ランサムウェアや取引先を経由した攻撃の被害が身近になり、自社もCSIRT（シーサート）を設けるべきではないかと検討を始める企業が増えています。きっかけが経営層からの問いかけでも、担当者自身の危機感でも、最初に突き当たるのは「CSIRTが普段と事故のときに具体的に何をするチームなのか」が像を結ばない、という壁です。
CSIRTは、平時にどんな活動をして、インシデントが起きたら何から動くのでしょうか。SOCやPSIRTとはどう役割が分かれ、専任を置けない会社はどこから手をつければよいのでしょうか。
本記事では、CSIRTが平時と有事に担う役割・業務を一覧で整理し、SOC・PSIRTとの違い、誰がどの役割を担うかの分担と少人数での兼任、構築の進め方までを解説します。自社にCSIRTを設けるべきか、どの形で始めるかを判断する材料としてご活用ください。
目次
一括ダウンロードする
CSIRT（シーサート）とは
はじめに、CSIRTという組織の意味と成り立ちを確認します。CSIRTは「Computer Security Incident Response Team」の略で、「シーサート」と読みます。コンピュータセキュリティに関わるインシデントに対処するための組織の総称で、日本シーサート協議会は次のように定義しています。
CSIRT とは、コンピュータセキュリティにかかるインシデントに対処するための組織の総称です。インシデント関連情報、脆弱性情報、攻撃予兆情報を常に収集、分析し、対応方針や手順の策定などの活動をします。
出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会
CSIRTは特定の製品名ではなく、組織の中でインシデント対応の機能を担う体制そのものを指します。その起源は古く、1988年のCERT/CC（カーネギーメロン大学のコンピュータ緊急対応チーム）設立にさかのぼります。JPCERT/CCは、組織の中に置かれるこうした体制を「組織内CSIRT」と位置づけています。
規格で画一的に形が決まっているわけではなく、各組織が自社の実態に合わせて実装する点も特徴です。だからこそ、まずは「何をやるチームなのか」という役割・業務の中身から押さえることが、自社に置くかどうかの判断につながります。
出典・参考資料（2件）
- 出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会（https://www.nca.gr.jp/activity/pub_doc/imgs_u/CSIRTstarterkit_v3.pdf）
- 参考資料：CSIRTマテリアル｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/csirt_material/）
CSIRTの役割・業務｜平時と有事にやることの一覧
ここからは、CSIRTが具体的に何をするのかを、平時（インシデントに備える活動）と有事（インシデント発生時の対応）に分けて一覧で整理します。この区分は、日本シーサート協議会「CSIRT人材の定義と確保」の業務分類と、スタータキットV3が参照するNIST SP800-61のインシデント対応プロセスにもとづいています。
平時（インシデントに備える）の業務
平時の活動は、有事に慌てないための準備です。日本シーサート協議会は、CSIRTの業務を「情報共有」「情報収集・分析」「インシデント対応」「自組織内教育」に分類しており、平時にはこのうち備えに関わる次のような業務を担います。
- 脅威・脆弱性情報の継続的な収集と分析（自社に影響する攻撃や脆弱性の把握）
- インシデント対応の手順・体制の整備（連絡網、対応フロー、判断基準の準備）
- 従業員への教育・訓練と、注意喚起・社内への情報発信
- 社内外の関係者との情報共有と、連絡窓口（PoC）の維持
有事（インシデント発生時）の業務
有事の対応について、CSIRTスタータキットV3はNIST SP800-61のインシデント対応プロセスを参照しています。
ここでは、セキュリティインシデント対応として「検知」「分析」「封じ込め」「根絶」「復旧」「インシデント後の対応」としてプロセスが定義されています。
出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会
このNISTの工程に、CSIRTの実務として最初の受付・トリアージを加え、実際に動く順に並べると次のようになります。平時に準備した手順を、ここで実行に移します。
- インシデントの受付と、対応の優先順位を決めるトリアージ
- 被害の検知・分析と、被害拡大を止める初動対応（封じ込め・根絶）
- 原因や影響範囲を調べる調査・分析（証拠保全やフォレンジックを含む）
- システムやデータを元に戻す復旧
- 再発防止策の検討と、社内外への報告・広報（インシデント後の対応）
平時の情報収集と手順整備が、有事の検知・初動の速さを支える関係にあります。CSIRTは「事故が起きてから動く組織」ではなく、平時から備え、起きたときに司令塔として対応を回す組織だと捉えると、役割の全体像がつかみやすくなります。
有事の一連の流れを、実際に何から手をつけ、誰に・いつまでに報告するかという手順の粒度まで落とし込みたい場合は、インシデント発生時の初動から報告義務・復旧までを整理した記事もあわせてご覧ください。
出典・参考資料（2件）
- 出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会（https://www.nca.gr.jp/activity/pub_doc/imgs_u/CSIRTstarterkit_v3.pdf）
- 出典：CSIRT人材の定義と確保 Ver.2.1｜一般社団法人 日本シーサート協議会（https://www.nca.gr.jp/activity/PDF/recruit-hr20201211.pdf）
CSIRTとSOC・PSIRTの違い
CSIRTを調べていると、SOCやPSIRTといった似た言葉が混ざってきます。ここでは、「どの工程を担うか」と「何を守るか」の2つの軸で、3者の違いを整理します。
| 組織 | CSIRT | SOC（Security Operation Center） | PSIRT（Product Security Incident Response Team） |
|---|---|---|---|
| 主に担う工程・役割 | 検知後の判断と対応の司令塔（受付・調査・封じ込め・復旧・再発防止・報告） | 監視・検知（ログやアラートの常時監視） | 製品の脆弱性の特定・評価・対処 |
| 守る対象 | 自組織のシステム・ネットワーク | 自組織のシステム・ネットワーク | 自社が提供する製品・サービス |
SOCとCSIRTはどちらも自組織を守りますが、工程が分かれます。SOCが監視・検知を担い、検知後の影響確認から対応・復旧までをCSIRTが担うという分業で、両者は連携して機能します。日本セキュリティオペレーション事業者協議会（ISOG-J）の整理でも、SOCとCSIRTは「セキュリティ対応組織」として並べて説明されています。
一方PSIRTは、守る対象が異なります。社内のシステムではなく、自社が外部に提供する製品・サービスの脆弱性に対応する組織です。FIRST（インシデント対応のための国際フォーラム）のPSIRT Services Frameworkでも、製品に焦点を当てる点がCSIRTとの主な違いとされています。
周辺の概念として、対象を限定したDSIRT（部門別）やSSIRT、監視・検知を外部に委託するMDR（Managed Detection and Response）など周辺の概念もありますが、まずは「監視のSOC・対応のCSIRT・製品のPSIRT」という軸を押さえれば十分です。
出典・参考資料（2件）
- 出典：セキュリティ対応組織（SOC/CSIRT）の教科書 第3.1版｜日本ネットワークセキュリティ協会（JNSA）／ISOG-J（https://www.jnsa.org/isog-j/output/2023/Textbook_soc-csirt_v3.1.pdf）
- 参考資料：PSIRT Services Framework｜FIRST（https://www.first.org/standards/frameworks/psirts/）
CSIRTの役割分担と少人数での兼任
ここからは、CSIRTの「中」を誰が担うのかを見ていきます。日本シーサート協議会「CSIRT人材の定義と確保」は、CSIRTを構成する役割を担当内容とともに定義しています。少人数の会社でも割り振りをイメージできるよう、主な役割と、兼任の始め方を整理します。
主な役割と担当内容
代表的な役割を、担当内容とあわせて示します。すべてを別々の人に割り当てる必要はなく、自社の規模に合わせて兼任する前提で読んでください。
| 役割 | コマンダー | PoC（Point of Contact） | インシデントマネージャー | トリアージ担当 | インシデントハンドラー | フォレンジック担当 | リサーチャー／キュレーター | リーガルアドバイザー |
|---|---|---|---|---|---|---|---|---|
| 主な担当内容 | 平常時・有事のCSIRT全体統括。必要に応じPoCとともに経営者へ説明する | 社内・社外との連絡窓口 | インシデント情報を集約し、処理担当へ対応指示を出して状況を管理、記録する | 対応の優先順位を選定する。平常時には停止・再開の対応基準を準備しておく | 発生中のインシデント対応と、影響システムへの対応支援を行う | 証拠保全・システムの鑑識・マルウェア解析など、足跡の調査を行う | 脅威・脆弱性情報の収集と分析を行う | 法務面の助言を行う |
情シス数名の会社での現実的な兼任の順序
専任を置けない会社では、役割を兼任して始めるのが現実的です。日本シーサート協議会も、役割の兼任について次のように示しています。
以下に兼任可能な役割と実施内容・注意点を同一の背景色で記載する。ただし、これは一例であり、自社の事情に合わせて適宜調整すること。
出典：CSIRT人材の定義と確保 Ver.2.1｜一般社団法人 日本シーサート協議会
同協議会は、兼任のまとまりを「連絡・全体統括」「情報収集・分析」「インシデント対応」などのグループで示しています。これを踏まえると、まずは次の3つを軸に割り当てるのが始めやすい形です。
- 連絡と全体統括（PoC・コマンダー・トリアージ）を、意思決定できる責任者が担う
- 情報収集・分析と調査（リサーチャー・フォレンジック）を、技術担当が担う
- インシデント対応の実務（インシデントマネージャー・ハンドラー）を、運用担当が担う
この3つの軸を、実際に着手する順序に落とすと次のようになります。この順で始めると無理がありません。
- まず連絡窓口（PoC）と、対応を判断する責任者を1人ずつ決める（ここが決まらないと有事に動き出せないため最優先）
- 受付・トリアージの基準（どの事象を優先するか、システムの停止・再開を誰がどう判断するか）を準備する
- 情報収集・分析と調査（リサーチャー・フォレンジック）の担当を、技術担当に割り当てる
- インシデント対応の実務（インシデントマネージャー・ハンドラー）を運用担当に割り当て、誰が何を兼任するかを文書にする
法務面の助言は社内の法務部門や外部の専門家に委ねることが多く、無理にCSIRTのメンバーだけで抱える必要はありません。まずは連絡窓口と判断する責任者を決めるところから始め、人を増やしながら役割を分けていく進め方が現実的です。
CSIRTに求められるスキルと人材
役割を担うために必要なスキルは、技術だけではありません。社内外との調整や経営層への報告が多くを占めるため、コミュニケーション能力も重視されます。目安として、次のようなスキルを組み合わせられる体制を目指すとよいでしょう。
- インシデント対応と運用管理（手順に沿って対応を回す力）
- 脅威インテリジェンスの収集・分析と、脆弱性への理解
- デジタルフォレンジック（証拠保全・原因調査）
- 社内外との調整・報告を担うコミュニケーションと危機管理
すべてを社内の人材でそろえる必要はありません。高い専門性が要る調査などは外部に委託し、自社は判断と調整に集中する分担も選べます。委託の考え方は後述します。
出典・参考資料（1件）
- 出典：CSIRT人材の定義と確保 Ver.2.1｜一般社団法人 日本シーサート協議会（https://www.nca.gr.jp/activity/PDF/recruit-hr20201211.pdf）
なぜ今CSIRTが必要なのか
役割の次に、「なぜ今それを整えるべきか」を押さえておくと、自社で設置可否を判断する材料になり、経営層への説明にも使えます。背景にあるのは「攻撃は完全には防ぎきれない」という前提の広がりです。
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威として1位に「ランサム攻撃による被害」、2位に「サプライチェーンや委託先を狙った攻撃」、3位に「AIの利用をめぐるサイバーリスク」が挙がりました。被害は大企業だけの問題ではありません。警察庁の調査は、中小企業の被害状況を次のように報告しています。
令和７年上半期におけるランサムウェアの被害報告件数は 116 件であり（中略）組織規模別のランサムウェア被害件数は、前年と同様に中小企業が狙われる状況が継続しており、77件で約3分の2を占めて件数・割合ともに過去最多となった。
出典：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
制度の面でも、インシデント対応体制の整備が求められています。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が指示すべき項目として、CSIRT等の体制整備を次のように挙げています。
影響範囲や損害の特定、被害拡大防止を図るための初動対応、再発防止策の検討を適時に実施するため、制御系を含むサプライチェーン全体のインシデントに対応可能な体制（CSIRT等）を整備させる。
出典：サイバーセキュリティ経営ガイドライン Ver3.0 指示7｜経済産業省・IPA
設置しない場合に起きること
CSIRTのような対応体制がないと、インシデント発生時に「誰が何を判断するか」が決まっておらず、初動が遅れます。被害範囲の特定や封じ込めに手間取れば業務停止や情報漏えいが拡大し、取引先や監督官庁への報告や顧客への説明も後手に回って信用の低下を招きます。こうした事態を避けるには、平時から誰がどう動くかを取り決めておく備えが欠かせません。
出典・参考資料（3件）
- 出典：情報セキュリティ10大脅威 2026｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2026.html）
- 出典：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf）
- 出典：サイバーセキュリティ経営ガイドライン Ver3.0 指示7｜経済産業省・IPA（https://www.ipa.go.jp/security/economics/practices_navi/practice226.html）
CSIRTを構築・設置する進め方
ここからは、CSIRTを実際に立ち上げる手順を見ていきます。JPCERT/CCの「CSIRTマテリアル」は、構築の工程を「構想」「構築」「運用」の3つのフェーズで整理しています。日本シーサート協議会のスタータキットV3も、STEP0からSTEP5までのステップとして示しています。両者を踏まえると、進め方は次の流れに整理できます。
- 構想：経営層の理解と承認を得て、プロジェクトを立ち上げる
- 現状把握：自社の体制・資産・リスクの現状と課題を洗い出す
- 企画：ミッション、担うサービス、対象範囲（コンスティチュエンシー）、体制を定義する
- 構築：手順書を整備し、必要なリソース（人・ツール・予算）を調達する
- 運用：社内への周知と社外連携を進め、活動を開始する
- 再検討：訓練や振り返りを通じて、体制と手順を見直し続ける
設置したが形骸化しないために
CSIRTは、作って終わりではありません。有事に機能しない状態に陥る典型は、手順が更新されず連絡網が古いまま放置される、訓練をしていないので実際には動けない、といったケースです。スタータキットV3も、最後のステップに「再検討」を置き、定期的なアセスメントや演習を求めています。次のような観点を定期的に点検すると、形骸化を防げます。
- 連絡網・エスカレーション先が最新に保たれているか
- 対応手順が、実際のシステム構成や体制の変化に追従しているか
- インシデントを想定した演習・訓練を定期的に実施しているか
出典・参考資料（2件）
- 出典：CSIRTマテリアル｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/csirt_material/）
- 出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会（https://www.nca.gr.jp/activity/pub_doc/imgs_u/CSIRTstarterkit_v3.pdf）
専任を置けない場合の始め方
専任の担当を置けない会社では、「どの体制の形にするか」と「どこを外部に任せるか」を決めることが出発点になります。まず体制の形について、日本シーサート協議会は次の3つのモデルを示しています。
- 部門内モデル：情報システムや総務など、特定の部門内に置く形（最小単位が「1人CSIRT」）
- バーチャル組織モデル：複数部門の担当者が兼務で集まる形
- 独立組織モデル：CSIRTを独立した部門として置く形
中小企業では、まず部門内モデルやバーチャル組織モデルで小さく始め、必要に応じて広げるのが現実的です。そのうえで、すべてを自社で抱えるのではなく、専門性の高い部分を外部に委託する選択肢があります。どこを外部に出すかの判断について、スタータキットV3は次のように整理しています。
アウトソーシングに向くサービスとしては、SOC やフォレンジックスなどのセキュリティインシデント分析、リスクアセスメント、OSINT 調査など、高い技術力や専門知識が求められ、定められたスコープにおいて高品質のアウトプットが要求されるものです。一方、コーディネーション業務や意思決定など、自組織内でないと実施できない業務はアウトソーシングに向きません。
出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会
こうした整理を踏まえると、社内外の調整や最終的な意思決定は自社で担い、監視・検知や、有事の原因調査（フォレンジック）といった専門性の高い部分を外部に寄せる、という内製と外部委託の組み合わせ（ハイブリッド）が、少人数の体制では取り組みやすい形になります。
監視・検知や有事の調査を支えるサービスのほか、CSIRTの構築・運用そのものを伴走支援するサービスも各社から提供されています。自社に合うソリューションの選び方は、守る対象別にサービスを整理した比較記事もあわせて参考にしてください。
出典・参考資料（1件）
- 出典：CSIRTスタータキット Ver 3.0｜一般社団法人 日本シーサート協議会（https://www.nca.gr.jp/activity/pub_doc/imgs_u/CSIRTstarterkit_v3.pdf）
一括ダウンロードする
CSIRTの監視・検知と有事の調査を支えるサービス
ここからは、CSIRTの業務のうち専門性が高く、専用の仕組みや外部の力で補いやすい領域を支えるサービスを紹介します。平時の監視・検知と、有事の原因調査（フォレンジック）がその代表です。
前者は自社ネットワークに導入して検知基盤を支えるNDR（Network Detection and Response、ネットワークの検知・対応）、後者は調査そのものを専門家に委ねられる端末診断と、性格の異なる2つの打ち手を取り上げます。
| サービス名 | Network Blackbox | CoWorker 端末侵害診断サービス |
|---|---|---|
| 支えるCSIRT業務 | 平時の監視・検知と、有事の通信の遡及調査（フォレンジック） | 有事の原因調査と、定期的な棚卸しによる侵害の有無確認（フォレンジック） |
| 対応のタイミング | 平時の常時監視＋有事の調査 | 有事・区切って実施（退職時・インシデント疑い・年1〜2回） |
| 調べる対象 | ネットワークを流れる通信（フルパケット） | 端末（PC）から収集したログ |
| 検知・調査の方式 | 通信を丸ごと保存（フルパケットキャプチャ）し、収集・検知・ハンティング・フォレンジックを一製品で実施 | 専用ツールでログを収集し、AI「Blue Agent」＋専門家が事後に解析 |
| 対応OS・規模 | OSに依存せず取得（ミラーリング方式／エージェント不要） | Windows・Mac／最大100台まで一括診断 |
| 他ツール連携 | EDR・SIEMと連携（Syslog／REST API） | 単体で完結する診断サービス |
| 料金 | 要問い合わせ（公式非公開） | 初期費用20万円＋診断50万円/台（税別） ※トライアル価格・台数割引あり |
| 無料トライアル・相談 | デモ申請あり | 無料相談・見積りあり |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる通信を保存し、脅威を可視化・分析するNDR製品です。フルパケットキャプチャ（通信パケットの全数保存）を基盤に、収集・検知・ハンティング・フォレンジック・対応の5つの機能を備え、ミラーリング方式で導入するため既存ネットワークへの影響を抑えられます。
平時はネットワークの監視・検知を担い、有事にはパケット単位で通信をさかのぼって調べられる点が特徴です。
ログ（イベントの記録）だけでなく通信そのものを保存し、パケットやファイルを再構成できるため、インシデント後の証跡の提示や原因調査に強みを持ちます。
Syslog・REST APIを通じてEDR（Endpoint Detection and Response、端末の検知・対応）やSIEM（Security Information and Event Management、ログの統合管理）といった他のツールと連携できるため、SOCに監視を寄せたいCSIRTのネットワーク側の検知・調査基盤として組み込めます。
国内では東証グロース上場の株式会社フーバーブレインが2024年に資本参加し、販売・サポートを担っています。
CoWorker 端末侵害診断サービス（CoWorker株式会社）
有事の原因調査を外部に任せたい場合に候補となるのが、CoWorker株式会社の端末侵害診断サービスです。対象端末から専用ツールでログを収集し、自社開発AI「Blue Agent」とセキュリティ専門家が事後に解析する、スポット・定期実施型の端末フォレンジック診断です。
常時監視するEDRとは異なり、退職時・インシデントの疑い・年1〜2回の棚卸しといったタイミングを区切って、すでに侵害や情報漏えいが起きていないかを調べる位置づけになります。
マルウェア感染、認証情報の漏えい、USBやクラウド経由のデータ持ち出し、生成AI利用環境からの情報漏えいの痕跡などを検出し、リスクの優先度を付けたレポートと報告会を提供します。Windows・Macに対応し、最大100台までの一括診断が可能で、訴訟対応を見据えた電子証拠保全にも対応します。専門の体制を持たなくても、有事の調査や定期的な棚卸しを外部に委ねられる選択肢です。
端末フォレンジックを外部に委ねる背景と、定期的な診断が求められるようになった経緯について、同社の一ノ瀬氏は次のように説明します。
フォレンジックはこれまで、1台あたり100万円から200万円ほどの費用がかかり、専門家も少ないという課題がありました。そこにAIの発達が組み合わさって、高速化・低価格化が実現できるようになったことが、このサービスを開発した大きなきっかけです。従来のフォレンジックは、何か大きな問題が起きてから重い腰を上げて対応するというイメージが強かったのですが、問題がまだ小さいうちに、より簡易でスピーディーに診断できるものが必要だと考えました。あわせて、攻撃者側もAIを使ってランサムウェアを高速化させていますので、年に1回ではなく、より定期的な診断が不可欠になってきているという背景もあります。
まとめ
CSIRTは、平時に脅威・脆弱性情報の収集や手順整備・教育を行い、有事には受付・トリアージから封じ込め・調査・復旧・再発防止・報告までを担う、インシデント対応の司令塔です。監視・検知を担うSOC、自社製品の脆弱性に対応するPSIRTとは、工程と守る対象で役割が分かれます。
専任を置けない場合も、連絡窓口と判断する責任者を決め、兼任の小さな体制から始められます。監視・検知や有事の原因調査といった専門性の高い業務は外部に委ね、自社は調整と意思決定に集中する分担が現実的です。まずは自社の役割分担を描き、必要な部分から体制とツールを整えていきましょう。
一括ダウンロードする
よくある質問（FAQ）
Q. CSIRT（シーサート）とは何ですか？
A. CSIRT（シーサート）とは、コンピュータセキュリティに関わるインシデントに対処するための組織の総称です。平時に脅威・脆弱性情報を収集して備え、インシデント発生時には受付・トリアージから封じ込め・調査・復旧・再発防止・報告までを担う、組織内のインシデント対応の司令塔を指します。特定の製品ではなく、自社の実態に合わせて実装する体制そのものを意味します。
Q. CSIRTは何人で設置すればよいですか？
A. CSIRTに決まった人数の基準はなく、必要な役割に抜けがないかを基準に体制を組むのが基本です。専任を置けない会社では、CSIRTの業務を1人で担う「1人CSIRT」から始めることもできます。まずは連絡窓口（PoC）と対応を判断する責任者を決め、人を増やしながらトリアージ・調査・インシデント対応といった役割を分けていく進め方が現実的です。
Q. 中小企業にもCSIRTは必要ですか？
A. 中小企業にもCSIRTのような対応体制は必要で、むしろ中小企業こそ被害の中心になっています。警察庁の調査では、令和7年上半期のランサムウェア被害報告116件のうち77件（約3分の2）が中小企業で、件数・割合ともに過去最多でした。
経済産業省・IPAの「サイバーセキュリティ経営ガイドラインVer3.0」も企業規模を問わず体制整備を求めており、まずは兼任の担当窓口と判断する責任者を明確にするところから始められます。
出典・参考資料（2件）
- 出典：令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf）
- 出典：サイバーセキュリティ経営ガイドライン Ver3.0 指示7｜経済産業省・IPA（https://www.ipa.go.jp/security/economics/practices_navi/practice226.html）
Q. CSIRTの構築にはどのくらいの期間・費用がかかりますか？
A. CSIRTの構築にかかる期間・費用は組織の規模や目指す体制によって大きく異なり、本格的に構築する場合は数か月から1年以上かかることもあります。既存の人員が兼任で小さく始める場合は、主に人件費のみで立ち上げられますが、監視や高度な調査を外部に委託すると、その範囲に応じた費用が加わります。
外部委託の料金は範囲により幅がありますが、たとえば本記事で紹介する端末の侵害診断のように、料金の目安を公開しているサービスもあります（比較表を参照）。まずは兼任で最小構成から始め、必要に応じて体制とツールを広げていく進め方が、負担を抑えやすい方法です。
Q. SOCとCSIRTはどちらを先に整備すべきですか？
A. SOCとCSIRTのどちらを優先するかは自社の課題によりますが、対応体制がまったくない場合は、検知後の判断と対応を担うCSIRT側（連絡窓口と判断する責任者）から整えるのが現実的です。SOCは監視・検知、CSIRTは検知後の対応という分業の関係にあり、監視の仕組みがあっても対応する体制がなければ初動が遅れます。
監視・検知そのものは外部のSOCやMDRサービスに委ね、対応と意思決定を自社のCSIRTが担う組み合わせも選べます。
Q. CSIRTの業務を外部に委託する場合、どう選べばよいですか？
A. CSIRTの外部委託は、自社に残す業務と外部に出す業務を切り分け、委託先の対応範囲が自社の弱い部分を補えるかで選ぶのが基本です。日本シーサート協議会は、SOCによる監視やフォレンジック、リスクアセスメントなど高い専門性が求められる業務は外部委託に向く一方、社内外の調整や最終的な意思決定は自組織でしか実施できないと整理しています。
監視・検知や有事の原因調査を外部に寄せ、調整と判断を自社に残すハイブリッドが、少人数の体制では取り組みやすい形です。
Q. CSIRTのメンバーに資格は必要ですか？
A. CSIRTの担当者に必須の資格はなく、資格よりも、インシデント対応・脅威分析・フォレンジックといった実務スキルと、社内外との調整を担うコミュニケーション能力が重視されます。代表的な資格として情報処理安全確保支援士などが挙げられますが、取得が設置の条件になるわけではありません。高度な調査など専門性の高い部分は外部の専門家に委ね、自社は判断と調整に集中する分担も選べます。
Q. CSIRTの研修や訓練はどこで受けられますか？
A. CSIRTの研修・訓練は、日本シーサート協議会やJPCERT/CCといった専門団体のプログラムや、セキュリティベンダーが提供する研修・演習を活用できます。日本シーサート協議会のCSIRTスタータキットも、内部トレーニング・外部トレーニング・コミュニケーションの訓練を組み合わせることを示しています。
設置後は、連絡網の最新化や対応手順の見直しとあわせて、インシデントを想定した演習を定期的に行うことで、いざというときに機能する体制を保てます。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、CSIRTの構築・運用を支える監視・検知や端末診断などのサービスの最新資料を無料で一括請求できます。機能や料金を見比べて、自社に合う打ち手を効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
