システム侵害に対して即座に対応できるように，インシデント対応計画を導入し，システム侵害の発生に備えて準備しなければならない。インシデント対応計画を策定する際には，VISAから公表されている「Incident Response Procedure」の「Incident Response Procedure For account compromise」Version1.2，2004が参考になる。この文書を参考にして，インシデント対応計画について解説する。

インシデント対応のフレームワーク

　「Incident Response Procedure」では，インシデント対応は七つの段階に大別されると述べている（図2）。

図2●インシデント対応のフレームワーク

第1段階：インシデントレスポンスチーム（IRT）を召集する。
第2段階：システム挙動や設定エラー情報などから，インシデントの発生を特定する。
第3段階：インシデントの範囲や影響度合い，被害状況などを評価する。
第4段階：被害を最小限に食い止めて，インシデントを封じ込める。
第5段階：根本原因を調査して，インシデントを根絶する。
第6段階：通常業務へ復旧する。
第7段階：フォローアップを行う。

　インシデント対応計画は，想定されるインシデントに対して，これら一連のインシデント対応フレームワークが実施可能となるように立案される必要がある。

インシデント対応計画の策定とテスト

　インシデント対応計画を策定しなければならない。

　インシデント対応計画の策定の際には，インシデント対応プロセスにおける役割と責任を明確にする必要がある。図3にインシデント対応チームの体制例を示す。インシデント対応責任者の下，各担当分野の責任範囲を明確にしなければならない。

図3●インシデント対応チームの体制例

　インシデント対応計画には，アクワイアラや国際カードブランドへの連絡方法を記述する必要がある。インシデント対応計画において明確にしておくべき外部の連絡先について，表7に示す。

　インシデント対応計画においては「いつ，どのような状況の場合に，どこへ何を連絡する」といった事項について，緊急状況下においても判断が可能なように，具体的に詳細まで記述しておくことが望ましい。

　インシデント対応計画に定めた報告手順や対応手順が有効に機能することを確認するために，インシデントの発生を想定したテストを定期的に行う必要がある。テストの実施結果はインシデント対応計画の見直しに利用するため，テスト実施時の記録を適切に残すことが必要になる。

　インシデント対応計画を修正し，再展開するためのプロセスが必要となる。ここでいうプロセスとは，実際のインシデント発生時の対応やテストにおける経験と，他社のインシデント対応事例，セキュリティ技術動向を考慮しながら，インシデント対応計画を見直すプロセスを指している。