情報セキュリティインシデント対応手順
パート I – 目的、定義および法的根拠
条 1. 目的
1.1. 本手順は、HiTechCloudが情報セキュリティインシデント（Security Incident）の発生時に検知、分析、封じ込め、是正、復旧、および教訓の抽出を行うための標準アクションフレームワークを策定するものであり、以下の目的を持ちます：(a) 被害の抑制、(b) 顧客に対するSLAコミットメントの維持、(c) PDPDに基づく個人データ保護、(d) 管轄当局および影響を受ける顧客への通知義務の遵守。
第 2 条 定義
2.1. “セキュリティイベント” (Security Event): セキュリティに関連する可能性のある観察 (ログイン失敗、ポートスキャン)。 「インシデント セキュリティ」 (Security Incident): セキュリティポリシーの違反、またはその脅威が確認されたイベント。 「データ違反」 (Data Breach)：不正な方法でデータを公開、紛失、変更、または破棄するインシデント。 “CSIRT”：HiTechCloud の内部情報セキュリティインシデント対応チーム。
法的根拠:
- 2025 年サイバーセキュリティ法（第 116/2025/QH15 号法律、2026 年 7 月 1 日施行 — 2018 年サイバーセキュリティ法および 2015 年サイバー情報セキュリティ法を統合・置換）、サイバーセキュリティ保護およびインシデント調整・対応に関する法律。
- 情報システム分類レベル別セキュリティを保証する政令85/2016/ND-CP、および2025年サイバーセキュリティ法を実装する政令。
- 個人データ保護法 2025 (法律第 91/2025/QH15 号) および個人データ侵害通知に関する政令 356/2025/NĐ-CP;
- 決定05/2017/QĐ-TTgは国家サイバー情報セキュリティ緊急対応計画およびインシデント対応ネットワーク（VNCERT/CC）に関するものです。
- GDPR（第 33、34 条）— 規定の対象範囲内のデータ主体に適用します。
PART II – インシデント対応チーム（CSIRT）の組織
第3条 CSIRT 構成
3.1. CSIRT は以下で構成されます: (a) インシデント指揮官 (Incident Commander) – セキュリティ管理者 (CISO/ISO); (b) 技術対応人事 (Tier 1/Tier 2 NOC + SOC); (c) デジタルフォレンジック専門家 (Digital Forensics); (d) 法務代表者および DPO (個人データに影響を及ぼすインシデントの場合); (e) 広報および顧客関係代表者; (f) 本部長オブザーバー (P1 インシデントの場合)。
3.2. CSIRT は 24/7 で交代制勤務体制で運用中。Email: csirt@photuesoftware.com.
第 4 条 インシデント優先度分類
4.1. インシデントは 4 つのレベルに分類されます: P1 – CRITICAL （システム全体のサービス停止、レベル 4 データ違反、widespread ransomware、key/secret 漏洩 — 応答時間 ≤ 15 分）； P2 – HIGH （重要顧客クラスターのサービス停止、本番システムへの不正侵入、レベル3データの漏洩 — 応答時間 ≤ 30分）； P3 – MEDIUM （1～2台のサーバー上のマルウェア、単一のIPからのブルートフォース攻撃、未悪用の重大な脆弱性 — 対応≤2時間）； P4 – LOW (ポートスキャン、異常なログイン失敗、軽度の異常 — 対応時間 ≤ 1 営業日)。分類レベルは情報セキュリティシステムポリシーのデータ分類および SLA の P1～P4 優先度レベルと一致します。
パート III – 6 段階のプロセス (NIST SP 800-61 に基づく)
条 5. ステップ 1 – 準備（Preparation）
5.1 HiTechCloud は以下を維持しています：(a) インシデント種別別のインシデント対応 runbook（DDoS、ランサムウェア、データ漏洩、phishing、インサイダー脅威）を 12 ヶ月ごとに更新、(b) 標準フォレンジック toolkit（FTK Imager、Volatility、Wireshark、GRR、Velociraptor、OSSEC、Wazuh）、(c) インシデント演習（テーブルトップ + ライブドリル）を 6 ヶ月以上の間隔で実施、(d) 緊急連絡先リスト（国家機関、インフラパートナー、法務顧問、保険会社）。
第6条. ステップ2 – 検出および分析 (Detection & Analysis)
6.1. 検出ソース：(a) SIEM – 一元集約ログ；(b) IDS/IPS および EDR/XDR リアルタイムアラート；(c) チケット、ホットライン、Email 経由での顧客報告 report@photuesoftware.com （不正利用報告ポリシーに基づく）；（d）第三者からの通知（VNCERT/CC、CDN パートナー、脅威インテリジェンスフィード）。
6.2. シグナルを受け取ったとき、SOC Tier 1 は ≤ 15 分以内に初期評価を実施し、イベントを P1～P4 に分類します。P1 および P2 インシデントは直ちに Tier 2 および Incident Commander にエスカレートされます。
条 7. ステップ 3 – 封じ込め (Containment)
7.1. 短期的な封じ込め: 侵害されたホストを分離し、NGFW/DNSレイヤーで悪意のあるIP/ドメインをブロックし、疑わしいアカウントを一時的にロックし、分離前に仮想マシンのスナップショットを作成します。
7.2. 長期的な封じ込め: システム再構築、全 secret/key ローテーション、根本原因脆弱性パッチ、新しいハードニング設定の適用。
7.3. インシデント指揮官により承認された封じ込め決定。P1の場合、1時間以内に本部長に通知します。
条 8. ステップ 4 – 根絶 (Eradication)
8.1. 封じ込め完了後、技術チームが根本原因を特定し、マルウェアを駆除し、なりすましアカウントを閉じ、攻撃者のアーティファクトを削除します。
8.2. すべての eradication 対応は、完全にログ記録する必要があります（タイムスタンプ、実行者、アクション、影響を受けたホスト）。
条9. ステップ5 – リカバリ (Recovery)
9.1. バックアップ & リストアポリシーに従って、クリーンな backup(感染していないことが確認されたもの)からサービスをリストアします。
9.2. システムを本番環境に戻す前に、以下を完了する必要があります: 脆弱性スキャン、重要ファイルの integrity チェック、復旧後 7 日間の強化された監視。
条 10. ステップ 6 - 教訓
10.1. P1/P2 インシデント発生後、CSIRT は 5 営業日以内に総括会議を開催し、根本原因分析（RCA）レポートを 10 営業日以内に フリーズしてください。
10.2. RCA には、インシデントのタイムライン、技術面およびプロセス上の原因、推定損失、是正措置、再発防止策が含まれます。
第IV部 – 通知義務
条11. 顧客への通知
11.1. 顧客のサービスに影響を与えるインシデントについて、HiTechCloudは、登録Email、ステータスボード status.hitechcloud.vn、システムTicket、および（P1の場合）可能な限り直接の電話を通じて通知します。
11.2. 最初の通知までの時間：P1 確認から 30 分以内、P2 の場合 2 時間以内、P3/P4 の場合 8 時間以内。P1 については問題解決まで最低 2 時間ごとに更新通知を送信。
条12. 国家機関への通知
12.1. ネットワーク情報セキュリティインシデントについては、ネットワークセーフティおよびセキュリティに関する権限のある国家機関 (科学技術省、VNCERT/CC) ならびにサイバーセキュリティおよび高度技術犯罪防止部門 (A05、公安省) と協調し通知してください。これは サイバーセキュリティ法 2025 および決定 05/2017/QĐ-TTg に従います。
12.2. 個人データ違反インシデントについて：2025年個人データ保護法および政令356/2025/NĐ-CPに規定された期限内にA05（公安省）へ通知するとともに、高リスクが存在する場合は影響を受けるデータ主体／顧客に通知します。HiTechCloudは、法律に別段の期限規定がある場合を除き、違反を確認してから72時間以内に通知することを運用目標としています。
条 13. 国際的な管轄区域における通知
13.1. EU/EEA の データ主体 に関するデータの場合: GDPR 第 33 条に基づき 72 時間以内に関連 監視 機関に通知し、リスクが高い場合は GDPR 第 34 条に基づき データ主体 に通知します。
13.2. 通知要件がある他の管轄区域（UK、California、Singapore…）の主体について：各管轄区域の要件に対するコンプライアンスを遵守します。
第 V 部 – 証拠保全および調査協力
第14条 Chain of Custody
14.1. すべてのデジタル証拠（ディスクイメージ、メモリダンプ、ログ、パケットキャプチャ）は Chain of Custody の原則に従って収集され、収集者、時間、SHA-256 ハッシュ、方法および目的が記録されます。
14.2. 証拠は個別のストレージに保存され、厳格なアクセス制御のもと、インシデント終了日から最低 24 か月間（または管轄機関の要請／係争中の法的案件に応じてそれ以上）保持されます。
条 15. 調査機関との協力
15.1. HiTechCloud は、合法的な書面による要求がある場合、公安機関、検察院、および裁判所と協力します。
15.2. すべてのデータ提供要請は、提供前に法務部門によって合法性および範囲が審査される必要があります。個人データの提供は、PDPDに基づく必要最小限の原則のコンプライアンスに従います。
第VI部 – 効力
第16条 効力及び見直し
16.1. 本規定は 2026 年 7 月 1 日から効力を有し、最低 12 か月ごとに見直しが行われます。
16.2. すべての修正は 本部長 の承認を得る必要があり、施行日の最低 5 営業日前に内部へ通知されなければなりません。
