インシデント対応・組織づくり
SIM3とは？不審なメールが届いた会社から学ぶ、CSIRTの成熟度と改善の進め方
「変なメールが来ました」と報告されたとき、あなたの会社では誰が何をしますか？ 実は、この答えが人によって違うこと自体が大きなリスク。対応の上手さを個人の勘ではなく組織の仕組みとして点検する考え方がSIM3です。
1. 不審なメールが届いた、ある会社の話
朝9時。経理担当の佐藤さんに「至急、添付の請求書を確認してください」というメールが届きます。差出人は取引先に似た名前ですが、いつもと少し違います。
- 佐藤さんが隣の同僚に相談する
- 同僚は「担当の田中さんに聞いて」と答える
- 田中さんは休暇中で連絡がつかない
- 午後になって、複数人が添付ファイルを開いたと分かる
- 佐藤さんは専用窓口へメールを報告する
- 担当チームに自動で受付番号が発行される
- 緊急度と影響範囲を確認する
- 必要な隔離・調査を進め、結果を記録する
後者の会社は「必ず被害が起きない」のではありません。大切なのは、誰が出勤していても同じ水準で初動できることです。ここから「対応体制の成熟度」という考え方が生まれます。
2. そもそもインシデントとCSIRTって何？
インシデントは「対応が必要なセキュリティ上の出来事」
怪しいメールの受信、アカウントの不正利用、マルウェア感染、情報の持ち出し、Webサイトの改ざんなどが例です。すべてが直ちに被害確定というわけではなく、調査の結果、誤検知と分かることもあります。
CSIRTは「その出来事に対応するチーム」
CSIRTは Computer Security Incident Response Team の略。現場からの通報を受け、状況を分析し、関係部署や外部機関と連携して対応する役割を持ちます。小さな組織では専任部署でなく、兼任メンバーによる体制も考えられます。
身近な例：学校の保健室と避難訓練
具合が悪い人を見つける、保健室へ連絡する、必要なら救急車を呼ぶ、記録を残して次に備える。CSIRTの仕事も似ています。専門家が一人いるだけでは不十分で、連絡と対応の仕組みが必要なのです。
3. SIM3は「インシデント対応の組織力」を測るもの
SIM3（Security Incident Management Maturity Model）は、Open CSIRT Foundationが維持する、CSIRTなどのインシデント対応体制の成熟度を評価するモデルです。どんなツールを買ったかではなく、役割や手順が定まり、実際に運用され、継続して改善されているかを測ります。
点検項目は大きく4種類。「組織（O）・人材（H）・ツール（T）・プロセス（P）」です。各項目について成熟度を0〜4で表します。
「44項目」と「45項目」の数字が違うのはなぜ？
公開済みの旧版SIM3 v1では44項目という説明がよく使われます。一方、Open CSIRT FoundationのSIM3 v2 interimは項目を追加し、CSIRTプロファイルは45項目になっています。資料の年代と版によって数字が違うので、具体的な評価では必ず対象版を確認しましょう。
4. 4つの観点を、会社の具体例で理解する
組織：誰が何を決める？
不審メールが拡散したら、PCをネットワークから切り離す判断は誰がする？ 社員・委託先のどこまで対応する？ 担当範囲・権限・責任が曖昧だと初動が遅れます。
人材：できる人が育っている？
ログ調査ができる人が1人しかいなければ、その人の休暇中に困ります。教育・演習・役割ごとの技能・引き継ぎが大切です。
ツール：調査に必要なものがある？
問い合わせ窓口、対応記録、ログ収集、端末の調査手段。高価な機器だけではなく、ツールを必要な人が安全に使えることも重要です。
プロセス：手順どおり動ける？
通報受付、優先度付け、証拠保全、封じ込め、復旧、再発防止。紙の手順書が置いてあるだけでなく、実際に使われ更新されることが大事です。
例えば監視ツールだけ導入しても、責任者不在なら対応が止まります。逆に責任者が明確でも、証拠を記録できなければ原因分析が進みません。4つを別々に点検するのがポイントです。
5. 成熟度レベル0〜4は、どう違う？
| 段階 | 基本的な意味 | 不審メール対応の例 |
|---|---|---|
| 0 | 未整備・存在が認識されていない | 報告先も決まっていない |
| 1 | 暗黙知・担当者の頭の中 | 詳しい人に個人的に聞く |
| 2 | 内部で文書化されている | 連絡先と対応手順が文書にある |
| 3 | 正式に承認・制度化されている | CSIRT責任者が承認した手順で対応する |
| 4 | 上位のガバナンスの下、定期的に評価される | 演習結果や対応実績を監査・見直しにつなげる |
「レベル4＝絶対に事故が起きない」ではありません。評価するのは事故の有無だけでなく、体制を維持・改善する仕組みです。また、各項目に個別の水準がつくため、全体を単一の点数だけで表すものではありません。
6. 実際の対応は、どんな順番で進む？
- 1受付
社員から怪しいメールが報告される。連絡経路を一つにし、記録を残す。
- 2分類と優先度付け
添付ファイルの実行有無、影響した端末、重要データの有無などを調べる。
- 3初動・封じ込め
必要に応じて端末隔離や認証情報の無効化を行い、拡大を防ぐ。
- 4分析・復旧
ログを保全して原因と影響を確認し、安全を確かめて業務を再開する。
- 5報告・振り返り
関係部署に説明し、手順や教育内容を改善する。
この流れは理解用の一般例であり、SIM3が指定する固定の手順を再現したものではありません。SIM3では、このような対応を支える体制がどれだけ成熟しているかを点検します。
7. 操作してみよう：会社の対応体制セルフチェック
以下の4項目を0〜4で切り替え、「詳しい人がいれば何とかなる会社」と「仕組みとして対応できる会社」を比較できます。改善前・改善後のボタンを押したあと、項目ごとに数字を動かしてみてください。
あなたの会社のインシデント対応を点検
以下はSIM3の考え方を体験するための4項目だけの簡易教材です。正式なSIM3評価・認証や得点算定ではありません。
担当範囲と責任
誰が判断し、誰に連絡するか決まっている？
担当者の訓練
不審メールを受けた人が迷わず報告できる？
記録・分析ツール
通報の時刻、対応履歴、証拠を追える？
対応手順と振り返り
初動、封じ込め、復旧、再発防止を手順化した？
4項目の参考平均
0.75 / 4
先に改善したい項目：ツール ― 記録・分析ツール
具体策：チケット管理・ログ保全・アクセス権を整える
この平均値に公式の合格基準はありません。実際のSIM3は項目別の成熟度と適用するベースラインを確認します。水準を一律に平均だけで判断しません。
このラボは学習用の簡略版です。実際のSIM3の全パラメータ、正式な評価方法、ベースラインを置き換えるものではありません。
8. 似た名前の成熟度モデルと、どこが違う？
名前が似ていても「何を成熟させたいか」が違います。
| モデル | 主な対象 | 身近なイメージ |
|---|---|---|
| SIM3 | CSIRTなどのインシデント管理体制 | 不正アクセスを発見してから復旧するまでの組織力 |
| CMMC | 米国国防総省の契約に関係するサイバーセキュリティ要件の評価・認証 | 取引先に求められる情報保護の条件を満たす |
| CMMI | 開発・サービスなど組織のプロセス能力の改善 | 仕事の進め方を属人化から安定した手順へ |
| OWASP SAMM | ソフトウェア開発におけるセキュリティ活動の成熟度 | アプリの設計・開発・運用で安全を作り込む |
簡単な覚え方
「事故が起きたときの対応チームを点検する」ならSIM3。「ソフトウェアを安全に作る活動」ならSAMM。「業務・開発プロセスの改善」ならCMMI。CMMCは米国防総省の契約上のセキュリティ要件と関係します。
9. 評価を活かすには、何をすればいい？
評価の数字だけを追いかけない
マニュアルを作っただけでは現場が動けるとは限りません。実際の通報を使った演習、代替要員の確保、ツールの動作確認、記録のレビューなどで、対応が回るか確かめる必要があります。
版・項目・ベースラインを確認する
SIM3は発展しており、旧版の44項目とv2 interimの45項目のような違いがあります。また、すべての組織が同じ水準を要求されるわけではなく、用途に合わせたベースラインがあります。正式な評価に進む場合は、Open CSIRT Foundationの最新公開資料と利用条件を確認してください。
最後に、最初の不審メールへ戻ると
重要なのは「田中さんが詳しいか」だけではありません。田中さんが休暇の日も社員が迷わず通報でき、担当チームが判断し、記録を残し、次回の対応を改善できるか。SIM3は、そんな組織としての対応力を目に見える形で点検する道具です。
参考資料
- SIM3 Model & References（Open CSIRT Foundation）
- SIM3 Online Tool（Open CSIRT Foundation）
- Commonwealth nCSIRT Capacity Building Programme: self-help guide（UK Government）
- セキュリティインシデント管理の評価モデル（情報処理安全確保支援士.com）