インシデント対応とCSIRTとは？

インシデント対応とCSIRTの意味

セキュリティインシデント（情報漏えいや不正アクセスなどの事故）が発生した際に、被害の把握・拡大防止・原因究明・復旧・再発防止までを体系的に進める活動。CSIRT（Computer Security Incident Response Team）は、こうしたインシデント対応を専門に担う組織内のチーム。

インシデント対応とCSIRTの具体例

マルウェア感染が発覚した際、CSIRTが感染端末をネットワークから隔離し、被害範囲を調査し、関係者への報告・公表の要否を判断するといった一連の対応を主導する。

インシデント対応とCSIRTは試験でどう引っ掛けられる？

CSIRTは事故発生後の対応を担う組織で、平常時から製品の脆弱性情報を扱うPSIRTや、監視を専門に24時間体制で行うSOC（セキュリティオペレーションセンター）とは役割が違う。SOCが「見つける」側、CSIRTが「対処する」側と整理できる。またインシデントとは事故そのもののほか、事故につながりうる事象も含み、実害が出ていなければインシデントではない、というわけではない。

インシデント対応とCSIRTが出た過去問

• SOAR(Security Orchestration, Automation and Response)の説明はどれか。

  正解：脅威インテリジェンスの活用,セキュリティ運用の自動化及びインシデント対応の効率化を行う技術

  要点：SOARは製品連携と自動化でインシデント対応を効率化する

  SOARは、脅威インテリジェンスを取り込みつつ、複数のセキュリティ製品の操作をプレイブックとして連携(オーケストレーション)・自動化し、インシデント対応を効率化する技術・製品群である。よってアが正しい。ログの集約と相関分析を担うのはSIEMで、SOARはその先の対応工程まで自動化する点が異なる。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• 組織のセキュリティインシデント管理の成熟度を評価するためにOpen CSIRT Foundationが開発したモデルはどれか。

  正解：SIM3

  要点：SIM3はCSIRTの成熟度を四つの観点で評価するモデル

  SIM3は、CSIRTの成熟度を組織・人材・ツール・プロセスという四つの観点のパラメータで評価するモデルである。各項目を段階的な尺度で自己評価または第三者評価し、体制の弱い部分を可視化して改善の道筋を描くことができる。CSIRTの立ち上げ後、活動が形骸化していないかを定期的に点検する用途で用いられる。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）

• ある企業で,社内機能としてCSIRT,PSIRT,SOC,WHOISデータベースの技術連絡担当組織があるとき,自社製品の脆弱性に起因するリスクに対応するべき社内…

  正解：PSIRT

  要点：自社製品の脆弱性対応を担うのはCSIRTではなくPSIRT

  PSIRTは、自社が提供する製品やサービスに含まれる脆弱性を扱う専門組織である。研究者や利用者からの届出の受付、影響範囲の調査、修正版の準備、脆弱性情報の公表と顧客への告知までを担い、製品のライフサイクル全体にわたって責任をもつ。自社ネットワーク内で起きたインシデントに対応するCSIRTとは対象が異なり、監視業務を担うSOCとも役割が分かれる。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）