情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問42

インシデントの範囲判断【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「インシデント」の定義を確認する：機密性・完全性・可用性のいずれかに影響する事象を指す。
2. 事象を分類する：出来事そのもの（障害・異常）か、その原因か、または検知・対応行為かを見分ける。
3. 選択肢を照らし合わせる：出来事そのものが含まれる選択肢を選ぶ。
4. 業務影響の有無を確認する：サービス停止や業務不能があればインシデントと判断しやすい。

選択肢別の誤答解説

• ア: 異常終了の検知
  検知（運用担当者が異常を見つけて連絡した行為）はインシデントの発見手段・運用プロセスです。検知自体は出来事ではなく、その結果に対する行為なのでインシデントそのものではありません。
• イ: プログラムの誤り
  プログラムの誤り（バグ）はインシデントの「原因（根本原因）」です。原因自体は将来の発生源になり得ますが、インシデントと呼ぶときは通常「実際に影響が出た事象」を指します。よって単に誤りが存在することは今回の設問で求められる「インシデント」ではありません。
• ウ: プログラムの異常終了
  これは実際に発生した出来事で、システムの可用性を低下させています。注文書が出力されないという業務影響が生じているため、インシデントに該当します。したがって本問の正解は ウ です。
• エ: 保守担当者の緊急出社
  緊急出社は対応行為・人的アクションです。インシデント対応の一部として評価・復旧を行う行為であり、インシデントそのものではありません。

よくある誤解

1. 「原因＝インシデント」と誤解する
   原因（バグや脆弱性）は問題の元ですが、インシデントは実際に影響が発生した出来事を指します。原因は「なぜ起きたか」を説明する対象です。
2. 「検知や対応もインシデント」と考える
   検知・通報・復旧活動はインシデント対応です。インシデントそのものは、まず「何が起きたか（例：異常終了で出力停止）」を特定することです。
3. 「セキュリティ以外のトラブルはインシデントに含めない」と思う
   情報セキュリティのインシデントは必ずしも不正アクセスだけではありません。システム障害や操作ミスによる可用性低下も対象になります。

補足コラム

• インシデントと障害（障害＝サービスや機器の故障で業務に影響が出る事象）は重なることが多いですが、用語の使い分けに注意してください。情報セキュリティの場では「インシデント」はセキュリティの観点（機密性・完全性・可用性）で影響を評価します。
• 実務では、今回のような夜間バッチの異常は「インシデント登録（チケット化）→緊急対応→復旧→原因分析（RCA：Root Cause Analysis）→恒久対策」までワンセットで運用します。ログ保存や関係者への報告が重要です。

FAQ