初動対応の5C：最適な初動対応を考える

執筆者により予告なく編集される場合があります。

インシデント対応の"前捌き"という表現をよくされることがありますが、この文書では、その"前捌き"（初動対応）において重要な要素を整理してみました。
ここでは、インシデントの現場に駆けつける必要のある方々向けの初動対応として記載しています。
初動対応の見直しを検討している組織の方や、これから初動対応をされる方の一助になれば幸いです。

初動対応とは

インシデントが発生した際、初動対応は迅速かつ正確に行われることが重要です。
初動対応の質は、インシデントの被害の最小化や復旧のスピードに直結します。

この文書では、被害の最小化と復旧に焦点を当てた初動対応のメソッドをまとめています。

初動対応で実施しなくてはいけないこと

初動対応において、優先順位の設定が重要です。
インシデントの種類や影響度に応じて、対応の緊急度を適切に評価します。
被害の大きさや事業への影響度などを考慮し、対応の優先順位を明確化することで、リソースの効果的な配分や効率的な対応が可能となります。

この文書では、読者の方がインシデントの現場で、最初に行わなくてはいけないことを定義しました。

"初動対応の5C"

様々な組織で、インシデント対応を行うために、インシデント対応フローを策定したり見直しを実施しています。その中で、専門的な対応はセキュリティユニット（CSIRT/SOC、外部ベンダー）が実施するとしても、セキュリティユニットに連携するために初動対応を行う必要性があります。

ここで、初動対応で行うべき対応を5C（Conrim, Clear, Cordon, Contact, Control）として定義し、一つずつ見ていきたいと思います。

1. Confirm：現状確認

インシデントが発生し、駆けつけた場合に「現状の確認」を行います。
事故なのか、攻撃なのか、発生の原因にアテをつけながら、現場でのヒアリングを通して、当事者に状況を確認していきます。

ヒアリングは、5W1H¹で行われ可能であれば記録されることが望まれます。

ここで、被害を抑止できる、または被害を多少受容してでも、原因追究のために、証拠保全を優先した方がよいと判断した場合は、証拠の保全を考えます。

2. Clear：安全確保

安全確保には、には以下の方法があります。
(1)脅威から遠ざかる
(2)脅威を遠ざける
(3)守るべき対象と脅威との間にバリア（境界線・壁）を作る

いずれかの手法をもって、安全を確保し、被害拡大を防ぎます。
具体的には、抜線対応によって脅威から遠ざけたり、アンチウイルスソフト（EPP)などによって脅威を遠ざけます。また、脅威が明確な場合には物理・論理的な制御によって脅威を隔離します。

前項目で、証拠保全を優先している場合、可能な限り変更点を記録・記憶します。

3. Cordon：遮断

遮断には、「境界線を張る」、「壁を作る」という意味が含まれており、「脅威」と「守る対象」とを明確に区別します。守るべき対象に対して「脅威」（危険）が及ばないように対策を行います。

具体的には、発生している脅威を遮断・隔離して封じ込めるようにし、二次被害が発生しないようにします。Clear：安全確保に近いものがありますが、主たる制御目的として、前者は守るべき対象の保護を優先し、こちらは二次被害を抑止する目的の差があります。
ただし、あくまでも記載として順番だけのため地続きで作業が行われたり、判断として一緒に考えることが常となります。

前項目で、証拠保全を優先している場合、可能な限り変更点を記録・記憶します。

4. Contact：応援要請

現状確認を行い、一次的に脅威を遠ざけ、リスクを軽減した後に、必要な応援要請や、状況の報告を行います。一旦、脅威から遠ざけても、事態が適正に収拾されない限り、また新たな脅威が及び、被害が拡大する可能性があります。
必要に応じて法執行機関を含む関係各所に連絡を取ります。

5. Control：状況管理

要請した応援などが到着するまでの間、現地での状況管理をします。
具体的には次ようなことを指します。

• 被害状況の有無
• 影響の出ているシステムの確認
• 他の危険の有無
• 対処を必要とする他の事象がないかの見極め
• パニック状態に陥っている人のケア
• 応援が到着した際の誘導、状況報告

まとめ

インシデント初動対応は、迅速かつ"正確な判断"と"行動"が求められる重要なフェーズです。
これらの要点を押さえ、効果的な手法を実践することで、インシデントへの早期対応と迅速な復旧を実現できます。

◼️ 初動対応の5C

1. Confirm：現状確認
2. Clear：安全確保
3. Cordon：危険遮断
4. Contact：応援要請
5. Control：状況管理

ここまで、インシデントの初動対応において実施すべき内容を整理しました。
インシデントが発生し、現場に急行した際に、迅速にこれらの対応を行い、必要な機能を有する仲間や同僚、専門家との適切な連携が不可欠です。

また、今回の文書に、直接的なインシデント対応や、記者会見に関する内容については、含まれておりません。

インシデント対応に入る際には、更に適切なチーム編成とコミュニケーションが重要となります。
初動対応で入った場合、リーダーシップと的確な指示能力を持ったリーダーの資質も求められます。
必要に応じて、そうした資質を伸ばす訓練をしていきましょう。

参考文書

• 証拠保全ガイドライン 第9版
  https://digitalforensic.jp/wp-content/uploads/2023/02/shokohoznGL9.pdf

1. 5W1Hとは、「When：いつ」「Where：どこで」「Who：だれが」「What：何を」「Why：なぜ」「How：どのように」といった英単語の頭文字を取った思考整理のフレームワークのことを指します。 ↩