インシデント対応

インシデント対応体制の整備には、専任または兼任のセキュリティ担当者の確保、対応プレイブックの策定・訓練、SIEMやSOARなどのオーケストレーションツールへの投資が必要です。ツールコストだけでも年間数百万円から数千万円規模になることが多く、MSSPへの外部委託を加えると月額100万〜500万円以上の固定コストが発生するケースもあります。この投資を正当化するためには、万一の情報漏えい事案に伴う損害（賠償・業務停止・ブランド毀損）が上回るリスクが具体的に存在することが前提となります。

従業員500名未満・年間売上50億円未満の組織では、専任CSIRT組織を内製で維持するコストが重くなりがちです。この規模帯では、MSSP活用と最低限のプレイブック整備（封じ込め手順・連絡ツリー）から始め、年1回以上のインシデント対応訓練（TTX：テーブルトップエクササイズ）を実施するアプローチが費用対効果の観点から現実的です。

一方、年間売上500億円以上・従業員2,000名超の組織では、インシデント発生時の事業継続リスクが大きく、SOC機能の内製化またはMSSPとの高水準SLA契約が投資対効果に見合います。特にグループ企業を複数抱える場合は、グループ横断のCSIRT統合や情報共有の仕組みがインシデントの横展開防止に直結します。

インシデント対応の概念が組織的に整備されたきっかけは、1988年11月に発生した「モリスワーム」事件です。インターネットの前身であるARPANETに接続された約6,000台のシステムに感染が拡大したこの事件を受け、米国国防総省高等研究計画局（DARPA）の支援によってCERT/CC（Computer Emergency Response Team Coordination Center）がカーネギーメロン大学に設立されました。その後、1996年にNISTが発行したSP 800-3を皮切りに、2002年にSP 800-61（インシデント対応ガイドライン）が整備され、準備・検知・封じ込め・根絶・復旧・事後対応という現在も広く使われるフレームワークの基礎が確立しました。

日本では、2000年前後の官公庁サイト改ざん事件を契機に政府主導でJPCERT/CCが本格稼働し、2001年に経済産業省が「情報セキュリティポリシーに関するガイドライン」を公表。その後、2011年の東日本大震災後のサイバー攻撃増加や、2014〜2015年に相次いだ大企業・官公庁への標的型攻撃が社会的に大きな注目を集め、民間企業でのCSIRT設立が急増しました。2022年以降はランサムウェアによる大規模被害が製造業・医療機関などを直撃し、経済安全保障推進法や改正個人情報保護法によるインシデント報告義務の法制化も追い風となって、組織的なインシデント対応体制の整備が急速に進んでいます。