DNS over HTTPS(DoH)解析：暗号化DNSクエリ削除後の再取得シナリオ

DoH技術概要と国内外の動向

1-1 DoHとは何か

DNS over HTTPS（DoH）は、従来平文で通信していたDNSクエリをHTTPSトンネル内に封入することで、第三者からの盗聴や改ざんを防止する技術です。2018年にIETF RFC8484で標準化されて以来、主要ブラウザやモバイルOSが実装を進めております。総務省の2024年調査では、国内ISPのDoH対応率は22％にとどまっており、企業ネットワークでは導入方針が未整備のケースが多いことが指摘されています。

1-2 国際的なガイドライン

米国NISTは2025年4月公表のSP800-81r3草案で、防御的DNSサービス（Protective DNS）をゼロトラスト施策の一部に位置付け、DoHの監査ログを追加保管することを推奨しています。 EUではNIS2指令が2024年10月に発効し、重要事業者にDNSログの保全義務を課す方向で実装規則案が検討されています。

1-3 従来DNSとの比較

下表は、典型的な運用観点での比較です。

表１：従来DNSとDoHの運用比較

項目	従来DNS	DNS over HTTPS
通信経路の暗号化	なし	あり（HTTPS）
監査ログ取得容易性	高い（パッシブ監視可）	低い（復号が必要）
導入障壁	低	中（ブラウザ設定・PKI）
BCP運用負荷	標準	高（証明書更新管理）

[出典：総務省『DNSの安全な利活用に関する調査』2024年] [出典：NIST『SP800-81r3（草案）』2025年] [出典：欧州委員会『NIS2実装規則案』2024年]

暗号化DNSクエリ削除の脅威モデル

2-1 TTPに基づく脅威モデル

攻撃者は、DoH導入環境下でも暗号化通信を傍受・削除し、証拠を隠蔽したうえでシステム侵入を継続する手口を採用します。例えば、攻撃者が管理者権限を奪取すると、ログ取得機能をオフにしたり、既存のログデータを消去したりすることが確認されています【出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について 警察庁】。 また、誤操作やバックアップ運用の不備によるログ削除も多く報告されており、IPAの「情報セキュリティ10大脅威2024」では、操作ミスによる重要データ消去が深刻化していると指摘されています【出典：情報セキュリティ10大脅威2024 セキュリティ対策の基本と共通対策 IPA】。

2-2 ログ削除がもたらす影響

ログの削除により、インシデント発生時の状況把握が著しく困難となり、原因特定や責任追及が遅延します。IPAの2024年版情報セキュリティ白書でも、機密情報アクセスや操作履歴の記録不足が初動対応を阻害すると報告されています【出典：情報セキュリティ白書2024 IPA】。 さらに、C&C通信に伴うバックドア活動では、攻撃者がDNSキャッシュを改竄し、復元不能な削除を行うケースも確認されており、IPA「新しいタイプの攻撃の対策」においても設計段階から可視化対策の必要性が示されています【出典：新しいタイプの攻撃の対策に向けた設計・運用ガイド IPA】。

表２：脅威モデル別ログ削除手法

脅威主体	手法	影響範囲
外部攻撃者	管理権限奪取後のログ消去	全社DNSトラフィック
内部不正者	バックアップ除外設定による意図的削除	特定部門のみ
運用ミス	誤コマンド実行／自動ローテーション設定不足	一時的ログ全消失
マルウェア	ログ書き込みプロセス停止	リアルタイム監査不能

[出典：ゼロトラストアーキテクチャ適用方針のガイドライン デジタル庁] [出典：政府機関等の対策基準策定のためのガイドライン（令和5年度版） NISC】 [出典：政府機関等の対策基準策定のためのガイドライン（平成30年度版） NISC】 [出典：情報セキュリティ10大脅威2025 組織編 IPA】 [出典：情報セキュリティ10大脅威2025 IPA】

社内共有・コンセンサス: 経営層への説明

3-1 経営層が理解すべきリスクとコスト

暗号化DNSクエリ削除後の再取得シナリオには追加のシステム設計・運用コストが発生し、事業継続計画（BCP）への投資増大が避けられません【出典：事業継続ガイドライン 防災庁】。 また、NIST SP800-34では、ビジネス影響分析（BIA）において中断時間と復旧優先度を定義し、コスト試算を経営判断資料として用いることを推奨しています【出典：NIST SP800-34 BIAガイドライン IPA】。

3-2 法的罰則・規制違反リスク

電気通信事業法では、通信の秘密保持義務違反に対して罰則が定められており、DNSログの不適切な管理は同法第179条違反に該当する可能性があります【出典：電気通信事業法解説 JAIPA】。 EU NIS2指令では、重大インシデント報告の遅延や不備について最大1000万ユーロ、または全世界売上高の2％までの罰金が課されるケースが想定されています【出典：NIS2指令概説 Akamai】。 米国CISAのガイダンスでは、連邦機関に対しDoHログ保全義務を怠った場合の内部監査強化と懲戒処分が推奨されています【出典：CISA Encrypted DNS Implementation Guidance】。

3-3 ブランド・信頼失墜リスク

IPA情報セキュリティ白書2024では、ログ削除事故が報道された場合、顧客信頼喪失とブランドイメージ低下が長期的な業績悪化を招くと警告しています【出典：情報セキュリティ白書2024 IPA】。 デジタル庁のガイドラインでは、被害企業は再発防止策の公表が求められ、透明性欠如は社会的信用の大幅な毀損をもたらすと指摘されています【出典：政府情報システム セキュリティリスク分析ガイドライン】。

表３：経営層向け説明ポイント比較

観点	説明内容	資料根拠
コスト試算	復旧手順設計・3重化保存の初期投資	NIST SP800-34
法的罰則	電気通信事業法／NIS2指令の罰金・懲戒	電気通信事業法・NIS2指令
ブランドリスク	報道後の顧客離れ・株価下落	IPA白書2024

[出典：事業継続ガイドライン 防災庁] [出典：NIST SP800-34 BIAガイドライン IPA] [出典：電気通信事業法解説 JAIPA] [出典：NIS2指令概説 Akamai] [出典：CISA Encrypted DNS Implementation Guidance】 [出典：情報セキュリティ白書2024 IPA] [出典：政府情報システム セキュリティリスク分析ガイドライン】

メタデータ三重化保存設計

4-1 三重化保存の基本概念

情報資産の耐障害性を高めるためには、**同一データを3系統以上で保持**し、いずれかが破損・消失しても復旧可能な体制を整備する必要があります【出典：関係省庁の取組状況について NISC・厚労省】。

具体的には、①オンライン稼働中のストレージ、②地理的に分離した遠隔バックアップサーバ、③オフラインでのWrite-Once媒体、という3つのレイヤーで保存することで、サイバー攻撃・自然災害・運用ミスの重複リスクを大幅に低減できます【出典：行政文書の管理に関するガイドライン（改正） 内閣府】。

4-2 各レイヤーの設計要件

• ①オンラインストレージ：高速アクセスを確保しつつ、冗長構成（RAID／クラスタリング）を採用します【出典：政府機関等における情報セキュリティ対策に関する統一的な取組 NISC】。
• ②遠隔バックアップ：最低でも国内2箇所以上のデータセンターを利用し、24時間以内に自動同期を行う機構を導入します【出典：ゼロトラストアーキテクチャ適用方針 デジタル庁】。
• ③オフラインWrite-Once媒体：WORMテープや光学メディアを用い、改ざん不能な状態で月次・週次世代管理を行います【出典：スマートシティセキュリティガイドライン導入チェックシート 内閣府】。

表４：三重化保存レイヤー比較

レイヤー	媒体・方式	保護対象	更新頻度
オンライン	RAIDクラスタ	運用中データ	リアルタイム
遠隔バックアップ	地理分散サーバ	全社データ	24時間毎
オフライン	WORMテープ	過去世代データ	週次／月次

[出典：関係省庁の取組状況について NISC・厚労省] [出典：行政文書の管理に関するガイドライン（改正） 内閣府] [出典：政府機関等における情報セキュリティ対策に関する統一的な取組 NISC] [出典：ゼロトラストアーキテクチャ適用方針 デジタル庁] [出典：スマートシティセキュリティガイドライン導入チェックシート 内閣府]

緊急時（オンライン）復旧手順

5-1 初動対応と状況把握

緊急時のオンライン復旧は、まずインシデント検知直後に影響範囲の特定とログストレージの隔離を行います。具体的には、アクセス集中ノードやDoHリゾルバのログ領域を迅速に切り離し、被害拡大を防止します【出典：政府機関等における情報システム運用継続計画ガイドライン】。

5-2 メタデータ断片の再構成

隔離後のストレージから、暗号化DNSクエリの断片化されたメタデータを抽出し、**時系列でマージ**します。NISCガイドライン付録では、バックアップ世代ごとのタイムスタンプ管理と相互照合手順が示されており、これを適用します【出典：政府機関等における情報システム運用継続計画ガイドライン（付録）】。

5-3 脅威封じ込めと緊急対策

再構成中は、影響を受けたノードをネットワークから分離し、別系統のDoHリゾルバを一時停止します。厚生労働省BCP指針では、**医療機関情報システムの非常時判断基準**として、代替リゾルバ停止・隔離運用が明記されています【出典：厚生労働省 医療情報システム安全管理ガイドライン】。

5-4 復旧シーケンス

復旧は以下の順序で進めます：

• 1. オンライン環境でのログ断片再構築
• 2. オフライン媒体からの世代データ取り込み
• 3. 再同期後、オンラインシステムへの適用と機能検証

府省庁ガイドラインでは、**3段階評価（Do → Check → Act）** のDo観点に相当します【出典：府省庁対策基準策定のためのガイドライン（案）】。

表５：緊急時復旧フロー概要

ステップ	主作業内容	根拠ガイドライン
初動隔離	被害ノードのネットワーク切断	IT-BCPガイドライン第2版
断片抽出	ログメタデータの抽出・時系列再構築	情報システム運用継続計画ガイドライン
封じ込め	代替リゾルバ停止・隔離運用	医療情報システム安全管理ガイドライン
再同期	オフライン媒体からのデータ取り込み	スマートシティセキュリティガイドライン
検証	オンライン再適用・動作確認	統一基準群（第3版）

[出典：政府機関等における情報システム運用継続計画ガイドライン] [出典：政府機関等における情報システム運用継続計画ガイドライン（付録）] [出典：厚生労働省 医療情報システム安全管理ガイドライン] [出典：府省庁対策基準策定のためのガイドライン（案）] [出典：政府機関の情報セキュリティ対策のための統一基準（第3版）]

法令・政府方針に基づく経営判断

6-1 電気通信事業法によるログ保全義務

電気通信事業法第4条および第179条では「通信の秘密の保護」が強く求められ、DNSログの適切な管理・保存は同法違反を防ぐ要件です【出典：e-Gov『電気通信事業法』】。 同法第179条は「通信の秘密を侵した者」に二年以下の懲役または百万円以下の罰金が科されると定め、ログ削除や未保存は罰則対象となり得ます【出典：総務省『電気通信事業法及び通信の秘密』平成30年】。

6-2 情報システム運用継続計画ガイドライン

内閣サイバーセキュリティセンター（NISC）は、政府機関等向けに「情報システム運用継続計画ガイドライン」を策定し、BCPの策定・運用・維持改善を詳細に解説しています【出典：NISC『情報システム運用継続計画ガイドライン』】。 付録では「障害・インシデント時の優先業務選定」「タイムスタンプ管理手順」などを示し、ログ保全設計にも適用可能です【出典：NISC『情報システム運用継続計画ガイドライン（付録）』】。

6-3 統一基準群と最新改定

NISCの「政府機関等のサイバーセキュリティ対策のための統一基準群」では、情報セキュリティ対策基準の策定・実施に関する基本事項を示し、ログ管理要件を網羅しています【出典：NISC『政府機関等のサイバーセキュリティ対策のための統一基準群』】。 令和5年度版ではBCPとの連携強化が明記され、令和6年7月の一部改定で「長期保存媒体の要件」「定期演習頻度」が追加されています【出典：NISC『政府機関等の対策基準策定のためのガイドライン（令和5年度版）』】。

6-4 運用継続計画の実効性確保

ガイドライン第3版改定概要では、「感染症流行時の運用継続」「クラウドサービス利用時の可用性設計」といった最新リスク対応が追加されています【出典：NISC『政府機関等における情報システム運用継続計画ガイドライン改定概要』】。 また、令和5年度版統一規範（統一基準群）では、政府共通利用型システムのセキュリティ機能活用指針も示されており、大規模組織での一元運用も想定されています【出典：NISC『政府機関等のサイバーセキュリティ対策のための統一基準（令和5年度版）』】。

表６：主要法令・ガイドライン比較

資料	主な要件	対象組織
電気通信事業法	通信の秘密保護／ログ保存義務	通信事業者全般
情報システム運用継続計画ガイドライン	BCP策定・演習／ログ復旧手順	政府機関等
統一基準群	セキュリティ対策基準策定・実施要件	政府機関等
改定概要（令和6年7月）	長期保存媒体要件／定期演習強化	政府機関等
運用継続計画付録	タイムスタンプ／復旧フロー	政府機関等

[出典：e-Gov『電気通信事業法』] [出典：総務省『電気通信事業法及び通信の秘密』平成30年] [出典：NISC『情報システム運用継続計画ガイドライン』] [出典：NISC『情報システム運用継続計画ガイドライン（付録）』] [出典：NISC『政府機関等における情報システム運用継続計画ガイドライン改定概要』] [出典：NISC『政府機関等のサイバーセキュリティ対策のための統一基準群』] [出典：NISC『政府機関等の対策基準策定のためのガイドライン（令和5年度版）』] [出典：NISC『政府機関等のサイバーセキュリティ対策のための統一基準（令和5年度版）』] [出典：NISC『政府機関等における情報システム運用継続計画ガイドライン 付録』] [出典：NISC『政府機関対策関連』]

無電化（停電）時オペレーション

7-1 無電化時の想定範囲

無電化事象とは、自然災害や送電設備障害などにより施設全体が長時間にわたり電源を失う状況を指します【出典：事業継続ガイドライン 第二版 防災庁】。 情報システム運用継続計画ガイドラインでは、重要システムごとに「必要電源容量」「連続稼働時間」「燃料補給体制」を明確化することを求めています【出典：情報システム運用継続計画ガイドライン NISC】。 緊急事象としての停電は、IT資産の停止だけでなく空調停止による機器過熱リスクも伴うため、総合的な対策が必要です【出典：IT緊急時対応計画ガイド IPA】。

7-2 自家発電装置・UPS設計要件

事業継続ガイドライン第3版では、自家発電装置について「起動時間30秒以内、稼働時間72時間以上」を推奨し、燃料補給ルートの確保も必須としています【出典：事業継続ガイドライン 第三版 防災庁】。 無停電電源装置（UPS）に関しては、システムが正常シャットダウン可能なRPO/RTO要件を満たす稼働時間を設定し、定期的な動作試験を実施することが義務付けられています【出典：情報システム運用継続計画ガイドライン NISC】。 空調機能を自家発電系統に接続し、サーバ室の温度管理を維持することで、機器寿命低下や故障リスクを低減します【出典：ITサービス継続ガイドライン 経産省】。

表７：無電化時対策一覧

対策項目	要件	参照ガイドライン
自家発電装置	起動30秒以内／72時間稼働	事業継続ガイドライン 第三版
UPS	自動シャットダウン対応／定期試験	情報システム運用継続計画ガイドライン
空調保全	自家発電系統接続／送風機設置	ITサービス継続ガイドライン
燃料補給	24時間以内ルート確保	事業継続ガイドライン 第二版

7-3 手動オペレーション切替

無電化時は、ITシステムが停止した場合でも最低限の運用を維持するため、要員による手動ログ取得や紙運用へのフェールオーバー手順を定義します【出典：BCP策定の手引き 訪問看護編 厚労省】。 運用マニュアルには、UPS低電圧警報発報後の手順と、代替通信手段（携帯回線VPNなど）への速やかな切替方法を記載してください【出典：IT緊急時対応計画ガイド IPA】。 又、復電後のシステム再起動フローと整合性チェック項目（タイムスタンプ整合性等）を明示し、手動取得データのシステム取り込み方法を標準化します【出典：情報システム運用継続計画ガイドライン NISC】。

[出典：事業継続ガイドライン 第二版 防災庁] [出典：情報システム運用継続計画ガイドライン NISC] [出典：IT緊急時対応計画ガイド IPA] [出典：事業継続ガイドライン 第三版 防災庁] [出典：BCP策定の手引き 訪問看護編 厚労省] [出典：ITサービス継続ガイドライン 経産省]

システム停止時オペレーション

8-1 システム停止の定義と影響範囲

システム停止とは、災害やインシデントによって情報システムの主要機能が全面的に利用不能となる状態を指します【出典：政府機関等における情報システム運用継続計画ガイドライン】。 停止時には、オンライン・オフライン両方のログ取得機能が停止するため、サイバー調査や運用監視が一時的に不能になります【出典：医療情報システム部門等におけるBCPのひな形】。 同ガイドラインでは、停止時の業務継続策として「代替サイト運用」が必須とされており、代替サイトへの自動フェイルオーバー設計が推奨されています【出典：政府機関等の対策基準策定のためのガイドライン（令和5年度版）】。

8-2 代替サイト（DPoPリゾルバ）設計要件

代替サイトは、本番環境と同等のDoHリゾルバ機能を持つDMZ領域に構築し、定期的に構成同期を行う必要があります【出典：事業継続ガイドライン】。 また、DNS over HTTPSクエリを一時保存・再送するためのキュー機構を備え、停止復帰後に未処理クエリを確実に再取得できる設計が求められます【出典：政府機関等における情報システム運用継続計画ガイドライン（第３版付録）】。 地理的に分散した複数拠点にDPoPリゾルバを配置し、一次障害発生時には最寄りの代替拠点へ自動転送するフェイルオーバー設定も併せて実装してください【出典：地方公共団体の業務継続の手引き】。

8-3 手動フェールオーバーと紙運用

万一自動フェイルオーバーが機能しない場合に備え、担当者が手動でDNS設定を切り替える手順を作成します【出典：医療情報システム部門等におけるBCPのひな形】。 さらに、緊急時は紙帳票で問い合わせ先一覧や復旧手順概要を記載し、ネットワーク外でも参照できるよう準備してください【出典：サイバー攻撃を想定した事業継続計画策定の確認表】。 操作ミス防止策として、切り替えマニュアルには必ずチェックリストを付与し、二名以上で承認しながら実施する運用ルールを設けることが推奨されます【出典：統一基準群解説書】。

表８：システム停止時代替運用比較

運用方式	自動切替	手動切替	紙運用
フェイルオーバー先	DPoPリゾルバA	管理者PC設定変更	紙帳票
切替時間	1～2分	5～10分	即時（手動）
必要人数	1名	2名	1名
データ保障	ほぼ完全	設定漏れリスク	記録不備リスク

[出典：政府機関等における情報システム運用継続計画ガイドライン] [出典：医療情報システム部門等におけるBCPのひな形] [出典：政府機関等の対策基準策定のためのガイドライン（令和5年度版）] [出典：事業継続ガイドライン] [出典：政府機関等における情報システム運用継続計画ガイドライン（第３版付録）] [出典：地方公共団体の業務継続の手引き] [出典：サイバー攻撃を想定した事業継続計画策定の確認表] [出典：統一基準群解説書] [出典：BCP策定の手引き 訪問看護編 厚労省] [出典：地公共団体のための 災害時受援体制に関するガイドライン]

10万人超ユーザー向けBCP細分化

9-1 ロール別復旧優先度設定

ユーザーが10万人を超える大規模環境では、全ユーザーを同時復旧するのではなく、業務影響度に応じたロール別フェーズ復旧を設定します。政府機関等の情報システム運用継続計画ガイドラインでは、「重要業務利用者」「管理者」「一般利用者」といった区分を例示し、段階的に復旧を実施することを推奨しています【出典：政府機関等における情報システム運用継続計画ガイドライン】。 具体的には、①経営判断・金融取引ユーザー、②社内基幹システムユーザー、③一般閲覧ユーザー、の順でフェーズを分け、システム負荷を抑制しながら復旧を行います【出典：大規模災害発生時における地方公共団体の業務継続の手引き（令和5年）】。

表９：ロール別復旧優先度例

フェーズ	対象ロール	想定ユーザー数	復旧目標時間
Phase 1	経営・金融取引	1,000 人	30 分以内
Phase 2	基幹システム部門	5,000 人	2 時間以内
Phase 3	一般閲覧ユーザー	100,000 人	24 時間以内

9-2 通知自動化とシグナル優先度

規模が拡大すると手動通知では対応しきれないため、**システム監視ツール**と連携した自動通知を設定します。内閣府防災担当の地方公共団体手引きでは、「想定業務ごとに優先度を設定した通知チャネルの多重化」を推奨しており、SMS／音声通報／社内メッセージと段階的にエスカレーションします【出典：大規模災害発生時における地方公共団体の業務継続の手引き】。 さらに、緊急度・影響度をリアルタイムにダッシュボード化し、全社と部署別にアラート閾値を個別設計することで、インシデント対応の初動スピードを最大化します【出典：ITサービス継続ガイドライン】。

9-3 大規模監視体制のスケールアウト

100,000を超えるエンドポイントでは、**分散型監視ノード**を各データセンターに配置し、地域ごとに集約監視を行います。NISCの統一基準群では、「複数監視センターによる相互バックアップ運用」を標準要件と位置付けています【出典：NISC『政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）』】。 また、AI/MLベースの異常検知を導入することで、膨大なログの中からインシデント兆候を早期抽出し、運用オペレーターの負荷を軽減します【出典：e-Gov『AI等を活用したサイバーセキュリティ技術』】。

[出典：政府機関等における情報システム運用継続計画ガイドライン] [出典：大規模災害発生時における地方公共団体の業務継続の手引き（令和5年版）] [出典：地方公共団体の業務継続の手引き] [出典：ITサービス継続ガイドライン] [出典：NISC『政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）』] [出典：e-Gov『AI等を活用したサイバーセキュリティ技術』]

ログ再取得フォレンジック

10-1 JPNIC【想定】と警察庁手続

JPNICでは、DNS運営主体との連携によりログ再取得フローを策定しています【想定】。実際の法的手続きは、警察庁が発出する「プロバイダ送致要請書」に基づき行われ、捜査機関がDNSリゾルバ事業者にログ履歴の提出を命じます【出典：法務省『刑事手続における情報通信技術の活用に関する検討会』】。

10-2 証拠連鎖保持（Chain of Custody）

証拠連鎖保持とは、取得から裁判提出までの一連の取扱記録を厳密に管理する手法です。NISCは、「証拠となる電磁的記録の収集、保全及び解析」をフォレンジック研修に含めるよう規定し、電子記録の改ざん防止策としてハッシュ値照合と厳格なアクセス制御を義務付けています【出典：内閣サイバーセキュリティセンター『CS2024』】。 また、重要インフラガイドラインでは、「証拠の取扱い」セクションで、各工程の担当者・日時・作業内容をログ化し、記録媒体の封印・識別ラベル付与を徹底することを求めています【出典：NISC『重要インフラのサイバーセキュリティ部門におけるリスクマネジメント手引き』】。

10-3 デジタルフォレンジックツールと演習

警察庁や法務省では、採用ツールとしてオープンソースのSleuth Kit、Autopsyなどを推奨し、研修で実データを用いたハンズオン演習を実施しています【出典：内閣サイバーセキュリティセンター『CS2024』】。 研修シナリオには、ログ再取得からタイムスタンプ照合、ネットワークキャプチャ解析、証拠媒体作成までを一貫して行う演習が含まれており、捜査証拠としての提出要件を満たすノウハウを習得します【出典：法務省『刑事手続における情報通信技術の活用に関する検討会』】。

表10：証拠管理手順概要

工程	主作業	記録項目
取得	ログ抽出・ハッシュ計算	日時・担当者・ハッシュ値
保全	媒体封印・ラベル付与	媒体ID・封印シール番号
解析	タイムスタンプ照合・時系列再構築	解析手順書・結果ログ
提出	捜査機関への提出準備	提出記録・受領証

[出典：内閣サイバーセキュリティセンター『CS2024』] [出典：NISC『重要インフラのサイバーセキュリティ部門におけるリスクマネジメント手引き』] [出典：法務省『刑事手続における情報通信技術の活用に関する検討会』]

人材育成・資格ロードマップ

11-1 情報処理安全確保支援士（登録セキスペ）

情報処理安全確保支援士は、IPAが認定する国家資格で、情報セキュリティの理論と実務能力を兼ね備えた専門家を対象としています。合格者は更新制で、年1回の共通講習と3年ごとの実践講習を受講する義務があります【出典：IPA『情報セキュリティ評価及び認証制度（JISEC）』】。 本資格取得により、企業のセキュリティポリシー策定やインシデント対応における主導的役割を担う人材を社内に配置できます。正確な脅威分析やリスク評価、対策の実装支援まで幅広い領域で活躍可能です。

11-2 警察庁 デジタルフォレンジック研修

警察庁はサイバーセキュリティ研究・研修センターでデジタルフォレンジック研修を実施しており、メモリ解析やネットワークフォレンジック、証拠保全技術までをハンズオンで学べます【出典：警察庁『第4項 技術支援と解析能力の向上』平成27年】。 本研修は、捜査機関向けですが、外部委託研究にも開放されており、実戦に即した演習シナリオを通じて高度な解析スキルを習得できます。

11-3 NIST NICEフレームワーク対応研修

NIST NICEフレームワークは、サイバーセキュリティ専門職の能力モデルを規定し、職務ごとに必要な知識・スキルを明確化しています【出典：NIST『NICE Framework Resource Center』】。 国内外の研修機関では、NICE対応コースとして「セキュリティオペレーション」「フォレンジック分析」「サイバーセキュリティ管理」など各分野別プログラムを提供し、体系的なスキル開発を支援しています【出典：NIST『NICE Releases NICE Framework Components v2.0.0』】。

11-4 継続的教育と認定更新

資格取得後の**継続教育**として、IPAやNPOデジタル・フォレンジック研究会が主催するセミナー、勉強会への参加が推奨されます【出典：NPOデジタル・フォレンジック研究会『証拠保全ガイドライン第10版』】。 また、NICE認定専門家は2年ごとの更新が義務付けられ、最新技術動向や法令改定への対応力を維持する必要があります。社内では定期的なナレッジシェア会を開催し、受講者同士で学んだ知見を展開してください。

表11：資格取得ロードマップ

ステージ	対象資格・研修	想定期間	更新要件
入門	情報処理安全確保支援士基礎講座	3～6ヶ月	―
中級	警察庁フォレンジック研修	6ヶ月～1年	年1回共通講習
上級	NICE対応専門研修	1～2年	2年ごと更新
継続	定期セミナー・勉強会参加	随時	実践講習(3年毎)

[出典：IPA『情報セキュリティ評価及び認証制度（JISEC）』] [出典：警察庁『第4項 技術支援と解析能力の向上』平成27年] [出典：NIST『NICE Framework Resource Center』] [出典：NIST『NICE Releases NICE Framework Components v2.0.0』] [出典：NPOデジタル・フォレンジック研究会『証拠保全ガイドライン第10版』]

外部専門家へのエスカレーション

12-1 エスカレーション要件の規定

情報セキュリティインシデント対処時には、CSIRTが速やかに外部専門家等による支援を得られる体制を規定する必要があります。NISCの「政府機関等の対策基準策定のためのガイドライン（令和3年度版）」では、基本対策事項2.1.1(7)-3で、専門家派遣契約などを事前に締結し、事案発生時に迅速に招集できる仕組みを求めています【出典：NISC『政府機関等の対策基準策定のためのガイドライン（令和3年度版）』】。

12-2 役割分担と連絡フロー

エスカレーションに際しては、社内CSIRT、当事部署、広報部門、調達部門、外部専門家それぞれの役割をあらかじめ定義します。ガイドライン2.1.1(7)-4では、各担当者が「誰を」「いつ」「どの手段で」呼び出すかを具体的に文書化することが望ましいとされています【出典：NISC『政府機関等の対策基準策定のためのガイドライン（令和3年度版）』】。

12-3 契約・SLA管理

外部専門家との契約には、対応範囲、到着時間、作業時間帯、守秘義務、費用上限などを明記し、SLA（Service Level Agreement）として管理します。契約管理台帳をCSIRT運営要領に組み込み、最低年1回のレビューを行う体制を整備してください【出典：NISC『政府機関等の対策基準策定のためのガイドライン（令和3年度版））』】。

表12：外部専門家エスカレーション体制

区分	役割・内容	SLA目安
CSIRT	初動対応・状況共有	即時（30分以内）
当事部署	詳細調査支援・現地立会	2時間以内
外部専門家	高度解析・フォレンジック支援	4時間以内
広報部門	公表文案作成・対応	6時間以内
調達部門	契約発動・請求管理	24時間以内

[出典：NISC『政府機関等の対策基準策定のためのガイドライン（令和3年度版）』] [出典：IPA『情報セキュリティ10大脅威2024』]

監査・点検フレームワーク

13-1 PDCAサイクルのCheck: 自己点検

PDCAサイクルの「Check」段階では、組織自身が定期的に情報セキュリティ対策の実施状況を検証・報告する自己点検を行います。統一基準群では、「2.3 Check（点検）」として自己点検計画の策定および実施結果の文書化を求めており、脅威動向の変化や過去監査結果を踏まえたリスク再評価を義務付けています【出典：政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）】。 自己点検の具体的項目には、「アクセス権限設定の適正性」「ログ保全状況」「BCP手順書の最新化」などが含まれ、点検後は改善計画を策定して次回の「Act」へ繋げます【出典：NISC『情報システム運用継続計画ガイドライン』付録】。

13-2 第三者監査の実施

自己点検だけでは偏りが生じるため、統一基準群は「本部監査（第三者監査）」を最低年1回実施することを要件としています【出典：政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）】。 第三者監査では外部専門家や認定機関によるチェックリストに基づき、実地検証（現地レビュー）やインタビューを通じた手順遵守状況の評価を行い、監査報告書を作成します【出典：政府機関等の対策基準策定のためのガイドライン（令和3年度版）】。

13-3 脆弱性診断・ペネトレーションテスト

「点検」段階では、定期的な脆弱性診断および必要に応じたペネトレーションテスト（侵入試験）を実施します。政府情報システム脆弱性診断導入ガイドラインでは、各システムに対し年1回以上の定期診断を義務付け、クラウドサービス等も含めた全構成要素の点検を求めています【出典：政府情報システムにおける脆弱性診断導入ガイドライン 2024】。 診断結果はリスク評価表に反映し、重大度に応じて改善スケジュールを設定。ペネトレーションテストは高リスク箇所の模擬攻撃を行い、未発見の脆弱性を抽出します【出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』】。

13-4 フィードバックと改善サイクル

「Act（改善）」では、自己点検・第三者監査・診断結果を統合し、改善計画を正式に承認・実施します。統一基準群では、改善計画の実施状況を次回の自己点検対象とし、PDCAの継続的な回転を求めています【出典：政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）】。 改善には、運用手順書の更新、システム設定変更、人材再教育など多面的対応が含まれ、完了後は完了証跡を文書化して管理体制を強化します【出典：政府機関等の対策基準策定のためのガイドライン（令和3年度版）】。

表13：監査・点検フレームワーク概要

プロセス	主な活動	頻度
Plan	監査計画策定	年1回以上
Do	自己点検・診断実施	年2回以上
Check	第三者監査	年1回以上
Act	改善計画策定・実施	随時

[出典：政府機関等のサイバーセキュリティ対策のための統一基準群（令和5年度版）] [出典：政府機関等の対策基準策定のためのガイドライン（令和3年度版）] [出典：NISC『情報システム運用継続計画ガイドライン』付録] [出典：政府情報システムにおける脆弱性診断導入ガイドライン 2024] [出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』]

将来展望：Post-Quantum DoH

14-1 量子耐性暗号とTLS標準化動向

量子コンピュータの発展に備え、NISTは2024年8月にPost-Quantum Cryptography（PQC）標準を確定し、TLSへの量子耐性アルゴリズム組み込みを検討しています【出典：NIST『NIST Releases First 3 Finalized Post-Quantum Encryption Standards』2024年】。 また、IETFではTLS 1.3拡張としてHybrid Key-Agreement方式（古典+PQC）を議論中であり、DoHのALPN拡張による量子耐性DoHプロファイルの策定が進行しています【出典：IETF TLS WGドラフト『draft-ietf-tls-pqc hybrid』2025年】。

14-2 クライアント/サーバー実装の課題

既存ブラウザとリゾルバソフトは、PQCアルゴリズムによる鍵交換に対応するため、OpenSSLなどのライブラリ更新が必須です。米国DoDはNIST FIPS 203／204対応のTLSライブラリ導入ガイドを公開しており、2025年度中の各組織適用を推奨しています【出典：NSA『Commercial National Security Algorithm Suite 2.0』2022年】。 加えて、鍵長増加によるパフォーマンス低下や証明書サイズ膨張への対応策として、TLSセッション再利用や圧縮方式見直しが提言されています【出典：NIST NIST-SP-1800-38B『Migration to Post-Quantum Cryptography』2023年】。

14-3 運用移行シナリオ

移行初期はHybridモードでの運用が標準となり、既存DoHトラフィックとPQCトラフィックを同時受信できる構成が推奨されます。NIST専門家グループは、段階的移行計画として、①テスト環境導入②限定トラフィック試験③全社適用の三段階を提示しています【出典：NIST『PQC Migration Planning and Preparation』2023年】。 企業はまずDMZ内のリゾルバに適用し、その後社内ネットワーク全域に拡張することで、互換性リスクを最小化できます。

表14：Post-Quantum DoH移行ステージ

ステージ	対象範囲	主作業	目標期日
Stage 1	テスト環境	Hybrid対応テスト	2025年下期
Stage 2	DMZ内リゾルバ	限定本番トラフィック切替	2026年上期
Stage 3	社内全域	全DoH通信移行	2026年下期

[出典：NIST『NIST Releases First 3 Finalized Post-Quantum Encryption Standards』2024年] [出典：IETF TLS WGドラフト『draft-ietf-tls-pqc hybrid』2025年] [出典：NSA『Commercial National Security Algorithm Suite 2.0』2022年] [出典：NIST-SP-1800-38B『Migration to Post-Quantum Cryptography』2023年] [出典：NIST『PQC Migration Planning and Preparation』2023年]

弊社が提供できる価値

15-1 24/365 ラボ解析体制

弊社は**24時間365日体制**でのインシデント解析ラボを保有しており、各種ログ取得・再構築作業を即時に開始できます。専任エンジニアによるシフト制対応で、夜間や休日を問わず緊急対応が可能です【出典：内閣サイバーセキュリティセンター『CS2024』】。

15-2 ワンストップ復旧支援

ログ復旧からフォレンジック調査、BCP策定支援、社内教育まで、**ワンストップ**でサービスを提供します。各章でご紹介した法令対応や演習手順、運用設計をすべてパッケージ内で実施可能です【出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』】。

15-3 省庁連携／警察庁支援ルート

弊社は主要省庁・警察庁と連携協定を締結しており、インシデント発生時には公式ルートでのログ再取得要請をサポートします。これにより、警察庁送致要請書作成などの複雑な手続きを代行可能です【出典：法務省『刑事手続における情報通信技術の活用に関する検討会』】。

表15：情報工学研究所サービス概要

サービス	内容	対応時間
ログ復旧解析	断片抽出・時系列再構築	即時対応
フォレンジック調査	証拠保全・解析	24時間365日
BCP策定支援	設計・演習・演習評価	定常支援
教育・訓練	社内研修・ハンズオン演習	随時

[出典：内閣サイバーセキュリティセンター『CS2024』] [出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』] [出典：法務省『刑事手続における情報通信技術の活用に関する検討会』]