なぜ
「インシデント対応手順」
が必要なのか
本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「インシデントのレベル分け」を取り上げ、
異常の意味を判断し、優先順位を決める重要性を整理しました。
大分類：対応 ／ 中分類：インシデント管理（6-1）
インシデント対応手順とは何か
（SCS評価制度の要求）
SCSが求めていること
SCS評価制度では、
- セキュリティインシデントへの対応手順を定めること
- 発見報告、初動、調査・対応、復旧、最終報告の流れを定義すること
- 社内外の連絡先と報告ルートを整備すること
- 役割・責任を明確にすること
- 報告様式を整備すること
- 体制を定期的に点検すること
が求められています。
インシデントが発生した際に、
誰が、
何を、
どの順番で実施するのかを定義し、
迅速かつ統制された対応を実現すること。
これは手順書を作ることではなく、
緊急時に迷わず動ける組織を作る要求です。
前回は、
- 異常を検知する
- 重大度を判断する
- 優先順位を決める
ところまでを扱いました。
しかし、
判断しただけでは被害は止まりません。
実際に行動へ移して初めて、
インシデント対応が始まります。
なぜインシデント対応手順が必要か
（孫子における考え方）
孫子は戦いにおいて次のように述べています。
兵聞拙速，未睹巧之久也
―『孫子兵法・作戦篇』
（多少拙くても素早い対応はある。しかし巧妙だが遅い対応は見たことがない）
インシデント対応で最も重要なのは、
完璧な分析でも、
完璧な報告でもありません。
被害が拡大する前に動けることです。
なぜなら、
- 初動で封じ込められるか
- 初動で被害が拡大するか
によって、
その後の結果が大きく変わるからです。
孫子の文脈
孫子は、
戦場で最も危険なのは
準備不足ではなく、
「判断が止まること」
だと考えています。
状況を把握し、
敵を認識し、
勝敗を分析していても、
実際に行動しなければ意味はありません。
だからこそ、
多少不完全であっても、
まず素早く動くことが重視されます。
速度は戦場における最大の防御でもあります。
ビジネスの文脈
企業のインシデント対応でも同じです。
インシデント発生時に、
- 原因究明から始める
- 責任者探しから始める
- 会議だけで時間を消費する
組織は、
被害を拡大させます。
重要なのは、
- まず封じ込める
- まず状況を共有する
- まず影響範囲を把握する
ことです。
SCS評価制度が対応手順を求めるのは、
迅速な行動を可能にするためです。
なぜ手順を事前に定めるのか
対応手順を定める目的は、
考えなくても動ける状態を作ることです。
インシデント発生時には、
- 状況が不明確である
- プレッシャーがかかる
- 判断が曖昧になる
といった状態になります。
その場で考えている時間こそが、
被害拡大の時間になります。
なぜ手順を事前に定めるのか
対応手順を定める目的は、
考えなくても動ける状態を作ることです。
SCS評価制度では、
- 発見報告
- 初動
- 調査・対応
- 復旧
- 最終報告
という流れをあらかじめ定義することが求められています。
インシデント発生時には、
- 状況が不明確である
- プレッシャーがかかる
- 判断が曖昧になる
- 関係者が混乱する
といった状態になります。
その場で考えている時間こそが、
被害拡大の時間になります。
だからこそ、
平時に対応手順を整備しておく必要があります。
手順がある組織とない組織
インシデント発生時、
手順の有無によって組織の動きは大きく変わります。
- 手順がある組織 → 迷わず動ける
- 手順がない組織 → 判断が止まる
例えば、
- 誰へ報告するのか
- 誰が封じ込めを行うのか
- 誰が経営層へ報告するのか
が決まっていなければ、
対応は必ず遅れます。
迅速な行動は、
手順によって支えられています。
対応体制の意味
SCS評価制度では、
- 社内外の連絡先の整備
- 報告ルートの定義
- 役割と責任の明確化
- 体制の定期点検
も求められています。
ここで重要なのは、
誰が指揮をとるのかを明確にすることです。
指揮系統が曖昧になると、
- 情報共有が遅れる
- 判断が重複する
- 対応漏れが発生する
ようになります。
インシデント対応は、
個人プレーでは成立しません。
組織として動くための体制が必要です。
報告フォーマットの意味
SCS評価制度では、
報告フォーマットの整備も求めています。
報告内容が人によって違う場合、
- 状況把握に時間がかかる
- 重要な情報が抜ける
- 判断に必要な情報が揃わない
可能性があります。
迅速な対応のためには、
情報の伝え方も標準化する必要があります。
SCS評価制度が求める本当の到達点
SCS評価制度は、
- 対応手順を定めること
- 対応体制を整えること
- 連絡網を整備すること
- 報告フォーマットを準備すること
- 体制を点検すること
を求めています。
しかしその本質は、
「即応できる組織を作ること」
です。
完璧な分析を待つのではなく、
- まず動く
- まず封じ込める
- まず報告する
ことが求められます。
まとめ
インシデント対応とは、
- 手順書を作ることではなく
- 迅速な行動を設計することです
最初の一手が、
その後の結果を大きく左右します。
兵聞拙速，未睹巧之久也
（多少拙くても速い対応はある。しかし巧妙だが遅い対応は見たことがない）
インシデント対応は準備された者だけが成功する。
最初の一手は、事前に決まっていなければならない。
チェック：初動は設計されているか
以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。
- ☑ インシデント対応手順が文書化されているか
- ☑ 発見報告・初動・調査・復旧・最終報告の流れが定義されているか
- ☑ 社内外の連絡先と報告ルートが整備されているか
- ☑ 指揮系統と責任者が明確になっているか
- ☑ エスカレーション基準が定義されているか
- ☑ 報告フォーマットが整備されているか
- ☑ 手順が実際に実行できる状態になっているか
もしこれらに一つでも☑を付けられない場合、
初動対応が遅れる可能性があります。
インシデント対応で最も危険なのは、
- 何をすればよいか分からない
- 誰へ連絡すべきか分からない
- 判断待ちで動けない
状態です。
まずは、
異常発生時に誰が何を行うのかを整理することが必要です。
今からできるアクション
☑が付かなかった項目がある場合は、以下から始めましょう。
- インシデント対応手順書の有無を確認する
- 社内外の連絡先一覧を作成する
- インシデント報告フォーマットを整備する
- 対応責任者と代行者を明確にする
- 机上訓練を実施して手順を検証する
- 過去の事例をレビューして改善点を洗い出す
インシデント対応の目的は、
手順書を保管することではありません。
重要なのは、
- 迷わず行動できること
- 被害拡大を防ぐこと
- 組織として統一した対応を行うこと
です。
まずは、
「インシデントが今発生したら誰が何をするのか」
を説明できるか確認することから始めましょう。
次回は「復旧と再発防止」を取り上げ、
インシデント発生後にどのように事業を立て直し、
同じ失敗を繰り返さないかを整理します。
参考
- 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
（『孫子兵法・作戦篇』「兵聞拙速，未睹巧之久也」） - サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
- サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省
