CSIRTとは ― インシデント対応とSOCとの違い

CSIRT（シーサート）は、ウイルス感染や情報漏えいが起きたときに対応を取り仕切る組織です。状況を調べてどう対応するかを決め、復旧まで進めます。正確には、コンピュータセキュリティに関わるインシデントに対処する組織の総称です。

CSIRTは、事故が起きてから動くだけではありません。ふだんからインシデントや脆弱性の情報を集めて分析し、対応の方針や手順も定めます。インシデントとは、ISMSでいう機密性・完全性・可用性を脅かす事象のことです。

CSIRTは「Computer Security Incident Response Team」の略です。ただし、専任の部署である必要はありません。他の業務と兼務するメンバーが、部署を横断してCSIRTの機能を受け持つ組織も少なくありません。

CSIRTは、サービスの対象によっても分かれます。自組織のインシデントに対応するのは、組織内CSIRTです。このほか、他のCSIRTとの連絡や調整を行うコーディネーションセンターなどがあります。標的型攻撃を受けた組織では、組織内CSIRTが窓口となります。

SOC（Security Operation Center）は、ログや通信を監視し、異常を検知する組織です。CSIRTは、SOCが検知した事象や外部からの通報を受け取ります。そして、対応すべきかどうかを判断し、復旧までを統括します。SOCが監視に使う道具には、SIEMやEDRがあります。

次の図は、この役割分担をまとめたものです。

SOCの監視・検知には専門の技術力が必要なので、外部の事業者に委託しやすい業務です。一方、どう対応するかの調整や意思決定は、組織の内部でしか行えません。このため、CSIRTの中心となる役目は組織内に残ります。

セキュリティベンダーやSOC事業者が、組織内CSIRTの機能の一部を有償で請け負う場合もあります。このような事業者をインシデントレスポンスプロバイダーと呼びます。

CSIRTの業務は幅広く、インシデントが起きる前の準備も含みます。このうち、実際に発生したインシデントに対応する一連の流れをインシデントハンドリングと呼びます。

国内のCSIRTの調整役は、JPCERT/CCです。そのインシデントハンドリングマニュアルは、代表的な流れを4段階で示しています。次の図で、小さな会社を例に、各段階で何をするかを1段ずつ確かめられます。

段階の数と名前は資料によって異なります。アメリカの国立標準技術研究所（NIST）にも、インシデント対応の文書があります。この文書のSP 800-61 Revision 2（2012年）は、4段階を示していました。「準備」「検知と分析」「封じ込めと根絶と復旧」「事後対応」の4つです。「準備」を1つの段階に含める点が、JPCERT/CCの分け方と異なります。

この文書は2025年4月にRevision 3へ置き換えられました。Revision 3は、インシデント対応を整理し直しました。基準にしたのは、NISTのサイバーセキュリティフレームワーク（CSF）2.0です。CSF 2.0の6つの機能は、統治・識別・防御・検知・対応・復旧です。

インシデントレスポンスの段階で端末に残った記録を調べるときは、デジタルフォレンジックスの証拠保全の手順を使えます。漏えいしたのが個人データなら、個人情報保護委員会への報告が要る場合があります。その条件は個人情報保護法の記事にまとめています。誰がどの順で対応するかは、インシデント対応規程に前もって決めておきます。この規程は情報セキュリティポリシーの記事で説明しています。

国内の組織内CSIRTが互いに連携するための団体が、日本シーサート協議会（NCA）です。CSIRTどうしで情報を共有し、CSIRTを作るためのガイドも公開しています。

JPCERTコーディネーションセンター（JPCERT/CC）は、国際連携CSIRTの機能を持つ組織です。日本を代表して、他国のCSIRTとの連絡窓口になります。ソフトウェアの脆弱性情報の届出制度では、IPAが届出を受け付け、JPCERT/CCが製品の開発者と調整します。

• JPCERT/CC「CSIRTガイド」（CSIRTの定義、サービス対象による分類、インシデントマネジメント／ハンドリング／レスポンスの関係）
• JPCERT/CC「インシデントハンドリングマニュアル」（基本的ハンドリングフローの4段階）
• 日本シーサート協議会「CSIRTスタータキット Ver 3.0」（CSIRTの定義、SOCへのアウトソースと意思決定の分業）
• NIST SP 800-61 Revision 2・Revision 3（インシデント対応の段階の分け方の違い）