とことこロゴス
CSIRT
コンピュータセキュリティ上の事故やその疑いについて、報告の受付、調査、対応の調整を行うチームや機能。技術担当だけでなく関係部署や外部組織と協力し、被害の拡大を抑えて復旧や事故の繰返しを防ぐ活動につなげる。
イマシルちゃんの解説
会社のパソコンが不正に操作されたとき、連絡先や担当が決まっていないと対処が遅れてしまうよ。
こうしたセキュリティ上の事故に備え、関係者をつないで対処を進めるチームがCSIRTなんだ。
報告を受け付けたら状況を調べ、何から取り組むかを決めていくの。
技術担当だけで抱え込まず、必要に応じて経営層や外部の専門組織とも協力するよ。
担当や手順を整理することで対処の抜けや遅れを減らし、安全に業務を再開できるようにするんだ。
事故が落ち着いた後も原因や進め方を見直し、同じことが起きないように備えるよ。
この解説はわかりやすかったですか？
より深い解説
事故対応を進める役割
CSIRTは特定の一つの世界組織の名称ではない。企業、大学、政府機関などに置かれ、対象組織や利用者のために活動する。専任部署の形だけでなく、複数部署の担当者が連携する形もある。
対応範囲、連絡先、判断できる権限をあらかじめ定めることが重要である。報告を受けても、サービス停止を誰が承認するか分からなければ、必要な措置が遅れる。
主な活動
| 段階 | 活動 |
|---|---|
| 平時 | 対応手順、連絡網、訓練を準備する |
| 受付 | 通報や監視情報から状況を把握する |
| トリアージ | 影響や緊急性から対応の優先順位を決める |
| 初動 | 端末隔離などで被害の拡大を防ぐ |
| 調査 | ログなどの証拠を保全し、原因と範囲を調べる |
| 復旧 | 原因への対処後、業務を安全に再開する |
| 振り返り | 手順や設定を見直し、再発防止につなげる |
これらは常に一方向に進むとは限らない。調査で別の被害が分かれば、封じ込めの範囲や優先度を変更する。
技術以外の担当者との協力
| 相手 | 主な連携事項 |
|---|---|
| システム運用担当 | 停止、隔離、設定変更、復旧 |
| 経営層・業務部門 | 業務への影響と対応の承認 |
| 法務・広報 | 通知内容や公表方針の検討 |
| 他組織の対応窓口 | 関連する事象の情報共有と調整 |
技術的に停止が望ましくても、業務影響が大きい場合がある。判断材料と記録を残し、決めた権限に従って行動する。外部へ共有する情報の範囲も管理する。
ほかの組織との違い
SOCとCSIRTの分担は組織によって異なり、一部を同じ担当者が担う場合もある。名称だけで実際の担当範囲を決め付けない。
JPCERT/CCは、日本の窓口となるCSIRTとして国内外の組織との協力を進める。自組織内で解決できない事象でも、適切な窓口を通じた連携によって調査や被害抑制を進められる。
実際の試験ではここに出る！全1問
ネットワークスペシャリスト
- 午前Ⅱ