情報セキュリティマネジメント 2018年 春期 午前（科目A） 問05

事象とインシデントの関係【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. キーワードの定義を確認する。まず「事象＝event」「インシデント＝incident」の意味を押さえる。
2. 各選択肢の語調をチェックする。「同じ」「無関係」「全て」など絶対的な表現は注意。
3. 定義に照らして当てはめる。事象は観察された出来事であり、影響の有無や必要な対応でインシデントに「分類され得る」点を探す。
4. 結果、条件付き（状況次第でなる）を表す選択肢が適合するので、ウを選ぶ。

選択肢別の誤答解説

• ア: 「事象とインシデントは同じものである」
  誤りです。事象は広い概念で、影響がなければ単なる観察記録にとどまります。インシデントは対応や被害が問題となる事象です。よって同一とは言えません。
• イ: 「事象はインシデントと無関係である」
  誤りです。多くのインシデントはまず事象として観察されます。関係が全くないわけではなく、事象がある条件を満たせばインシデントになります。
• ウ: 「単独又は一連の事象は、インシデントに分類され得る」
  正答です。単発の事象でも被害や対応が必要であればインシデントとされますし、複数の事象が連続して一つのインシデントと扱われることもあります。
• エ: 「単独又は一連の事象は、全てインシデントである」
  誤りです。影響が小さい単純なイベント（例：正常なログオン）をすべてインシデントとするのは過剰です。実務では影響や対応必要性で区別します。

よくある誤解

• 「事象＝悪いこと」という誤解
  事象には正常な動作（例：定期バックアップ完了の記録）も含まれます。必ずしも悪い出来事ではありません。
• 「小さな事象は報告不要」との誤解
  小さく見えても連鎖すると大きなインシデントになることがあります。しきい値を設け、記録や評価は行うべきです。

補足コラム

• 従業員が何か「おかしい」と気づいたら、それはまず「事象」として報告します。
• 情報システム担当やCSIRT（シーサート：Computer Security Incident Response Team、コンピュータセキュリティ事故対応チーム）が評価し、被害や業務影響があるか、外部への通報が必要かなどを判断します。
• 判断基準（例：機密情報の漏えい、業務停止、法律上の通報義務）に当てはまれば「インシデント」として正式に扱い、対応手順を開始します。
  このように現場では、「観察→評価→分類→対応」という流れが実務の基本です。

• 事象（event）：観察された出来事。良い出来事も悪い出来事も含む。
• インシデント（incident）：被害や対応が必要な事象。
• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）：組織が情報セキュリティを管理する仕組み。

• 事象だがインシデントにならない例：社員が夜間にシステムにログインした記録（予定された作業）
• インシデントとなる例：社員の資格情報が漏えいして、不正アクセスが行われたログが確認された場合（対応と調査が必要）

FAQ