正解：ア
各選択肢の解説
ア事実を確かめて対応すべき事象かを見極め、影響と緊急度で優先順位を決める。
正解。トリアージは、事実関係を確かめて対応の要否を判断し、優先順位をつける段階です。 この場面なら、被害が広がっている疑いのあるファイルサーバの件を先に扱います。
イ受け付けた順に一件ずつ原因を突き止め、終わってから次の件に取りかかる。
誤り。受付順に処理すると、急を要する件が後回しになります。窓口業務の公平さと 混同しやすいのですが、インシデント対応では被害の大きさと広がる速さで順番を決めます。 原因の究明はトリアージの後の対応（インシデントレスポンス）で行います。
ウ3件すべての原因分析を終えてから、その結果をもとに優先順位を決める。
誤り。分析は優先順位を決めた後のインシデントレスポンスで行う作業です。 判断の材料を増やしたくなる気持ちはわかりますが、その間にも暗号化などの被害は進みます。 トリアージは限られた情報で素早く振り分けるための段階です。
エ3件ともインシデントとして扱い、すべての対応を同時に始める。
誤り。CSIRTの人手には限りがあり、届いた連絡のすべてに同じ力で対応はできません。 連絡の中には誤検知や思い違いもあるため、対応すべき事象かどうかを 見極めることがトリアージの役割の一つです。
理解を深めるために
トリアージは「どれから、そもそもやるか」を決める段階
トリアージは、もとは救急医療の言葉です。事故現場に多くのけが人がいるとき、 到着した順ではなく、命に関わる人から手当てします。軽いけがの人や、実はけがをしていない人を 見分けることも含まれます。情報セキュリティのインシデント対応でも同じ考え方をとります。
インシデントハンドリングの流れ
JPCERT/CCの「インシデントハンドリングマニュアル」は、対応の基本の流れを次の4段階で示しています。
- 検知／連絡受付
- トリアージ（事実を確かめ、対応すべきかを判断し、優先順位をつける）
- インシデントレスポンス（分析、封じ込め、復旧など）
- 報告／情報公開
トリアージで大事なのは、判断の基準を事前に決めておくことです。何を守るべきかという CSIRTの方針によって基準は変わります。誤検知や通報者の思い違いもあるので、 連絡のすべてが対応の対象になるとは限りません。
設問の3件なら、ファイルが次々に開けなくなっている件はランサムウェアによる暗号化が 進行中の疑いがあり、最優先です。開いていない不審メールは注意喚起や受信状況の確認、 PCの遅さは事実の確認から入る、というように振り分けます。
混同しやすいものとの違い
| 進め方 | 何で順番を決めるか | 問題点 |
|---|---|---|
| トリアージ | 影響と緊急度、対応の要否 | ― |
| 受付順の処理 | 届いた順 | 急ぐ件が後回しになる |
| 全件の分析を先に行う | 分析の結果 | 分析の間に被害が進む |
| 全件を同時に対応 | 区別しない | 人手が分散し、誤検知にも人を割く |
「原因を調べる」はトリアージの後、「順番と要否を決める」がトリアージ、と段階で切り分けます。