評価基準 No.1-2-2-2
サイバー攻撃の監視・分析体制

「サイバー攻撃の予兆検知及びインシデントの発生の検知を可能」とするための体制は、どのように整備すればよいか？

・体制を自組織で整備する方法と、外部委託を活用する方法が考えられる。

・自組織で整備する場合には、例えば、脆弱性情報やサイバー攻撃動向に関する情報を定期的に収集するとともに、社内外ネットワークの境界部分に設置された機器等のログを確認し、異常の有無を監視する担当者及び対応手順を定めることが考えられる。

・外部委託の場合、中小企業向けセキュリティ対策に不可欠なサービスをワンパッケージで提供している以下のようなサービスを活用することが考えられる。

-IPA：サイバーセキュリティお助け隊サービス（https://www.ipa.go.jp/security/otasuketai-pr/）

・入手した情報や社内外ネットワークの境界部分に設置された機器等のログについて、例えば UTM 等を活用して分析・監視を行う体制を整備することが考えられる。また、複数の機器等から取得したログを組み合わせて分析する場合には、SIEM（Security Information and Event Management）等を活用して相関分析を行うことも有効である。

・脆弱性対処やインシデント対応を円滑に実施するための方針・体制については以下の資料も参考になる。

-IPA：製品利用者ガイド(https://www.ipa.go.jp/security/guide/vuln/rcu1hd000000a5en-att/guide_for_usr.pdf)

インシデントの予兆検知のために、どのような分析手法を用いることが考えられるか？

・分析手法の一つとして相関分析がある。これは、複合的なログなどを分析してセキュリティインシデントの予兆や痕跡を見つけ出す手法で、以下の資料が参考になる。

-IPA「産業用制御システム向け侵入検知製品等の導入手引書」では、産業用制御システムを対象として、ログ分析や相関分析による侵入検知の考え方を解説している。

本制度において制御システムは対象外であるが、相関分析の考え方を理解する上で参考になる。(https://www.ipa.go.jp/security/controlsystem/ps6vr7000001o2b1-att/icsidshandbook.pdf）