インシデント対応チームとは？役割と構築方法

出社すると、システムが停止していたとします。信頼できるインシデント対応チームがなければ、復旧に支障が出るおそれがあります。

障害はいつでも起こり得ます。アイデンティティを重視したインシデント対応手順書を策定することで、データ侵害を防げます。

多くのサイバー資産を保有する組織は、インシデント対応チーム（IRT）への投資を検討すべきです。IRTは通常、組織をサイバーセキュリティの脅威から守る最初の防衛線です。脅威を初期段階で食い止められるか、深刻なデータ侵害に発展するかを左右します。

では、組織に適した強固なIRTをどう構築すればよいのでしょうか。この記事では、IRTとは何か、なぜ必要なのか、そして組織に適したIRTの構築方法を解説します。

インシデント対応チームとは？

チーム（IRT）とは、IT部門内に設置され、サイバーセキュリティ脅威への備えと対応を担当するグループです。インシデント対応チームは、組織のサイバーセキュリティアーキテクチャを設計し、潜在的な脅威の検知方法についてスタッフを訓練し、組織のネットワークを監視して異常を検知します。

では、なぜIRTが必要なのでしょうか？

日々進化するサイバーセキュリティ環境において、脅威は日増しに高度化・常態化しています。IRTにはネットワークの脆弱性を発見し、その軽減に取り組む専門家が配置されます。優れたインシデント対応チームは、機密データの保護を支援し、コスト削減と組織のサイバーセキュリティポリシーが政府規制に準拠することを保証します。これには、適切な人物のみがアクセスできるようにするアクセス制御の設定や、悪意のある攻撃者をネットワークから遮断するためのファイアウォールや侵入防止システム（IPS）の設置が含まれます。UpGuardによれば、2023年のデータ侵害による企業の平均損失額は約435万ドルでした。これにはデータ損失、課された罰金、潜在的な訴訟費用が含まれます。IRTを導入することで、侵害が発生する前に阻止し、こうした損失を回避することが可能です。インシデント対応チーム（IRT）は、サイバーセキュリティの脅威への備えと対応を担う、IT部門内のチームです。組織のサイバーセキュリティアーキテクチャを設計し、潜在的な脅威の見つけ方を従業員に教育し、組織のネットワークに異常がないか監視します。

データ侵害は顧客信頼喪失の主要因でもあり、データ侵害後組織への信頼を失う顧客は最大65%もの顧客がデータ侵害後に組織への信頼を失うとされています。顧客と直接接する組織は、自社のIRTが単なるサイバーセキュリティチームではなく、顧客満足度を維持するための重要なツールであることを理解しています。さらに、医療や銀行業を含む多くの業界では、政府規制によりサイバーセキュリティポリシーの厳格な遵守が義務付けられています。インシデント対応チームはこれらの規制順守を確保し、潜在的な影響を回避する責任を負っています。

では、なぜIRTが必要なのでしょうか。

インシデント対応チーム（IRT）の役割とは？

今日のサイバーセキュリティを取り巻く環境は絶えず変化し、脅威は日々巧妙化し、増加しています。IRTには、ネットワークの脆弱性を発見し、その軽減に取り組む専門家がいます。優れたインシデント対応チームは、機密データを保護し、コストを抑え、組織のサイバーセキュリティポリシーを政府規制に準拠させます。そのために、適切な担当者だけが機密データにアクセスできるようアクセス制御を設定し、ファイアウォールや侵入防止システム（IPS）を導入して、悪意ある攻撃者のネットワークへの侵入を防ぎます。UpGuardによると、2023年に企業が被ったデータ侵害の平均コストは約435万ドルでした。これには、データの損失、罰金、発生する可能性のある訴訟費用が含まれます。IRTを設けることで、組織は侵害を未然に防ぎ、こうした損失を回避できます。

インシデント対応チームはIT部門内で数多くの責任を担っています。

データ侵害は顧客の信頼を失う主な原因の一つでもあり、その割合は65% の顧客がデータ侵害後に組織への信頼を失っています。先を見据える組織は、IRTを単なるサイバーセキュリティチームではなく、顧客満足度の維持に欠かせない存在と捉えています。また、地域によっては、医療や銀行業を含む多くの業界で、政府の規制によりサイバーセキュリティポリシーの厳格な遵守が義務付けられています。これらの規制の遵守を徹底し、違反による影響を回避することは、インシデント対応チームの責任です。

IRTの最優先任務は脅威への備えと組織ネットワークの監視です。準備には、現在のネットワークの脆弱性評価が含まれ、入手可能な情報をもとに潜在的な脅威への行動計画を策定します。

インシデント対応チームの役割とは？

チームはまた、ネットワークの監視と異常のスキャンも担当します。これは通常、SentinelOneのような自動化ツールを使用して行われます。こうしたツールは、組織のネットワーク（接続された全デバイス、サーバー、さらにはクラウド接続を含む）を24時間365日自動監視します。異常な活動が検出されると、IRTに警告を発し、事前に策定された計画を実行に移します。

インシデント対応チームは、IT部門内で多くの責務を担います。

インシデント対応チームの役割と責任

IRTの最も重要な任務は、脅威に備え、組織のネットワークを監視することです。準備には、現在のネットワークの脆弱性を評価し、得られた情報を基に潜在的な脅威への対応計画を立てることが含まれます。

システムの脆弱性を追跡し解決する

IRTメンバーは最適なインシデント対応方針と実践の実施に注力する

またインシデントを分類し対応方法を決定する

IRTメンバーは明確なクライアントコミュニケーションを確立し、インシデントを分類し、将来のサイバーインシデントに備える専門家向け最新トレーニングプログラムを策定する。

チームはネットワークを監視し、異常を検出する責任も担います。通常はSentinelOneのような自動化ツールを使用します。こうしたツールは、接続されたすべてのデバイス、サーバー、クラウド接続を含む組織のネットワークを24/7で自動監視します。異常な活動を検出するとIRTに通知し、事前に定めた計画に沿った対応を促します。

インシデント対応チームは、侵入者をシステムから排除するため、ファイアウォール、アクセス制御、ウイルス対策ソフトウェア、その他のIPSsを導入します。また、IT部門以外の従業員にサイバーセキュリティのベストプラクティスを教育する責任も担います。ウイルスは一般的な攻撃経路ですが、データ侵害の多くは、従業員がフィッシングやその他のソーシャルエンジニアリングを通じて、意図的または意図せず攻撃者に情報を渡すことで発生します。

インシデントマネージャー は、本質的にIRTの管理者である。チームをまとめる接着剤のような存在であり、インシデント対応の調整、チーム内での情報共有、チーム内でのリソース配分を担当する。また、インシデント対応計画が適切に遵守されていることを確認し、遵守されていない場合には必要な変更を指示することもその役割です。

コミュニケーション担当リーダーはIRTのスポークスパーソンです。IRTと様々なステークホルダー間のコミュニケーションを担当します。インシデントに関するタイムリーな情報提供や、組織外を含む様々なステークホルダーからの質問への回答が任務です。

技術リーダーは核心的な問題に取り組みます。これはインシデントの根本原因を診断し、封じ込め措置を実施するIT担当者（または担当者チーム）です。このグループには通常、インシデントを分析し発生原因を究明するフォレンジック専門家が含まれます。技術チームには、ネットワークの異常を監視・防御するセキュリティアナリストが含まれる場合もあります。彼らは監視ソフトウェアを選択し、ネットワークの最適な防御策を模索するため侵入テストを実施します。

法務顧問は、IRTの行動が法的にもたらす影響について専門的な助言を提供します。IRTは機密性の高い顧客データを扱うため、数多くの規制を遵守しなければなりません。法務顧問は、IRTがこれらの規制を順守していることを確認する役割を担います。

インシデント対応チームの役割と責任

インシデント対応チームには、次の役割と責任があります。

この段階では、ネットワークの脆弱性評価を行います。チームは、システムに対する様々な脅威に対する行動計画を立て、チーム内および関係者とコミュニケーションをとるためのコミュニケーション戦略を立てる必要があります。
• インシデントにリアルタイムで対応するための先手を打つ計画を策定する
• システムの脆弱性を追跡し、解消する
• IRTのメンバーは、最適なインシデント対応ポリシーと実務の導入に注力する
• インシデントを分類し、対応方法を決定する
• IRTのメンバーは、顧客との明確な連絡体制を確立し、インシデントを分類します。また、専門家が将来のサイバーインシデントに備えられるよう、最新の研修プログラムを作成します。

インシデント対応チームの体制と役割

Zendutyによると、IRTには「各人の役割と責任を明確に定めた組織体制が必要」です。Zendutyは、IRT内の主な役割を4つ挙げています。

事前に設定された監視ツールを用いて、チームはネットワークの異常を特定します。サイバーセキュリティ専門家が問題を検知すると、その情報を技術リーダーに伝え、問題を排除または封じ込め、必要に応じて組織全体に警告を発します。
• インシデントマネージャーは、実質的にIRTの管理者です。チームをまとめる中心的な存在として、インシデント対応の調整、チーム内での情報共有、リソースの配分を担当します。また、インシデント対応計画が適切に実行されていることを確認し、必要に応じて計画からの変更を指示します。
• コミュニケーション責任者はIRTの広報担当です。IRTとさまざまな関係者との連絡を担います。インシデントに関する情報を適時に伝え、組織外の関係者を含むさまざまな人からの質問に答えます。
• 技術責任者 は実務の細部まで踏み込みます。インシデントの根本原因を特定し、封じ込め策を実行するIT担当者やチームです。通常、インシデントを分析して発生原因を究明するフォレンジック専門家が含まれます。また、ネットワークを保護し、異常を監視するセキュリティアナリストが加わる場合もあります。監視ソフトウェアを選定し、侵入テストを実施して、ネットワークを保護する最善の方法を見極めます。
• 法務顧問は、IRTの対応がもたらす法的影響について専門的な助言を行います。IRTは機密性の高い顧客データを扱うため、多くの規制を遵守しなければなりません。法務顧問は、IRTがこれらの規制を遵守していることを確認します。

インシデント対応チームはどう機能するのか？

封じ込めはインシデントの悪化を防ぎ、脅威を隔離します。根絶フェーズでは影響を受けたシステムから脅威を除去することに重点を置きます。

1. 準備

4. 復旧と事後活動

この段階では、ネットワークの脆弱性を評価します。チームは、システムに対するさまざまな脅威への対応計画を立て、チーム内および関係者との連絡方針を策定する必要があります。

復旧はインシデント後のデータ復旧、損失最小化、証拠収集に焦点を当てます。また、組織の災害復旧能力の演習も含まれます。事後活動には、事業継続計画の更新や、関係者との会議を開催して教訓を報告・議論することが含まれます。

また、この段階でIRTは監視ソフトウェアを導入し、データプライバシー法の遵守を確認します。

インシデント対応チーム（IRT）の構築方法とは？

2. 検出と特定

IRTの構築方法は一律ではありません。組織ごとに独自のニーズを評価し、チーム編成時のリソース配分を決定する必要があります。外部契約業者に一部の責任を委託する場合もあれば、完全に社内チームを構築する場合もあります。とはいえ、すべてのIRTに共通する中核的な概念が存在します。

事前に導入した監視ツールを使用して、チームはネットワークの異常を特定します。サイバーセキュリティの専門家が問題を検出したら、技術責任者に情報を伝え、問題を排除または封じ込め、必要に応じて組織全体に通知します。

3. 封じ込めと根絶

機器

封じ込めによってインシデントの悪化を防ぎ、脅威を隔離します。根絶の段階では、影響を受けたシステムから脅威を除去します。SIEM）、侵入防止システム（IPS）、侵入検知システム（IDS）などの監視ツールに投資する必要があります。

監視ツールを自社開発する組織もあれば、サードパーティ製ツールを利用する組織もあります。自社開発ツールは侵入されにくい反面、サードパーティ製ツールは導入時間が短く、導入コストが低く、トラブルシューティングのための専任カスタマーサポートが提供されます。ツール選定時には、チームの推奨事項と予算制約を考慮してください。

4. 復旧とインシデント後の対応

トレーニング

復旧では、インシデント後のデータ回復、損失の最小化、証拠の収集に注力します。組織の災害復旧能力を実際に使うことも含まれます。インシデント後の対応には、事業継続計画の更新や、得られた教訓を報告・議論するための関係者との会議が含まれます。

インシデント対応チームのメリット

インシデント対応チームの構築方法

IRTはネットワークへの脅威を迅速に特定・封じ込め・除去します。また脆弱性テストを実施し、組織が攻撃されやすい経路を把握します。これにより企業が直面するインシデント数を最小化し、被害を軽減します。マルウェアの即時封じ込めやフィッシング被害の迅速な通知により、影響を受ける人数を減らし、データ損失を最小限に抑えます。IRTは非ITスタッフに対してもサイバーセキュリティ意識を醸成すべきです。これにより組織の評判向上につながります。

すべてのIRTが同じ形で構築されるわけではありません。組織ごとに固有のニーズを評価し、チーム構築時のリソース配分を決める必要があります。責任の一部を外部の委託先に任せる場合もあれば、チーム全体を社内で構築する場合もあります。ただし、どのIRTにも共通する基本的な考え方があります。

チーム

すべてのIRTには、確かな技術チームが必要です。技術チームはIRT全体を支える中核であり、サイバーセキュリティの専門知識を持つ人材で構成する必要があります。インシデントマネージャーが技術チームの一員を兼ねる場合もあります。小規模な組織では、インシデントマネージャーを兼ねる1人だけで技術チームを構成することもあります。また、インシデント対応チームが、セキュリティ担当者とフォレンジックアナリストを兼ねる少人数のメンバーで構成される場合もあります。フォレンジックアナリストは外部の契約担当者である場合もあります。

インシデント対応チームメンバーのためのヒント

インシデント対応チームメンバー全員に向けた優れたヒントを以下に示します：ツール

優れたインシデント対応チームとなる第一歩は、脅威に可能な限り迅速に対応することです。侵入中であっても脅威を遮断することは可能ですが、そこで止めてしまっては不十分です。脅威の根本原因を特定し、それらの脆弱性を解決することが重要です。そうしなければ、さらなるセキュリティ上の隙間が生じます。また、これらの隙間が時間の経過とともに新たな脅威を生み出す可能性もあります。

攻撃の根本原因を完全に理解するためには、初期の症状だけにとどまらず、その背後にある要因を探ることが重要です。その好例が、ソフォスのMDRチームが対応した事例です。彼らはランサムウェアの可能性を検知しましたが、その証拠は見つかりませんでした。調査を続けた結果、過去の銀行トロイの木馬を発見したのです。侵害された管理者アカウントの特定、複数の悪意あるファイルの削除、攻撃者のコマンドおよびC2コマンドアンドコントロール通信の遮断も重要です。

脅威検知の完全な可視性は不可欠です。クラウド環境への可視性が限定的だと、重大な攻撃を見逃すこと必至です。ハイブリッドクラウド環境を扱う場合、多様なソースから適切な品質のデータを収集し、最適なツール・戦術・手順を活用することが求められます。また、組織内のノイズやアラート疲労を軽減する必要があります。脅威インテリジェンスは重要ですが、誤った種類の脅威インテリジェンスは望ましくないため、コンテキストを適用することが重要です。

攻撃シグナルの発生源、攻撃の現在の段階、関連イベント、ビジネスへの潜在的な影響と将来的な影響を特定する必要があります。インシデントの調査と対応を行う熟練リソースが不足している場合、外部リソースを雇用できます。

セキュリティ運用を外部委託できるMDRサービスは数多く存在し、これらは通常セキュリティ専門家チームによって提供されます。脅威ハンティング、リアルタイム監視、インシデント対応、人間主導の調査などが含まれます。セキュリティ自動化と人間の洞察を組み合わせることで、インシデント対応チームとして最高の結果を得られます。

さらに、適切なツールへの投資も必要です。チームの意見を踏まえ、セキュリティ情報およびイベント管理（SIEM）システム、侵入防止システム（IPSs）、侵入検知システム（IDSs）などの監視ツールに投資してください。

監視ツールを一から構築する組織もあれば、サードパーティ製のツールを使用する組織もあります。独自に構築したツールは侵害されにくい場合があります。一方、サードパーティ製ツールは導入が早く、調達コストも低く、問題解決のための専任カスタマーサポートも受けられます。ツールを選ぶ際は、チームの推奨事項と予算上の制約を考慮してください。

トレーニング

コンピュータ緊急対応チーム（CERT）

セキュリティオペレーションセンター（SOC）

セキュリティアナリスト

新しいIT技術者に、組織内の手順を習得してもらう必要が生じることがあります。特に、社内で開発したツールを使用している場合は重要です。インシデント管理者や技術責任者がIRTの新メンバーの採用と研修を担当し、コミュニケーション責任者（小規模な組織ではインシデント管理者が兼任する場合もあります）がチーム内で情報を共有するための連絡系統を確立します。これには、チームでSlackなどのメッセージングソフトウェアを使用することも含まれます。

インシデント対応チームのメリット

適切なインシデント対応チームは、データ侵害や規制上の処分、法的な罰金から企業を守ります。SentinelOneエキスパートによるデモを今すぐ予約。

IRTはネットワークへの脅威を迅速に特定し、封じ込め、排除します。また、脆弱性を検証し、組織が攻撃を受ける可能性の高い経路を把握します。これにより、企業で発生するインシデントの件数と、その被害を抑えます。マルウェアを迅速に封じ込めたり、フィッシング事案を従業員に知らせたりすることで、被害を受ける人を減らし、データ損失を最小限に抑えます。IRTはIT部門以外の従業員にもサイバーセキュリティ意識を浸透させるべきです。それが組織の評判向上にもつながります。

インシデント対応チームは、業界規制の遵守も徹底します。サイバーセキュリティやデータプライバシーに関する規制に違反すると、企業は罰金や訴訟の対象になり得るため、これは重要です。適切なインシデント対応チームは法務担当者と連携し、規制遵守を徹底してこうした問題を回避します。

インシデント対応チームは、組織のサイバーセキュリティに対する認識を高める最前線にも立ちます。インシデント、特に適切に対処した事例をステークホルダーに透明性を持って伝えることで、組織への信頼が高まり、顧客維持率の向上につながります。

インシデント対応チームのメンバー向けヒント

インシデント対応チームの全メンバーに役立つヒントを紹介します。

• 優れたインシデント対応チームの第一歩は、脅威にできる限り迅速に対応することです。侵入の進行中でも脅威を阻止できますが、そこで対応を終えてはいけません。脅威の根本原因を特定し、原因となった脆弱性を解消することが重要です。放置すれば新たなセキュリティ上の隙が生まれ、後に別の脅威につながる可能性もあります。
• 攻撃の根本原因を完全に把握するには、最初の兆候だけで判断しないことが重要です。例えば、Sophos MDRチームはランサムウェアの疑いに対応しましたが、その証拠は見つかりませんでした。調査を続けた結果、過去に侵入したバンキング型トロイの木馬を発見しました。侵害された管理者アカウントの特定、複数の悪意あるファイルの削除、攻撃者のコマンドやC2（コマンド＆コントロール）通信の遮断も重要です。
• 脅威検知の状況を完全に把握することが重要です。クラウド環境の可視性が限られていると、重大な攻撃を見逃すことになります。ハイブリッドクラウド環境では、多様なソースから適切な品質のデータを収集し、最適なツール、戦術、手順を活用する必要があります。また、組織内のノイズを減らし、アラート疲れを軽減することも欠かせません。脅威インテリジェンスは重要ですが、適切でない情報は判断を妨げます。だからこそ、コンテキストを踏まえることが重要です。
• 攻撃の兆候がどこから発生したか、攻撃が現在どの段階にあるか、関連するイベント、事業への潜在的な影響と今後の波及を特定する必要があります。チームにインシデントの調査・対応を担う専門人材が不足している場合は、外部の人材を採用できます。
• セキュリティ運用を委託できるMDRサービスは数多くあり、通常はセキュリティ専門家のチームが提供します。サービスには、脅威ハンティング、リアルタイム監視、インシデント対応、人間主導の調査が含まれます。セキュリティの自動化と人間のインサイトを組み合わせることで、インシデント対応チームは最良の成果を得られます。

インシデント対応チームの例

一般的なインシデント対応チームの例は次のとおりです。

• コンピューター緊急対応チーム（CERT）
• セキュリティオペレーションセンター（SOC）
• セキュリティアナリスト

データの復元・復旧、文書の作成、システムやネットワークの侵害後に残る攻撃者の排除を専門とする担当者もいます。

インシデント対応チーム：組織を守るサイバーセキュリティの担い手

インシデント対応チームは、組織にとって欠かせない存在です。さまざまなツールを使ってネットワークアーキテクチャを評価・監視・保護し、日々巧妙化する攻撃者がデータにアクセスするのを防ぎます。その仕事は重要かつ複雑です。チームを編成する際は、ツールを独自に構築するか、SentinelOneのようなサードパーティ製の監視ツールを使用するかも検討する必要があります。 今すぐSentinelOneのエキスパートによるデモを予約する。