▸ シーサート

CSIRT

Computer Security Incident Response Team
DEFINITION

CSIRT（Computer Security Incident Response Team、シーサート）とは、組織内で発生したセキュリティインシデントの検知・対応・復旧・再発防止を担う専門組織・チームです。「事故が起きた後」を主戦場とする点が、平時の監視・分析を担うSOCとの大きな違いになります。

CSIRTの役割

CSIRTは単なる技術対応チームではなく、社内外の関係者との調整役（コーディネーション）も担います。主な役割は次のとおりです。

  • インシデントの受付・トリアージ：報告を受け、影響度と緊急度で優先順位を付ける
  • 調査・分析：ログ解析やデジタルフォレンジックで攻撃の全容と被害範囲を特定する
  • 封じ込め・復旧：被害拡大を止め、システムを正常な状態へ戻す
  • 再発防止・情報共有：根本原因を潰し、経営層や外部機関（JPCERT/CCなど）と連携する

インシデント対応の一連の流れはインシデント対応・BCP戦略の解説記事で詳しく扱っています。

CSIRT要員に役立つ資格・研修

「CSIRTに必須の資格」というものは存在しません。日本シーサート協議会（NCA）の「CSIRT人材の定義と確保 Ver.2.1」でも、CSIRTは経営者からインシデントハンドラー、法務担当まで複数の役割の集合体と定義されており、求められるスキルは役割ごとに異なります。そのうえで、CSIRT要員のスキルを客観的に示す指標として、次の資格・研修がよく挙げられます。

CSIRT要員に役立つ資格・研修の比較。情報処理安全確保支援士（国家資格・国内CSIRTの基礎）、CISSP（国際資格・運営管理層向け）、GIAC系GCIH/GCFA（国際資格・現場対応スキル）、TRANSITS Workshop（NCA主催の日本語研修）の4つを並べた図。

情報処理安全確保支援士（RISS）

IPAが実施する国家資格で、登録制のサイバーセキュリティ専門人材です。インシデント対応・脆弱性管理・組織的なセキュリティ運用まで幅広く出題され、CSIRTのリーダーや調整役に求められる知識体系と重なります。国内組織のCSIRTでまず目標にしやすい資格です。

CISSP

ISC2が認定する国際資格で、セキュリティマネジメント全般を体系的に問う点が特徴です。技術単体よりも組織運営・リスク管理の視点が強く、CSIRTの運営管理・マネジメント層に向いています。認定維持にはCPE（継続教育）の取得が必要です。

GIAC系（GCIH・GCFA）

SANSの認定機関GIACによる実務特化型の国際資格です。GCIH（GIAC Certified Incident Handler）はインシデントハンドリングに、GCFA（GIAC Certified Forensic Analyst）はデジタルフォレンジックに特化しており、いずれもCSIRTの現場対応スキルを直接裏付ける資格として評価されます。主に英語での受験となる点に注意してください。

TRANSITS Workshop（NCA主催の研修）

資格試験ではありませんが、CSIRTの立ち上げ・運用に直結する研修として重要です。TRANSITSは欧州のCSIRTコミュニティTF-CSIRTが提供するトレーニングで、日本ではNCAが日本語化して開催しています。オペレーション・組織・技術・法制度の4モジュールを、講義とグループ演習を通じて学べます。CSIRT担当者どうしのネットワーク構築の場にもなります。

SC試験での問われ方

情報処理安全確保支援士（SC）試験では、CSIRTの「役割」や「他組織との連携先」が繰り返し問われます。午前IIではCSIRTとSOC・PSIRT・JPCERT/CCの役割分担を区別させる問題、午後では事例中の組織にCSIRTがどう関与するかを読み解く問題が典型です。定番のひっかけは、CSIRTを「監視専門チーム」と取り違えさせる選択肢です。CSIRTの主戦場はインシデント発生後の対応であり、常時監視を主務とするSOCとは目的が異なる点を押さえておきましょう。役割分担の詳細はCSIRTとSOCの違いで解説しています。

参考資料

RELATED  ―  同じ分野（セキュリティ運用）
RPO RTO SIEM インシデントレスポンス デジタルフォレンジック