インシデント対応体制の構築とCSIRT・外部機関連携

事故対応の役割分担では、SOCの監視とCSIRTの対応・組織調整の違いを押さえます。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

SOCの監視とCSIRTの対応・組織調整の違いを押さえます。比較表と事例問題で確認した後は、正解以外の選択肢が条件に合わない理由も説明してみてください。

1. CSIRTとSOCの役割の違い

組織	主な役割	運用上の注意
SOC	ログ・アラートの監視、分析、検知と報告	監視時間や対象は組織・契約による。必ず24時間365日とは限らない
CSIRT	対応方針の判断、封じ込め・復旧の調整、社内外の連絡	技術担当だけでなく、必要に応じて経営・法務・広報等と連携する

2. 対応の流れを理解する

以下の6項目は、学習のために対応を整理したものです。実際は分析・封じ込め・連絡を並行することもあります。NIST SP 800-61 Rev.3（2025年4月）は、CSF 2.0に沿って組織全体のリスク管理と対応を関連付けています。NISTが一律の「6フェーズ」を規定したという説明ではありません。

準備（Preparation）：対応方針の策定、連絡体制（緊急連絡網）の整備、訓練の実施、ツールの準備。
検知と分析（Detection & Analysis）：SOCアラートや社員通報からインシデントの発生を確認し、深刻度を評価（トリアージ）。
封じ込め（Containment）：被害拡大を防ぐため、感染端末のLAN切断、不正アカウントのロック、FWでの通信遮断を実施。
根絶（Eradication）：マルウェアの完全削除、バックドアの撤去、悪用された脆弱性のパッチ適用を実施。
復旧（Recovery）：バックアップからの安全なシステムリストア、サービスの段階的再開、監視の強化。
事後レビュー（Post-Incident Activity）：インシデント報告書の作成、根本原因分析、再発防止策の立案とポリシー改訂。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：インシデント発生時のトリアージとエスカレーション

〔背景・企業概要〕A社は従業員500名の製造業であり、社内CSIRTを設置している。月曜日の朝、社内複数の部署から「PCのファイルが勝手に暗号化されている」との連絡がヘルプデスクに相次いだ。

〔設問〕A社CSIRTのリーダーが直ちにとるべきアクションの優先順序として、最も適切なものはどれか。

ア：再発防止のための社員向けセキュリティ研修のカリキュラム作成 → 警察への被害届提出 → 全社PCの買い替え
イ：被害規模と影響範囲のトリアージ（ランサムウェアの横展開防止のためのネットワーク緊急遮断指示） → CISOおよび経営陣への緊急エスカレーション → 外部専門機関（JPCERT/CC等）への相談・技術支援要請
ウ：暗号化された画面をスマートフォンで撮影し、SNSに投稿して一般ユーザーに助けを求める
エ：全社員を緊急帰宅させ、来週まで一切の対応を行わずに自然鎮静化を待つ

【正解】：イ
【正解の理由】：インシデント発生直後は、被害拡大阻止のためのトリアージと封じ込め（ネットワーク遮断）、経営陣への迅速なエスカレーション、専門機関への支援要請が最優先です。
【誤答解説】：アは事後フェーズの作業であり初動として遅すぎる。ウは企業の信用失墜と機密漏えい。エは被害を拡大・放置する致命的過誤です。

演習2：外部セキュリティ機関との情報連携

〔背景・企業概要〕B社では、標的型攻撃による未知のマルウェア感染インシデントが発生し、調査の結果、日本国内の他の同業他社も類似の攻撃を受けている可能性があることが判明した。

〔設問〕B社のCSIRTが、国内のサイバー被害拡大防止と注意喚起のためにインシデント情報の報告・共有を行う専門機関の組合せとして、最も適切なものはどれか。

ア：気象庁および消防署
イ：JPCERTコーディネーションセンター（JPCERT/CC）および独立行政法人情報処理推進機構（IPA）
ウ：公正取引委員会および特許庁
エ：国税庁および税務署

正解：イ
根拠：JPCERT/CCは一般社団法人の専門機関、IPAは独立行政法人です。それぞれの窓口・目的に応じて報告や相談を行います。
確認する点：気象庁などは、この設問のサイバーインシデント情報の相談先ではありません。法令上の報告義務がある場合は、専門機関への相談とは別に必要な報告を行います。

4. まとめと重要チェックリスト

SOCは監視・検知、CSIRTは対応の判断と組織内外の調整を担う。
被害拡大の防止、影響範囲の調査、証拠保全と連絡を状況に応じて並行する。
復旧後に原因と対応を振り返り、規程・構成・訓練を改善する。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1

NIST SP 800-61 Rev.3：インシデント対応