CSIRTとは？役割・SOCとの違いと構築の要点を解説

用語解説

CSIRT（シーサート、Computer Security Incident Response Team）とは、組織内のセキュリティインシデントに専門的に対応するチームのことです。サイバー攻撃や情報漏えいが発生した際の被害最小化と早期復旧を担うほか、平時には脆弱性情報の収集や社内啓発などの予防活動も行います。インシデントが「起きるかどうか」ではなく「いつ起きるか」を前提とする現在、CSIRTは規模を問わず多くの組織で必要とされる体制です。

この記事でわかること

  • CSIRTの定義と、平時・有事それぞれの役割
  • SOC・PSIRTとの違い
  • CSIRTの種類と、自社に構築するときの現実的な進め方

CSIRTとは何か

CSIRTとは、コンピュータセキュリティに関するインシデント（マルウェア感染、不正アクセス、情報漏えいなど）への対応を専門に担うチーム・体制です。JPCERT/CCは「組織内の情報セキュリティ問題を専門に扱う、インシデント対応チーム」と定義しています。

ポイントは、CSIRTが単なる「技術チーム」ではないことです。インシデント対応では、システムの調査・復旧だけでなく、経営層への報告、法務・広報との連携、監督官庁や取引先への通知といった組織横断の調整が発生します。CSIRTはこれらの動きを取りまとめる「司令塔」の位置づけです。

なぜCSIRTが必要とされるのか

理由は大きく2つあります。

  • インシデントの完全な予防は不可能だから：ゼロデイ攻撃や標的型攻撃のように、防御側の対策が間に合わない攻撃は常に存在します。「侵入される前提」で、発生後の対応力を組織として備える必要があります。
  • 対応の初動が被害額と信頼を左右するから：インシデント公表事例を見ると、検知の遅れや報告体制の不備が被害拡大や公表遅延につながったケースが目立ちます（例：ニチレイの不正アクセス事例）。誰が判断し、誰が動くかを平時に決めておくことが、初動の速さに直結します。

CSIRTの役割は？平時と有事の活動

CSIRTの活動は、インシデント発生時の対応（事後対応）と、発生に備える平時の活動（事前対応）に分かれます。

区分 主な活動
有事（事後対応） インシデントの受付・トリアージ／影響範囲の調査・分析／封じ込め・復旧の指揮／経営層・関係部署・外部機関への報告と調整
平時（事前対応） 脆弱性・脅威情報の収集と社内展開／インシデント対応手順の整備・演習／セキュリティ啓発・教育／外部CSIRTコミュニティとの連携

実際には有事より平時の時間のほうが圧倒的に長いため、「平時に何をやるチームか」を明確にしておくことが、CSIRTを形骸化させないコツです。

SOCとの違いは？

SOCが「監視・検知」を担うのに対し、CSIRTは検知後の「判断・対応・調整」を担います。SOC（Security Operation Center）は、IDS／IPSやEDRなどのログを24時間365日監視し、異常を検知してエスカレーションする役割です。CSIRTはその報告を受けて、インシデントかどうかを判断し、対応の指揮を執ります。

SOC CSIRT
主な役割 監視・検知・分析 対応の判断・指揮・組織内外の調整
動き方 常時監視（24時間365日が理想） 平時は予防活動、有事に司令塔として稼働
性格 技術・オペレーション寄り 組織横断・マネジメント寄り

また、PSIRT（Product Security Incident Response Team）は、自社が開発・提供する「製品・サービス」の脆弱性対応を担うチームです。守る対象が「自社のシステム（CSIRT）」か「顧客に提供する自社製品（PSIRT）」かが最大の違いです。

CSIRTの種類

CSIRTは設置主体や活動範囲によっていくつかに分類されます。

  • 組織内CSIRT：企業・団体の内部に設置され、自組織のインシデントに対応する。本記事の主な対象。
  • 国際連携CSIRT／調整機関：国内外のCSIRT間の調整や情報連携を担う。日本ではJPCERT/CCが代表例。
  • PSIRT：自社製品・サービスの脆弱性対応に特化。

国内では2007年に発足した日本シーサート協議会（NCA、2024年に一般社団法人化）が企業CSIRT間の連携コミュニティとして機能しており、加盟チームは年々増加しています。

情シスはどう構築・運用すべきか

ゼロから自前で設計する必要はありません。JPCERT/CCが公開している「CSIRTマテリアル」が、構想→構築→運用の3フェーズで必要な検討事項と文書ひな形を無償提供しており、まずはこれを参照するのが定石です。

構築時の要点を3つに絞ると次のとおりです。

  • 専任組織でなくてよい：JPCERT/CCも「組織ごとに適切なCSIRTの形があり、すべての機能を備える必要はない」としています。情シス数名の兼任＋役割定義から始める「バーチャルCSIRT」で十分機能します。
  • 経営層の関与を最初に取り付ける：インシデント時の意思決定（公表判断、システム停止判断など）は情シスだけでは完結しません。エスカレーションルートと権限を文書化しておくことが核心です。
  • 演習で回す：手順書は作っただけでは動きません。年1回でも机上演習を行い、連絡網や判断基準の穴を洗い出すことが実効性を生みます。

現場目線で言えば、CSIRT構築で最も難しいのは技術ではなく「人と時間の確保」です。日常運用に追われる情シスが平時のCSIRT活動まで担うのは正直かなり苦しく、立ち上げても情報収集や演習が後回しになりがちです。だからこそ、最初から理想形を目指さず「インシデント時に誰が何を判断するか」の一点だけでも文書化しておく——それだけで初動の質は大きく変わります。小さく作って演習で育てる、が現実解だと考えます。

関連用語

  • SOC：セキュリティ監視・検知の専門組織。CSIRTと補完関係にある。
  • PSIRT：自社製品・サービスの脆弱性対応チーム。
  • JPCERT/CC：日本の代表的な調整機関。インシデント報告の受付や注意喚起を行う。
  • CVSS：脆弱性の深刻度評価指標。CSIRTのトリアージでも活用される。

まとめ

  • CSIRTとは、セキュリティインシデントへの対応を専門に担うチームであり、技術対応だけでなく組織横断の「司令塔」の役割を持つ。
  • SOCが「監視・検知」、CSIRTが「判断・対応・調整」という補完関係。PSIRTは自社製品の脆弱性対応を担う別の体制。
  • 構築はJPCERT/CCの「CSIRTマテリアル」（構想・構築・運用の3フェーズ）を参照し、兼任の小さな体制＋机上演習から始めるのが現実的。

出典

タイトルとURLをコピーしました