CISSPドメイン7 セキュリティ運用
CISSP の8ドメインのうち、日々の運用の中で、見張り、インシデントに対応し、業務を元に戻し、続けることを扱うドメインの学習ページです（英語では Security Operations）。このwikiの用語ページを、学ぶ順に、一行の説明を付けて並べています。
このドメインの問い
ISC2 の試験アウトライン（2024年4月15日発効）は、このドメインを15の項目に分けています。7.1 調査、7.2 ログの取得と監視、7.3 構成管理、7.4 運用の基本の考え方、7.5 資源の保護、7.6 インシデント管理、7.7 検知と予防の仕組みの運用、7.8 パッチと脆弱性の管理、7.9 変更管理、7.10 復旧の戦略、7.11 災害からの復旧（DR）の手順、7.12 DR の計画の試験、7.13 事業の継続の計画と演習、7.14 物理的なセキュリティ、7.15 人の安全とセキュリティです。2027年4月15日発効の新しいアウトラインでも項目の数は同じで、たとえば、7.2 に SOAR（複数の道具の連携と、対応の自動化の仕組み）と、外へ出る通信の監視の例として DLP（情報漏えい対策）が、7.7 にエンドポイントの保護の例として EDR・XDR（端末や複数の層で検知して対応する仕組み）が、7.10 のバックアップの保管の例に改ざんできない（immutable）保管と暗号化が、7.11 に MTTR・MTBF（平均の解決時間・故障の間隔）などの指標が加わります。7.4 の名前の例示に多層防御が入り、7.4 の細目から SLA（サービスの水準の合意）が外れ、7.14 の「境界のセキュリティの管理策」は「外部のセキュリティの管理策」になります。
要点：インシデント対応の流れの描き直し
NIST SP 800-61 Rev. 3（2025年4月）は、前の版（Rev. 2、2012年）の4つの段階の輪を、NIST のサイバーセキュリティフレームワーク（CSF 2.0）の6つの機能に沿って描き直しました。
| 前の版の段階 |
CSF 2.0 の機能（SP 800-61 Rev. 3 の表1） |
| 準備 |
統治（GV）・識別（ID、すべての区分）・防御（PR） |
| 検知と分析 |
検知（DE）・識別の中の改善（ID.IM） |
| 封じ込め・根絶・復旧 |
対応（RS）・復旧（RC）・識別の中の改善（ID.IM） |
| 事後の活動 |
識別の中の改善（ID.IM） |
統治・識別・防御は対応そのものではなく、対応を支える、より広いリスク管理の活動です。教訓は、すべての機能から改善（ID.IM）に集められます。Rev. 3 は、対応の中で得た教訓は、復旧の終わりを待たず、分かった時点で共有するべき場合が多いとしています（
対応）。
学ぶ順序
- ''1. 運用の基本の考え方''
- 最小権限の原則：仕事に必要な最小限の権限だけを与える
- 職務の分離：重要な業務を1人で完結できないように、権限と担当を分ける
- 特権アクセス管理：強い権限のアカウントを絞り、必要なときだけ使わせ、記録して見張る
- 多層防御：性質の違う防御を重ね、1つが破られても被害を止める
- ''2. 見張って見つける''
- ログ管理：出来事の記録を作り、守り、保管し、定期的に分析する
- 検知：攻撃や侵害の兆しを見つけて分析し、インシデントかを判断する
- ids/ips：侵入や攻撃の兆しを見つける仕組み（IDS）と、止めようとする仕組み（IPS）
- ファイアウォール：決めた規則に従って、通信を通したり止めたりする
- DLP：機密の情報が許可なく組織の外へ出るのを検知し、止める
- SOC：組織の情報システムを見張り、脅威に対処する拠点
- サイバー脅威ハンティング：組織の中に潜む未知の脅威を、能動的に探す
- ''3. 起きたら対応する''
- 対応：被害を抑え、原因を取り除き、報告し、復旧へつなげる。日本の漏えい等の報告もここ
- CSIRT：インシデントに対応する専門のチーム
- ''4. 戻して、続ける''
- 復旧：インシデントで損なわれた資産と業務を元に戻す
- バックアップ：オフラインで暗号化して持ち、戻せることを試験で確かめる
- BCP：事業を続けるための計画と、その演習
- BIA・RTO・RPO：業務の影響の分析と、どれだけの時間で、どの時点まで戻すかの目標
- ''5. 資源を守り、直し続ける''
上の中には、まだ出典を付けて書き直していない古いページもあります（SOC、CSIRT、サイバー脅威ハンティング、ハードニング、脆弱性管理など）。順に書き直しています。調査（7.1）のフォレンジクスのページは、書き直してから加えます。
日本で働くなら：対応する法令とガイドライン
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| 個人データの漏えい等の報告 |
個人情報保護法第26条と個人情報保護委員会規則第7条・第8条：要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、本人の数が千人超、のいずれかの漏えい等が発生し、または発生したおそれがあるときは、個人情報保護委員会に、速やかに（ガイドラインの目安は概ね3〜5日以内）速報し、30日以内（不正の目的によるおそれの場合は60日以内）に確報する。高度な暗号化などの措置を講じた個人データは除く。本人にも、事態の状況に応じて速やかに通知する。委託先が委託元に通知した場合などの例外がある（詳しくは対応） |
| ログの分析 |
個人情報保護委員会のガイドライン（通則編）：情報システムを外部からの不正アクセスなどから守る仕組みを導入し適切に運用すること（技術的安全管理措置）は講じなければならず、その手法の例に「ログ等の定期的な分析により、不正アクセス等を検知する」がある。手法は、例示の全てを講じなければならないわけではない（ログ管理） |
| 相談と報告の先 |
インシデントの報告と調整の窓口として JPCERT/CC（JPCERT コーディネーションセンター）、サイバー事案の通報・相談の窓口として警察がある（リンク集） |
施行前の改正：2026年7月17日公布の個人情報保護法の改正法で、本人への通知の例外が広がるなど、決まりが変わる予定です（本体は公布から2年以内に政令で定める日に施行）。施行までは上の表の決まりが適用されます（
対応）。
確認問題
- NIST SP 800-61 Rev. 3 では、前の版の「準備」の段階は、CSF 2.0 のどの機能にあたりますか
- シグネチャ型とアノマリ型の検知は、それぞれ何と何を比べ、何が苦手ですか
- 日本で、不正アクセスで顧客の個人データが漏えいしたおそれがあると分かりました。個人情報保護委員会への報告の期限はどうなりますか
模範解答
- 統治（GV）・識別（ID）・防御（PR）。Rev. 3 は、これらを対応そのものではなく、対応を支える、より広いリスク管理の活動としている。
- シグネチャ型は、既知の攻撃の特徴と観察した事象を比べる。既知の脅威には非常に有効だが、未知の脅威や、回避の手法で見た目を変えた脅威、既知の脅威の多くの変種はほとんど検知できない。アノマリ型は、普段の振る舞いの定義と観察した事象を比べ、大きな外れを見つける。未知の脅威に有効になりうるが、普段と違うだけの正当な活動で誤検知が多くなりがちで、普段の振る舞いを作るときに悪い活動を取り込んでしまうこともある。誤検知と見逃しはどちらの方式でも両方は無くせず、一方を減らすと他方が増えることが多い（SP 800-94）。
- 不正の目的をもって行われたおそれがある行為による漏えい等（規則第7条第3号。ガイドラインは「不正アクセスにより個人データが漏えいした場合」を報告を要する事例に挙げている）にあたるので、知った後速やかに速報（目安は概ね3〜5日以内）し、知った日から60日以内に確報する。法人では、いずれかの部署が知った時点が起算点になる。本人への通知も要る。
次に読む
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
