インシデント後の振り返りと指標

インシデントの振り返りとは、事故が終わったあとに、何が起き、どう対応したかを短い文書にまとめることです。同じ事故を繰り返さず、対応の速さを測って良くしていくために行います。

振り返りまで終えて、はじめてインシデント対応が終わります。

振り返りの土台は、タイムラインです。複数のログと、対応の作業を、時間順に1つの表に並べます。

攻撃が始まった時刻、気づいた時刻、切り離した時刻、元に戻った時刻の4つが、とくに大事です。この4つの差が、対応の速さを表します。

printf '09:55 recovered\n09:10 detected\n09:30 contained\n' | sort

head -n 4 case/mtimes.txt

検知までの時間は、攻撃が始まってから、気づくまでの時間です。復旧までの時間は、気づいてから、元に戻るまでの時間です。

日をまたぐこともあるので、時刻は分に直して引きます。何件かの平均を取ると、組織の対応の速さが見えます。

printf '09:10 09:55\n' | awk '{split($1,a,":"); split($2,b,":"); print (b[1]*60+b[2])-(a[1]*60+a[2])}'

振り返りは、誰かを責める場ではありません。仕組みのどこが穴だったかを探します。「最初に操作を間違えた人」は、ふつう根本原因ではありません。

事実を並べ、「なぜ」を何度も問います。いちばん奥の理由が根本原因です。そこに再発防止を当てます。