インシデント調査報告書チェックリスト

本チェックリストは、インシデント調査を依頼する組織と、調査報告書を作成する担当者の双方が共通認識を持ちながら調査を進めることで、調査を円滑に進めることをサポートすることを目的とした補助ツールです。チェックリストの内容は、インシデント調査の一般的な手順や考慮すべき事項を網羅していますが、すべての状況に適用できるわけではありません。必要に応じて、組織の方針や調査対象の特性に合わせてカスタマイズしてご利用ください。
なお、本確認ポイントはマルウェア感染などをともなうネットワーク侵害を対象としており、内部不正を疑うインシデントなどの場合は適用できない項目があります。

ユーザー向け

インシデント調査報告書作成依頼時のチェックリスト（ユーザー向け）

インシデント調査を依頼する組織がベンダーと調査方針の合意を行う際や、受領した報告書の最低限の確認に使用します。

HTMLを開く Markdownを開く
レポーター向け

インシデント調査報告書作成時のチェックリスト（レポーター向け）

インシデント調査を担当する者が、報告書を作成する際に使用します。

HTMLを開く Markdownを開く
ユーザーおよびレポーター向け

インシデント調査報告書サンプル

チェックリストの基準を、実際の報告書構成と記載例に落とし込んだサンプルです。

PDFを開く

チェックリストの使い方

ユーザー向け

- ユーザー向けチェックリストは、インシデント調査を依頼する組織が、調査を担当する組織やベンダーとの合意、および受領した報告書の確認に使用します。

  1. 調査開始前に「調査方針の合意」を確認し、調査目的、優先事項、調査対象、調査手法、報告形式、期限などについて合意します。
  2. 報告書を受領した際は「調査結果のレビュー」を使用し、合意した調査目的への回答、調査対象、根拠、判断できない事項、追加調査、再発防止策などが記載されているか確認します。
  3. 報告書の各章をより詳しく確認する場合は、「報告書の詳細確認ポイント」を参考にします。

- 本チェックリストは、インシデント調査や報告書の完全な正しさを検証するものではありません。インシデントの内容や契約内容によっては、該当しない項目や、追加で確認すべき項目があります。

- 調査そのものの技術的な品質、調査範囲や調査手法の妥当性、エビデンスの十分性、再発防止策の妥当性などを評価するには、専門的な知識が必要です。 技術的なレビューに懸念がある場合は、JPCERT/CCなどの専門機関や専門家への相談を検討してください。

- 既存のインシデント対応サービスやSOCサービスを利用している場合は、契約書、サービス仕様書、SLAなどで調査範囲や報告事項があらかじめ定められていることがあります。 チェックリストと契約内容を比較し、追加対応が必要な項目については、調査を担当する組織やベンダーと協議してください。

レポーター向け

- レポーター向けチェックリストは、インシデント調査を担当する者が、調査開始前の合意、証拠保全、調査結果の整理、報告書の作成および最終確認を行う際に使用します。

- すべての項目がすべてのインシデントに適用されるわけではありません。 インシデントの種類、調査目的、契約内容、取得できたエビデンス、組織の方針に応じて確認項目を追加または調整してください。

ライセンス

本ドキュメントは クリエイティブ・コモンズ4.0の表示 - 継承（CC BY-SA 4.0）の元で公開します。

免責事項

本ドキュメントに記載されている情報により生じるいかなる損失または損害に対して、JPCERT/CCは責任を負うものではありません。 ドキュメントの改変は自由ですが改変がなされた場合、改変された部分についても、もちろんJPCERT/CCは責任を負いません。 また、改変する場合は、コンテンツの品質向上の契機とするため、ご連絡下されば幸いです。

謝辞

本ドキュメントの作成にあたり、ご協力いただいた皆様に感謝いたします。