レッスン7：インシデント対応と脆弱性管理

このレッスンで学ぶこと

一次受付としての情シスの役割を語れる
トリアージの 3 判断（緊急度・影響範囲・対応可能性）を実務で使える
CSIRT へのエスカレーション基準を組める
パッチ配信運用（Windows Update for Business／WSUS）の要点を挙げられる
脆弱性情報の追跡（JPCERT/CC・IPA）の定型サイクルを持ち帰れる

前レッスンではヘルプデスクと ITSM／ITIL 運用を扱いました。本レッスンでは、日常業務からセキュリティ・インシデントに軸を移し、「一次受付としての情シス」の役割に絞って扱います。CSIRT/SOC のインシデント対応体系そのものは既刊の IT 基礎系入門コースが扱うため、本コースは「情シス担当者が最初にどう動くか」に振り切ります。

一次受付としての情シスの役割

セキュリティ・インシデントは、社内で最初に情シスに情報が集まります。従業員から「怪しいメールが来た」「PC の動きがおかしい」といった連絡が来たとき、その第一報を受け止めるのが情シスの役割です。

情シスと CSIRT の役割分担

情シス：一次受付、初期トリアージ、CSIRT へのエスカレーション、業務影響の緩和
CSIRT（Computer Security Incident Response Team）：詳細分析、フォレンジック、対策決定、経営層への報告

中堅企業では、情シス担当者が CSIRT を兼務することも多くあります。ただし役割としては別物で、「一次受付・エスカレーション」と「詳細対応」を分けて考えることが重要です。CSIRT の設計・運用の詳細は既刊 IT 基礎系入門コースを参照してください。

トリアージの 3 判断

トリアージ（Triage）は、限られた時間で「何を優先するか」を判断することです。医療現場に由来する言葉で、セキュリティ・インシデント対応でも使われます。3 軸で判断します。

軸 1：緊急度

即時対応：現在進行中の攻撃、データ流出中、システム改ざん中
数時間以内：疑わしいアクセスがあった、マルウェア検出、フィッシングメール受信
数日以内：情報漏洩の可能性の疑い、パスワード漏洩情報の入手

軸 2：影響範囲

全社：メールサーバー、認証基盤、Wi-Fi、業務基幹システム
部署：特定部署の SaaS、部門サーバー
個人：個人 PC の異常、個人アカウントの疑わしい活動

軸 3：対応可能性

情シスで対応可能：既知の対応手順があり、必要な権限がある
CSIRT/SOC 支援必要：フォレンジック分析、複雑な切り分けが必要
外部ベンダー支援必要：SaaS ベンダー、セキュリティ専門ベンダーの介入が必要

3 軸を組み合わせて、対応の優先順位を決めます。

flowchart TB
  A[インシデント一次受付] --> B{緊急度}
  B -->|即時| C[即時対応開始]
  B -->|数時間以内| D[担当者アサイン、状況把握]
  B -->|数日以内| E[通常チケット扱い]
  C --> F{影響範囲・対応可能性}
  F -->|全社かつ複雑| G[CSIRT エスカレーション]
  F -->|情シス対応可能| H[情シスで完結]

CSIRT へのエスカレーション基準

情シスから CSIRT へエスカレーションすべきケースの基準を、事前に決めておきます。基準がないと「これは自分で対応すべきか、上げるべきか」の判断に迷い、対応が遅れます。

必ずエスカレーションするケース

個人情報の漏洩の疑い（改正個人情報保護法の報告義務対象）
ランサムウェア感染の疑い
業務データの外部持ち出しの疑い
攻撃が現在進行中（アクティブな不正アクセス）
経営情報・機密情報が関わる

エスカレーション時の情報整理

発生日時、発見日時、報告者
現象の詳細（スクリーンショット・ログ）
影響範囲（誰・どのシステム・どの期間）
現時点で取った対応

これらを事前に整理してから CSIRT に上げると、対応速度が大きく上がります。

パッチ配信運用

脆弱性対応の中核はパッチ配信です。Windows 環境と macOS 環境で運用が異なります。

Windows 環境：Windows Update for Business

Windows 10／11 では、Microsoft の Windows Update for Business を使うのが標準です。以下の運用を組みます。

配信リング設計：情シス担当者は最速、次に一部部署でテスト、最後に全社
配信遅延設定：品質更新（月次のセキュリティパッチ）は数日、機能更新（年 1〜2 回の大規模更新）は 30〜60 日遅延
強制再起動の時間帯設定：業務時間外に自動再起動

Windows Update for Business は Intune と連携させることで、MDM から配信ポリシーを一元管理できます。旧世代の WSUS（Windows Server Update Services）はオンプレの Windows Server で自社運用する方式で、現在は Windows Update for Business への移行が進んでいます。

macOS 環境：MDM 経由の配信管理

macOS のセキュリティアップデートは Apple から直接配信されますが、企業では MDM（Intune／Jamf／Kandji）経由で配信タイミングを制御します。

重要度の高いセキュリティアップデートは数日以内に配信
メジャー OS アップデート（macOS 15 → 16 など）は業務アプリの互換性検証後に配信

業務アプリのパッチ

SaaS：ベンダー側でパッチ配信、情シスは影響通知の追跡のみ
業務パッケージソフト：ベンダー通知を購読、社内配信のスケジュール調整

脆弱性情報の追跡

新たな脆弱性が発見されたときに、自社への影響を判断するために情報源を購読しておきます。

主な情報源

JPCERT/CC 早期警戒情報：日本の CSIRT 統括組織、1996 年発足
IPA「情報セキュリティ 10 大脅威」：年次発表、社内啓発に有用
JVN（Japan Vulnerability Notes）：JPCERT/CC と IPA が共同運営する脆弱性情報 DB
NVD（National Vulnerability Database）：米国 NIST の脆弱性 DB
各ベンダーの Security Advisories：Microsoft、Adobe、Apple、Google、Oracle 等

定型サイクル

日次：新規発表のヘッドライン確認（10 分以内）
週次：自社利用のソフト・SaaS への影響評価
月次：脆弱性対応状況のレポート化、情シスマネジャーへ報告

影響評価の 3 質問

新たな脆弱性が発表されたとき、次の 3 つを確認します。

自社で該当ソフトを使っているか
攻撃の緊急度は？（CVSS スコア、実際の攻撃事例の有無）
パッチが提供されているか、代替策があるか

3 つの答え次第で、緊急パッチ配信・通常サイクル配信・情シス内での監視のいずれを選ぶかが決まります。

中核メッセージ 6 個の再掲

本コース全体を通じて、6 個のメッセージを繰り返します。

情シスは「守る・選ぶ・運用する」の 3 役割——役割ごとに時間を配分する
アカウント運用が情シスの生命線——入社と退社の 2 点で 8 割が決まる
SaaS は買った瞬間ではなく解約時に苦しむ——契約時に出口を設計する
ヘルプデスクは「早く直す」より「二度と起こさない」——ナレッジ化が本業
インシデントは一次受付・トリアージ・エスカレーションの 3 手で対応する
IT 予算は「守り・攻め・維持」の 3 分類で経営に説明する

このレッスンで扱うのはメッセージ 5「インシデントは一次受付・トリアージ・エスカレーションの 3 手で対応する」です。CSIRT/SOC の詳細対応論は既刊 IT 基礎系入門に譲り、情シス担当者が「最初の 3 手」を確実に打てるようにすることが本コースの狙いです。

次のレッスンで扱うこと

次のレッスン 8 では、情シスの経営との接続点である IT 予算・投資判断・ベンダー管理・修了後の学び方を扱います。IT 予算 3 分類（守り・攻め・維持）、投資判断の 4 軸、ベンダー評価の年次サイクル、契約更新交渉、IT 資産管理、修了後の情報源とコミュニティまで整理し、本コースの締めとします。

確認クイズ

このレッスンで学んだ内容を確認しましょう。