インシデント対応は「何が起きたか」を突き止める作業と同じくらい、「いつ・誰が・何を判断したか」を残す作業が重要です。ここでは初動から記録までの実務を、現場でそのまま使える粒度で整理します。
最初の5〜15分で決めること
- 安全確保と被害拡大の停止。隔離（ネットワーク遮断）やアカウント無効化など、被害が広がる経路を止めます。
- 観測点の確保。証拠（ログ、メモリ、プロセス情報、通信ログ）を失わないよう、まず記録と採取計画を立てます。
- 影響範囲の仮置き。全てを正確にしなくていいので、対象（組織、システム、ユーザー、期間）を「仮」でも列挙して優先度を付けます。
初動チェックリスト（行動順）
-
1
通報・一次評価
「いつから」「誰が」「どのシステムで」「どんな兆候か」を短く集約します。根拠となるログやアラート名も一緒に書き留めます。
-
2
封じ込め（まず止める）
感染端末や侵害の疑いがあるアカウントを隔離します。停止が必要な場合は、業務影響と証拠保全のバランスを記録に残します。
-
3
時系列の構築
アラート発生、権限変更、ログイン失敗、外向き通信など、時間の線を引くための材料を集めます。まずは「推定時刻」でも構いません。
-
4
証拠の採取と保全
ログの保存、ハッシュ計算、メモリ採取、影響範囲の洗い出しに必要な情報を整理します。後で「戻せる」形で残すのが理想です。
-
5
判断と作業の記録（後から効く）
何を根拠に隔離したのか、いつ方針を切り替えたのか。セキュリティ運用の振り返りにも監査にも直結します。
記録テンプレ：最低限ここまで
記録は長くするほど良いわけではありません。後で再現できる粒度を意識してください。
- インシデント概要
- 発生日時（推定含む）、影響システム、兆候（アラート名や観測事実）
- 意思決定ログ
- 実施した対処、実施時刻、担当者、判断根拠、結果（成功/失敗/保留）
- 証拠・採取物
- 保存場所、採取対象、採取手順の概要、整合性確認（ハッシュ等）
- 影響範囲の更新
- 暫定範囲、再調査の根拠、確定した範囲と時刻
- 最終まとめ
- 再発防止の方向性、運用上の改善点、次回アクション
実務の勘所：記録を“後工程に渡す”
初動の記録は、分析チームや復旧チームへ情報を渡すための資産です。たとえば「何を見たか」「どの時間帯を対象にしたか」「その時点での確信度」を残すことで、調査が迷子になりにくくなります。
また、記録の粒度は担当者の経験差を吸収します。判断が難しいときほど、ログ根拠と観測事実を分けて書くと、後から監査や説明がしやすくなります。
次に読むと整理が進む関連テーマ
目的は“対応を早くすること”だけではありません。記録と学習の仕組みを積み上げて、次回の初動をより確実にします。
免責：本記事はITセキュリティの一般的な考え方と手順を整理したものです。実際の運用は組織の規程や法令、システム構成に合わせて調整してください。