インシデント対応とCSIRTとは？

インシデント対応とCSIRTの意味

セキュリティインシデント（情報漏えいや不正アクセスなどの事故）が発生した際に、被害の把握・拡大防止・原因究明・復旧・再発防止までを体系的に進める活動。CSIRT（Computer Security Incident Response Team）は、こうしたインシデント対応を専門に担う組織内のチーム。

インシデント対応とCSIRTの具体例

マルウェア感染が発覚した際、CSIRTが感染端末をネットワークから隔離し、被害範囲を調査し、関係者への報告・公表の要否を判断するといった一連の対応を主導する。

インシデント対応とCSIRTは試験でどう引っ掛けられる？

CSIRTは事故発生後の対応を担う組織で、平常時から製品の脆弱性情報を扱うPSIRTや、監視を専門に24時間体制で行うSOC（セキュリティオペレーションセンター）とは役割が違う。SOCが「見つける」側、CSIRTが「対処する」側と整理できる。またインシデントとは事故そのもののほか、事故につながりうる事象も含み、実害が出ていなければインシデントではない、というわけではない。

インシデント対応とCSIRTと関連する用語

• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）

インシデント対応とCSIRTが出た過去問

• CSIRTの説明として、適切なものはどれか。

  正解：企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称である。

  要点：CSIRTはセキュリティ事故の受付・調査・対応を担うチーム

  CSIRT（Computer Security Incident Response Team）は、組織内で発生した情報セキュリティ事故の届出を受け付け、原因を調査し、封じ込めや復旧、再発防止までの対応を担うチームの総称である。企業内、政府機関、地域単位など設置形態は様々で、平時には脆弱性情報の収集や注意喚起も行う。

  出典：平成29年度 秋期 基本情報技術者試験 午前 問42（IPA）

• 組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。

  正解：CSIRTマテリアル

  要点：CSIRTマテリアルはインシデント対応体制づくりの手引き

  インシデント対応チームを組織内に作ろうとする際、必要な役割・体制・運用手順の考え方を段階的にまとめた資料である。構想・構築・運用の各段階に分けて実務的な手引きを示している点が特徴になる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問40（IPA）

• 情報セキュリティに関する専門組織の説明のうち，CSIRTの説明として，最も適切なものはどれか。

  正解：発生したセキュリティインシデントに対し，インシデント対応を行う組織

  要点：CSIRTは発生したインシデントへの対応を担う組織

  CSIRTは、実際に発生したセキュリティインシデントに対応することを主な役割とする組織である。検知後の初動対応、被害の封じ込め、復旧、再発防止まで一連の対処を担う。日常的な監視・分析を担うSOCや、自社製品の脆弱性に対応するPSIRTとは役割が異なる。

  出典：令和8年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）