情報セキュリティインシデント管理（管理体制の構築、インシデント対応）
この領域で問われること
インシデント管理は、CSIRTなどの体制づくりと、検知から復旧・再発防止までの対応手順を問う領域である。初動の順序、報告義務、証拠保全が得点差になりやすい。
管理体制
- 責任者、CSIRT、通報窓口、連絡先一覧、エスカレーション基準を定める。外部機関（JPCERT/CC、IPA、ベンダ、警察）との連携先も整備する。
- 訓練と演習を定期的に行い、連絡先と手順が機能するか確認する。インシデント対応計画は見直す。
対応の流れ
- 検知・初動では通報を受け付け、トリアージで重大度を判定し、影響範囲を特定する。証拠保全を並行して行う。
- 封じ込めではネットワーク遮断やアカウント停止を行う。根絶でマルウェア除去や脆弱性修正を行い、復旧ではバックアップからの復元と監視強化を行う。
- 事後対応では原因を分析し、再発防止策を講じ、記録を残す。NTPによる時刻同期がログの時系列分析に不可欠である。
例題で確認
社員PCでランサムウェアの兆候を検知した。まずPCをネットワークから隔離し、次にメモリとディスクのイメージを取得する。他の端末への横展開を調べるためログを確認し、感染端末は再構築、共有フォルダはバックアップから復元する。原因がメール添付であればフィルタを強化する。再起動を先に行うとメモリ上の証拠が失われる。
失点しやすい点
通報を遅らせて隠蔽する。封じ込めの前に電源を切る。個人情報の漏えい報告の期限を誤る（速報は概ね3〜5日以内、確報は30日以内、不正の目的によるものは60日以内）。外部機関への連絡を省略する。