# インシデント調査報告書作成依頼時のチェックリスト（ユーザー向け）
## チェックリストの位置づけ
本チェックリストは、調査を依頼する際の合意事項と、報告書を受領する際に最低限確認すべき事項を整理するためのものです。
インシデント調査や報告書の完全な正しさをチェックできるものではありません。
調査そのものの技術的な品質、調査範囲の選定、調査目的と調査結果の整合性、エビデンスの妥当性、再発防止策の妥当性などの精査には専門的な知識が必要になります。
報告書の技術的観点のレビューに懸念がある場合は、専門家への相談（JPCERT/CCなど）を検討してください。
## 1. 調査方針の合意
| 項番 | 項目 | 詳細 |
| ---- | ---- | ---- |
| 1-1 | 調査目的と報告書の利用目的 | - 何を明らかにするための調査かを整理します。
- 調査結果を、復旧判断、再発防止、経営判断、法令対応、関係者への説明、被害公表など、どの用途に使用するかを組織内で確認します。 |
| 1-2 | 優先確認事項 | - 侵入経路特定、侵害範囲特定、情報漏えいの有無確認、封じ込め方法確認、復旧方法のサポートなど、優先して確認する事項を合意します。
- 侵入経路特定や情報漏えいの有無は、エビデンス不足により特定できない可能性があります。
- 優先順位を決める際は、業務への影響、証拠保全への影響、調査期間について説明を受け判断します。
- 復旧を優先することで証拠が失われる可能性や、調査を優先することで業務再開が遅れる可能性など、選択に伴う影響を確認します。
- なお、調査の目的によっては、事前に優先順位を決めずに調査を進める場合もあります。 |
| 1-3 | 報告書の必要性と形式 | - 報告書の用途が決まっておらず、インシデント調査から確認したい事項が明確な場合は、口頭説明や簡易報告で足りることがあります。
- 次のように報告書の利用目的が決まっている場合は、正式な報告書の作成を検討します。
1. 監督官庁、保険会社、取引先、親会社、関係会社、内部報告などへの説明
2. 被害公表、法的対応、経営判断、監査
3. 将来の再調査や再発防止策の管理
- 正式な報告書を作成しない場合も、その理由、最終成果物として共有される内容については合意します。 |
| 1-4 | インシデント調査の範囲と調査手法の説明 | - 調査対象システム、対象ログ、対象期間とその選定理由を確認します。
- 採用する調査手法について、選定理由、その手法で確認できる事項、確認できない事項の説明を受けます。
- EDRなどのセキュリティ製品を導入し、該当製品ベンダーに調査を依頼する場合は、セキュリティ製品から収集した情報が調査対象となることがあります。 |
| 1-5 | 調査で判断できない事項 | - 判断できない可能性がある事項について、次の内容が説明されているか確認します。
1. 判断できない原因（どのログ・システム・期間が不足しているかなど）
2. 判断材料の不足が調査にどのような影響を与えるか
3. 追加調査によって確認できる可能性はあるか |
| 1-6 | 報告項目と最低限必要な内容 | - 報告書の提出を依頼する場合は、少なくとも次の内容を含めるよう合意します。
1. エグゼクティブサマリー（インシデント概要）
2. インシデントの原因（初期侵入原因）
3. 影響範囲（被害拡大）
4. 被害内容
5. 再発防止策
- 簡易報告の場合も、必要な項目と省略する項目を事前に合意します。 |
| 1-7 | 報告の形式、頻度、期限、手段 | - 中間報告、最終報告、メールでの速報など、報告方法と期限を合意します。
- 報告の頻度を増やすことで、調査の進捗を妨げる恐れがあるため、不必要な報告の機会を設けないようにします。
- 次のような状況が発生した場合に速報・臨時報告を受けることが可能か確認します。
1. 新たな侵害対象が確認された
2. 情報漏えいの評価（情報漏えいを確認等）が変化した
3. 封じ込め、復旧ステータスの再検討（新規事実による封じ込め不十分等）が必要になった
4. 調査範囲、追加費用、完了予定の変更が必要になった
- あらかじめ、連絡・報告手段（メール、オンラインミーティングなど）を決めておくと、スムーズな意思疎通につながります。 |
| 1-8 | 報告書の共有範囲 | - 報告書を監督官庁、警察、保険会社、取引先、親会社などへ提供する可能性がある場合は、共有先と利用目的を調査ベンダーに説明します。
- 報告書の利用範囲、第三者提供、二次利用の可否を確認します。 |
| 1-9 | 提出物に関する問い合わせ対応 | - 報告書や添付資料の納品後に、どの範囲まで問い合わせ対応を受けられるか確認します。
- 対応窓口、対応期間、追加費用の有無を確認します。 |
| 1-10| 合意事項を文書として受領 | - 合意事項について認識の齟齬が発生しないように口頭だけでなく、メール等記録の残る形で受領します。 |
## 2. 調査結果（報告書等）のレビュー
| 項番 | 項目 |
| ---- | ---- |
| 2-1 | 合意した調査目的に含まれていた事項が報告書から抜けていないか |
| 2-2 | 合意した調査目的ごとに、回答または回答できない理由が記載されているか |
| 2-3 | エグゼクティブサマリーと各章の説明やタイムラインが矛盾していないか |
| 2-4 | 調査対象システム、対象ログ、対象期間、および調査対象外となったシステム、ログ、期間等が記載されているか |
| 2-5 | 主要な結論について、証拠ID、ログ抜粋、対象システム、日時など根拠を追跡できる情報が提示されているか |
| 2-6 | ログ不足や暗号化、ファイル削除等によって調査できない事項があった場合、その説明が記載されているか |
| 2-7 | 判断できない事項があった場合、不足情報、残るリスク・影響が記載されているか |
| 2-8 | 追加調査が推奨される事項がある場合は、目的、優先度が記載されているか |
| 2-9 | 報告内容に関する問い合わせ先が記載されているか |
### 2.1. 封じ込め、根絶、復旧［依頼している場合］
| 項番 | 項目 |
| ---- | ---- |
| 2.1-1 | 各対応が、どの調査結果に対応するか明記されているか |
| 2.1-2 | 各対応の目的、対象、優先度、期待する効果が記載されているか |
| 2.1-3 | 業務、証拠保全、復旧期間への影響が記載されているか |
| 2.1-4 | 実施に伴うリスクや、実施前に確認すべき依存関係が記載されているか |
### 2.2. 再発防止策
| 項番 | 項目 |
| ---- | ---- |
| 2.2-1 | 各対策が、どの調査結果または調査上の課題に対応するか明記されているか |
| 2.2-2 | 優先度、期待する効果、実施上の注意が記載されているか |
| 2.2-3 | 一般的な推奨事項だけでなく、当該事案で確認された内容に基づく対策が含まれているか |
### 2.3. IoC
| 項番 | 項目 |
| ---- | ---- |
| 2.3-1 | インシデント調査の過程で確認されたIoCが記載されているか |
| 2.3-2 | 各IoCについて、種別、値、概要が記載されているか |
| 2.3-3 | そのまま監視や検索へ利用できる形式で提供されているか（報告書とは別に、テキストやExcelでIoCのみ受領することで、システムへの適用が容易になる場合があります） |
### 2.4. 脅威インテリジェンス調査［依頼している場合］
| 項番 | 項目 |
| ---- | ---- |
| 2.4-1 | 攻撃関連のIPアドレス、ドメイン、URL、ハッシュ値などについて、外部情報などを用いて確認した結果が記載されているか |
| 2.4-2 | 攻撃アクター名やキャンペーン名を記載する場合、その判断根拠、情報源、確度が示されているか |
| 2.4-3 | 類似事例の記事、ニュース、レポートなどの参考情報が提示されているか |
| 2.4-4 | 攻撃手口、IoC、類似事例に基づいた追加調査、検知方法、再発防止策が提示されているか |
## 3. ［参考］報告書の詳細確認ポイント
上記までのチェックリストで最低限の確認事項をカバーしていますが、報告書の各章についてより詳細にレビューを実施する場合は、以下を参考に実施してください。（上記項目と重複する内容が含まれます）
### 3.1. エグゼクティブサマリー
| 項番 | 項目 |
| ---- | ---- |
| 3.1-1 | インシデントが発覚した日時と、発覚したきっかけが記載されている |
| 3.1-2 | 侵害が確認された、または疑われるシステムやアカウントが具体的に記載されている |
| 3.1-3 | マルウェア感染、認証情報の悪用、情報漏えいなど、確認された影響が記載されている |
| 3.1-4 | 確認できた事項、可能性がある事項、判断できない事項が区別されている |
| 3.1-5 | 現時点で残っているリスクが記載されている |
| 3.1-6 | 封じ込め・復旧等を依頼している場合、直ちに実施すべき対応が、対象と優先順位を含めて記載されている |
### 3.2. 調査結果
#### 3.2.1. インシデントの原因・初期侵入
| 項番 | 項目 |
| ---- | ---- |
| 3.2.1-1 | 侵入に利用された可能性があるシステム、アカウント、脆弱性（CVE番号など具体的事項）などが具体的に記載されている |
| 3.2.1-2 | 初期侵入の根拠となるログ、設定情報、パッチ適用状況などが示されている |
| 3.2.1-3 | 初期侵入の原因を断定できない場合、不足している情報やログなどが記載されている |
| 3.2.1-4 | 初期侵入の原因が推測である場合、推測である旨とその根拠が説明されている |
| 3.2.1-5 | 複数の原因が考えられる場合、それぞれの可能性が記載されている |
#### 3.2.2. インシデントの影響範囲
| 項番 | 項目 |
| ---- | ---- |
| 3.2.2-1 | 調査した各システムについて、次のいずれかが明示されている
- 侵害を確認した
- 侵害の痕跡は確認されなかった
- ログ不足などにより判断できない |
| 3.2.2-2 | 各判断の根拠となるログやファイルなどが示されている |
| 3.2.2-3 | 侵害または悪用が確認されたアカウントや、侵害が疑われるものの調査対象外となったシステムが一覧で示されている |
#### 3.2.3. 被害内容
| 項番 | 項目 |
| ---- | ---- |
| 3.2.3-1 | マルウェア感染、アカウント情報漏えい、横展開の有無、侵害されたサービス、メール不正送信など、確認された被害が記載されている |
| 3.2.3-2 | 被害にあっていた期間が示されている |
| 3.2.3-3 | 情報漏えいについて、次のいずれかが明示されている
- 漏えいを確認した
- 漏えいした可能性がある
- 漏えいを示す痕跡は確認されなかった
- 判断できない |
| 3.2.3-4 | 情報漏えいを評価するために確認したログやデータが記載されている |
| 3.2.3-5 | 情報漏えいを確認した（または漏えいした可能性がある）場合、対象のデータの種類と保存場所が記載されている |
| 3.2.3-6 | インシデントに関連する外部通信が確認された場合、通信元、通信先、時刻、送信量などが記載されている |
### 3.3. 再発防止策
| 項番 | 項目 |
| ---- | ---- |
| 3.3-1 | 各対策が、どの調査結果に対応しているか記載されている |
| 3.3-2 | 対策の対象となるシステム、アカウント、機器などが具体的に記載されている |
| 3.3-3 | 「高・中・低」などの優先順位が付けられている |
| 3.3-4 | 対策によって期待される効果が記載されている |
| 3.3-5 | システム停止、設定変更など、実施時の注意事項が記載されている |