Computer Security Incident Response Team

CSIRT（Computer Security Incident Response Team：シーサート）とは、組織内で発生するセキュリティインシデントに対応するための専門チームです。サイバー攻撃や情報漏洩、マルウェア感染などのセキュリティ事象が発生した際に、迅速な検知・分析・封じ込め・復旧・再発防止までの一連のプロセスを統括します。CSIRTは単なる技術チームではなく、経営層への報告や外部機関との連携、法的対応の調整なども担う組織横断的な役割を持ちます。

CSIRTの概念は1988年のMorrisワーム事件をきっかけに誕生しました。カーネギーメロン大学に世界初のCSIRTであるCERT/CC（CERT Coordination Center）が設立され、以降、各国政府や企業がそれぞれのCSIRTを構築してきました。日本ではJPCERT/CCが国内外のインシデント対応の調整を行い、各企業のCSIRT構築を支援しています。近年ではサイバー攻撃の高度化に伴い、CSIRTの設置が経営課題として認識されるようになっています。

CSIRTの活動はリアクティブ（事後対応）とプロアクティブ（予防的活動）の両面にわたります。リアクティブな活動にはインシデント発生時の対応・分析・復旧が含まれ、プロアクティブな活動には脅威情報の収集・共有、脆弱性管理、セキュリティ教育・訓練、インシデント対応計画の策定・更新などが含まれます。効果的なCSIRTの運営には、明確な権限付与、十分なリソース確保、そして経営層のコミットメントが不可欠です。

CSIRTの種類と分類

CSIRTにはいくつかの類型があります。組織内CSIRT（Internal CSIRT）は企業や官公庁の内部に設置され、自組織のインシデントに対応します。国家CSIRT（National CSIRT）は国全体のサイバーセキュリティを担当し、日本ではNISCやJPCERT/CCがその役割を担います。コーディネーションセンター型CSIRTは複数の組織間のインシデント情報の調整と共有を行います。

また、ベンダーCSIRT（Vendor CSIRT）は自社製品の脆弱性対応を行うチームであり、セクター型CSIRTは金融、医療、重要インフラなどの業界単位で構成されます。近年では、複数のCSIRTが連携するCSIRT連携体制の構築が重視されており、日本では日本シーサート協議会（NCA）がその活動を推進しています。

CSIRTの組織構成とスキル要件

効果的なCSIRTには、多様なスキルセットを持つメンバーが必要です。インシデントハンドラーはインシデント対応の実務を担当し、フォレンジックアナリストはデジタル証拠の保全・分析を行います。マルウェアアナリストは悪意のあるソフトウェアの解析に特化し、脅威インテリジェンスアナリストは最新の脅威動向を調査・分析します。

さらに、CSIRT管理者はチーム全体の運営・調整を統括し、経営層や外部機関との窓口を務めます。組織の規模や業種に応じて、専任チームと兼任チームのいずれかの形態をとりますが、いずれの場合も明確な役割分担と連絡体制の整備が重要です。

インシデント対応プロセス

CSIRTが遵守するインシデント対応プロセスは、一般的にNISTのSP 800-61に基づく4段階で構成されます。第1段階の準備（Preparation）では、対応手順書の策定、ツールの整備、訓練の実施を行います。第2段階の検知と分析（Detection & Analysis）では、インシデントの兆候を特定し、影響範囲と深刻度を評価します。

第3段階の封じ込め・根絶・復旧（Containment, Eradication & Recovery）では、被害の拡大防止、原因の除去、システムの正常化を実施します。第4段階の事後活動（Post-Incident Activity）では、インシデントの振り返りと教訓の文書化、対応プロセスの改善を行います。この一連のサイクルを継続的に回すことで、組織のインシデント対応能力が向上します。

CSIRTとSOCの違い・連携

SOC（Security Operations Center）が24時間365日のセキュリティ監視と初動対応を担うのに対し、CSIRTはインシデント発生後の本格的な対応・調整・復旧を担当します。SOCが検知したアラートのうち、重大なインシデントと判断されたものがCSIRTにエスカレーションされる流れが一般的です。

両者は相互補完的な関係にあり、明確なエスカレーション基準と円滑な情報共有の仕組みを構築することが重要です。小規模な組織ではSOCとCSIRTの機能を同一チームが兼務するケースもありますが、大規模な組織では役割分担を明確にすることで、それぞれの専門性を発揮できます。

CSIRT構築のステップ

CSIRTの構築は段階的に進めることが推奨されます。まず経営層のコミットメントを得て、CSIRT設立の目的・権限・対象範囲を明確にします。次にサービス定義として、提供するサービス（インシデント対応、脆弱性ハンドリング、教育啓発など）を決定します。

続いて体制構築として、要員の選定・育成、連絡体制の整備、必要なツール・インフラの準備を行います。さらに文書化として、インシデント対応手順書、エスカレーション基準、外部連携先リストなどを策定します。構築後は定期的な訓練・演習を通じて対応力を維持・向上させることが不可欠です。

• 01
  インシデント対応計画の策定と定期更新：組織の事業環境や脅威動向の変化に合わせて、インシデント対応計画を定期的に見直し更新してください。対応手順書にはインシデントの分類基準、エスカレーションフロー、関係者連絡先、外部通報先などを明記し、全メンバーがアクセスできる状態にしましょう。
• 02
  定期的なインシデント対応訓練の実施：机上演習（テーブルトップエクササイズ）や実技演習を定期的に実施し、チームの対応能力を検証・向上させてください。実際の攻撃シナリオに基づく訓練を行うことで、手順の不備や連携上の課題を事前に発見できます。
• 03
  脅威インテリジェンスの収集と共有体制の構築：JPCERT/CCやISACなどの外部情報源から最新の脅威情報を継続的に収集し、自組織に関連する脅威を早期に把握してください。同業他社や関連組織との情報共有コミュニティへの参加も有効です。
• 04
  SOCとの明確なエスカレーション基準の設定：SOCからCSIRTへのエスカレーション基準を明確に定義し、インシデントの深刻度に応じた対応レベルを設定してください。基準が曖昧だと、重大インシデントへの対応が遅れるリスクがあります。
• 05
  フォレンジック能力の確保と証拠保全手順の整備：インシデント発生時にデジタル証拠を適切に保全・分析できるよう、フォレンジックツールの整備と手順の文書化を行ってください。法的対応が必要な場合に備え、証拠の完全性を担保するチェーン・オブ・カストディの管理も重要です。
• 06
  経営層への定期的な報告とコミュニケーション：CSIRTの活動状況、対応したインシデントの概要、脅威動向のサマリーを経営層に定期的に報告してください。経営層の理解と支援がなければ、必要なリソースの確保やセキュリティ投資の意思決定が滞る原因となります。