IT資格用語解説応用情報技術者試験・情報セキュリティ管理におけるインシデント管理プロジェクトマネージャ試験・情報セキュリティ管理におけるインシデント管理情報処理安全確保支援士試験・情報セキュリティ管理におけるインシデント管理情報セキュリティマネジメント試験・情報セキュリティ管理におけるインシデント管理
インシデントハンドリング（検知／連絡受付、トリアージ、インシデントレスポンス、報告／情報公開）
更新日:
用語解説
インシデントハンドリングは、情報セキュリティインシデントが起きたときに、被害を最小限に抑え、システムを復旧し、再発を防ぐまでの一連の対応です。
■ 試験で押さえるポイント
検知・連絡受付で異常を見つけ、CSIRTなどの窓口に報告します。
トリアージで、対応の優先順位と担当を決めます。
インシデントレスポンスで封じ込め、証拠の保全、原因の究明、復旧を行い、最後に関係者への報告と情報公開、再発防止策の検討を行います。
■ 過去問での着眼点
初動で証拠を失わないことと、連絡経路や判断の権限を事前に決めておくことが重要です。
例: 感染した端末をネットワークから切り離し（封じ込め）、ログを保全してから原因を調べます。
■ 封じ込め・根絶・復旧を分ける
封じ込めは端末隔離、アカウント停止、通信制限などで被害拡大を抑える処置である。根絶では侵入原因、永続化、残存マルウェアを除き、漏えいした資格情報を対処する。隔離だけで根絶したとは判断しない。
調査では端末、IdP、メール、FW、クラウド等のログをつなぎ、影響した資産・利用者・データを把握する。対応の時刻、実施者、判断の根拠を残し、証拠保全と業務影響の両方を管理する。
復旧はバックアップを戻すだけでは終わらない。クリーンな環境、原因対処、資格情報失効、依存サービス、データ整合性、監視を確認して再接続する。準備と連絡・改善は事故時だけでなく継続して行う。