初動対応とは
初動対応（トリアージ）とは、情報セキュリティのトラブル（インシデント）が発生した直後に、現場の状況を素早く把握し、被害の拡大を防ぐために行う最も初期の応急処置のことです。
「トリアージ」は元々災害医療の用語で、患者の緊急度や重症度に応じて治療の優先順位を決めることを意味します。ITセキュリティにおけるトリアージも同様に、発生したトラブルの緊急性と重要度（どのサーバーが落ちているか、何のデータが漏れたかなど）を分析し、最も被害が大きい部分への対処を最優先に決定・実行します。これにより、限られた対応リソースを最も効果的な場所に集中させ、システム全体の崩壊を防ぐことができます。例えば、一般社員のパソコンが1台ウイルスに感染したことと、基幹の顧客データベースが不正アクセスを受けていることでは、後者の方が組織に与える影響が甚大であるため、後者の調査とネットワーク遮断を最優先に処理します。
具体例
1. 分析: 不正通信の宛先を確認し、機密情報を扱うサーバーが標的になっているか判定する
2. 優先度判断: 一般社員のPCよりも、顧客データベースサーバーの保護を最優先に対処するもう少し詳しく
初動対応におけるトリアージは、単に目の前の問題を片付けるだけでなく、以下の3つの側面から状況を整理・評価します。 1. 「緊急性（Urgency）」: そのトラブルを放置した場合、どれくらい急速に被害が広がるか（例：ウイルスが他のPCへ自己拡散するスピードなど）。 2. 「影響度（Impact）」: ビジネスに対してどれくらい甚大な損失を与えるか（例：売上に直結する決済システムの停止や、個人情報の漏えいリスクなど）。 3. 「対応可能性（Feasibility）」: 持ち合わせているリソース（人員や技術）で、今すぐに対処が可能な範囲はどこか。 これらを総合的に判断し、対応メンバーの割り当てを行います。また、初動対応では「証拠の保全」と「被害の局所化」のバランスが極めて難しく、例えば感染端末のLANケーブルを抜くことは、ネットワークを通じた被害拡大を防ぐ（被害の局所化）には非常に有効ですが、メモリ上の揮発性ログが消えてしまったり、攻撃者の通信が途切れたりする（証拠保全の阻害）側面も持っています。そのため、事前に初動対応の手順書（プレイブック）を作り、どの場面でどのような対処を選択すべきかを標準化しておく必要があります。
試験でのポイント
試験では、トリアージの定義や「発生したセキュリティインシデントの優先順位を判断し、リソースを効率的に配分する活動である」という意義が問われます。また、インシデント検知直後に行うべき「応急処置（初期の局所化）」の具体例（感染したPCのネットワークからの隔離、一時的なアカウントの無効化など）を選択させる実務的な問題が定番です。慌ててPCの電源を切るのではなく、状況を保全しながら適切に対処するための手順を理解しているかどうかが、実力判定の基準となります。
関連する用語
関連用語には、初期段階でのインシデント処理手順をまとめた「プレイブック（対応手順書）」、インシデントのライフサイクル管理を行う「インシデントハンドリング」、そして電源を切ると失われてしまう実行中の「揮発性データ」などがあります。