3章 概説Ⅲ 復旧と再発対策

はじめに

ここでは、インシデントレスポンスにおけるデジタルフォレンジック調査で収集した発生原因や被害状況の情報をもとに、「封じ込め／復旧」および「事後対応」のフェーズで実施する、原因分析・修復・予防の方法や手順について学びます

まず「封じ込め／復旧」フェーズにおいては、デジタルフォレンジック調査での原因分析結果にもとづいて、被害の拡大を防止する措置を行い、そのうえで侵害を受けた機器やシステムをできる限り早急に元の状態に戻す活動を行います。典型的なものでは、デジタルフォレンジックでマルウェアを特定し、セキュリティ機器などでその通信や感染活動を遮断して、感染したPCの初期化とOSの再インストールを行う、といったことが挙げられます。

そして「事後対応」フェーズにおいては、インシデントレスポンスの実施結果を振り返り、対応状況の評価と今後への教訓を検討します。その中で、恒久的な予防策も検討し、組織としての将来の備えを充実させていくことが重要となるでしょう。

インシデントレスポンスの実施中に、部分的な状況がわかった時点で、いきなり抜本的な対策を立案したり、システムに手を加えたりすることは望ましくありません。あせる気持ちになりがちですが、結果的には不十分な対策となって、被害の悪化や業務の支障にもつながりかねません。組織として適切な意思決定を行い、一歩一歩着実に防御を固めながら、計画的に有効な対策を実施していきましょう。