基本情報技術者の問題解説：インシデントレスポンスの最初のステップとして適切なものはどれ…

論点：インシデントレスポンスの初動として最優先すべき作業を問う問題です。正解はエです。まず発生している事象を検知し、それが本当にセキュリティインシデントなのかを識別する必要があります。検知と識別ができなければ、封じ込め、根絶、復旧、報告といった後続の対応に進めません。

対応の流れ：一般的には、準備、検知・分析、封じ込め、根絶、復旧、事後対応という流れで考えます。ウの復旧やイの再発防止策は後段の作業であり、アの損害賠償は技術的な初動対応ではありません。初動では「何が起きたかを確認する」が最優先と覚えておくと迷いません。

関連知識：NIST SP 800-61では、対応工程を「準備」「検知・分析」「封じ込め・根絶・復旧」「事後活動」の4段階に整理しています。検知は分析と一体で扱われ、誤検知の除外や影響範囲の見極め（トリアージ）まで含む点を押さえると、なぜ初動が「検知と識別」になるのか納得しやすくなります。