インシデントハンドリングとは
インシデントハンドリングとは、情報セキュリティにおける重大な事故やトラブル（ウイルス感染、不正アクセス、情報漏えいなど）が発生した際に、被害を最小限に抑え、迅速に復旧するための対応手順や管理プロセスのことです。
インシデントが発生した際、慌てて場当たり的な対応をすると、かえって被害が拡大したり、原因究明に必要な証拠が消えてしまったりする危険性があります。そうならないよう、事前に役割分担を決め、連絡網の整備や原因調査、復旧計画などを一連のプロセスとして管理・実行します。組織内にCSIRT（シーサート）と呼ばれる対応チームを組織し、このハンドリングを主導させることが一般的です。
具体例
1. 検知: セキュリティアラートが鳴る
2. 隔離: 感染した端末をネットワークから即座に切り離す
3. 調査: ログを分析してウイルスの種類や侵入経路を特定する
4. 復旧: 端末のウイルス駆除を行い、ネットワークに戻すもう少し詳しく
インシデント対応を体系化するために、一般的に米国国立標準技術研究所（NIST）が策定したガイドライン等に基づく「インシデント対応ライフサイクル」が用いられます。このライフサイクルは、以下の4つのフェーズで構成されています。 1. 「準備（Preparation）」: セキュリティポリシーの策定、対応チーム（CSIRT）の結成、ツールの準備などを事前に行う最も重要な段階です。 2. 「検出と分析（Detection and Analysis）」: 不審な挙動やセキュリティ警告を検知し、それが本当の脅威か、どの程度深刻かを分析します。 3. 「封じ込め、根絶、および復旧（Containment, Eradication, and Recovery）」: 被害の拡大を防ぐために感染端末をネットワークから隔離（封じ込め）し、ウイルスを完全に削除（根絶）した上で、バックアップからシステムを安全に元に戻します（復旧）。 4. 「事後活動（Post-Incident Activity）」: 今回の事故の原因や対応時の問題点を振り返り、再発防止策を講じるとともに、手順書の改訂を行います（「レッスンズラーンド」と呼ばれる教訓の整理）。 このサイクルを回し続けることで、組織のインシデント対応力は継続的に強化されます。
試験でのポイント
情報処理技術者試験では、インシデントハンドリングの具体的なプロセスや、各フェーズにおける適切なアクションがシナリオ形式で頻出します。特に「事後活動（レッスンズラーンド）」の重要性や、「復旧フェーズの前に、証拠保全のために必要なログやストレージデータのバックアップをとること」といったフォレンジック的手順との連携が問われます。また、インシデント対応を専門に行う組織内グループである「CSIRT」や、外部の専門機関である「JPCERT/CC」との情報共有のタイミングなど、組織的な連携についても出題されるため、対応体制の全体像を頭に入れておきましょう。
関連する用語
関連用語としては、企業内でインシデントハンドリングの司令塔となる組織「CSIRT」、インシデントの原因を法的な証拠として解析する「フォレンジック（デジタル鑑識）」、そしてインシデントの緊急度に応じて対応順位を決める「トリアージ（初動対応）」などがあります。