CSIRT（シーサート）は、サイバーセキュリティに関わるインシデントを扱う組織です。正式名称はComputer Security Incident Response Teamです。日本シーサート協議会の解説で、その対象と構築の考え方が整理されています。
社内にCSIRTを設けるなら、まず誰が情報を集め、誰が停止・復旧を決め、誰へ連絡するかを定めましょう。本記事では、社内ITの担当者が責任者や委託先と合意するための役割表と連絡経路の例を示します。具体的な配置や手順は編集上の提案であり、自社の権限規程や運用体制に合わせて調整してください。
CSIRTの役割は技術対応と社内の意思決定をつなぐこと
不審なアクセスを調べる担当者と、サービスを止める権限を持つ人は、同じとは限りません。NISTはインシデント対応の役割例として、経営層による監督・資金配分や重要サービスの停止などの判断と、対応担当者による証拠の収集・分析、被害抑制、原因特定、復旧を挙げています。NIST SP 800-61r3、2.2節
この区別を社内の運用に落とし込む際は、CSIRTに「技術調査をする役割」と「判断に必要な情報をそろえて関係者へ届ける役割」のどこまでを持たせるかを決めます。名称だけを定めるより、対応するシステムや業務の範囲、承認が必要な操作を明文化するとよいでしょう。
SOC・情報システム部門との分担
SOCに監視を委託している場合は、監視対象と検知通知の受取先を確認します。日本シーサート協議会も、SOCのサービス範囲や検知システムの運用者、通知の受取先を整理することを挙げています。CSIRTスタータキットV3「現状分析・問題把握」
分担の例は、SOCがアラートを通知し、CSIRTの窓口が対応の優先度と関係者を整理し、情報システム部門が承認された操作を実施する形です。実際にどの組織が何を担うかは、契約と社内規程に合わせます。「監視を委託している」という情報だけで、端末の隔離や業務停止まで依頼できると判断しないようにしましょう。
事故対応の判断表：担当者と承認者を分ける
以下は社内で検討するための記入例です。部署名を埋めるだけでなく、担当者・代理者と連絡先を別の連絡簿にひも付けてください。
| 場面 | 実務を進める担当の例 | 決定・承認を担う役割の例 | 事前に決める内容 |
|---|---|---|---|
| 不審な事象の受付 | CSIRT窓口 | 当番責任者 | 受付時間、記録先、時間外の連絡先 |
| 影響範囲の調査 | 技術担当・調査委託先 | 調査責任者 | 調査対象、必要なアクセス権、情報の共有範囲 |
| 端末の隔離・アカウントの停止 | 情報システム部門 | 事前に権限を付与された担当者 | 即時実行できる条件、実施後の報告先 |
| 顧客向けサービスの停止 | サービス運用担当 | 事業責任者などの権限者 | 事業影響、停止の条件、代理承認者 |
| 社外への説明 | 広報・顧客窓口など | 社内規程で定めた承認者 | 確認済みの事実、説明対象、内容の承認手順 |
| サービス再開 | 運用・技術担当 | 再開権限を持つ責任者 | 技術確認、業務確認、再開後の監視条件 |
この表で最初に合意したいのは、その場の担当者が実行できる範囲と、承認を待つ範囲の境界です。例えば「端末1台の隔離」と「全社ネットワークの切断」を同じ承認条件にせず、対象と事業への影響を分けて検討します。
なお、この表は対外報告の義務や期限を定めるものではありません。個別の報告要否は、法務等の担当者に確認する項目として手順に組み込んでください。
連絡経路は受付・判断・実行・報告で設計する
以下の順序を基本案に、連絡が途切れる箇所を点検します。調査や連絡は状況に応じて並行して進める想定です。
- 発見者や監視委託先が、決められたCSIRT窓口へ初報を送る。
- 窓口担当が受付を返し、事象と担当者を記録する。
- 当番責任者が技術担当へ確認を依頼し、事業への影響に応じて責任者へ判断を求める。
- 権限を持つ担当者が措置を実行し、時刻・対象・結果を記録する。
- 窓口が状況を集約し、関係者へ更新内容と次の確認予定を伝える。
初報は「分かったこと」と「不明なこと」を分ける
初報のひな型には、検知時刻、対象の端末やサービス、観測した事象、現在分かっている業務影響、実施済みの操作、折り返し先を用意することを提案します。原因や漏えいの有無が未確認なら「調査中」と記入し、推測を確定事項として回さない運用にします。
ログや証拠を共有する場所も決めておきましょう。初報の宛先を増やすことと、機密情報を含むデータへのアクセスを広げることは分けて設計します。
不在時と通常の連絡手段が使えない場合を用意する
連絡簿には、主担当のほかに代理者、応答がない場合の次の連絡先、切り替え条件を記載します。待機できる時間は業務への影響や対応契約に合わせて設定し、一律の分数を当てはめないようにします。
社内メールやチャットにアクセスできない状況も、机上演習のシナリオに入れることを提案します。代替の連絡手段、本人確認の方法、連絡簿を参照できる場所まで確認してください。
外部委託では分析の依頼範囲と社内の判断を整理する
日本シーサート協議会は、SOCやフォレンジックスなどの専門分析を外部委託に向く例とし、社内の調整や意思決定を委託に向かない業務として整理しています。CSIRTスタータキットV3「アウトソーシング検討」
委託先との打ち合わせでは、次の項目を確認することを提案します。
- 対象システムと対応時間帯、緊急時の受付経路
- 調査・助言・設定変更のうち、契約に含まれる作業
- ログや端末情報を渡す方法と、閲覧できる担当者
- 業務停止の提案を受けたときに判断する社内責任者
- 追加作業の依頼方法と費用の承認者
「報告書を受け取る担当者」だけでなく、「提案を受けて措置を決める担当者」まで決めることがポイントです。委託先へ期待する役割は、契約で確認できた範囲を連絡簿や手順書に反映しましょう。
CSIRTを整える最初の作業
まず既存の受付窓口・運用担当・承認者を書き出し、判断表の空欄を埋めます。次に、夜間に不審なアクセスが見つかった場面を一つ選び、受付から停止判断、復旧、社外説明まで机上でたどってみてください。各場面で「次に連絡する人」「その人が判断に必要とする情報」を答えられるかを確認します。
構築のための資料には、理解・実践・フォームや作成例をまとめたJPCERT/CCのCSIRTマテリアルがあります。自社の役割表と連絡簿を作る際の参照先として利用できます。
CSIRTの体制を検討する第一歩は、組織名を付けることに加え、停止と再開の権限者、受付窓口、不在時の連絡先を具体的に決めることです。