インシデント対応計画とは
インシデント対応計画とは、組織がサイバーセキュリティインシデントをどのように検知、封じ込め、根絶し、復旧するかを定めた、文書化された体系的なアプローチです。
このような計画がなければ、セキュリティチームは受動的に対応し、攻撃者が進行する中で場当たり的な判断を下すことになります。文書化された計画により、事前に定義された役割、コミュニケーション経路、技術的手順が確立され、場当たり的な対応を、計画に基づく組織的な対応へと変えることができます。
多くの組織は、基礎的なIRモデルとしてNIST SP 800-61フレームワークを採用しています。
インシデント対応計画は組織全体を対象とする包括的な文書であり、インシデント対応プレイブックは特定のインシデントタイプに対する戦術的なステップバイステップの手順です。両者は相互補完的であり、いずれも不可欠です。
An Actionable Incident Response Plan Template
A quickstart guide to creating a powerful incident response plan - designed specifically for organizations with cloud-based deployments.
インシデント対応計画のメリット
より迅速で組織的な対応：明確な役割定義とエスカレーション経路により、アクティブなインシデント発生時に次のステップを検討することなく、チームが即座に行動できます。
影響とリカバリ時間の短縮：標準化された特定、封じ込め、解決手順により、影響範囲（blast radius）を限定し、システムの復旧を加速します。
インシデント対応の一貫性：統一された手順により、重大度や担当者の可用性に関わらず、同等の対応品質が確保されます。
コミュニケーションと説明責任の向上：確立されたガイダンスにより、インシデントに関するステークホルダーへの通知の遅延や矛盾を防止します。
対応準備態勢とコンプライアンス態勢の強化：文書化された計画は規制要件を満たすとともに、定期的なテストにより組織の準備態勢を強化します。
インシデント対応計画の策定方法（セクション別）
１．序論と基盤
この基盤セクションでは、計画の目的、組織のセキュリティポリシーとの整合性、および特定の技術的プレイブックとの関係を確立します。対象読者には、IR管理者、法務チーム、広報スタッフ、SecOps担当者、BCDR調整者が含まれます。
このセクションでは、特定のセキュリティイベントのリスクに基づいて優先順位をつけた、プレイブック作成およびメンテナンスの責任者を割り当てる必要があります。また、インシデント発生時の組織と組織とクラウドサービスプロバイダー（CSP）の責任分担を明確にする責任共有モデル（Shared Responsibility Model）を組み込む必要があります。
２．技術対応：準備と検知
このコンポーネントでは、ワークロードのモニタリング、コントロールプレーンのログ分析、侵害されたVM、コンテナ、サーバーレス関数、オブジェクトストアの迅速な封じ込め手順を含む準備活動を概説します。
計画では、ワークロードの終了前の情報損失を防ぐため、一時的なクラウドリソースの特性を考慮したフォレンジックデータの取得を義務付ける必要があります。
このセクションでは、ワークロードのテレメトリ、CSP活動、サードパーティの脅威インテリジェンス、サプライチェーンフィードバックにわたる多様な検知ソースを文書化します。コンピュート、ID（ITDR）、ネットワーク（VPCフローログ）、データシステム（DSPM/DDR）全体にわたる深層検知が必要です。
クラウドレイヤー別検知ソース：
| クラウドレイヤー | 検知ソース |
|---|---|
| コンピュート | ランタイムセンサー、EDR（該当する場合） |
| ID | IdPログ（Okta、Entra ID）、CloudTrailアクティビティログ、CloudTrail監査ログ |
| ネットワーク | フローログ、DNSログ、ファイアウォールログ |
| コントロールプレーン | クラウドサービスプロバイダー（CSP）のAPI操作ログ、設定変更ログ |
| データ | データ検知・対応アラート、S3アクセスログ |
準備段階では、検知範囲（カバレッジ）の検証を行う必要があります。組織は、現在収集しているテレメトリを用いて「何が起きたのか、何が影響を受けているのか、攻撃者が次に到達できる範囲はどこか」という問いに答えられることを実証するべきです。
既存のログ収集に基づいてMITRE ATT&CKのカバレッジを検証することで、インシデント発生前に検知ギャップを特定できます。PROSはその好例です。ツールの統合により「SOCアナリストは、どのような情報がリアルタイムでログに記録されているかを正確に確認でき、数か月の分析ではなく数分で潜在的なギャップを発見できるようになりました」。
３．調査・分類・エスカレーション（報告・引き継ぎ）
このセクションでは、IaC（Infrastructure as Code）ファイル、ストレージロケーション、クラウドIDに対する体系的な分析アプローチを確立します。
2段階の分類フレームワークを採用します。Tier 1では重大度とビジネスへの影響に基づいて優先順位を決定し、Tier 2では事後のカテゴリ分類やトレンド分析を行います。
エスカレーションプロトコルでは、重大度、影響を受けるシステム、必要な技術的専門知識に基づいて、ケースを適切な担当チームへ振り分けます。計画では、インシデントの全体像を把握するため、影響範囲（Blast Radius）やラテラルムーブメント（横展開）の可能性を可視化する必要があります。
重大度レベルの例：
| 重大度 | 説明 | エスカレーションタイムライン |
|---|---|---|
| P1（クリティカル） | 重要なビジネス機能の停止またはアクティブなデータ侵害 | CISOおよび法務へ即時通知 |
| P2（高） | ユーザーおよびシステムへの重大な影響、封じ込め可能 | 1時間以内にマネジメントへ通知 |
| P3（中） | 限定的な問題、データ損失は未確認 | 4時間以内にリードへ通知 |
| P4（低） | 軽微な異常またはポリシー警告 | 週次運用ミーティングでレビュー |
４．封じ込めと根絶の戦略
このセクションでは、DoS攻撃に対するIPアドレスフィルタリングや、クラウドworkloadsを分離するネットワークポリシーの変更（security groups、ファイアウォールルール）などの手法を通じた影響の限定について指示します。
計画では、短期的な封じ込め（直接的な被害の阻止）と長期的な修復（根本原因への対処）を区別し、複雑なタスクシーケンスの管理にセキュリティオーケストレーション自動化レスポンス（SOAR）を活用する必要があります。
根絶のオプションとして、IaCテンプレートの更新、パッチ適用、認証情報のローテーション、感染前の状態へのファイル復元が挙げられます。本番環境のクリーンアップだけでなく、ソースコードやIaCまで問題をトレースすることで再発を防止します。
一般的な封じ込めアクション：
ワークロードの分離：侵害されたVMまたはコンテナをネットワークから切断します。
認証情報の失効：キーのローテーションまたは侵害されたIAMユーザーの無効化を行います。
ネットワークセグメンテーション：特定のIPトラフィックをブロックするセキュリティグループを適用します。
プロセスの終了：ランタイムセンサーによって特定された悪意のあるプロセスを終了します。
５．コミュニケーション、法務、事業継続・災害復旧（BCDR）
このセクションでは、クラウドサービスプロバイダー（CSP）、サプライチェーンパートナー、一般に通知するためのコミュニケーションプロトコルを定義し、法務および技術リーダーシップがすべてのメッセージを精査することを確保します。
コンプライアンスマトリックスにより、法務チームは各地域のプライバシー法および厳格な規制報告タイムライン（GDPR/DPAの72時間、FISMA要件）に対応できます。
インシデント対応計画は、事業継続計画（BCP）および災害復旧（DR）計画と同期し、フェイルオーバーシステムのトリガーとリカバリ優先順位（RTO/RPO）を定義します。
主要なステークホルダー通知：
社内リーダーシップ：CISO、CIO、CEO（P1インシデントの場合）
法務顧問：責任および規制上の義務に関する助言
影響を受ける顧客：データまたはサービス可用性が影響を受ける場合
規制機関：GDPR、HIPAA、その他の法令で義務付けられる場合
法執行機関：犯罪行為が確認され、訴追を行う場合
６．事後レビューとメンテナンス
このセクションでは、インシデントクローズ後の定められた期間内に、技術的対応、チームパフォーマンス、ビジネスインパクトを評価する事後レビューを義務付けます。
標準化された質問票により、セキュリティツールのギャップ、リカバリのミス、コンプライアンス違反を特定します。
改訂スケジュールは、新しいアプリケーションリリース、インフラストラクチャの移行、組織変更、またはインシデントからの教訓に対応します。計画は「脅威の状況に合わせて継続的に更新される文書」と位置付けられます。
事後レビューの質問：
何がうまくいったか：成功した手順とツールを特定する
何が失敗したか：ボトルネックやコミュニケーションの断絶を特定する
どのような検知ギャップがあったか：不足しているログやシグナルを特定する
どのようなプロセス改善が必要か：それに応じてプレイブックを更新する
Watch Wiz Defend in Action
See how correlated runtime signals, cloud logs, and automated attack timelines help IR teams move from detection to containment in minutes
インシデント対応計画のテンプレート例
汎用的なIRテンプレートは、動的なワークロードではなく静的なインフラストラクチャを前提としているため、クラウド環境では機能しません。従来のテンプレートは、一時的なリソース、APIベースの攻撃、マルチテナントセキュリティリスクなどのクラウド固有の課題を見落としています。
１．Wizのクラウドインシデント対応テンプレート
Wizのクラウド固有テンプレートは、包括的な計画策定と統合されたセキュリティプラットフォーム機能を組み合わせています。スタンドアロンのテンプレートとは異なり、このアプローチは最新の環境に対応する戦略的フレームワークと統合クラウドセキュリティツールの両方を提供します。
このテンプレートには、事前定義された役割、コミュニケーションプロトコル、クラウド規模の運用に対応するワークフローが含まれており、DevSecOpsチームが迅速かつ協力的に行動できるよう支援します。ゼロからクラウドインシデント対応計画を作成する組織や、既存の計画を改善する組織に適しています。
２．米国国立標準技術研究所（NIST）IRプランテンプレート
NISTの『Incident Response Recommendations and Considerations for Cybersecurity Risk Management』は、コンピュータセキュリティのインシデント対応に関する実践的な組織向けガイドラインを提供しています。
３．SANS Incident Handlers Handbook
『SANS Incident Handlers Handbook』は、サイバーセキュリティインシデント管理のための実践ガイドとして機能し、インシデント対応ポリシー、標準、チームを開発するIT専門家やマネージャーに基礎的なガイダンスを提供します。
４．医療・公衆衛生セクター調整協議会のCoordinated Healthcare Incident Response Plan（CHIRP）
このテンプレートは、患者ケアに対するサイバーセキュリティインシデントの独自の運用上の影響に対処し、医療環境に特化した既存の緊急管理、事業継続、ダウンタイム手順を統合しています。
５．カリフォルニア州技術局のインシデント対応計画の例
カリフォルニア州の包括的な17ステップテンプレートは、アクティブなインシデント対応プロセスを通じて組織をガイドします。
６．米国国立衛生研究所（NIH）インシデント報告テンプレート
このテンプレートはNIHの研究所およびセンター向けに設計されており、大規模な連邦組織がインシデント対応計画をどのように構成するかを示しています。NIH外の組織は大幅な適応が必要です。
７．コネチカット大学（UConn）のインシデント対応計画
コネチカット大学は、組織のインシデント対応手順を概説する包括的なインシデント対応計画を公開しています。この計画は、UConnのすべての情報システムおよびネットワークに対するデータセキュリティインシデント対応、範囲の決定、リスク評価、ステークホルダーとのコミュニケーションを扱っています。
Wizのインシデント対応へのアプローチ
Wiz Defendは、クラウド環境向けに構築された検知・対応機能を通じて、インシデント対応計画を運用可能にします。ID、データ、ネットワーク、コンピュートレイヤーにわたるシグナルを統合された攻撃タイムラインと調査グラフに相関させ、手動でのログ集約を削減します。
検知・分析フェーズでは、Wizは行動分析とクラウドネイティブな検知ルールを使用してリアルタイムで脅威を特定します。調査グラフにより影響範囲（Blast Radius）が即座に可視化され、侵害されたワークロードが機密データにアクセスしているか、または特権IAMロールへの権限を悪用してアクセスを拡大できるかどうかを対応者が判断できます。
Wizはコンソールインターフェースからレスポンスアクションとワークフローを提供します。具体的には、ワークロードの分離、ガイド付きステップや統合（インテグレーション）を通じた認証情報のローテーション、S3バケットへのアクセスブロックなどが含まれます。ランタイムセンサーによりプロセスレベルの可視性と封じ込めが可能です。事後分析ではソースコードとIaCテンプレートまで問題をトレースし、開発チームとの統合を通じて根本原因を修正し再発を防止します。
Get a demo of Wiz Defend
Get a demo to see how real-time attack timelines and cross-layer cloud context help your team move from detection to containment faster.
