building-soc-escalation-matrix

SOC エスカレーションマトリックスの構築

概要

SOC エスカレーションマトリックスは、重大度、影響、対応要件に基づいて、セキュリティインシデントを組織内でどのように引き継ぐかを定義します。最新の SOC では、重大度だけに基づくモデルではなく、ビジネスリスク、資産の重要度、データの機密性を組み合わせた、コンテキスト主導のエスカレーションを採用しています。SOC で AI と自動化を活用する組織では、検知から封じ込めまでのライフサイクルが約 161 日となり、業界平均の 241 日から 80 日短縮されています。

使用する場面

• 環境で SOC エスカレーションマトリックスの機能を導入または設定する場合
• コンプライアンス要件に沿ったセキュリティ制御を確立する場合
• この分野のセキュリティアーキテクチャを構築または改善する場合
• この実装が必要なセキュリティ評価を実施する場合

前提条件

• SOC 運用の概念とツールに精通していること
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8+
• テスト活動に必要な適切な権限

SOC のティア構造

ティア 1 - アラートトリアージアナリスト

• SIEM ダッシュボードとアラートキューを監視します
• 初期アラート分類（真陽性／偽陽性）を行います
• P3 および P4 インシデントを解決まで対応します
• SLA 内に P1 および P2 インシデントをティア 2 にエスカレーションします
• チケット管理システムに初期調査結果を記録します

ティア 2 - インシデントアナリスト

• エスカレーションされたインシデントを詳細に調査します
• 根本原因分析と影響範囲の特定を実施します
• 封じ込め手順を実行します
• P2 インシデントを解決まで対応します
• P1 インシデントをティア 3 または経営陣にエスカレーションします

ティア 3 - シニアアナリスト／脅威ハンター

• P1 の重大インシデントと APT 調査に対応します
• プロアクティブな脅威ハンティングを実施します
• 検知ルールとプレイブックを開発します
• マルウェアのリバースエンジニアリングを実施します
• 大規模な侵害に対するインシデント対応を主導します

経営陣へのエスカレーション

• SOC マネージャー：運用上の意思決定、リソース配分
• CISO：ビジネスへの影響に関する意思決定、経営陣への連絡
• 法務／広報：データ侵害の通知、メディア対応
• 外部 IR：サードパーティのインシデント対応への委託

重大度の分類

P1 - 重大

属性	値
影響	データ侵害が進行中、ランサムウェアが拡散中、重要システムが侵害されている
ビジネスへの影響	収益の損失、規制上のリスク、顧客データの危険
初期対応	15 分
ティア 2 へのエスカレーション	即時
経営陣へのエスカレーション	30 分
解決目標	4 時間
連絡	関係者に 30 分ごと
例	ランサムウェアの進行中、データ流出の確認、ドメイン管理者アカウントの侵害

P2 - 高

属性	値
影響	侵害が確認されている、範囲は限定的、流出は進行していない
ビジネスへの影響	収益への潜在的な影響、リスクは封じ込め済み
初期対応	30 分
ティア 2 へのエスカレーション	未解決の場合は 30 分以内
経営陣へのエスカレーション	2 時間
解決目標	8 時間
連絡	SOC 経営陣に 2 時間ごと
例	ユーザーアカウントの侵害、単一のエンドポイント上のマルウェア、内部脅威の兆候

P3 - 中

属性	値
影響	調査が必要な不審なアクティビティ
ビジネスへの影響	直ちに生じるリスクは低い
初期対応	4 時間
ティア 2 へのエスカレーション	未解決の場合は 8 時間以内
解決目標	24 時間
連絡	毎日の状況報告
例	ポリシー違反、失敗したブルートフォース攻撃、不審なメールの報告

P4 - 低

属性	値
影響	情報提供アラート、定常的なセキュリティイベント
ビジネスへの影響	最小限
初期対応	8 時間
エスカレーション	パターンが見られる場合のみ
解決目標	72 時間
連絡	週次サマリー
例	脆弱性スキャンの検出結果、期限切れの証明書、ポリシー例外

エスカレーション判断マトリックス

                    Asset Criticality
                    Low        Medium      High        Critical
Severity  Low      P4         P4          P3          P3
          Medium   P4         P3          P2          P2
          High     P3         P2          P2          P1
          Critical P2         P1          P1          P1

コンテキスト主導のエスカレーションのトリガー

自動エスカレーション（アナリストの判断は不要です）

トリガー	アクション
いずれかのエンドポイントでランサムウェアを検出	P1 - 直ちに Tier 3 + Management
ドメイン管理者アカウントの侵害	P1 - 直ちに Tier 3 + Management
外部 IP へのデータ流出が進行中	P1 - 直ちに Tier 3 + Management
重要インフラ（DC、SCADA）のアラート	P1 - 直ちに最低でも Tier 2
経営幹部アカウントの異常	P2 - 直ちに Tier 2
同じマルウェアに感染したホストが複数	P1 - 直ちに Tier 2

時間ベースのエスカレーション

条件	アクション
P2 が 4 時間経過しても未解決	Tier 3 にエスカレーション
P3 が 12 時間経過しても未解決	Tier 2 にエスカレーション
いずれかのインシデントが SLA を超過しても未解決	SOC Manager にエスカレーション
P1 が 2 時間経過しても未解決	CISO にエスカレーション

コミュニケーションテンプレート

P1 初回通知

SUBJECT: [P1 CRITICAL] Security Incident - {Incident_ID}

Incident Summary:
- Type: {incident_type}
- Affected Systems: {systems}
- Affected Users: {users}
- Current Status: {status}
- Assigned To: {analyst}

Impact Assessment:
- Business Impact: {impact}
- Data at Risk: {data_risk}
- Containment Status: {containment}

Next Actions:
- {action_1}
- {action_2}

Next Update: {time} (30-minute intervals)
Bridge Line: {conference_details}

エスカレーションマトリクスの実装

SOAR との統合

# XSOAR escalation playbook trigger
trigger:
  condition: incident.severity == "critical" AND incident.asset_criticality == "high"
  action:
    - assign_tier: 3
    - notify: [soc_manager, ciso]
    - create_war_room: true
    - start_bridge: true
    - set_sla: 4h

auto_escalation_rules:
  - name: P2 Time-Based Escalation
    condition: incident.severity == "high" AND incident.age > 4h AND incident.status != "resolved"
    action:
      - escalate_tier: 3
      - notify: soc_manager
      - add_comment: "Auto-escalated due to SLA breach"

参考資料

• Torq - 現代のセキュリティ課題に対応する脅威エスカレーションマトリクス
• ClearFeed - インシデントエスカレーションマトリクス
• Vectra - SOC 運用ガイド
• Runframe - インシデント優先度レベルの解説