インシデント対応とCSIRTとは？いんしでんとたいおうとしーさーと
インシデント対応とCSIRTとは、情報セキュリティインシデント（不正アクセスや情報漏えいなど）を、検知・受付から初動の封じ込め、証拠保全と原因究明、復旧、報告・公表、再発防止まで一連の流れで進める活動。CSIRT（Computer Security Incident Response Team）はこの対応を専門に担う組織内チームで、体制・規程・訓練・外部連携の窓口を平時に整えておく。科目Bでは判定基準と優先順位の設計が問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
何が起きたか分からないまま各部門がばらばらに対処すると、端末を初期化して証拠を消し、通報が遅れ、公表の内容が食い違う。個人情報保護法の漏えい報告（速報・確報）や取引先への通知には期限があり、判断する権限と連絡経路を平時に決めていなければ間に合わない。支援士のシラバスは、組織内CSIRTの構築と規程の整備、事象をインシデントとするかの判断基準の設計を、支援士が指導・助言すべき業務として明記している。
具体例
JPCERT/CCがCSIRT構築の手引きを公開し、日本シーサート協議会（NCA）や国際組織FIRSTが組織間の連携の場になっている。実務では、社員が標的型メールを開いたとの1報を受け、CSIRTが端末をネットワークから隔離してEDRで痕跡を確認し、影響範囲を判定したうえで、個人情報保護委員会への報告要否と公表の要否を経営に諮る。
試験での引っ掛け
CSIRTは事故発生後の対応を担う組織で、平常時から製品の脆弱性情報を扱うPSIRTや、監視を専門に24時間体制で行うSOC（セキュリティオペレーションセンター）とは役割が違う。SOCが「見つける」側、CSIRTが「対処する」側と整理できる。インシデントは事故そのもののほか事故につながりうる事象も含み、実害が出ていなければインシデントではないというわけではない。初動で感染端末の電源を切るとメモリ上の証拠が消えるため、隔離が先で電源断は後。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。