ITパスポート 2026年 問70

ISMSにおける情報セキュリティインシデントの管理【ITパスポート 解説】

正解の理由

• 情報セキュリティ事象：セキュリティに関わる出来事のこと。例：不審なログイン試行やウイルス検出など。まず「事象」として報告・記録する。
• 情報セキュリティインシデント：事象のうち、実害や将来的に実害が生じ得るもの。事象の評価で「インシデント」に分類される。

解法ステップ

1. 問題文で使われている主語・目的を整理する（ここでは「管理」「報告」「連絡経路」など）。
2. ISMSの基本方針を思い出す：計画（Plan）、実行（Do）、点検（Check）、改善（Act）のサイクルと、事前準備（手順や連絡体制）の重要性。
3. 各選択肢がこの方針に合致するかを検討する。
4. 「速やかに報告」「あらかじめ用意する」といった文言が妥当かを確認する。
5. 一致する選択肢があればそれを正解とする（今回はエ）。

選択肢別の誤答解説

• ア: 「臨機応変なので手順を文書化しない」という主張
  誤りです。臨機応変な対応が必要でも、基本の対応手順（誰が判断するか、一次対応、連絡先、ログ保存方法など）は事前に文書化しておくべきです。文書は対応のばらつきを減らし、対応ミスや遅れを防ぎます。
• イ: 「得られた知識は模倣防止のため管理策強化に用いない」
  誤りです。インシデントから得られた教訓（Lessons learned）は、管理策（セキュリティ対策）を改善するために使います。模倣防止どころか、むしろ再発防止のために積極的に活用します。
• ウ: 「事象は評価を待たずに報告された時点でインシデントに分類される」
  誤りです。まず事象として報告し、その後に評価（影響度・発生原因・拡大可能性など）を行ってインシデントか否かを判断します。全ての事象がインシデントとは限りません。
• エ: 「連絡経路と仕組みをあらかじめ用意しておく」
  正しいです。速やかな報告・対応のためには、事前の体制整備が不可欠です。よってエが適切な選択肢です。

よくある誤解

1. 「事象＝インシデント」と考える誤解
   • すべての事象が被害につながるわけではありません。まず事象を報告・記録し、評価してインシデントかどうかを判断します。
2. 「手順を文書化すると対応が遅れる」という誤解
   • 文書化は対応の迅速化と品質確保に役立ちます。現場で悩む時間を減らし、初動を速めます。
3. 「インシデントの情報は隠すべきだ」という誤解
   • 一部の情報は機密扱いですが、関係者間で適切に共有しないと対処が遅れ、被害が拡大します。共有範囲と方法を事前に定めることが重要です。

補足コラム

• 初動対応のポイント（簡潔）
  1. 発見→記録（いつ、誰が、何を見たか）
  2. 連絡（あらかじめ決めた担当者へ速やかに報告）
  3. 一次対応（被害拡大防止：ネットワーク切断、アカウント停止など）
  4. 評価（影響範囲・原因の特定）
  5. 再発防止策と教育（管理策の改善、手順の更新）
• 事前準備として用意すべきもの
  • 連絡網（役割と連絡先）
  • 報告フォーマット（何を報告するかを明確に）
  • 初動手順書（切断・隔離・ログ保存の方法など）
  • 緊急時の外部連絡先（法務、警察、インシデント対応ベンダーなど）

FAQ