動の例として示しています。
再発防止とは分けて考える
復旧は、被害を受けたシステムや業務を戻すことです。
原因分析の結果を基に、規程、教育、体制などを恒久的に見直す再発防止は「原因分析と再発防止」の記事で扱います。
4．テイクダウン：外部の攻撃基盤の停止を求める
テイクダウンはSGシラバス Ver.4.1に明示された用語です。
例えば、自組織をかたるフィッシングサイトやマルウェア配布サイトなどについて、サイト管理者、ホスティング事業者、ISP、調整機関などへ停止・対処を求めます。
JPCERT/CCも、フィッシングサイトの閉鎖依頼や、マルウェア公開サイト・通信先サーバへの対応依頼を受け付けています。
自組織のファイアウォールで通信を遮断することは被害軽減策ですが、外部の攻撃基盤そのものを停止させるテイクダウンとは区別します。
5．縮退運用：機能を限定して重要業務を続ける
本記事でいう縮退運用は、通常より機能・処理能力を落とし、重要な業務を限定的に継続する運用です。
例えば、一部の機能を停止し、重要業務へ処理能力を集中する方法があります。
次とは区別します。
- 全ての業務を停止する
- 予備設備へ切り替えて通常能力で運用する
- 復旧後に停止中のデータをまとめて処理する
縮退運用という語はSGシラバス Ver.4.1の用語例には明示されていませんが、IPAのシステム高信頼化に関する資料でも、障害時にサービスを縮退させて継続する考え方が扱われています。
どの業務をどの水準まで継続するかという目標は「事業継続とBCP」の記事で扱います。
6．復元試験：バックアップが実際に使えるか確認する
バックアップを取得できていても、必要なデータが不足している、破損している、復号鍵や手順が不足しているなどの理由で復元できない場合があります。
本記事でいう復元試験は、バックアップから実際にデータ・システムを戻せることを確認するものです。
- 必要なデータを復元できるか
- アプリケーションや設定も利用可能になるか
- 必要な鍵・認証情報などがそろっているか
- 手順を担当者が実行できるか
- 組織が定めた復旧目標に照らして実行可能か
CISAも、バックアップの可用性・完全性やバックアップ手順を定期的にテストすることを推奨しています。
「復元試験」という語はSGシラバス Ver.4.1に明示されていません。バックアップ方式そのものは「データ保護とバックアップ」の記事で、復旧目標は「事業継続とBCP」の記事で扱います。
7．科目Bでの使われ方
| 事例の記述 | 教材上の整理 |
|---|---|
| 感染端末をネットワークから切り離した | 封じ込め |
| マルウェアや不正アカウントを除去した | 根絶 |
| 安全性を確認して業務を再開した | 復旧 |
| 外部のフィッシングサイトの停止を依頼した | テイクダウン |
| 一部機能を止め、重要業務だけ継続した | 縮退運用 |
| バックアップから実際にデータを戻して確認した | 復元試験 |
判断するときは、何を止めるのか、何を取り除くのか、何を戻すのかを確認します。
担当者としては、隔離などの処置で異常が見えなくなっても、原因が取り除けたかを確認するまで復旧へ進めません。業務停止をともなう封じ込めや、復旧の再開時期は担当者限りで決めず、影響範囲を整理して上位者や関係部署へ報告し、指示を仰ぎます。外部サイトへの停止依頼は、組織の窓口を通して行います。
よくある取り違え
| 誤った考え方 | 正しい整理 |
|---|---|
| マルウェア除去が封じ込め | 原因除去は根絶として整理する |
| 端末を隔離すれば対応完了 | 原因除去と復旧が必要 |
| 原因が残ったまま業務を再開する | 安全性を確認して復旧する |
| 規程や教育の見直しが復旧 | 再発防止として別に扱う |
| 自社側の通信遮断がテイクダウン | 外部の攻撃基盤への停止依頼と区別する |
| 全システム停止が縮退運用 | 機能を限定し重要業務を継続する |
| バックアップ取得成功だけで十分 | 実際に復元可能か確認する |
まとめ
- SGシラバスにはインシデントレスポンス（対応）とテイクダウンが明示されている
- 本教材ではレスポンスの具体的な行動を、封じ込め・根絶・復旧で整理する
- 封じ込めは被害拡大を止め、根絶は原因・侵入経路を取り除き、復旧は安全に業務を戻す
- 再発防止は「原因分析と再発防止」の記事で別に扱う
- テイクダウンは外部の攻撃基盤への停止・対処依頼
- 縮退運用は機能を限定して重要業務を継続する補助概念
- 復元試験はバックアップが実際に利用可能か確認する補助概念
- 縮退運用・復元試験という語はVer.4.1の用語例には明示されていない
関連記事
- C1-T04：ランサムウェア
- C1-T07：ソーシャルエンジニアリングとフィッシング
- C3-T07：セキュリティ対応組織と外部機関
- C5-T10：データ保護とバックアップ
- C6-T01：インシデントハンドリングの4段階
- C6-T02：初動対応とエスカレーション
- C6-T04：証拠保全とデジタルフォレンジックス
- C6-T05：原因分析と再発防止
- C6-T06：事業継続とBCP
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（指示7 インシデント発生時の緊急対応体制の整備）
- IPA「情報処理システム高信頼化教訓集（ITサービス編）」
- NIST SP 800-61 Rev.3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile」
- CISA「#StopRansomware Guide」
- JPCERT/CC「インシデント対応依頼」
コメント