EDRと初動手順を組み合わせ、防御体制を整える

試験端末と既存対策の構成表、EDR契約と通知先一覧、隔離・復旧の顧客判断者一覧を確認し、EDR製品1種、試験端末5台、通知規則3件、検知・隔離判断・復旧の模擬3ケースを対象として初期整理します。

見る記録・確かめること

• 試験端末と既存対策の構成表から対象を識別できるか
• EDR契約と通知先一覧が今回の条件に対応するか
• 隔離・復旧の顧客判断者一覧の確認者と不足項目が分かるか

次へ進む条件

対象と提供資料が対応し、「対象端末」を決める根拠と、「通知先」を判断する顧客担当を特定できます。

保留する条件

試験端末と既存対策の構成表の対象が曖昧、EDR契約と通知先一覧と条件が合わない、または判断担当・既存の作業権限を確認できません。

保留時の対応

不足の資料名・項目を顧客へ返し、該当部分を未確認として残します。検知通知の到達、隔離の承認、接続復帰、データ復元を別々に扱います。隔離解除だけで業務・データが復旧したとは判断しません。

残すもの

対象・受入条件の合意メモ：EDR製品1種、試験端末5台、通知規則3件、検知・隔離判断・復旧の模擬3ケース。出所、対象、未確認項目を併記。

通知規則3件を重要度・通知先・確認担当に対応付ける。隔離承認から状態確認、解除判断までを設計し、データ復元はバックアップ担当の手順へ接続する。構成例の「対象端末」「通知先」は説明値のまま適用せず、今回の条件と合意して整備します。

見る記録・確かめること

• 対象端末：試験端末Aの適用条件を確認したか
• 通知先：顧客の一次確認窓口の判断者と根拠を確認したか
• 隔離判断：業務責任者の承認後を未確認と混同しないか

次へ進む条件

「対象端末」「通知先」の条件と「隔離判断」の扱いが、設計資料・構成例・顧客の判断で一致します。

保留する条件

説明用の「試験端末A」を確定設定と誤認する、隔離判断の扱いが定まらない、またはEDR検知の条件を確認できません。

保留時の対応

不一致の項目を設計資料へ戻し、顧客判断と提供資料で確認します。隔離で管理通信も途切れるおそれがあるため、製品・OS・通信経路ごとの制約と復帰手段を先に確認します。追加の製品導入・権限付与・対象拡大で埋め合わせず、見積外の作業は分離します。

残すもの

EDR試験設定表：端末5台・通知規則3件・変更前の値／初動判断表：隔離承認・結果確認・復旧移管の条件

既定の受入観点「検知通知が担当者に届く」を、見積に含まれる試行・レビューの中で確認します。安全なテスト検知で端末IDと通知規則を照合する。期待結果と実施後の観察結果を別欄に記録します。

見る記録・確かめること

• 確認方法：安全なテスト検知で端末IDと通知規則を照合する
• 期待する扱い：対象端末の通知先・確認担当・確認結果を追跡できる
• 同じ対象・条件の操作と観察結果を、証拠の参照先からたどれるか

次へ進む条件

期待する結果：対象端末の通知先・確認担当・確認結果を追跡できる。この結果と実際の試行証跡が一致することを確認して進めます。未実施や結果不明を合格に置き換えません。

保留する条件

「検知通知が担当者に届く」に対し、期待する扱い「対象端末の通知先・確認担当・確認結果を追跡できる」と異なる結果になるか、その判断を裏付ける証跡・試行条件が不足しています。

保留時の対応

「検知通知が担当者に届く」で実施した操作、対象・条件、観察結果を並べ、期待結果との差を顧客の判断担当へ返します。検知通知の到達、隔離の承認、接続復帰、データ復元を別々に扱います。隔離解除だけで業務・データが復旧したとは判断しません。不足資料や追加作業が必要なら初期範囲と分けて相談します。

残すもの

検知通知が担当者に届くの記録：対象・条件・期待結果・観察結果・証拠・判定。保留時は理由・担当・再開条件。

既定の受入観点「隔離承認が得られない」を、見積に含まれる試行・レビューの中で確認します。模擬の未承認ケースで判断手順をたどる。期待結果と実施後の観察結果を別欄に記録します。

見る記録・確かめること

• 確認方法：模擬の未承認ケースで判断手順をたどる
• 期待する扱い：独断で隔離せず業務影響と承認待ちを記録できる
• 同じ対象・条件の操作と観察結果を、証拠の参照先からたどれるか

次へ進む条件

期待する結果：独断で隔離せず業務影響と承認待ちを記録できる。この結果と実際の試行証跡が一致することを確認して進めます。期待どおりの保留・拒否・相談も、その観点の合格に含みます。

保留する条件

「隔離承認が得られない」に対し、期待する扱い「独断で隔離せず業務影響と承認待ちを記録できる」と異なる結果になるか、その判断を裏付ける証跡・試行条件が不足しています。

保留時の対応

「隔離承認が得られない」で実施した操作、対象・条件、観察結果を並べ、期待結果との差を顧客の判断担当へ返します。検知通知の到達、隔離の承認、接続復帰、データ復元を別々に扱います。隔離解除だけで業務・データが復旧したとは判断しません。例外の発生自体を不合格にせず、その扱いを確認します。

残すもの

隔離承認が得られないの記録：対象・条件・期待結果・観察結果・証拠・判定。保留時は理由・担当・再開条件。

既定の受入観点「復帰を判断する」を、見積に含まれる試行・レビューの中で確認します。模擬復旧ケースで隔離解除条件とバックアップへの依頼範囲を確認する。期待結果と実施後の観察結果を別欄に記録します。

見る記録・確かめること

• 確認方法：模擬復旧ケースで隔離解除条件とバックアップへの依頼範囲を確認する
• 期待する扱い：解除とデータ復元を混同せず、戻し方と責任者が明確になる
• 同じ対象・条件の操作と観察結果を、証拠の参照先からたどれるか

次へ進む条件

期待する結果：解除とデータ復元を混同せず、戻し方と責任者が明確になる。この結果と実際の試行証跡が一致することを確認して進めます。期待どおりの保留・拒否・相談も、その観点の合格に含みます。

保留する条件

「復帰を判断する」に対し、期待する扱い「解除とデータ復元を混同せず、戻し方と責任者が明確になる」と異なる結果になるか、その判断を裏付ける証跡・試行条件が不足しています。

保留時の対応

「復帰を判断する」で実施した操作、対象・条件、観察結果を並べ、期待結果との差を顧客の判断担当へ返します。検知通知の到達、隔離の承認、接続復帰、データ復元を別々に扱います。隔離解除だけで業務・データが復旧したとは判断しません。例外の発生自体を不合格にせず、その扱いを確認します。

残すもの

復帰を判断するの記録：対象・条件・期待結果・観察結果・証拠・判定。保留時は理由・担当・再開条件。

合意した対象の受入確認1回で、検知通知が担当者に届くなどの判定と残課題を確認する。試行後の軽微な修正1回までを反映し、引継ぎ手順：日中の確認担当と製品別の戻し方を用いて顧客担当者へ引継ぎ1回を行う。

見る記録・確かめること

• 「検知通知が担当者に届く」「隔離承認が得られない」「復帰を判断する」の判定根拠をたどれるか
• 対応記録の未完了に担当と再開条件があるか
• 初期支援の対象と、除外事項・継続支援の扱いを区別できるか

次へ進む条件

3観点の期待結果と観察結果を区別し、対応記録の判断根拠と未確認事項を顧客が受領できます。適切に管理された保留は、残課題として引き継ぎます。

保留する条件

対応記録の判定根拠や残課題の担当が欠ける、未実施を確認済みと表示する、または対象外の作業を完了の前提にしています。

保留時の対応

受入の未確認部分を明示し、引継ぎ手順：日中の確認担当と製品別の戻し方へ担当・相談先を補います。合意した修正枠を超える再試験、追加調査、全面展開は別途相談し、初期支援へ自動追加しません。

残すもの

引継ぎ手順：日中の確認担当と製品別の戻し方。3観点の証跡と残課題の担当・再開条件を添付。