情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

CSIRT・セキュリティインシデント対応体制の監査

しーさーとせきゅりてぃいんしでんとたいおうたいせいのかんさ / CSIRT and Security Incident Response Audit

サイバー攻撃や情報漏えい等のセキュリティインシデント発生時に、検知・トリアージ・初動隔離・経営報告・フォレンジック保全・対外公表（法令届出）が迅速かつ適切に行えるかを検証する監査です。

3行速習ポイント

サイバー攻撃や情報漏えい等のセキュリティインシデント発生時に、検知・トリアージ・初動隔離・経営報告・フォレンジック保全・対外公表（法令届出）が迅速かつ適切に行えるかを検証する監査です。
平時の体制整備（CSIRT設置・マニュアル策定）だけでなく、夜間休日を含む緊急連絡網の実効性や証拠保全手順（メモリ・ログ消去防止）が問われます。
試験対策：午後I（令和6年問3、令和3年問2、平成28年問2等）・午後IIのセキュリティ監査で頻出のテーマです。

図解

図セキュリティインシデント対応（CSIRT）における監査の4段階チェックプロセス・手順フロー

異常検知・トリアージから初動隔離・証拠保全・対外報告・再発防止まで

▶ 進行順序：1. 検知・第一報➔2. 隔離・証拠保全➔3. 影響特定・届出➔4. 演習・継続改善

11. 検知・第一報とトリアージ（緊急度判定）の統制

検知・第一報

現場での抱え込みを防ぎ直ちにCSIRTへ集約する報告ルート

不審な挙動やアラートを検知した際、現場判断で放置せず直ちにCSIRTへ報告する基準と夜間休日の連絡体制が機能しているかを確かめる。

22. 初動封じ込め（ネットワーク隔離）と証拠保全の両立

隔離・証拠保全

被害拡大の遮断とフォレンジック調査用ログ・メモリの保全

感染端末のネットワーク遮断手順とともに、攻撃経路特定に必要な揮発性メモリや通信ログを消去せず保全する手順が明記・周知されているか確認する。

33. 影響範囲の特定と経営判断・対外報告（法定届出）

影響特定・届出

個人情報漏えい有無の特定と監督官庁・顧客への適時通知

ログ調査による漏えい範囲の特定手順、サービス停止を含む経営判断基準、および個人情報保護委員会等への期限内報告フローが整備されているか確認する。

44. 恒久対策・再発防止と実践的演習による見直し

演習・継続改善

侵入原因（脆弱性・設定不備）の根絶と定期演習による手順検証

侵入経路となった脆弱性の恒久閉塞を確認するとともに、年次のインシデント対応演習の振り返り課題が手順書へ反映されているかを確かめる。

💡 一般のシステム障害（とにかく早く再起動して復旧させる）と異なり、セキュリティインシデントでは「被害拡大防止（LAN抜線・隔離）」と「攻撃痕跡の証拠保全」の両立が要となります。

概要と本質

サイバー攻撃や情報漏えい等のセキュリティインシデント発生時に、検知・トリアージ・初動隔離・経営報告・フォレンジック保全・対外公表（法令届出）が迅速かつ適切に行えるかを検証する監査です。平時の体制整備（CSIRT設置・マニュアル策定）だけでなく、夜間休日を含む緊急連絡網の実効性や証拠保全手順（メモリ・ログ消去防止）が問われます。

重要ポイント・コア概念

インシデント認知からCSIRT・経営層へのエスカレーション基準、被害拡大防止（ネットワーク隔離）、およびデジタルフォレンジックのための証拠保全手順の整備状況確認
個人情報保護委員会やIPA・所管官庁への法定報告期限を考慮した対応フロー、および標的型攻撃メール訓練・インシデント対応演習の実施・改善状況の確認
定量的効果・監査目標例：CSIRT対応手順書に「初期隔離時の証拠ログ保全手順」と「72時間以内の法定報告フロー」を追加させる監査提言を行い、演習での初動判断時間を50%短縮