インシデント対応（インシデントレスポンス）とは？フローと対策

データ漏洩の際には、インシデント対応チームが重要な役割を果たします。このチームは、脅威への対応に不慣れなスタッフよりも被害額を軽減し、迅速に封じ込めることができます。攻撃者がネットワーク上に長く留まれば留まるほど、攻撃者が残したマルウェアやバックドアの増加により、対応がより複雑になる可能性があります。インシデント対応チームは、攻撃者の手口に精通したIT専門家やセキュリティの専門家で構成されています。

インシデント対応チームは、その名が示すように、攻撃が成功した後にネットワーク環境の後始末と安全確保を行う役割を担っています。コンピュータインシデント対応チーム（CIRT）は、組織内の複数の主要な関係者で構成されるか、専門機関にアウトソーシングされることがあります。CIRTは通常、データベース管理者、運用担当者、開発者などのITスタッフが参加します。以下に、インシデント対応の担当者として考えられる人物をいくつかご紹介します。

理想は、組織がサイバーセキュリティのインシデントに直面しないことです。100％安全なサイバー防御はありませんが、組織が標的となる犠牲者にならないために必要な予防措置を講じることは可能です。管理者は全員、ファイアウォールによって外部からのトラフィックを防ぎ、ID管理とアクセス制御を行い、物理的なセキュリティによって資産を保護する、などの基本を理解しています。しかし、一部の管理者は、監視と侵入検知の実施を怠っています。

ネットワーク監視、クラウドセキュリティ監視、侵入検知は、管理者に攻撃の可能性を警告します。誤検知を避けるため、通常、このアラートはアナリストに送られ、さらに検討されます。誤検知が多すぎると、アナリストが疲弊し、誤検知のために潜在的な真の脅威が見落とされる可能性があります。アナリストが侵害にできるだけ早く対処できるよう、監視はできるだけ正確に行う必要があります。

侵入検知ツールは、監視の一要素です。監視ツールはインシデントを記録し、人工知能による侵入検知は攻撃が発生しているかどうかを判断します。侵入が持続する場合、攻撃者は数ヶ月間ネットワークにアクセスできる可能性があります。攻撃者は、発見されないようにゆっくりとデータを流出させることがあります。そのため、アクセス要求のベンチマークや異常な認証の試行に基づいて、あらゆる機密データについて監視を続けることが重要です。

適切な予防ツールを導入していても、組織はインシデント対応計画を毎年必ず見直し、正確な文書と情報が含まれていることを確認する必要があります。インシデント対応計画は、企業の成功に不可欠であり、訴訟費用、顧客への賠償金、データ損失など、何百万ドルもの費用を節約することができます。