JPCERT/CC、「インシデント調査報告書チェックリスト」を公開　依頼側と作成側の確認事項を整理

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は11月11日、ランサムウェア攻撃や情報漏えいのインシデント調査を念頭に、「インシデント調査報告書チェックリスト」を公開した。

事案の詳細

JPCERT/CCが公開した「インシデント調査報告書チェックリスト」は、調査を依頼する被害組織と、報告書を作成する担当者が共通認識を持ち、インシデント調査を円滑に進めることをサポートするためのもの。インシデント調査の一般的な手順や、考慮すべき事項を整理している。

公開の背景としてJPCERT/CCは、ランサムウェア攻撃や情報漏えいに関するインシデント調査において、初めてインシデントに対応する被害組織では、インシデント調査会社など外部組織による調査の妥当性の評価や、インシデント収束の判断に迷うことがあったと説明している。こうした課題に対応するため、チェックリストを公開した。

チェックリストは、調査を依頼する組織が使う「インシデント調査報告書作成依頼時のチェックリスト」（ユーザー向け）と、調査を担当する者が使う「インシデント調査報告書作成時のチェックリスト」（レポーター向け）の2種類。いずれもHTMLとMarkdownで公開されている。

影響と背景

チェックリストは、依頼側と作成側の双方が確認すべき事項を整理し、合意形成やレビュー、証拠保全、報告書作成といった工程を進めるための材料となる。ユーザー向けは「調査方針の合意」「調査結果（報告書等）のレビュー」「報告書の詳細確認ポイント」の3つで構成され、レポーター向けは「調査開始前の合意」「証拠保全」「報告書」「付属資料」の4つで構成されている。

対策・今後の展望

• 依頼側（ユーザー向け）の観点：調査を担当する組織やベンダーとの合意、および受領した報告書の確認にチェックリストを用いる。
• 作成側（レポーター向け）の観点：調査開始前の合意、証拠保全、調査結果の整理、報告書の作成および最終確認を行う際にチェックリストを参照する。
• 例示資料の活用：チェックリストの公開に合わせて、架空のインシデントを例にした42ページの「インシデント調査報告書サンプル」も公開されている。

CSRIからのアドバイス

ランサムウェア攻撃や情報漏えいの調査では、被害組織と外部の調査担当者の間で、調査方針の合意や、調査結果（報告書等）のレビュー、証拠保全、付属資料の扱いなど、確認すべき論点が多くなりやすい。JPCERT/CCは、こうした論点を整理したチェックリストを公開している。

インシデント調査報告書は、事故の原因究明と再発防止を進めるための報告書であり、誰が何をどこまで確認し、どの形で受け取って判断するかをそろえることが、調査結果の妥当性の評価や収束判断につながる。チェックリストは、その共通認識づくりを支える位置付けになる。

まず、ユーザー向けチェックリストにある「調査方針の合意」「調査結果（報告書等）のレビュー」「報告書の詳細確認ポイント」の3点を自組織内で確認し、調査の依頼時に担当者へ共有する。次に、レポーター向けの構成である「調査開始前の合意」「証拠保全」「報告書」「付属資料」を関係者に伝え、受領時にどこを見て判断するかを決めておく。

参照: JPCERT/CC、ランサムウェア攻撃や情報漏えいの「インシデント調査報告書チェックリスト」公開、依頼側と作成側の確認事項を整理