サイバー攻撃と防御の実務
米国のNISTが2012年に公開したインシデント対応の指針SP 800-61の第2版(Rev. 2)は、インシデント対応を4つの段階の繰り返しとして示している。段階の順序として正しいものはどれか。
- A検知と分析 → 準備 → 事後の活動 → 封じ込め・根絶・復旧
- B準備 → 検知と分析 → 封じ込め・根絶・復旧 → 事後の活動
- C封じ込め・根絶・復旧 → 準備 → 検知と分析 → 事後の活動
答えと解説を見る
正解：B. 準備 → 検知と分析 → 封じ込め・根絶・復旧 → 事後の活動
SP 800-61 Rev. 2は、体制や手順、道具を整える「準備」、警告やログからインシデントかどうかを判断して影響を見積もる「検知と分析」、被害の広がりを止めて原因を取り除き業務を戻す「封じ込め・根絶・復旧」、教訓を整理して次に生かす「事後の活動」の4段階を示しています。検知と分析と、封じ込め・根絶・復旧の間は行き来し、事後の活動で得た教訓は準備に戻して、検知のルールや手順を改善します。なお、2025年4月に公開された第3版(Rev. 3)では、NISTのサイバーセキュリティフレームワーク(CSF) 2.0の機能に合わせた形に整理し直されていますが、この4段階の考え方は現在も広く使われています。
- A. 検知の前に準備が必要で、事後の活動は対応の最後に行います。
- B. 正しい。準備から始まり、事後の活動で得た教訓を次の準備に生かします。
- C. 封じ込めは、検知と分析でインシデントと判断した後に行います。