【SG試験】インシデント対応とBCP｜「もしも」の時に組織を止めるな

情報セキュリティ対策において、最も重要な考え方のひとつが「完璧な防御は存在しない」ということです。どれほど強固なファイアウォールを築き、徹底した社員教育を行っても、新種のウイルスや予期せぬ人的ミス、あるいは自然災害による被害をゼロにすることは不可能です。

そこで重要になるのが、事故（インシデント）が発生した際に、被害を最小限に抑え、いかに素早く業務を復旧させるかという「事後対応」の能力です。今回は、SG試験でも頻出するインシデント対応の体制と、事業を継続するための計画（BCP）について詳しく解説します。

司令塔となる組織「CSIRT（シーサート）」

情報セキュリティインシデント（ウイルス感染、情報漏洩、システムダウンなど）が発生した際、中心となって対応にあたるチームをCSIRT（Computer Security Incident Response Team）と呼びます。

CSIRTは、平時には情報の収集や注意喚起を行い、有事（インシデント発生時）には現場の指揮を執ります。

試験では、社内だけでなく社外のCSIRT（日本を代表するJPCERT/CCなど）との連携についても問われることがあります。

事故が起きてから収束するまでには、決まった手順があります。科目Bの事例問題では、この流れのどこに不備があったかを問われるのが定番です。

特に「初動対応でのネットワーク隔離」は、二次被害を防ぐための最優先事項として試験に頻出します。

インシデントが発生した際、法的な証拠や原因追及のために、デジタルデータを保全・解析する手法をデジタルフォレンジックと呼びます。

「まず再起動してウイルススキャンをする」という行動は、メモリ上の証拠（マルウェアの活動痕跡）を消してしまう可能性があるため、フォレンジックの観点からは注意が必要です。

セキュリティ事故だけでなく、大規模な自然災害やテロなどが発生した際に、重要業務を中断させない（または許容範囲内で早期復旧させる）ための計画がBCP（Business Continuity Plan）です。

試験対策として、以下の3つの指標をセットで覚えましょう。

例えば、銀行の基幹システムならRTOは「数分以内」、バックアップのRPOは「数秒前まで」といった厳しい設定が求められます。

BCPを実現するための具体的な技術的手段が「バックアップ」です。

また、バックアップデータ自体がランサムウェアに感染したり、災害で物理的に破壊されたりしないよう、「オフライン保管」や「遠隔地保管」を行うことがマネジメント上の重要なポイントです。

インシデント対応もBCPも、共通しているのは「事前の準備と訓練」がすべてだということです。

SG試験の学習を通じて、私たちは「いかに守るか」だけでなく、「いかに立ち直るか」という視点を手に入れます。マニュアルがあるだけでは不十分で、実際にCSIRTが機能するか、バックアップから正しく復旧できるかを定期的にテストすること。これこそが、情報セキュリティマネジメントの本質的な役割です。

次回の連載では、これまで学んできた知識を武器に、いよいよ「SG試験合格に向けた学習ロードマップと過去問の活用術」についてお話しします。