インシデント管理

インシデントとは、組織の業務、サービス、機能の損失や中断につながる可能性のあるイベントです。インシデント管理( IcM ) とは、将来の再発を防ぐために危険を特定、分析、修正する組織の活動を表す用語です。組織内のこれらのインシデントは通常、インシデント対応チーム(IRT)、インシデント管理チーム(IMT)、またはインシデントコマンドシステム(ICS) によって処理されます。効果的なインシデント管理がなければ、インシデントによって業務、情報セキュリティ、IT システム、従業員、顧客、その他の重要なビジネス機能が混乱する可能性があります。^[1]

インシデントとは、組織の業務、サービス、機能の損失や中断につながる可能性のあるイベントです。^[2]インシデント管理 (IcM) とは、将来の再発を防ぐために危険を特定、分析、修正する組織の活動を表す用語です。管理されなければ、インシデントは緊急事態、危機、災害に発展する可能性があります。したがって、インシデント管理とは、そのようなイベントによって引き起こされる潜在的な混乱を制限し、その後、通常の業務に戻るプロセスです。効果的なインシデント管理がなければ、インシデントは業務運営、情報セキュリティ、IT システム、従業員、顧客、その他の重要なビジネス機能を混乱させる可能性があります。^[1]

全米防火協会は、インシデント管理を次のように説明できると述べています。「IMS [インシデント管理システム] とは、共通の組織構造内で運用される施設、設備、人員、手順、通信の組み合わせであり、インシデント発生時のリソース管理を支援するように設計されています。」^{[3] [4]}

物理的インシデント管理は、数時間、数日、あるいはそれ以上続く可能性のあるリアルタイムの対応です。英国内閣府は、2004 年民間緊急事態法(CCA)の実施の一環として、地元の対応者を対象とした国家復旧ガイダンス (NRG) を作成しました。このガイダンスでは、対応について次のように説明しています。「対応には、緊急事態の直接的な影響に対処するために講じられる行動が含まれます。多くのシナリオでは、対応は比較的短く、数時間または数日続く可能性が高いため、協力、調整、およびコミュニケーションの取り決めを迅速に実施することが重要です。対応には、緊急事態自体の直接的な影響 (消火、個人の救助など) だけでなく、間接的な影響 (混乱、メディアの関心など) に対処するための努力が含まれます。」^{[5] [6]}

世界最大の国際規格開発機関である国際標準化機構（ISO）も、リスク管理、原則、ガイドライン文書ISO 31000 :2009の説明の中で、「ISO 31000を使用すると、組織は目標を達成する可能性を高め、機会と脅威の識別を改善し、リスク処理のためのリソースを効果的に割り当てて使用できるようになります」と述べています。^[7]これは、リスクを処理するために、適切な計画だけでなくリソースを効果的に割り当てることの重要性を再び示しています。

今日、インターネット犯罪の増加により、コンピュータ セキュリティ インシデント対応チーム (CSIRT) が重要な役割を果たしており、これは世界中の先進国の企業が直面するインシデントの一般的な例です。たとえば、組織が侵入者がコンピュータ システムに不正アクセスしたことを発見した場合、CSIRT は状況を分析し、侵害の範囲を判断し、是正措置を講じます。

現在、多国籍企業（TNC）に対する世界のハッキング攻撃の半分以上が北米で発生しています（57％）。23％の攻撃はヨーロッパで発生しています。^[8]総合的なコンピュータセキュリティインシデント対応チームを持つことは、あらゆる組織に安全な環境を提供するために不可欠であり、多くの現代のネットワークチームの全体的な設計の重要な部分になりつつあります。

組織内のインシデントは通常、インシデント対応チーム(IRT) またはインシデント管理チーム(IMT) によって処理されます。これらは、多くの場合、事前にまたはインシデント発生中に指定され、インシデントが処理されている間、組織の管理下に置かれ、通常の機能を回復します。インシデント指揮官は、セキュリティ インシデントへの対応を管理し、インシデント指揮システム (ICS) で定義されたプロセスを通じてインシデント対応チームのメンバーを導きます。^[9]

通常、民間組織におけるより広範な管理プロセスの一環として、インシデント管理の後に事後分析が行われ、予防措置や管理にもかかわらずインシデントが発生した理由が特定されます。この分析は通常、組織のリーダーによって監督され、予防措置や多くの場合はポリシーの変更によってインシデントの再発を防ぐことを目的としています。この情報は、セキュリティ ポリシーのさらなる開発や実際の実装のためのフィードバックとして使用されます。米国では、国土安全保障省によって開発された国家インシデント管理システムが、緊急管理における効果的な実践を包括的な国家フレームワークに統合しています。これにより、多くの場合、より高度な緊急時対応計画、演習、トレーニング、およびインシデント管理の評価が実現します。^[10]

根本原因分析では、人的要因を評価する必要があります。ジェームズ・リーズン氏は、人的要因の悪影響の理解に関する研究を実施しました。^{[11]この研究では、}パイパー・アルファやキングス・クロス地下火災などの重大インシデントの調査により、事故の原因が組織の内外に広く分布していることが明らかになりました。イベントには2つの種類があります。アクティブな失敗（即時に影響し、事故を引き起こす可能性のあるアクション）と潜在的なまたは遅延アクション（イベントが影響するまでに何年もかかることがあり、通常は事故を引き起こすトリガーイベントと組み合わされます）。

潜在的な失敗は、組織の上層部が下した決定の結果として生み出される。その有害な結果は長い間潜伏し、局所的な誘発要因（例：大潮、ゼーブルッヘ港での荷積みの困難など）と組み合わさってシステムの防御を突破したときに初めて明らかになる。組織の上層部が下した決定は、事故が起きやすくなるような出来事を引き起こす可能性があり、計画、スケジュール、予測、設計、方針策定などは、じわじわと影響を及ぼす可能性がある。事故を引き起こす実際の不安全行為は、組織を通じて追跡することができ、その後の失敗は明らかにすることができ、システム全体の中で潜在的な失敗が蓄積され、それが事故が起きやすくなり、最終的に起こるようになったことがわかる。よりよい改善措置を適用することができ、同じ出来事が再び起こる可能性を減らすことができる。^[12]

• 米国の国家事故管理システム
• オランダにおける地域連携インシデント管理（オランダ）

• 米国の国家事故管理システムコンソーシアム
• 英国政府の法律、民間緊急事態法 (CCA) 2004 (2012)
• 連邦緊急事態管理庁（FEMA）（2012）

• Adam Krug (2014-09/16)、「インシデント管理ソフトウェア システムのケース スタディ」、ケース スタディ 1 – 34
• Wearne SH & White-Hunt, K (2010)、緊急時および予期せぬ事態への対応、Gower Publishing – ケーススタディ