CSIRTがあれば、インシデントに対応できる？——体制・権限・連絡網・訓練の要点｜支援士解説4の1
この記事の重要度：Cランク（主に午前II（科目A-2）で問われる論点。午後では問題文の前提として読めれば十分）
この記事で分かること：
- インシデント管理の流れと、CSIRTが平常時・発生時・収束後に担う仕事
- CSIRT・SOC・PSIRTの違いと、組織内CSIRTの形態
- 体制が「動く」ための条件（権限、報告の範囲、連絡網、記録、訓練）
シラバスとの対応：小項目4-1「情報セキュリティインシデントの管理体制の構築」。事象の評価は支援士解説4の2、対応の進め方は支援士解説4の3、外部との連携は支援士解説1の7で扱います。
午後の試験では、インシデントへの対応そのもの（初動、調査、封じ込め）が繰り返し主役になります。一方、対応の「体制」は、問題文の前提として出てくることがほとんどです。「A社にはCSIRTがある」「SOCから通知を受けた」「CSIRTに報告する」といった記述を、役割と権限の違いまで含めて迷わず読めれば十分です。
この記事では、体制の要点を午前IIの正誤ポイントに沿って整理します。合わせて、CSIRTがあるのに機能していなかった組織を題材にした午後の過去問を一つ紹介します。体制図があることと、実際に対応できることの違いが、よく分かる問題です。
1. インシデント管理の流れと、CSIRTの仕事
インシデント管理は、事故が起きてから始まるものではありません。教科書では、次の流れで整理されます。
- 発生に備えた対応：体制の整備、規程と手順の策定、脅威・脆弱性情報の収集、教育・訓練、他の組織との連携
- 検知と連絡の受付：監視の仕組みによる検知と、職員・顧客・第三者からの連絡
- トリアージ：あらかじめ定めた基準で優先度を決め、対応の要否と方法を決める
- 封じ込め・影響範囲の特定・応急処置
- 対応策の決定と実施：復旧、関係者への連絡、広報
- 収束後の対応：結果の分析と評価、再発防止、体制と手順の見直し
このうち2〜5をインシデントハンドリングと呼びます。1〜6の全体がインシデント管理（インシデントマネジメント）です。
CSIRT（Computer Security Incident Response Team、シーサート）は、インシデントに対応するためのチームです。組織内CSIRTは、発生時に対応を主導し、情報を集めて経営層や関係者に報告し、現場に対応を指示します。平常時には情報の収集や外部との連携で発生に備え、収束後には再発防止を進めます。対応の個々の手順は支援士解説4の3で扱います。
用語の区別も押さえておきます。ログインの失敗や不審なメールの受信のような、情報セキュリティに関係する出来事を事象（イベント）と呼びます。監視のルールに基づいて出される警告がアラートです。そのうち、組織として対応が必要な事態がインシデントです。記録や警告があるだけで被害が起きたとは限りませんが、疑いの段階から報告と確認の対象にします（評価の仕方は支援士解説4の2）。
検知の入口は、監視の仕組みだけではありません。端末の紛失、誤送信、取引先からの指摘、SNSへの書き込みなど、人からの連絡で初めて分かる事故も多くあります。そのため、システムによる検知と、人からの報告を受ける窓口の両方を用意します。
2. CSIRTの種類と、組織内CSIRTの形態
広い意味のCSIRTには、特定の組織で活動する組織内CSIRTのほかに、国をまたいで連携する国際連携CSIRTや、CSIRTどうしの情報連携を調整するコーディネーションセンターがあります。日本ではJPCERT/CC（JPCERTコーディネーションセンター）がこの役割を担います。
組織内CSIRTの形は、組織の規模や実情によって違います。JPCERT/CCの資料では、次のように分類しています。
- セキュリティチーム：正式なCSIRTを置かず、システム管理者などが通常業務の一部としてインシデントに対応する。組織全体に及ぶインシデントへの対応は難しい
- 分散型CSIRT：各部署にCSIRTのスタッフを（兼務も含めて）任命し、一人の責任者が監督と調整を担う
- 集中型CSIRT：主に専任のスタッフで構成し、組織内のすべてのインシデントに責任を持つ。責任者は経営層に報告する
- 統合（分散／集中）型CSIRT：分散型と集中型を組み合わせる
- 調整役CSIRT：組織の内外にまたがって対応を調整する。広くさまざまなサービス対象を持つ（例：グループ会社を含む）
分散型CSIRTは外部から見た単一の窓口（SPOC：Single Point of Contact）、集中型CSIRTは窓口（POC：Point of Contact）の機能を持ちます。外部の組織が「この組織の誰に連絡すればよいか」が分かることは、CSIRTの大切な役割です。
平常時の連携先には、JPCERT/CC、日本シーサート協議会（国内のCSIRTどうしの協議会）、業界ごとのISAC（脅威やインシデントの情報を共有・分析する組織。金融ISAC、自治体ISACなど）、他社のCSIRT、セキュリティベンダーがあります。国際的には、各国のCSIRTが参加するFIRST（Forum of Incident Response and Security Teams）があります。連携で得た情報を自組織に当てはめる方法は支援士解説1の6で扱います。
3. CSIRT・SOC・PSIRTの違い
名前が似ている三つの組織・機能は、中心となる対象が違います（図1）。
- SOC（Security Operation Center）：ログや通信を監視し、IDS・IPS・SIEMなどのアラートを分析して、必要な相手（主にCSIRT）へ通知する（エスカレーションする）。自組織で持つ場合も、外部の監視サービスを契約する場合もある。契約によっては、端末の隔離など対処の一部まで担う
- CSIRT：組織としての対応を調整する。インシデントが業務と情報に与える影響を整理し、技術・業務・法務・広報の担当をつなぎ、準備・対応・改善を支える
- PSIRT（Product Security Incident Response Team、ピーサート）：自組織が提供する製品・ソフトウェア・サービスの脆弱性に対応する。報告を受け、影響と修正を調整し、開発部門や利用者と連携する
CSIRTとPSIRTの違いは、社内か社外かではなく、自組織の利用環境を守るのか、提供している製品の問題を扱うのかという対象の違いです。製品の脆弱性が公表されたとき、提供側のPSIRTは影響する版と対処方法を示し、利用側のCSIRTは自分たちの環境への影響と適用を判断します。修正版が公開されることと、利用側で適用が完了することは別です（脆弱性への対応は支援士解説3の6）。
SOCとCSIRTの関係で押さえたいのは、名称から権限を推測しないことです。SOCが監視だけを担う体制もあれば、隔離まで担う契約もあります。「24時間監視」が、24時間の電話応答、調査、設定変更のすべてを含むとは限りません。SOCがアラートを出しても、システムを止めるか、業務をどう続けるかは、CSIRTが関係者と整理し、権限を持つ責任者が判断します。SIEM・SOARなどの監視の仕組みは支援士解説3の4で扱います。
【図1】CSIRT・SOC・PSIRT：中心となる対象を分ける
4. 体制が動くための条件
CSIRTを置いても、次の条件がそろわなければ動きません。
- 対象：どの部門、グループ会社、委託先、クラウドサービスまでを支援の対象にするか。対象外の報告が届いたときの引継ぎ先も決める
- 権限：CSIRTが他部門に直接指示できるのか、助言にとどまるのか。指示できるなら、その根拠と範囲を規程に書く
- 報告の範囲：何をCSIRTに報告すべきかを、具体例で示す。「マルウェアに感染したら報告」とだけ伝えると、誤送信や紛失は報告されない
- 人員と時間：兼務の担当者が、通常業務に追われて動けない状態にしない。招集の条件、通常業務の引継ぎ、長時間の対応での交代を決める
- 委任と代行：緊急時に、誰がどの範囲まで判断・操作できるかを事前に決める。たとえば感染が疑われる端末の隔離は定めた担当者が行い、事後に報告する。組織全体の停止は別の判断経路にする
- 経営層の関与：インシデントは事業の継続に関わるので、対応に必要な資源の整備には、権限を持つ経営層が関与する
- 外部の資源：監視サービス、インシデント対応の支援サービス、サイバー保険などを、必要に応じて事前に契約しておく
- 設備と情報：代わりの機器、交換部品、バックアップデータ、調査用の端末や作業場所を用意しておく。調査の資料や証拠には個人情報や弱点の情報が含まれるので、閲覧できる人と保管の方法も決める
午後での問われ方
- 平成28年度春期 午後II問1（情報セキュリティスペシャリスト試験）：CSIRTの構築が題材だった。CSIRTはあったが、メンバー3名は全員が兼務で、存在と機能が社内に十分には周知されていなかった。従業員はCSIRTをマルウェア感染時の報告先だと思い込み、それ以外の事故は事業部内で処理されていた。さらに、事業部が自ら影響度を判断し、事業部の都合を優先した対応をしていた。CSIRTは記録と完了の確認しかしていなかった。改善として、CSIRTを経営陣の直属にし、担当者を専任にし、対応の指示をCSIRTが直接行えるようにした。直接指示させる目的は、インシデントが会社全体に与える影響度に基づいて対応を指示するため、という趣旨だった。また、明確にすべき事項として「報告すべきインシデントの範囲」が問われた
この問題は、「CSIRTがある」ことと「対応できる」ことの差を示しています。午後の問題文でCSIRTが出てきたら、権限、報告の範囲、人員の三つが足りているかを読む習慣を付けると、設問の意図をつかみやすくなります。
5. 規程・手順と、トリアージの基準
体制を動かすための文書は、詳しさと役割が違います。
- インシデント管理規程：対象、責任、権限、報告、記録など、組織として守る基本のルール
- 対応計画：関係部門と資源を使って、どう対応を進めるか
- 手順書・プレイブック：不審なメールで認証情報を入力した、端末が感染した、クラウドの公開設定を誤った、といった想定する事案ごとの具体的な手順
すべてのインシデントに同じ力で対応することはできません。そのため、トリアージの判断基準を、できるだけ具体的に事前に決めておきます。何をインシデントとして扱うかの判断と、影響・緊急性に基づく優先順位付けは、支援士解説4の2と支援士解説4の3で扱います。
事業継続計画（BCP）とも矛盾させないようにします。たとえば、インシデント対応の手順で「感染したシステムを止める」としていても、BCPで止めた後の代わりの業務が決まっていなければ、現場は判断に迷います（支援士解説3の3）。
6. 連絡網とエスカレーション、記録
連絡網は、送信して終わりではありません。
- 受け取ったことを返す（受領確認）。返事がなければ次の相手へ回す
- 普段のメールや認証基盤が使えないときの、別の連絡手段を決めておく。攻撃を受けている環境のメールで対応を相談すると、攻撃者に読まれるおそれもある
- 窓口は個人ではなく役割にする。担当者の異動で連絡先が消えないようにする
- 委託先・クラウド事業者との連絡は、契約で対応できる範囲（受付時間、調査、設定変更、ログの提供）と合わせる
エスカレーションは、重大性や必要な権限・専門性に応じて、適切な責任者や担当へ対応を引き上げることです。上司へ順番に転送することではありません。
記録も体制の一部です。インシデントトラッキングシステムなどで、事案ごとに担当、状況、作業、判断を管理します。確認した事実、推測、判断を分けて書き、誰がいつ何を決めたかを残します。記録の仕組みが普段の認証基盤に依存していると、事故のときに使えなくなるので、最低限の代わりの記録方法も用意します。
外部への報告や公表の進め方は支援士解説1の7で扱います。
7. 訓練で、規程と現実のずれを見つける
研修は知識を身に付けるもので、訓練は実際に連絡し、判断し、記録できるかを確かめるものです。訓練には目的に応じて種類があります。
- 机上演習：シナリオを読み、参加者が対応を話し合う。責任分担や判断の抜けを見つけるのに向く
- 連絡訓練：実際の経路で通知と受領確認を行い、連絡先や当番が機能するかを確かめる
- 技術的な訓練：用意した環境で、ログの確認や隔離などの操作を行う。本番に影響しないよう、対象と中止の条件を決めておく
CSIRT以外の部署（業務、法務、広報、委託先）も参加すると、部門の間で止まる場所が見つかります。訓練で「代行者が決まっていない」と分かったら、規程と連絡網を直し、本人に伝え、もう一度訓練で確かめるところまで進めます。
訓練や実際の対応の評価では、指標の選び方にも注意します。報告の件数が少ないことを無条件に良いと評価すると、報告を控える方向に働くおそれがあります。早く終結したことだけを評価すると、確かめていない点を残したまま閉じるおそれがあります。受領確認までの時間、判断者に届いたか、判断の理由を残せたかなど、確かめたい点に合う指標を選びます。
体制の成熟度を評価するモデルとして、SIM3（Security Incident Management Maturity Model）があります。組織、人材、ツール、プロセスの4つの観点で、CSIRTの成熟度を評価します。
8. 午前II（科目A-2）で正誤を見分けるポイント
- 「CSIRTは、インシデントが発生したときだけ活動する組織である」→ 誤り。平常時の準備（情報の収集、連携、訓練）と、収束後の改善も担う。ただし、発生時だけ臨時に置く組織もある
- 「インシデントハンドリングとインシデント管理は同じ意味である」→ 誤り。ハンドリングは検知から対応策の実施まで。管理は準備と収束後の改善も含む
- 「PSIRTは、社外からの攻撃に対応するCSIRTのことである」→ 誤り。自組織が提供する製品・サービスの脆弱性に対応する
- 「SOCは、インシデント対応の方針と対外的な公表を決める組織である」→ 誤り。SOCは監視とアラートの分析を担い、必要に応じてCSIRTへエスカレーションする
- 「JPCERT/CCは、国内の企業の組織内CSIRTである」→ 誤り。インシデントの報告を受け、関係組織との連絡調整を行うコーディネーションセンター
- 「エスカレーションとは、上司に順番に報告を転送することである」→ 誤り。重大性や必要な権限に応じて、適切な相手へ対応を引き上げること
- 「CSIRTを設置すれば、報告すべきインシデントの範囲は従業員が判断できる」→ 誤り。範囲を具体例で示し、周知する
- 「トリアージの基準は、インシデントが起きてから決める」→ 誤り。事前に、できるだけ具体的に決めておく
- 「机上演習は、本番環境で実際に機器を操作する訓練である」→ 誤り。シナリオに沿って対応を話し合う訓練
理解度チェック
本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。
問1 CSIRTの役割
組織内CSIRTの説明として、最も適切なものはどれか。
- ア：インシデントが発生したときだけ活動し、平常時の活動は行わない
- イ：発生時に対応を主導し、平常時には情報の収集や外部との連携で発生に備え、収束後には再発防止を進める
- ウ：自社が販売する製品の脆弱性について、報告の受付と修正の調整だけを行う
- エ：ネットワークの監視とアラートの分析だけを行う
正解：イ。アは平常時と収束後の活動を欠きます。ウはPSIRT、エはSOCの中心的な役割です。
問2 機能しないCSIRT
CSIRTを設置したが、従業員はマルウェア感染しか報告せず、誤送信や紛失は各部署で処理されていた。最初に行う改善として、最も適切なものはどれか。
- ア：CSIRTの人数を2倍にする
- イ：報告すべきインシデントの範囲を具体例で定め、従業員に周知する
- ウ：監視製品を追加で導入する
- エ：各部署に、事故を自ら処理する権限を正式に与える
正解：イ。報告されない事故は、人数や製品を増やしても把握できません（ア、ウ）。エは、組織全体への影響に基づく判断ができない状態を固定してしまいます。
問3 SOCとCSIRT
外部のSOCサービスから、業務サーバの不審な通信について通知を受けた。対応として、最も適切なものはどれか。
- ア：SOCの契約に「24時間監視」とあるので、サーバの停止もSOCが判断すると考える
- イ：契約で定めたSOCの対応範囲を確かめ、業務への影響を関係者と整理し、権限を持つ責任者が措置を判断する
- ウ：SOCの通知はすべて誤検知とみなし、記録だけ残す
- エ：SOCが通知してきた以上、インシデントであると確定し、直ちに公表する
正解：イ。名称や「24時間監視」という言葉から、停止の権限まで決まるわけではありません（ア）。ウとエは、確かめる前に結論を出しています。
問4 訓練
緊急連絡網が実際に機能するかを確かめる方法として、最も適切なものはどれか。
- ア：連絡網の一覧表を最新の名簿と照合する
- イ：実際の経路で通知を送り、受領の確認が返り、担当へ引き継がれるまでを確かめる
- ウ：全職員に、連絡網の存在を知らせるメールを送る
- エ：連絡網に載っている人数を数える
正解：イ。アは一覧の正しさ、ウは周知、エは人数を確かめるだけで、連絡が届き、引き継がれるかは分かりません。
実務と国・自治体では
- 政府機関等の統一基準：最高情報セキュリティ責任者（CISO）によるCSIRTの整備、役割の明確化、責任者と要員の選任、CISOへの報告体制を定めている。報告すべき事象の具体例を含む報告手順、外部との情報共有を含む対処手順、重要なシステムの緊急連絡網、訓練なども扱う。政府機関等向けの基準なので、自治体や企業の直接の義務として読み替えない（統一基準群の位置付けは支援士解説1の1）
- 自治体向けガイドライン：総務省のガイドラインは、CSIRTの設置と役割（統一的な窓口、報告、関係部局への情報提供、外部との共有など）の例文と、緊急時対応計画（連絡先、報告事項、対応措置、再発防止、業務継続計画との整合）を示している。総務省「自治体のサイバーセキュリティ対策」
- 調達・委託：「事故発生時は速やかに報告する」の一文だけでは、疑いの段階を含むのか、夜間はどこへ連絡するのかが分からない。受付時間、初報の条件、ログの提供、緊急作業の承認を仕様書と契約に書き、受入れ時に実際に連絡が届くかを確かめる
- 参考資料：JPCERT/CCは、組織内CSIRTの構築・運用の資料（CSIRTマテリアル）を公開している。JPCERT/CC「CSIRTマテリアル」
まとめ
- インシデント管理は、準備から収束後の改善まで。 ハンドリングは、そのうち検知から対応策の実施まで。
- SOCは監視と分析、CSIRTは組織の対応の調整、PSIRTは提供する製品の脆弱性。 名称から権限を推測しない。
- CSIRTが動くには、権限、報告の範囲、人員と時間、委任と代行が必要。 平成28年度春期 午後II問1はその好例。
- 連絡網は受領確認まで、訓練は改善の完了まで。
さらに深く学ぶなら
この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。
- 実践 CSIRTプレイブック（Jeff Bollingerほか／オライリー・ジャパン）：セキュリティ監視とインシデント対応の計画（プレイブック）の作り方を学べる
関連記事
- 次に読む：その警告、本当に事故？｜支援士解説4の2（事象の評価とトリアージ）
- 次に読む：インシデントから復旧したら、もう安全？｜支援士解説4の3（対応の進め方）
- あわせて読む：ログを取るだけで攻撃に気付ける？｜支援士解説3の4（SIEM・SOCと監視）
- あわせて読む：その情報で誰が動くのか？｜支援士解説1の7（外部との連携と公表）
2026年10月改訂：午前IIで問われるCSIRTの役割と形態、SOC・PSIRTとの違い、体制が動く条件に絞って構成を見直しました。
