インシデント対応とCSIRTとは？

インシデント対応とCSIRTの意味

セキュリティインシデント（情報漏えいや不正アクセスなどの事故）が発生した際に、被害の把握・拡大防止・原因究明・復旧・再発防止までを体系的に進める活動。CSIRT（Computer Security Incident Response Team）は、こうしたインシデント対応を専門に担う組織内のチーム。

インシデント対応とCSIRTの具体例

マルウェア感染が発覚した際、CSIRTが感染端末をネットワークから隔離し、被害範囲を調査し、関係者への報告・公表の要否を判断するといった一連の対応を主導する。

インシデント対応とCSIRTは試験でどう引っ掛けられる？

CSIRTは事故発生後の対応を担う組織で、平常時から製品の脆弱性情報を扱うPSIRTや、監視を専門に24時間体制で行うSOC（セキュリティオペレーションセンター）とは役割が違う。SOCが「見つける」側、CSIRTが「対処する」側と整理できる。またインシデントとは事故そのもののほか、事故につながりうる事象も含み、実害が出ていなければインシデントではない、というわけではない。

インシデント対応とCSIRTと関連する用語

• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）

インシデント対応とCSIRTが出た過去問

• JPCERTコーディネーションセンターの説明はどれか。

  正解：特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析、再発防止策の検討や助言を行っている。

  要点：JPCERT/CCは中立の立場でインシデント報告受付と対応調整を担う

  JPCERT/CC（JPCERTコーディネーションセンター）は、特定の政府機関や企業から独立した中立の組織として、国内のコンピュータセキュリティインシデント報告を受け付け、対応の支援や手口の分析、再発防止のための助言・注意喚起を行っている。国内外のCSIRTとの調整窓口も担う。

  出典：令和3年度 春期 高度共通_午前I試験 am1 問14（IPA）

• JPCERTコーディネーションセンター"CSIRTガイド(2021年11月30日)"では、CSIRTを機能とサービス対象によって六つに分類しており、その一つにコ…

  正解：機能:インシデント対応の中で、CSIRT間の情報連携、調整を行う。/ サービス対象:他のCSIRT

  要点：コーディネーションセンターはCSIRT間の調整役

  コーディネーションセンターは、インシデント対応において複数のCSIRTの間に立ち、情報の連携や調整を担う組織である。サービス対象は個別の利用者ではなく他のCSIRTであり、JPCERT/CC自身がこの類型に当たる。

  出典：令和5年度 秋期 高度共通_午前I試験 am1 問14（IPA）

• 自社製品の脆弱性に起因するリスクに対応するための社内機能として、最も適切なものはどれか。

  正解：PSIRT

  要点：自社製品の脆弱性対応を担う組織はPSIRT

  PSIRT（Product Security Incident Response Team）は、自社が提供する製品やサービスに含まれる脆弱性に対応する専門組織である。脆弱性情報の受付、影響調査、修正版の提供、利用者への注意喚起などを担う。組織自体へのインシデントに対応するCSIRTと目的が異なる。

  出典：令和6年度 春期 高度共通_午前I試験 am1 問14（IPA）