J セキュリティ基礎
インシデント対応の初動｜記録の保全と調査
情報漏洩や不正が発覚したとき、最初の数時間の動きが結果を大きく左右します。監視の記録は、その初動で最も役立つ材料です。手順を整理します。
初動の流れ
| 段階 | 行うこと |
|---|---|
| 把握 | 事実の確認、関係者の特定 |
| 保全 | 記録の保存、端末の隔離 |
| 調査 | 経路と範囲の特定 |
| 判断 | 報告の要否、本人への連絡 |
| 再発防止 | 原因の除去、ルールの見直し |
把握より先に、記録の保全を行う場合もあります。端末を初期化すると、記録も失われます。
記録の保全で注意すること
調査の対象になる端末は、操作を続けると記録が上書きされます。必要な範囲を抽出し、別の場所に保存します。誰が、いつ、どの範囲を保全したかを記録します。この記録自体が、後の説明を支えます。
調査の進め方
時間の範囲を決めて、記録を抽出します。関係するファイル、送信先、外部媒体の利用。事実を時系列に並べ、関係者への聞き取りで補います。記録だけで結論を出さず、聞き取りと組み合わせます。
調査の考え方はハラスメント 調査 記録も参考になります。
報告と説明
法令上の報告義務がある場合は、期限を確認します。個人情報の漏洩は、報告や本人への通知が必要になる場合があります。監視の記録は、報告の内容を裏付ける材料になります。報告の判断は、法務の確認を経て行います。
よくある質問
Q. 記録はどこまで保存すればよいですか。
A. 調査に必要な範囲を保全し、終了後は保存期間のルールに従います。不要になった記録は、期限を過ぎたら削除します。
Q. 従業員に調査の事実を伝えるべきですか。
A. 調査の対象者には、事実と手続きを伝えます。全社への共有は、必要性と影響を考慮して判断します。
確認チェックリスト
- 初動の担当者と、連絡経路を決めている
- 記録を保全する手順と、保全した記録を残している
- 関係者への聞き取りの進め方を、決めている
- 法令上の報告義務と期限を、確認している
- 調査の終了後に、記録をどう扱うか決めている
- 再発防止の策定までを、計画に入れている
まとめ
インシデント対応は、把握・保全・調査・判断・再発防止の順に進めます。記録は早い段階で保全し、誰が何を保全したかを残すことが、後の説明を支えます。対応の記録は、事後の振り返りに使います。うまくいかなかった点を次に活かす仕組みがあると、対応力が上がります。
iMonitor でできること
本記事の内容を踏まえて、機能と導入条件を確認したい方は次のページをご覧ください。