セキュリティ編 第11章 / 全13章
ログ監視とインシデント対応とは
SIEM ・ SOC ・ CSIRT
起きたときに、慌てない火災報知器と消防訓練。煙に気づく仕組み（監視）と、誰が何をするか決めた避難手順（対応計画）があれば、小火で済む。
図とさわれるデモで確かめる →
ポイント
- ログを集めて見張り、異常に早く気づく（SIEM・SOC）
- 起きたら、まず被害を広げない（ネットワークから切り離す）
- 調べる → 封じ込める → 元に戻す → 報告と再発防止、を順に進める
名前の由来
incident出来事（ラテン語 incidere：降りかかる）
インシデント：セキュリティ上の事故や、その恐れのある出来事。
仕事の現場では
事故のとき最初に困るのは「誰に連絡するか」です。社内の窓口（CSIRT）、経営層、委託先、保険会社、警察、個人情報保護委員会などの連絡先を、平時に一覧にしておきましょう。
くわしく（正確な話）
- ログを集めて分析し、異常を見つけるのが SIEM。それを24時間見張る専門チームが SOC。
- 社内で事故に対応するチームを CSIRT と呼ぶ。
- 証拠を保全して、何が起きたかを調べることをフォレンジックと呼ぶ。
- 個人データの漏えい等が起きたときは、個人情報保護委員会への報告と本人への通知が必要になる場合がある（2022年の法改正で義務化）。
この章の用語（意味と語源）
- SIEM / SOC シーム / ソック
ログを集めて異常を見つける仕組み／それを24時間見張る専門チーム。
語源Security Information and Event Management / Security Operation Center の頭文字。
- CSIRT シーサート
社内でセキュリティ事故に対応するチーム。
語源Computer Security Incident Response Team（コンピューターセキュリティ事故対応チーム）の頭文字。
- ログ Log
「いつ・誰が・何をしたか」の記録。
事故の調査の決め手になるので、改ざんされない場所に、十分な期間残します。
語源log はもと「丸太」。丸太を流して船の速さを測り、航海日誌に書いたことから。
- フォレンジック Forensics
証拠を保全して、何が起きたかを調べること。
語源ラテン語 forensis（公開の広場の・法廷の）から。法廷で使える証拠を集めることを指します。
- 個人情報保護委員会への報告 漏えい等の報告
個人データの漏えい等が起きたときに、国の委員会へ行う報告。
2022年4月の法改正で、一定の場合（要配慮個人情報、不正アクセスによるもの、1,000人を超えるものなど）に報告と本人への通知が義務になりました。
語源英語では Personal Information Protection Commission（PPC）。