セキュリティ異常の分析は、セキュリティインシデントを検出する最も効果的な方法です。これは、情報システムとネットワークの現在の状態を期待される状態または正常な状態と比較し、セキュリティ侵害や侵害の兆候となる可能性のある逸脱や異常を特定することを意味します。セキュリティ異常は、セキュリティ情報イベント管理（SIEM）システム、侵入検知・防止システム（IDS/IPS）、ログ分析、ネットワークトラフィック分析、行動分析など、さまざまなツールや手法を用いて検出できます。（CISMレビューマニュアル第15版より）参考文献：CISMレビューマニュアル第15版、181ページ、セクション4.3.2.4、CISM：情報セキュリティインシデント管理パート11、セクション「セキュリティ異常の認識」。

説明
法的対応は、インシデントが発生した現地で行われる可能性が高いため、証拠の取り扱い手順が現地の規制に準拠していることが不可欠です。一部の国では、収集可能な情報に関して厳格な規制が設けられています。収集された証拠が現地の規制に準拠していない場合、法廷で証拠として認められない可能性があります。コンピュータ証拠の取り扱いに関する国際的に認められた共通の規制はありません。共通の保管連鎖の概念など、一般的に受け入れられているベストプラクティスは、国によって実装が異なる場合があり、証拠が証拠として認められるという保証にはならない可能性があります。現地の規制は常に組織のセキュリティポリシーよりも優先されます。