• インシデントへの備え
  • インシデントや違反の内容を列挙し、既存のセキュリティ管理体制やチームメンバーの役割と責任を添える。
• インシデントの検出と封じ込め
  • インシデントを検出して適切に対処するため、IT部門が監視および確認する対象を概説する。
• インシデントの根絶と復旧
  • ネットワークシステムのクリーンアップや正常な状態の回復、リピート監視のための手順を概説する。
• 違反の報告
  • ビジネスパートナーや顧客との契約、あるいは法律に基づいて、企業でデータ漏えいが発生したことを顧客や他の当事者に通知する義務を定める。
• インシデントのフォローアップ
  • 根本的な原因や得られた教訓、発生直後の関連手順などを示す。

　インシデントレスポンス計画には、社外のベンダーを含めた全ての関係者の連絡先情報を含める必要がある。IT部門が実行すべきインシデントレスポンステストもあるとよいだろう。セキュリティポリシーやネットワーク図、サイバーセキュリティ保険証券などの関連ドキュメントも不可欠だ。

モバイルインシデントレスポンス計画が重要な理由

　インシデントレスポンス用ドキュメントにモバイルデバイスを記載しない企業もあるだろう。だが、エンドユーザーはモバイルデバイスを利用して重要システムや情報にアクセスできるため、モバイルデバイスがリスクを引き起こす恐れがあることは明らかだ。

　モバイルデバイスが発端になるインシデントはさまざまだ。例えばフィッシングや電話によるソーシャルエンジニアリング（心理的な隙を突く攻撃）などがある。マルウェアによるインシデントが発生する恐れもある。

　不適切ないし不正なユーザーアクセスやデータ流出への注意も必要だ。エンドユーザーはモバイルデバイスを紛失しやすい。紛失した場合、デバイスとそこに格納されている資産が危険にさらされる。

具体的なモバイルインシデントレスポンス計画

　モバイルデバイスが関連したインシデントに対処するモバイルインシデントレスポンス計画に最低限必要な項目は、次の通りだ。

ログ収集、監視、アラート

　モバイルデバイスのログ収集や監視、アラートについて記載するとよい。これには一般的なモバイル管理ツールを使用するか、モバイルデバイス管理（MDM）やエンタープライズモビリティー管理（EMM）、統合エンドポイント管理（UEM）といったツールを使用する。モバイルデバイスが実行するテクノロジーにまつわるログ収集や監視、アラートも記載するとよい。こうしたテクノロジーには、モバイルアプリケーションやネットワーク接続に加え、データ損失防止（DLP）や多要素認証、Webコンテンツフィルタリングなどのセキュリティ技術がある。

データバックアップ

　盗難や紛失などの被害が発生したときに、IT部門が実行すべきクラウドおよびローカルストレージのバックアップと復元の操作を記載するとよい。モバイルデバイスにはさまざまなビジネス資産が含まれている。

パスワード

　疑いのある、もしくは確認済みのセキュリティイベントが発生した際に、IT部門がパスワードをリセットするのに必要な手順を記載するとよい。未承認ユーザーがモバイルデバイスを利用する可能性がある場合、IT部門はモバイルデバイスのアカウントを詳しく調べ、エンドユーザーがモバイルアプリケーションやWebブラウザに保存しているアカウントについての対処法を検討しておく必要がある。

リモートワイプ

　「リモートワイプ」とはモバイルデバイスを遠隔操作して、そこに保存されているデータを消去するための機能だ。紛失や盗難の後にネットワーク接続情報や情報資産が公開されないようにするため、IT部門が実行すべきリモートワイプについて記載するとよい。

　IT部門がモバイルインシデントレスポンス計画を策定するときは、何らかの形で自社システムの情報を操作する可能性があるベンダーや顧客、請負業者のモバイルデバイスも対象にする必要がある。インシデントレスポンス計画以外にも、IT部門は企業のシステムのインベントリ（目録）を取得し、モバイルデバイスで脆弱（ぜいじゃく）性診断やペネトレーションテスト（実際の攻撃シナリオに沿ったテスト）を実行することも必要だ。