インシデント対応とCSIRTとは？

インシデント対応とCSIRTの意味

セキュリティインシデント（情報漏えいや不正アクセスなどの事故）が発生した際に、被害の把握・拡大防止・原因究明・復旧・再発防止までを体系的に進める活動。CSIRT（Computer Security Incident Response Team）は、こうしたインシデント対応を専門に担う組織内のチーム。

インシデント対応とCSIRTの具体例

マルウェア感染が発覚した際、CSIRTが感染端末をネットワークから隔離し、被害範囲を調査し、関係者への報告・公表の要否を判断するといった一連の対応を主導する。

インシデント対応とCSIRTは試験でどう引っ掛けられる？

CSIRTは事故発生後の対応を担う組織で、平常時から製品の脆弱性情報を扱うPSIRTや、監視を専門に24時間体制で行うSOC（セキュリティオペレーションセンター）とは役割が違う。SOCが「見つける」側、CSIRTが「対処する」側と整理できる。またインシデントとは事故そのもののほか、事故につながりうる事象も含み、実害が出ていなければインシデントではない、というわけではない。

インシデント対応とCSIRTが出た過去問

• 情報の漏えいなどのセキュリティ事故が発生したときに，被害の拡大を防止する活動を行う組織はどれか。

  正解：CSIRT

  要点：CSIRTはインシデント対応と被害拡大防止を担う専門組織

  CSIRTは、セキュリティインシデントの報告を受け付け、状況を分析して封じ込めや復旧を指揮し、被害の拡大防止と再発防止を担う専門チームである。組織内に設置されるものと、業界や国レベルで活動するものがある。

  出典：平成29年度 春期 ITパスポート試験 問67（IPA）

• コンピュータやネットワークに関するセキュリティ事故の対応を行うことを目的とした組織を何と呼ぶか。

  正解：CSIRT

  要点：CSIRTはセキュリティインシデント対応を担う専門チーム

  CSIRT（Computer Security Incident Response Team）は、セキュリティ上の事故（インシデント）が起きた際の検知・対応・再発防止を担うために組織内外に設けられるチームである。名称のとおり「インシデントレスポンス」を目的とした組織を指す。

  出典：平成30年度 秋期 ITパスポート試験 問98（IPA）

• CSIRTとして行う活動の例として、最も適切なものはどれか。

  正解：セキュリティ事故の発生時に影響範囲を調査して、被害拡大を防止するための対策実施を支援する。

  要点：CSIRTは事故発生時の調査と被害拡大防止を担う

  CSIRTは、セキュリティインシデントの発生に備え、検知から影響範囲の調査、被害拡大の防止、復旧支援、再発防止までを担う専門チームです。事故対応を軸とする点が特徴で、日常の運用作業や監査、事業継続計画の策定とは役割が異なります。

  出典：令和7年度 秋期 ITパスポート試験 問68（IPA）