サイバーセキュリティインシデント対応のガイダンスを含むNIST出版物はどれ？SP 800-61を徹底解説

サイバーセキュリティインシデントへの対応に関する公式なガイダンスを提供しているNIST出版物は、「NIST Special Publication 800-61（コンピュータセキュリティインシデント処理ガイド）」です。本記事では、この出版物の概要から、NISTが定義するインシデント対応ライフサイクル、関連するSP 800-171まで、知っておくべきポイントをわかりやすく解説します。

NIST SP 800-61とは？

NIST SP 800-61は、米国国立標準技術研究所（NIST）が発行する「コンピュータセキュリティインシデント処理ガイド（Computer Security Incident Handling Guide）」です。この出版物は、組織がさまざまな情報セキュリティインシデントに効果的かつ効率的に対応し、インシデントによる潜在的な影響を最小限に抑えるための実践的なガイドラインを提供しています。

コンピュータセキュリティインシデントのリスクを軽減するための対応方法を詳述しており、インシデント処理に関する標準的な参考文献として広く認められています。NISTのITL（情報技術研究所）が開発したこのインシデント対応モデルは、業界全体に大きな影響を与えてきました。

NISTが定義するインシデント対応ライフサイクルの4つのフェーズ

NISTのインシデント対応ガイドでは、対応プロセスを以下の4つの大きなフェーズに分類しています。

1. 準備（Preparation）：インシデント対応の成功は準備にかかっています。体制の構築や訓練など、事前の備えが最も重要です。
2. 検出と分析（Detection and Analysis）：セキュリティイベントを監視し、脅威の検出・報告・分析を行います。インシデントの種類を特定することから始まります。
3. 封じ込め・根絶・復旧（Containment, Eradication and Recovery）：インシデントの影響を最小化するには迅速な対応が不可欠です。被害の拡大防止（封じ込め）、原因の排除（根絶）、システムの復旧を行います。
4. 事後活動（Post-Incident Activity）：インシデント後の調査・分析を実施し、得られた教訓を今後の対策に活かします。

インシデント対応の6フェーズ・7ステップモデル

実務では、NISTの4フェーズをベースにした、より細かいモデルも広く使われています。

6つのフェーズ

1. 準備
2. 特定（Identification）
3. 封じ込め（Containment）
4. 根絶（Eradication）
5. 復旧（Recovery）
6. 教訓の吸収（Lessons Learned）

7つのステップ

インシデント対応計画は、「特定 → 封じ込め → 根絶 → 復旧 → 学習 → テスト → 繰り返し」という確立された7ステップのプロセスに従うのが理想的です。サイバーセキュリティインシデント対応は「インシデント発生後」で終わらせるのではなく、継続的な準備と改善こそが重要です。

インシデント管理プロセスの5段階

1. 計画・準備：効果的なインシデント対応には事前の計画が不可欠です。
2. 検出と報告：サイバー脅威を検出し、速やかに報告します。
3. トリアージと分析：インシデントの優先度付けと詳細な分析を行います。
4. 封じ込めと無害化：被害の拡散を防ぎ、脅威を無力化します。
5. 事後調査：インシデント後に調査を実施し、再発防止につなげます。

NIST SP 800-171とは？

NIST SP 800-171は、「非連邦システムおよび組織における管理外分類情報（CUI: Controlled Unclassified Information）の保護」を目的としたスペシャルパブリケーションです。CUIへのアクセス制御に関する推奨要件を規定しています。

最新版はRevision 2で、2020年2月21日に最終承認・発行されました。連邦機関以外の組織（例：政府調達に参加する民間企業）がCUIを適切に保護できるよう作成されました。

NIST 800-171準拠のための主な手順

1. CUIを特定し、その所在を把握する
2. CUIを適切なカテゴリに分類する
3. 必要なセキュリティ管理策を実装する
4. 従業員に適切な研修を実施する
5. データを継続的に監視する
6. システムとプロセスを見直し・評価する

NISTスペシャルパブリケーション（SP）とは？

NISTスペシャルパブリケーションには、情報セキュリティに関する推奨事項とベストプラクティスがまとめられています。連邦情報処理標準（FIPS）で言及されているNIST SPは、米国連邦機関に対して遵守が義務付けられています。NISTは商務省の管轄下にある機関であり、多くの技術分野において標準と推奨事項を策定しています。

まとめ

サイバーセキュリティインシデント処理に関するガイダンスを含むNIST出版物は「NIST SP 800-61」です。インシデント対応ライフサイクルを「準備」「検出と分析」「封じ込め・根絶・復旧」「事後活動」の4フェーズで捉え、組織的な対応体制を整えることが重要です。また、CUIを扱う組織にとってはSP 800-171への準拠も欠かせません。これらの出版物を参考に、自社のインシデント対応プロセスを見直してみてください。