CSIRT（シーサート）とは？　業務やSOCとの違い、設置の流れを解説

SOCとの違い

CSIRTとSOCは、どちらもインシデントに対応するための組織ですが、主眼を置いている担当業務の範囲が異なります。

SOCは、インシデントの検知や分析を行うことを主な任務とする組織です。検知・分析に特化した組織であるため、基本的には24時間365日体制で業務を行い、インシデントの発生前から発生直後の検知・分析までを担当します。
一方CSIRTは、インシデント発生後の被害拡大の防止や、インシデントの根本解決に向けた対応が主な業務範囲です。

併せて読みたい

• SOCとは？　CSIRTとの違いやメリット、導入時の課題を解説

PSIRTとの違い

CSIRTとPSIRTは、対応するインシデントの範囲が異なります。

PSIRTは、CSIRTと同じくインシデント発生時の対応を行いますが、対応するのは自社で開発・提供した製品やサービスにおけるインシデントです。つまりPSIRTは、所属する組織ではなく、外部に提供する製品やサービスの保護を目的とした組織だということです。
一方CSIRTは、所属する組織を守るために、組織内におけるインシデントに対応します。

セキュリティ上の脅威と対策がいたちごっこになっているため

セキュリティ上の脅威と対策がいたちごっこになっていることが、インシデントの発生を前提としたCSIRTが注目を集める理由となっています。

サイバー攻撃は日々進化しているため、セキュリティ上の脅威と対策は、対策が考案されてもより高度な手口が登場するといういたちごっこの状態です。脅威の種類も増加し続けているため、最新のセキュリティ対策を導入しても万全な対応ができるとは限りません。

例えば、近年は生成AIを悪用してフィッシングメールの文章を自動生成したり、マルウェアのコードを作成したりする事例も確認されています。他にも、攻撃対象の組織を直接狙うのではなく、その組織の委託先や仕入れ先などを経由して侵入するサプライチェーン攻撃も増加しています。

こうした攻撃は従来の対策では検知・防御が難しいケースもあり、CSIRTのような組織で常に最新の脅威情報を収集して対策を更新し続けることが求められているのです。

また、サイバー攻撃が疑われる不審なアクセスの件数も下記のように年々増加しています。そのため、いつ自社が高度なサイバー攻撃の被害に遭うかわからないという状況が、CSIRTを設けるべき理由となっているといえるでしょう。

※出典：警察庁「令和7年における サイバー空間をめぐる脅威の情勢等について」

専門組織でなければ十分な対応ができないため

社内の情報システム部門がセキュリティ対策も担うのは難しいという点が、CSIRTという専門組織の必要性を意識させる理由となっています。

情報システム部門が、社内の情報システム環境の整備という通常業務に加えてインシデント発生時の対応も行おうとすると、過剰な負担となることも少なくありません。結局、インシデントが発生した際はその対応に追われ、通常業務がおろそかになるような事態にもなりかねないのです。

また、部署や業務ごとに個別にシステム管理者や情報セキュリティ担当者を置いてセキュリティ対策を講じることも、セキュリティレベルにばらつきが生じる原因となります。

さらに、近年はネットワーク内に長期間潜伏した後に活動を開始するタイプのサイバー攻撃も増えており、侵害された範囲が気づかぬうちに拡大するケースもあります。そのような被害に遭った場合、全容の調査には複数の部門や関係会社・取引先との連携が必要です。こうした広域にわたるインシデント対応を、各部門が個別に進めることは困難でしょう。

そこで有効なのが、マルウェア感染や情報漏洩などのインシデント発生を想定し、その検知や状況把握、被害拡大の防止のほか、社内外の関係者との連携・アナウンスなどを担当する専門組織のCSIRTを置くことです。CSIRTがあれば、インシデント発生時に的確な対応を行い、必要に応じて外部とも連携して事態を早期に収束させることが可能となります。

インシデント発生前の主な業務

インシデント発生前の主な業務としては、下記の5点が挙げられます。

インシデント発生前の主な業務

• 脅威の情報を収集して分析する
• 社内システムやソフトウェアに存在する脆弱性を定期的に把握し、修正プログラムの適用状況を管理する
• インシデント発生を防ぐための社内教育を行う
• インシデントが発生した場合はCSIRTへ連絡することを社内で周知する
• インシデント発生時の迅速な対応のため、SOCなどの社内組織や社外のCSIRTなどとの連携を強化する

脆弱性の管理では、未適用の脆弱性は攻撃者に悪用されるリスクがあるため、優先順位をつけた迅速な対応が求められます。

また、社内教育では、フィッシングメールの見分け方やインシデント発生時の報告手順などを研修・訓練を通じて従業員に浸透させることが必要です。セキュリティリテラシーの向上は、人的なリスクの低減に直結する重要な取り組みといえます。

さらに、インシデント発生時は経営陣の迅速な判断が求められるケースもあるため、CSIRTは日頃から、経営陣も含めた関係者に存在意義や業務内容について理解してもらえるよう活動することが必要です。他社のCSIRTなどとも連携し、情報セキュリティ上の脅威やインシデント対応に関する情報を共有できる環境を整えておかなければなりません。

インシデント発生後の主な業務

インシデント発生の連絡を受けたら、CSIRTは初動対応を行い事態の収束を目指します。強化しておいた社内外の組織との連携を活かして、関係者への事態の報告や技術的協力の依頼、被害拡大防止のための施策などに迅速に対応することが必要です。

また、経営陣によるリアルタイムな判断が必要となる場合もあるため、経営陣との連携力も求められます。外部のベンダーや専門組織の協力を仰ぐ場合も、任せきりではなく、最終的な判断はCSIRTが下さなければなりません。

1.プロジェクトの立ち上げ

最初のステップは、CSIRTの設置に向けたプロジェクトの立ち上げです。プロジェクトの立ち上げにあたっては、下記のポイントを明確にする必要があります。

プロジェクト立ち上げ時に明確にすべきポイント

• 目標：CSIRTの構築により何を改善・解決したいのかを、プロジェクトを立ち上げるきっかけも踏まえて取り決める
• プロジェクトの構成メンバー：専門知識を持つ人材や、現場の意見を取り入れられる人材も含めて選出する
• スケジュール：CSIRTを設置する時期を決め、それまでに必要になる作業の期限を明確にする
• プロジェクトの運用ルール：プロジェクトを進める上でのルールやプロジェクト内の意思決定フローを決める

プロジェクトを立ち上げる際は、経営層への説明や合意の獲得、予算の確保なども必要です。

2.情報収集と課題の把握

プロジェクトを立ち上げたら、組織の現状を調査し、どのような課題を抱えており、どのような対策が必要なのかを把握します。また、CSIRTはどのようなインシデントに対応するのかも明確にしてください。収集すべき情報としては、下記の4点が挙げられます。

現状調査の際に収集すべき情報

• 守るべき情報資産
• 対応すべき情報セキュリティ上の脅威
• 既存のインシデント対応の体制
• 既存のセキュリティポリシーやセキュリティ関連文書

情報を収集したら、それを基に現状の問題点を洗い出し、CSIRTが対応するインシデントや行う業務、組織上の位置づけのほか、規模、コストなど、設置に向けた課題を検討してください。

3.CSIRTの設置

情報収集と課題の把握が完了したら、適切なインシデント対応を実現するために必要となる人材・設備を確保して、CSIRTを設置します。CSIRTの設置は、下記のような手順で行われるのが一般的です。

一般的なCSIRTの設置手順

1. 経営陣（意思決定層）の承認とCSIRT構築のためのリソースを確保する
2. 社内調整を行い、CSIRTが機能できる環境を整備する
3. CSIRTの設置について社内外へ説明して理解を得る
4. 必要に応じてCSIRTに配置するリソースの調達や従業員へのトレーニングを行う
5. CSIRTの活動のための資料を作成する

CSIRTを設置するにあたり障害がある場合は、再度計画を見直して、組織にとって最適なCSIRTとなるように改善しましょう。

4.CSIRTの運用開始

CSIRTを設置したら、運用を開始します。

運用段階での最初の業務は、社内外にCSIRTの存在を周知することです。社内関係者に対しては、インシデント発生時の報告先として、CSIRTの連絡先を必ず周知してください。また、社外にCSIRTの設置をアピールする場合は、ニュースリリースの利用が効果的です。

周知を行ったら、インシデント発生時に的確に対応するために、情報セキュリティリスクの情報収集や社内教育などの事前対策を実施します。また、社外組織との連携体制を確立させ、情報セキュリティリスクを軽減するための環境を整えることも重要です。

役割分担を決める

CSIRTを設置する際は、CSIRTが対応するインシデントや業務の範囲をあらかじめ明確にしておくことが重要です。対応範囲が定まっていると、SOCや法務・広報などの他部署との役割分担がしやすくなり、インシデント発生時にスムーズな連携が実現できます。

反対に、対応する業務や責任の範囲が曖昧なままでは、インシデント発生時の対応事項が際限なく拡大してしまい、適切な対処が困難になります。CSIRT設置の段階で、対応範囲と責任分担をできる限り具体的に定めておきましょう。

外部と積極的に連携を行う

CSIRTでは、他社のCSIRTやセキュリティベンダーなどの外部組織と積極的に連携・情報共有することも重要です。これにより、最新のサイバー攻撃の動向や効果的な対策方法に関する情報を迅速に収集できるようになり、インシデント発生時に適切な対応を素早く判断できるようになります。

普段から外部との関係を構築しておくことで、自社だけでは対応できないケースが生じた際に、専門家やベンダーに協力を求めやすくなります。

経営陣がCSIRTの意義を理解する

CSIRTが効果的に機能するためには、経営陣がその必要性と役割を深く理解していることが不可欠です。自社のセキュリティ上の課題と、CSIRTの構築がその解決にどう役立つかを共有することで、構築・運用がスムーズに進みます。経営陣の支持は、予算確保や全社的な協力体制の整備につながる重要な基盤となります。

セキュリティに関する専門知識

CSIRTメンバーには、最新の攻撃手法に関する知識が求められます。OS・アプリケーション・クラウド環境それぞれのセキュリティ対策の方法を理解でき、ログ分析による不審な挙動の特定や攻撃の兆候の発見もできると理想的です。

攻撃者の行動パターンを整理したフレームワーク「MITRE ATT&CK」などを活用して、常に最新の攻撃手法を把握しておくことも重要です。また、ウイルス感染などの被害が発生した際にその挙動を分析・追跡するデジタルフォレンジック技術が求められる場面もあります。

危機管理計画の立案スキル

CSIRTの業務では、インシデントが発生した際に迅速に対応できるよう、様々なリスクを想定して危機管理の手順を定めた計画を立案するスキルも必要です。想定される被害シナリオに基づいて対応手順書を整備し、定期的に見直すことで、サイバー攻撃に強い体制を維持できます。

インシデント対応を自動化・効率化できるスキル

CSIRTのメンバーには、検知から対応までのプロセスを効率化・迅速化するために、必要に応じて作業を自動化・効率化するスキルも必要です。セキュリティ対応を自動化・効率化できるSOAR（Security Orchestration, Automation and Response）を活用することで、定型的な対応作業を自動化し、担当者がより重要な判断業務に集中できる環境を整えられます。

法制度への理解

セキュリティインシデントが発生した際には、個人情報保護法などの法令に基づいた報告義務が生じる場合があります。適切な報告を怠ると行政機関から指導などを受ける可能性があるため、CSIRTメンバーには、関連する法制度や行政対応の手続きを理解している能力が求められます。

コミュニケーション力

インシデント対応では、経営層への状況報告、社内の関連部署との調整、外部のセキュリティベンダーや行政機関との連絡など、幅広い関係者とのコミュニケーションが必要です。インシデント発生後には報告書の作成も求められるため、CSIRTでは事実を正確かつ簡潔に文書化するスキルも重要となります。