令和5年度 秋期 午前Ⅱ 問20
情報セキュリティ管理
インシデントハンドリングの問題
インシデントハンドリングの順序のうち,JPCERTコーディネーションセンター“インシデントハンドリングマニュアル(2021年11月30日)”に照らして,適切なものはどれか。
- アインシデントレスポンス(対応) → 検知/連絡受付 → トリアージ
- イインシデントレスポンス(対応) → トリアージ → 検知/連絡受付
- ウ検知/連絡受付 → インシデントレスポンス(対応) → トリアージ
- エ検知/連絡受付 → トリアージ → インシデントレスポンス(対応)
答えと解説を見る
✓ これが正解エ検知/連絡受付 → トリアージ → インシデントレスポンス(対応)
解説
検知/連絡受付、トリアージ、インシデントレスポンスの順で進めます。
インシデントハンドリングは、まずインシデントに気付く段階から始まります。監視による検知や外部からの連絡受付によってインシデントの情報を得たら、次にトリアージを行い、その事象が対応すべきインシデントか、どれを優先して対応するかを判断します。そのうえで、対象と判断したものについてインシデントレスポンス(対応)に移り、技術的な対処や関係者との調整を進めます。見分ける軸は、情報を受け取る、優先度を判断する、実際に対応する、という流れが自然な順序になっているかです。トリアージはもともと救急医療の用語で、対応の前に優先度を振り分ける作業と覚えておくと順序を取り違えません。
ほかの選択肢はなぜ違うのか
- アインシデントレスポンス(対応) → 検知…:対応から始めると、何に対応するかをまだ知らない段階で動くことになります。インシデントの情報を受け取ってから優先度を決め、そのうえで対応するのが順序であり、対応を先頭に置くのは逆です。
- イインシデントレスポンス(対応) → トリ…:対応を先に行ってからトリアージや検知に進む順序では、優先度を判断する前に対応してしまいます。情報を受け取る段階が最後にあるのも不自然で、流れが逆になっています。
- ウ検知/連絡受付 → インシデントレスポン…:検知/連絡受付から始まる点は合っていますが、トリアージより先に対応を置いています。トリアージは、対応すべきかどうかと優先度を決める作業なので、対応の前に行います。
この問題の用語
- インシデントサービスの計画外の中断や品質の低下、またはそのおそれがある出来事です。情報セキュリティでは、安全が損なわれるおそれが高いものを指します。
- コーディネーションセンターCSIRT同士の情報連携と調整を担う分類の一つのことです。サービスの対象は自社の利用者ではなく、ほかのCSIRTになります。
出典:令和5年度 秋期 データベーススペシャリスト試験 午前Ⅱ 問20
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する(メールが開きます)