セキュリティ問題の疑い発生後のレビュー準備

何かがおかしいと思われるとき、まず必要なのは、何が起きたかについての性急な結論ではなく、わかっていること、判断の責任者、安全に共有できる証跡についての信頼できる記録であることが少なくありません。本ガイドでは、セキュリティ問題の疑いが生じたあと、範囲を定めたレビューに向けた一般的な準備を紹介します。わかっていることをチームが整理し、適切な専門家が次のステップに進めるよう支援します。進行中の状況や安全に関わる状況では、通常の範囲を定めた依頼ではなく、確立された緊急対応の提供者や資格を持つ地域のサポートが必要になることがあります。

何であるのか

有用な最初の記録では、観測された事実、報告された懸念、前提、未回答の問いを区別します。懸念がいつ始まったか、誰が報告したか、どのシステムが影響を受けている可能性があるか、現在の事業への影響、すでに講じた対応、関連する証跡の担当者を記録できます。承認されたログ、アラート、メッセージ、タイムスタンプ、スクリーンショット、アカウントのイベント、システムの記録が関係することがありますが、収集と共有は、所有関係、機密性、法的な権限を尊重して行うべきです。調整なしにシステムを削除、再構築、リセット、変更すると、後のレビューに影響することがあります。これは、落ち着いて十分に記録された対応のための一般的な準備です。

誰のために

本ガイドは、次のようなチームを対象としています。

懸念が報告されたあと、限られた情報を証拠として扱うことなく、社内での最初の見通しを整理する必要があるチーム
証跡、事業への影響、次のステップの調整について、インシデントの担当者と意思決定者を指名できるチーム
通常の範囲を定めたレビューを、継続的監視、証拠解析、法的助言、保険会社や規制当局への通知、法執行機関への連絡、緊急サービスと区別する必要があるチーム
専門家の支援を求める前に、承認された機密性のない要約を準備したいチーム

明確にするのに役立つこと

落ち着いて作成した準備の記録で明確にできること：

何が観測され、いつ気づき、誰が報告し、どのシステムが関係している可能性があり、何がまだ前提にすぎないか
関係しうる承認されたログ、アラート、メッセージ、タイムスタンプ、スクリーンショット、アカウントのイベント、記録
どのような業務上の影響と緊急の判断事項があり、すでにどのような対応を講じたか
次に必要なものが、Incident Recovery Sprint、Threat Hunting、確立された緊急対応プロセス、証拠解析の作業、法的助言、通知、その他の専門的な経路のいずれに近いか

含まれる内容

社内の責任分担、観測された事実、承認された証跡、影響に関する問い、すでに講じた対応、共有の権限についての一般的な準備の枠組み
範囲を定めた復旧レビュー、脅威ハンティング、監視／MDR、証拠解析、法的助言、保険会社・規制当局への通知、法執行機関、緊急対応の違いについてのわかりやすい説明
文脈を保全し、後のレビューに影響しうる不要な変更を避けるためのガイダンス
懸念と入手可能な承認済みの証跡を説明するための、機密性のない依頼の形式

含まれていないもの

限られた情報からの侵害の診断、リアルタイムの対応、封じ込め、復旧、帰属の特定、証拠としての採用可能性、SLA
マルウェア除去の手順、回避に関する助言、報復行為、不正アクセスのガイダンス
法務、規制、保険、法執行、緊急対応に関する助言
あらゆる懸念に同じサービスが必要である、または通常の範囲を定めた作業が緊急の安全対策や緊急支援の代わりになるという主張

それを選ぶべきとき

外部の支援を選ぶ前に、組織として自らの問いを整理する必要がある場合に本ガイドをお読みください。通常と異なるアクセス、Webサイトの問題の疑い、想定外のアカウントのイベント、気になるアラート、顧客やサプライヤーからの報告のあとに有用です。貴社の緊急時の手順と並行して活用する準備のためのガイドです。人に危険が及んでいる場合、重要なサービスが安全でない場合、組織が直ちにリアルタイムの対応を必要としている場合は、確立された緊急連絡経路か資格を持つ提供者をご利用ください。緊急性の低い懸念については、丁寧な要約によって、範囲を定めた協議をより効果的に進められます。

私たちのアプローチ

規律ある記録から始めてください。社内の担当者を割り当て、観測の日時と情報源を記録し、システムと事業への影響を特定し、すでに講じた対応を書き出します。誰がどの証跡を合法的に共有できるかを確認します。事実と不確実性を分けて扱い、調整なしに「片付ける」だけの目的で破壊的または広範な変更を行うことは避けてください。そうすれば、後のレビューで承認された資料を文脈に沿って評価できます。目的は、顧客が担う判断、技術的なレビュー、専門家へのエスカレーションのための安定した出発点を、適切な人々に提供することです。最初の要約は可能な限り機密性のない内容にとどめ、後のレビューでより詳細が必要になった場合にのみ、合意した安全な経路を利用してください。良い要約では、止まっている事業上の判断と想定される時期を示しつつ、原因や責任についての憶測を避けます。これにより、レビューを担う可能性のある提供者が、広範なアクセスや機微な資料の不要な受け渡しを促すことなく、境界を説明できるだけの文脈が得られます。準備の記録では、当面の運用上の問いと、より長期的な改善作業とを区別することも必要です。チームは、誰が顧客と連絡を取るか、重要なサービスを一時停止すべきか、サプライヤーへの連絡が必要かを判断しなければならないことがありますが、それらは事業上の判断であり、本ガイドから導かれる結論ではありません。技術的な不確実性とあわせてそれらを記録しておくことで、外部のレビューに、安全に責任を負えない事項の判断を求めてしまうことを防げます。必要に応じて、通知やエスカレーションが必要だと決めつけることなく、組織の保険会社、法律顧問、規制当局、サプライヤー、緊急対応の提供者の連絡先を記録しておいてください。そうした判断は、一般的なガイドの範囲外にある事実と義務に左右されます。懸念が顧客情報、共有インフラ、規制対象の活動、サプライヤーとの関係に関わる場合は、資料を共有する前に境界を明確にしてください。目的は、担当者が、何を確認でき、何を別の資格を持つ当事者が扱わなければならないかを説明できるようにすることです。これにより、依頼を証跡と目の前の判断に見合ったものに保てます。また、レビューを担うチームにとっても、通常の範囲検討、専門的な承認、別の提供者のいずれが適切かを説明するための明確な土台になります。