インシデント対応計画（IRP）
インシデント対応計画とは？
インシデント対応計画（Incident Response Plan、IRP）とは、組織がサイバーセキュリティインシデントを 検知し、対応し、復旧する際に従うべき手順、責任、プロセスを定めた、体系化された文書です。
IRP の必須構成要素
1. ポリシーと目的
- 計画のスコープと目的の定義
- 重大度によるインシデントの分類
- 経営層によるコミットメントの表明
- 適用されるフレームワークおよび規制（NIST、ISO 27035、LGPD）
2. チーム体制（CSIRT）
- Incident Response Manager：対応全体を統括する
- Security Analysts：技術的分析およびフォレンジック
- IT Operations：システムの封じ込めと復旧
- Communications Lead：ステークホルダーおよびメディア
- Legal/Compliance：法務・規制に関する事項
3. プロセスのフェーズ
- 準備：トレーニング、ツール、手順
- 検知と分析：特定と分類
- 封じ込め：インシデントの影響の限定
- 根絶：根本原因の除去
- 復旧：システムおよびサービスの復元
- 教訓の活用：ポストモーテムと継続的改善
対応プレイブック
さまざまな種類のインシデントに対応する専用のプレイブック：
- ランサムウェアとマルウェア
- フィッシングとソーシャルエンジニアリング
- データ漏えい（LGPD）
- DDoS 攻撃
- 認証情報の侵害
- 内部脅威（Insider threats）
- 重大な脆弱性（ゼロデイ）
ツールとテクノロジー
- SIEM：Splunk、IBM QRadar、Microsoft Sentinel
- EDR/XDR：CrowdStrike、SentinelOne、Microsoft Defender
- Ticketing：ServiceNow、Jira、TheHive
- コミュニケーション：Slack、Microsoft Teams（専用チャネル）
- Forensics：Autopsy、EnCase、FTK、Volatility
- Threat Intelligence：MISP、ThreatConnect、Recorded Future
コミュニケーションとエスカレーション
いつ、どのように通知するかを定めたコミュニケーションマトリクス：
- 社内：経営層（C-Level）、従業員、影響を受けた部門
- 社外：顧客、パートナー、サプライヤー
- 規制当局：ANPD、CVM、BACEN（該当する場合）
- メディア：広報部門
- 当局：連邦警察、CERT.br
指標と KPI
- MTTD（Mean Time to Detect）：検知までの平均時間
- MTTR（Mean Time to Respond）：対応までの平均時間
- MTTC（Mean Time to Contain）：封じ込めまでの平均時間
- MTTR（Mean Time to Recover）：復旧までの平均時間
- カテゴリおよび重大度別のインシデント件数
- 財務面および業務面への影響
LGPD への準拠
IRP は、一般データ保護法（LGPD）の要件に整合している必要があります：
- 2 営業日以内の ANPD への通知（重要なインシデント）
- 影響を受けたデータ主体への通知
- インシデントおよび講じた対策の詳細な文書化
- データ保護影響評価報告書（RIPD）
テストとシミュレーション
IRP は、以下の方法で定期的にテストする必要があります：
- Tabletop Exercises：シナリオに関する机上での議論
- Walk-throughs：手順のステップごとのレビュー
- シミュレーション：管理された環境での実践的な演習
- Red Team/Purple Team：実際の対応を伴う侵入テスト
最終的な推奨事項
- [OK] IRP の四半期ごとの見直しと更新
- [OK] 対応チームの継続的なトレーニング
- [OK] ランブックを最新かつアクセス可能な状態に保つ
- [OK] 軽微なものも含め、すべてのインシデントを文書化する
- [OK] 必要になる前に当局との関係を構築しておく
- [OK] 24時間365日の緊急連絡先を常に利用可能にしておく
- [OK] オフラインでテスト済みのバックアップを保持する
- [OK] IRP を BCP および DRP の各計画と統合する