Playbook
Incident Response Playbook
Playbook（プレイブック（インシデント対応手順書））とは
ひとことで
フィッシングやランサムウェアなどインシデントの種類ごとに、誰が・何を・いつ行うか、判断の分かれ目を定めた対応手順。SOARで一部を自動化することも多い。
たとえると
サッカーチームの「作戦ノート」です。「相手がカウンターを仕掛けてきたら誰がどこを守るか」「先制されたら攻め方を変える」といった、状況ごとの動き方と判断のポイントがまとめてあります。一つひとつのボールの蹴り方までは書いていません。
現場ではこう使う
SOCでは「フィッシングメール」用のプレイブックを用意しています。報告を受けたら一次対応者がメールを分析し、悪性と判断したら同じメールの削除と送信元のブロックを行い、利用者がパスワードを入力していればパスワードのリセットへ進む、という判断の流れが決められています。担当者が変わっても、同じ品質で対応できます。
試験のポイント
EXAM POINTプレイブックは「インシデントの種類ごとに、役割・対応の流れ・判断ポイントを定めたチェックリスト」です。CompTIAの教材では、ランブックは「プレイブックを自動化したもので、人が判断すべき箇所をはっきり残したもの」と説明されることがあります。実務では両者の使い分けはあいまいで、ほぼ同じ意味で使われることもあります。「SOARで実行する対応手順」としてプレイブックが登場することも多いので、セットで押さえましょう。
混同しやすい用語との違い
- Runbook端末の隔離やログの取得など、特定の作業の細かな操作手順。プレイブックの中の1ステップを具体化したもの
- インシデント対応計画組織全体の対応体制・役割・方針を定めた上位の計画。プレイブックはそれをインシデントの種類別に具体化したもの
- SOARプレイブックやランブックの手順を自動で実行する仕組み（ツール）