インシデントはどれ？原因・検知・対応と区別して考える
情報セキュリティマネジメント試験 平成31年度春期 午前 問41 ／ サービスマネジメント › サービスマネジメントプロセス
過去問にチャレンジ
あるデータセンターでは，受発注管理システムの運用サービスを提供している。次の受発注管理システムの運用中の事象において，インシデントに該当するものはどれか。 〔受発注管理システムの運用中の事象〕 夜間バッチ処理において，注文トランザクションデータから注文書を出力するプログラムが異常終了した。異常終了を検知した運用担当者から連絡を受けた保守担当者は，緊急出社してサービスを回復し，後日，異常終了の原因となったプログラムの誤りを修正した。
- ア
異常終了の検知
- イ
プログラムの誤り
- ウ
プログラムの異常終了
- エ
保守担当者の緊急出社
会話形式の解説
講師今回は、ITサービスマネジメントでいう「インシデント」の意味を問う問題です。問題文には一連の出来事が書かれていて、選択肢はその中の一部分です。どれが「起きた事象」そのものなのかを見分けるのがポイントです。
受験者インシデントというと、不正アクセスや情報漏えいのイメージがあります。この問題には攻撃が出てこないので、どれも違うような気がしてしまいました。
講師そこで迷う人は多いです。インシデントとは、サービスの中断や品質低下を招く、または招くおそれのある事象のことです。攻撃でなくても、可用性、つまり必要なときにサービスを使える状態が損なわれるシステムの異常は含まれます。
受験者そうなると、注文書を出力する処理が止まったことが問題になりそうですね。
講師そのとおりです。問題文の流れを分けてみましょう。プログラムの誤りが原因で、異常終了という事象が起き、運用担当者がそれを検知し、保守担当者が緊急出社して回復させ、後日プログラムを修正した、という順番です。
受験者プログラムの誤りがなければ何も起きなかったので、誤りのほうがインシデントの中心ではないかとも思いました。
講師誤りは異常終了を引き起こした根本原因です。原因はインシデントそのものとは区別して扱い、それを取り除く後日の修正は恒久対策、つまり再発を防ぐための対策にあたります。誤りがあっただけでは、まだサービスは止まっていません。
受験者異常終了の検知はどうでしょうか。見つけた時点でインシデントとして扱われ始める気もします。
講師検知は、すでに起きた事象を人が見つけた行為です。インシデントは誰かが気づく前から発生しています。ですから、検知とインシデントは別のものと考えます。
受験者保守担当者の緊急出社も、サービスを回復させるための対応なので、インシデントの後に起きた行動ということですね。
講師はい。対応行為なので、インシデントそのものではありません。残るのはプログラムの異常終了で、注文書の出力という処理を実際に止めた事象です。サービスの中断を招いているので、これがインシデントです。
受験者原因、事象、検知、対応、恒久対策と並べて、サービスを実際に止めた出来事を探せばよいのですね。
講師そうです。対応の一般的な流れは、検知、インシデントの記録、一時対応によるサービス回復、根本原因の調査、恒久対策の順です。本問は、この流れに出てくる検知・原因・事象・対応を区別させる問題です。インシデントというと攻撃や情報漏えいを思い浮かべがちですが、可用性を損なうシステムの異常も含まれることを覚えておくと、似た問題にも対応しやすくなります。
まとめ
ITサービスマネジメントでいうインシデントとは、サービスの中断や品質低下を招く、または招くおそれのある事象のことです。この問題では、出来事を「原因（プログラムの誤り）→事象（異常終了）→検知→対応（緊急出社・回復）→恒久対策（修正）」に分けると判断しやすくなります。注文書の出力を実際に止めたプログラムの異常終了がインシデントにあたります。プログラムの誤りは根本原因、検知や緊急出社はインシデントが起きた後の行為であり、どれもインシデントそのものではありません。攻撃や情報漏えいがなくても、可用性を損なうシステムの異常はインシデントに含まれます。
解答・解説
正解はウです
この問題のテーマ
ITサービスマネジメントでいう「インシデント」の意味を理解しているかを問う問題です。一連の出来事の中から、事象そのものと、その原因・検知・対応を区別できるかがポイントです。
解き方の考え方
インシデントとは、サービスの中断や品質低下を招く、または招くおそれのある「起きた事象」のことです。問題文の流れを「原因（プログラムの誤り）→事象（異常終了）→検知→対応（緊急出社・回復）→恒久対策（修正）」に分けて整理します。そのうえで、注文書の出力というサービスを実際に止めた出来事はどれかを探すと、答えが一つに絞れます。
選択肢ごとの解説
- ×ア 異常終了の検知異常終了の検知は、すでに起きた事象を運用担当者が見つけた行為です。インシデントは誰かが気づく前から発生しているので、検知とインシデントは別のものとして考えます。
- ×イ プログラムの誤りプログラムの誤りは、異常終了を引き起こした根本原因にあたります。原因を取り除く作業は、後日のプログラム修正のように恒久対策として扱われ、インシデントそのものではありません。
- ○ウ プログラムの異常終了プログラムの異常終了によって、注文書の出力という処理が実際に止まりました。サービスの中断（可用性の低下）を招いた事象なので、インシデントの定義に当てはまります。
- ×エ 保守担当者の緊急出社保守担当者の緊急出社は、サービスを回復させるための対応行為です。インシデントが起きた後にとる行動であり、インシデントそのものではありません。
補足
情報セキュリティの試験なので「インシデント＝攻撃や情報漏えい」と考えがちですが、可用性を損なうシステムの異常もインシデントに含まれます。対応の一般的な流れは、検知、インシデントの記録、一時対応によるサービス回復、根本原因の調査、恒久対策の順です。本問はこの流れの各段階を選択肢にしているので、流れを覚えておくと似た問題にも対応できます。
POINT
- インシデントは、サービスの中断や品質低下を招く、または招くおそれのある事象を指します。
- 問題文の出来事は、原因・事象・検知・対応に分けて考えると判別しやすくなります。
- 根本原因はインシデントの「原因」であり、除去は恒久対策として扱います。
- 検知や緊急対応はインシデント発生後の行為であり、インシデントそのものではありません。