28-3-1. 復旧（Recover）後の再発防止策の実施

関連項目

5-2-3、5-3-3

 

インシデントの修復が確認され、計画（IT-BCP）に基づいてシステムとデータが正常な状態に戻された後、恒久的な再発防止策を立案・実施することがサイバーレジリエンス能力向上に不可欠です。この際、単なる場当たり的な修正ではなく、根本的な原因に基づいた対策を実施することが求められます。例えば、特権アカウントのパスワード定期変更や、脆弱性情報の定期確認といった運用手順を組み込みます。

再発防止策は、復旧後に発生原因を整理し、改善を日常業務へ定着させることが目的です。一時的な対応で終わらせず、継続的な改善サイクルとして運用することが求められます。

 

原因分析と改善策の立案

復旧後は、インシデントを技術的・組織的・人的要因に分けて分析します。
● 技術的：設定不備、脆弱性、未更新ソフト
● 組織的：連絡体制の遅延、手順の不備
● 人的：教育不足、注意喚起の欠如

それぞれに対して改善策を明確化し、IT-BCPやインシデント対応記録に反映します。

 

改善の実施と記録

立案した対策は、担当・期限・確認方法を明示して実施します。改善内容を「技術」「運用」「教育」「外部委託」の区分で整理し、完了後はIT管理責任者が効果を確認して記録します。この運用を定期的に見直すことで、PDCAサイクルが継続的に機能します。

 

再発防止計画とレビュー

改善結果は半期または年次で点検し、未完了項目は次年度に繰り越します。必要に応じて外部専門家の助言を得て、対策の実効性を高めます。レビュー結果は経営層にも共有し、IT-BCP更新時に反映させます。

 

詳細理解のため参考となる文献（参考文献）
IPA「中小企業のためのセキュリティインシデント対応の手引き」	https://www.ipa.go.jp/security/sme/ps6vr7000001buco-att/ps6vr7000001bucx.pdf
IPA「中小企業の情報セキュリティ対策ガイドライン（第3.1版）」	https://www.ipa.go.jp/security/guide/sme/about.html
国家サイバー統括室（NCO）「2023年度 分野横断的演習 実施報告」	https://www.cyber.go.jp/pdf/policy/infra/NISC_enshu_20240327.pdf

 

28-3-2. 教訓の反映と継続的改善（RC.IM）

関連項目

5-2-4、13-2-8

 

サイバーレジリエンス能力を動的に高めるためには、インシデント対応から得られた「気づきと取組」を体系化し、組織の適応能力に変換することが不可欠です。ISMSの「改善」プロセスを活用し、インシデント対応後の事後評価を必ず実施します。

 

NIST CSF 2.0のRC.IM（Improvements – 改善）カテゴリは、復旧計画とプロセスが、過去のイベントから得られた教訓を組み込んでいることを確実にするよう明確に要求しています。この体系的な改善サイクルを通じて、組織はセキュリティポリシーの改訂、システム設計の改善（Security by Design）、および訓練内容の見直しを行い、将来の脅威に対する組織全体のレジリエンスを動的に向上させます。

 

復旧後に得られた教訓を組織に定着させ、継続的に改善するための手順を示します。「再発防止策の実施」で抽出した改善項目を、運用・文書・教育へ反映することを目的とします。

 

成功点と課題の明確化及び教訓の整理

インシデント対応の終了後、初動から復旧までを振り返り、対応上の成功点と課題を明確化します。IT管理担当者と関係部門が参加する簡易レビュー会を実施し、教訓を次の観点で整理します。
● 手順面：報告経路や判断の遅延など
● 技術面：設定不備や監視の不足
● 体制面：役割の不明確さや外部連携の不備
結果は「改善記録表」としてまとめ、再発防止計画の基礎資料とします。

 

改善項目の管理と反映

改善項目には担当・期限・確認方法を設定し、進捗を定期的に確認します。内容は「技術」「運用」「教育」「委託管理」などに区分して管理すると効果的です。改善結果は、IT-BCPや手順書などの関連文書へ反映し、更新時には経営層にも共有します。

 

継続的改善の仕組み化

改善の効果を確認し、未実施項目は次年度の改善計画に繰り越します。このPDCA型の改善サイクルを通じて、IT-BCPを「継続的に成長する計画」として運用できます。また、共有可能な教訓は定例会や社内研修で報告し、組織全体の意識向上につなげます。

 

詳細理解のため参考となる文献（参考文献）
IPA「中小企業のためのセキュリティインシデント対応の手引き」	https://www.ipa.go.jp/security/sme/ps6vr7000001buco-att/ps6vr7000001bucx.pdf
IPA「中小企業の情報セキュリティ対策ガイドライン（第3.1版）」	https://www.ipa.go.jp/security/guide/sme/about.html
国家サイバー統括室（NCO）「2023年度 分野横断的演習 実施報告」	https://www.cyber.go.jp/pdf/policy/infra/NISC_enshu_20240327.pdf