インシデント対応計画

目次

• 概要
• 使用場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

セキュリティインシデントの検出、対応、封じ込め、復旧を包括的なプレイブックと自動化で実現する体系的なアプローチ。

使用場面

• セキュリティ侵害の検出
• データ漏洩への対応
• マルウェア感染
• DDoS 攻撃
• インサイダー脅威
• コンプライアンス違反
• インシデント後の分析

クイックスタート

最小限の動作例：

# incident_response.py
from dataclasses import dataclass, field
from typing import List, Dict, Optional
from enum import Enum
from datetime import datetime
import json

class IncidentSeverity(Enum):
    CRITICAL = "critical"  # P1 - Business critical
    HIGH = "high"          # P2 - Major impact
    MEDIUM = "medium"      # P3 - Moderate impact
    LOW = "low"            # P4 - Minor impact

class IncidentStatus(Enum):
    DETECTED = "detected"
    INVESTIGATING = "investigating"
    CONTAINED = "contained"
    ERADICATED = "eradicated"
    RECOVERED = "recovered"
    CLOSED = "closed"

class IncidentType(Enum):
    DATA_BREACH = "data_breach"
    MALWARE = "malware"
    UNAUTHORIZED_ACCESS = "unauthorized_access"
// ... (see reference guides for full implementation)

リファレンスガイド

references/ ディレクトリの詳細な実装：

ベストプラクティス

✅ すべきこと

• インシデント対応計画を維持する
• 明確なエスカレーションパスを定義する
• インシデント対応訓練を実施する
• すべての対応を文書化する
• 証拠を保全する
• 透明に対応を報告する
• インシデント後のレビューを実施する
• プレイブックを定期的に更新する

❌ してはいけないこと

• パニックに陥る、または急いで対応する
• 証拠を削除する
• ドキュメント化をスキップする
• 孤立して対応する
• 教訓を無視する
• 通知を遅延させる