CSIRTとは？小さな組織で作るインシデント対応チームの現実解
CSIRTとは何かを、SOC・PSIRTとの違いと仕事内容から整理。個人情報保護委員会への報告期限、兼務で回す役割分担、手順書と机上訓練まで、小さな組織の作り方を具体的に。
CSIRTとは、情報漏えいや不正アクセス、マルウェア感染といったセキュリティインシデントの報告を受け付け、影響の見極め・対応の指揮・社内外への連絡を担うチーム、またはその役割のことです。Computer Security Incident Response Teamの略で、「シーサート」と読みます。専任者を何人も置く大企業の組織を思い浮かべがちですが、情シスが数人の会社でも、役割と権限を先に決めておけば同じ働きを持たせられます。
この記事では、SOCやPSIRTとの違い、平時と有事の仕事内容、外部への報告の期限を整理したうえで、専任者を置けない組織でCSIRTを機能させるための現実的な作り方を、役割分担の例と訓練の進め方まで含めて示します。
この記事でわかること
- CSIRTの役割と、SOC・PSIRTとの違い
- 平時と有事の仕事内容、事前に決めておく重大度の区分
- 個人情報保護委員会への報告が必要になる4つのケースと、速報・確報の期限
- 兼務で回す小さな組織の役割分担と、最初に作る手順書
- 机上訓練で確かめるべき項目
CSIRTとは：部署ではなく「決める権限」を持つ機能
インシデント対応で時間を失う原因の多くは、技術ではなく判断の遅れです。「感染が疑われるファイルサーバーを止めてよいか」「取引先に連絡するか」を決められる人が決まっていないと、夜間や休日に電話が回り続けます。CSIRTの本質は、この判断をする人と、判断の前でも取ってよい行動を、平時に文書で決めておくことにあります。
たとえば規程に「情報システム部門は、感染が疑われる端末のネットワーク切断と、侵害が疑われるアカウントの停止を、責任者の事後承認で実施できる」と1行書いておくだけで、初動の数時間が変わります。専任の部署を作るかどうかは規模で決めればよく、小さな組織では、既存の担当者に役割を割り当てた「兼務のCSIRT」で十分に機能します。
SOC・PSIRTとの違い
| 観点 | SOC | CSIRT | PSIRT |
|---|---|---|---|
| 守る対象 | 自社のシステムとネットワーク | 自社の組織全体（システム、情報、業務） | 自社が提供する製品・サービス |
| 主な仕事 | EDRやSIEMの警告を監視・分析し、異常を見つけて知らせる | インシデントかどうかを判断し、対応を指揮し、社内外と調整する | 外部から届いた製品の脆弱性報告を受け、修正と公表を調整する |
| 時間の使い方 | 24時間の監視（外部委託が多い） | 平時は準備、有事は指揮 | 報告の受付から修正版の公開まで |
| 成果物 | 警告の分析結果、エスカレーション | 対応の判断記録、報告書、再発防止策 | 脆弱性情報の公表文、修正版 |
関係で言えば、SOCが見つけて、CSIRTが決めて動かす、という流れです。SOCを持たない組織では、EDRの管理画面やMDRサービスからの通知がSOCの役割を代わりに果たし、その通知を誰が受けて判断するかがCSIRTの設計になります。PSIRTは、ソフトウェアやWebサービスを外部に提供している会社で必要になる機能で、国内ではIPAが届出を受け付け、JPCERT/CCが製品開発者との調整を行う「情報セキュリティ早期警戒パートナーシップ」の窓口役も担います。
CSIRTの仕事内容：平時と有事
平時の仕事は、有事に迷わないための準備です。最初にやるのは、外部から「御社のサーバーが攻撃に使われている」「脆弱性を見つけた」と連絡を受ける窓口を決めて公開することです。受付用のメールアドレスを作り、Webサイトに /.well-known/security.txt を置くと、報告者が連絡先を探し回らずに済みます。RFC 9116で決められた形式で、Contact と Expires の2項目が必須です。
Contact: mailto:[email protected]
Expires: 2027-09-30T23:59:59+09:00
Preferred-Languages: ja, en
Policy: https://www.example.jp/security/disclosure-policyExpires を過ぎたファイルは信頼できない情報として扱われるので、1年以内の日付にして、更新をカレンダーに入れておきます。このほかの平時の仕事は、連絡網と手順書の整備、資産台帳との連携、JVNやJPCERT/CCの注意喚起などからの脆弱性情報の収集、訓練です。
有事の流れは、受付、初動判断、封じ込め、根絶と復旧、報告、振り返りです。この中で最も差が出るのは初動判断で、「本当にインシデントか」「重大度はどれか」「誰を呼ぶか」を、受付から15分程度で決めることを目標にしてください。EDRの警告1件は、それだけではまだイベントで、調べてみて被害や侵害の疑いが確かになった時点でインシデントとして扱い、記録を始めます。
重大度の区分を先に決めておく
重大度ごとに「誰を呼ぶか」「どこまで報告するか」を決めておくと、初動判断が「どのレベルか」を選ぶだけの作業になります。次は区分の例です。自社の業務と規模に合わせて、具体的な事例を書き足してください。
| レベル（例） | 該当する事象の例 | 呼ぶ人 | 社外への連絡 |
|---|---|---|---|
| 1 | 端末1台でマルウェアを検知し、EDRが自動で隔離済み | 情シスの担当者のみ | なし |
| 2 | メールアカウントの乗っ取りの疑い、個人情報を含まない誤送信 | 情シス責任者 | 必要に応じて関係先 |
| 3 | サーバーへの侵入の疑い、個人データの漏えいの疑い | CSIRT責任者（役員）、法務・広報 | 個人情報保護委員会・本人・取引先の要否を判断 |
| 4 | ランサムウェアによる暗号化、基幹業務の停止 | 経営層を含む全員、外部の調査会社 | 警察・保険会社・監督官庁を含めて判断 |
外部への報告と相談先
2022年4月に施行された改正個人情報保護法で、一定の漏えい等が起きた場合の個人情報保護委員会への報告と、本人への通知が義務になりました。報告が必要なのは、要配慮個人情報（病歴など）の漏えい等、クレジットカード番号のように不正利用で財産的被害が生じるおそれがあるものの漏えい等、不正アクセスなど不正の目的をもって行われたおそれがある漏えい等、本人の数が1,000人を超える漏えい等、の4つです。報告は、事態を知ってから速やかに出す速報（ガイドラインでは概ね3〜5日以内）と、30日以内（不正の目的によるおそれがある場合は60日以内）に出す確報の2段階です。
「1,000人を超えなければ報告は不要」と思い込まないでください。不正アクセスやランサムウェアのように、不正の目的をもって行われたおそれがある漏えい等は、対象が1人分でも報告の対象です。攻撃の痕跡が見つかった時点で「知った」と扱われる可能性があるため、レベル3以上では、最初の打ち合わせで報告要否の判断者と期限を記録してください。
| 相手 | 連絡するとき | 準備しておくこと |
|---|---|---|
| 個人情報保護委員会 | 上記4つのいずれかに当たる漏えい等 | 報告の要否を判断する人、速報・確報の期限の管理 |
| JPCERT/CC | 攻撃元や踏み台への対応の調整、インシデントの報告 | 報告の方法を平時に確認し、手順書に書いておく |
| IPA | ウイルスや不正アクセスの届出、対応の相談 | 届出の窓口を手順書に書いておく |
| 警察（都道府県警察のサイバー犯罪相談窓口） | 不正アクセスやランサムウェアの被害、脅迫 | 所轄の相談窓口の電話番号 |
| サイバー保険の保険会社 | 保険の対象になり得る事故 | 契約上の通知期限と、指定の調査会社の有無 |
| 取引先・委託元 | 預かっている情報やシステムに影響するとき | 契約書の事故報告条項（期限・方法）の一覧 |
小さな組織でのCSIRTの作り方
情シスが1〜3人の組織なら、新しい部署は作らず、次の役割を既存の人に割り当てます。1人が複数の役割を持って構いませんが、責任者と技術対応は分けます。技術対応の担当者は、手を動かしながら経営判断まで背負うと、どちらかが止まるからです。
| 役割 | 有事にやること | 兼務の例 |
|---|---|---|
| 責任者 | 業務停止、公表、外部委託の発注、身代金要求への方針などを決める | CISOや管理部門担当の役員 |
| 統括・窓口 | 全体の進行、関係者の招集、外部との連絡の一本化 | 情シスの責任者 |
| 技術対応 | 隔離、ログの確保、原因と範囲の調査、復旧 | 情シス担当者、保守ベンダー、EDRやMDRの事業者 |
| 広報・法務 | 社外への説明文、個人情報保護委員会への報告、契約上の通知 | 総務・広報の担当者、顧問弁護士 |
| 記録係 | 時系列の記録（時刻、誰が、何を見て、何をしたか） | 対応に直接加わらない1名 |
役割が決まったら、連絡網を紙とスマートフォンの両方に置きます。ランサムウェアでは、社内のメールやチャット、ファイルサーバー上の連絡網そのものが使えなくなることがあるからです。載せるのは、役割ごとの担当者と代理の携帯電話番号、保守ベンダーとEDR事業者の24時間窓口、保険会社、顧問弁護士、所轄警察の相談窓口です。責任者の役割は経営とつながるので、CIO・CISOの置き方はCIO・CISOの役割の違いもあわせて検討してください。
手順書は、最初から網羅を目指さず、起きやすい3つから書きます。ランサムウェアによる暗号化、メールアカウントの乗っ取り、PCやスマートフォンの紛失です。それぞれ「最初の30分でやること」を5行程度に絞り、判断の分かれ目（例：暗号化が進行中ならネットワークから切り離す、ただし電源は切らない）と、連絡する相手をレベル別に書きます。ランサムウェアの具体的な初動は、ランサムウェア対策の実践の手順をそのまま土台にできます。
初動で「とりあえず電源を切る」「すぐに初期化して再インストールする」は、原因と範囲を調べる手掛かりを消します。メモリ上の痕跡や、端末に残ったログが調査に使えなくなり、どの情報が持ち出されたかを説明できなくなれば、報告や取引先への説明でも困ります。ネットワークからの切り離し（LANケーブルを抜く、Wi-Fiを切る）までを許可された初動とし、電源断と初期化は技術対応の担当と責任者が判断する手順にしておきます。
記録係の時系列は、あとで報告書と外部への説明の根拠になります。時刻は秒まで、日本時間で書き、ログの時刻と突き合わせられるように、サーバーや端末の時計がNTPで同期されていることを平時に確かめておきます。記録用の表は「時刻・記録者・事象・判断・根拠」の5列で足ります。
机上訓練で確かめること
作った体制が動くかは、机上訓練（テーブルトップ演習）で確かめます。会議室に役割の担当者を集め、進行役が状況を少しずつ明かし、各担当が「次に何をするか」を口頭で答えていく形式です。1回1〜2時間、年に1〜2回から始めると、担当者の負担が大きくならずに続けられます。状況の例は「金曜の18時、経理担当から『共有フォルダのファイルの拡張子が全部変わっている』と電話が入る」のような、実際に起こりうる場面から始めます。
- 責任者に連絡がつくまで何分かかったか。代理は決まっていたか
- 連絡網の電話番号は、全員分が今もつながるものだったか
- ネットワークからの切り離しを、誰の判断で、何分後に実行できたか
- 個人情報保護委員会への報告要否を、誰がいつ判断すると決まったか
- バックアップからの復旧に必要な権限と手順書に、社内ネットワークが止まった状態でも届くか
訓練の後は、答えられなかった項目を改善点として一覧にし、担当と期限を付けます。この一覧が次の訓練までの宿題になり、1年分を並べると、体制がどこまで育ったかを経営層に説明する材料にもなります。
よくある質問
CSIRTとはどういう意味ですか？
Computer Security Incident Response Teamの略で「シーサート」と読み、セキュリティインシデントの報告を受け付けて、影響の判断・対応の指揮・社内外との連絡を担うチームや機能を指します。専任の部署である必要はなく、役割と権限を決めて兼務で運用する形でも成り立ちます。
SOCとCSIRTの違いは何ですか？
SOCはEDRやSIEMの警告を監視・分析して異常を見つける役割で、24時間体制を外部に委託することが多い機能です。CSIRTはSOCなどから上がった事象がインシデントかを判断し、封じ込めや復旧を指揮し、報告や公表を含めて社内外と調整します。見つけるのがSOC、決めて動かすのがCSIRTです。
CSIRTの仕事内容は？
平時は、外部からの報告窓口の公開、連絡網と手順書の整備、脆弱性情報の収集、訓練です。有事は、受付、インシデントかどうかと重大度の判断、封じ込め、復旧、個人情報保護委員会や取引先などへの報告、振り返りと再発防止策の管理です。有事の判断を速くするための準備が、仕事の大半を占めます。
CSIRTとPSIRTの違いは？
CSIRTは自社の組織やシステムで起きたインシデントに対応し、PSIRTは自社が提供する製品やサービスの脆弱性に対応します。PSIRTは外部の研究者などからの脆弱性報告を受け、修正版の提供と公表を調整します。製品を外部に提供していない組織ではCSIRTだけで足ります。
まとめ
CSIRTは部署の名前ではなく、インシデントの判断と指揮を誰がどの権限で行うかを決めた仕組みです。小さな組織でも、責任者と技術対応を分けた役割分担、紙とスマートフォンの連絡網、起きやすい3つの手順書、重大度の区分、個人情報保護委員会への報告期限の管理がそろえば機能します。あとは机上訓練で「連絡がつくまでの時間」と「切り離しの判断」を確かめ、答えられなかった点を宿題にして1年単位で育てていきます。