作成日: 2026-06-29
はじめに
「最近は火災よりサイバー攻撃のほうが多いくらいなんだから、やらない理由はない」
ある講演でCISOの方がおっしゃっていた言葉です。インシデント発生時の訓練は避難訓練のようなものだ、という文脈での発言で、聞いたときにその通りだなと感じました。火災が起きたときの避難経路や行動を事前に確認しておくように、サイバー攻撃が起きたときの動き方も、事前に練習しておかないと本番では動けません。
今回は「攻撃等の防御」の最終回として、意識向上とトレーニング（4-2-2）とデータセキュリティ（4-3-4）の2つの要求事項・6つの評価基準を確認します。
今回扱う意識向上とトレーニングはCSFの「対応」に、データセキュリティはCSFの「復旧」にも関係があります。CSFを理解していると要求事項の位置づけがよくわかるので、まだ読んでいない方はぜひ参考にしてください。
第4回：セキュリティ対策の”地図”――NIST サイバーセキュリティフレームワークを知る
「攻撃等の防御④」今回の全体像
今回確認するのは、2つの要求事項・6つの評価基準です。
| NO | 要求事項 | 評価基準の数 |
|---|---|---|
| 4-2-2 | セキュリティインシデント発生時の教育・訓練 | 3つ |
| 4-3-4 | 適切なバックアップ | 3つ |
| 合計 | 6 |
1. 4-2-2 セキュリティインシデント発生時の教育・訓練（評価基準3つ）
4-2-2は、インシデント発生時の対応について全員が動けるよう、教育と訓練を定期的に実施することを求める要求事項です。評価基準は以下の3つです。
- 4-2-2-1： 役員・従業員・派遣社員・受入出向者を対象に、新規受入れ時かつ年1回以上の頻度で、インシデント発生時の対応について、教育資料の配布・掲示に加えeラーニングまたは集合教育による教育・訓練を実施すること
- 4-2-2-2： 実施した教育・訓練の内容・方法・時期・受講状況を記録し保管すること
- 4-2-2-3： 年1回以上の頻度で教育・訓練の実施内容について点検すること
eラーニングか集合教育か、これは悩みどころだと思います。外部のeラーニングサービスに投資するか、自社の社員が講師となって集合講習を開催するか。どちらが良いというわけではありませんが、自社の社員が講習を開催する場合、運営側のレベルも上がるのでそれはそれで良いと思っています。
自社の話をすると、一般社員向けの情報セキュリティ教育と、インシデント対応を推進するIT関係者向けの2つのトレーニングを実施しています。後者は★4の内容ではありますが、日本シーサート協議会（NCA）に参加していて、年に1回開催されるNCO（国家サイバー統括室）との合同演習に参加しており、そのシナリオを持ち帰って社内トレーニングに活用しています。
→ NCO合同演習の概要資料 https://www.cyber.go.jp/pdf/policy/infra/NCO_enshu_20260331.pdf
NCAや国家統括室というと重々しく聞こえるかもしれませんが、NCAの間口は広く、年会費もそこまで高くありません。加盟前に参加できるイベントもあるので、興味があれば覗いてみるのもいいと思います。
→ NCA加盟に関するFAQ https://www.nca.gr.jp/contact/index.html#kameiFAQ
2. 4-3-4 適切なバックアップ（評価基準3つ）
4-3-4は、データのバックアップを適切に取得・保管・復元できる状態にしておくことを求める要求事項です。評価基準は以下の3つです。
- 4-3-4-1： 取得対象・取得頻度・保管期間を定めて、自社で取り扱うデータのバックアップを取得すること
- 4-3-4-2： 重要な機密情報については、4-3-4-1のバックアップに加えて遠隔地バックアップを実施すること
- 4-3-4-3： バックアップ対象ごとにリストア手順書を整備すること
バックアップについては、「取得しているから大丈夫」という認識が実は危ういケースがあります。
実際にある話として、バックアップは取得していたものの、本番環境と同じネットワーク上に保存していたため、ランサムウェアに感染したときに本番データとバックアップが一緒に暗号化されてしまったというケースがあります。4-3-4-2で遠隔地バックアップが求められているのは、まさにこのリスクへの対応です。
また、「バックアップは取得していたが、いざというときに戻せなかった」というのも実際にある話です。手順書がなかった、手順書はあったが古くて実態と合っていなかった、戻してみたらデータが壊れていた——こういったことは、実際に試してみないとわかりません。できれば定期的にリストアの訓練をしてみることをお勧めします。
どれくらいで復旧したいかによって、バックアップの方法も変わります。「うちは3日くらいはシステムが使えなくても手作業で何とかなる」という場合であれば、システムの復旧には時間がかかっても構わないので、データだけは確実にバックアップしておくという選択肢もあります。バックアップ方法やリストア方法まで評価基準で細かく定められているわけではありませんが、どうせやるなら実践的で効果的な運用にしたいですよね。
まとめ
今回で「攻撃等の防御」の全要求事項が終わりました。第10回から今回まで4回にわたって確認してきた大分類で、ようやく区切りがつきました。残る大分類は3つ（攻撃等の検知・インシデント対応・復旧）なので、ゴールが見えてきました。
今回の2つの要求事項は、どちらも「備えておくこと」の重要性を改めて確認するものでした。訓練もバックアップも、やっていないとインシデントが起きたときに本当に困ります。ぜひこの機会に見直してみてください。
このブログが目指していること
私はグローバルな製造業グループのCSIRTリーダーとして働いており、セキュリティ製品を売る立場ではありません。自動車部品メーカーに勤めているため、取引先にセキュリティ要件を「求める側」であり、完成車メーカーから要件を「求められる側」でもあります。
その立場から、「このブログを読んだ担当者が、経営者を動かすための言葉と資料を手に入れられる」ことを目指して書いています。
「要求される側の現場目線」を込めようとしています。難しい言葉をわかりやすく言い換えるだけでなく、「現場では実際にどう判断するか」という視点を大事にします。
次回の予告
次回からは「攻撃等の検知」に入ります。SCS★3では検知に関する項目はなく、★4からの要求事項になります。
相談してみませんか？
「ちょっと聞いてみたい」という段階でも構いません。私の経歴・支援内容の詳細は「このブログについて」をご覧ください。
なお、SCSへの関心が高まる中、制度に便乗した不審な勧誘も出てきています。私のことも含め、見知らぬ相手を安易に信用しすぎないようご注意ください。経産省も注意喚起を出しています。
→ サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください https://www.meti.go.jp/policy/netsecurity/20260427_scs.html
CISSP・情報処理安全確保支援士 ｜ けい
コメント