ガイドSG
CSIRT・SOCの役割とインシデント対応体制完全攻略｜JPCERT/CC連携と初動対応徹底解説
公開: 2026-08-25更新: 2026-08-26
情報セキュリティマネジメント試験で頻出のCSIRT、SOC、インシデント対応の4フェーズ（準備、検知・分析、封じ込め・復旧、事後対応）、JPCERT/CC連携を徹底解説。
サイバーインシデント発生時の対応組織である「CSIRT」と「SOC」の役割分担、およびインシデント対応手順を整理します。
1. SOC vs CSIRT の役割分担
組織名 | 主なミッション | 主な業務内容 |
|---|---|---|
SOC (Security Operation Center) | 24時間365日の「検知・監視」 | ログやパケットの常時監視、SIEMによるアラート分析、不審な通信の初期検知とCSIRTへの通報。 |
CSIRT (Computer Security Incident Response Team) | インシデント発生時の「対応・調整・解決」 | 被害端末の隔離指示、フォレンジック調査、影響範囲の特定、経営陣や外部機関（JPCERT/CC、警察）への報告・広報対応。 |
2. インシデント対応の4つのフェーズ（NIST SP 800-61）
- ① 事前準備: 対応規程の策定、連絡体制の整備、ツールの配備、訓練の実施。
- ② 検知・分析: SOCのアラートや通報からインシデントの兆候を検知し、被害範囲と重要度を判定。
- ③ 封じ込め・根絶・復旧: ネットワーク遮断（端末隔離）による感染拡大防止、マルウェア削除、バックアップからの安全な復旧。
- ④ 事後対応（教訓の共有）: インシデントの根本原因の総括、再発防止策の立案、ポリシーの見直し。
この記事に関連する教科書用語
編集・検証について
編集・検証：IT資格ラボ編集部
IPAが公開する試験要綱・シラバス・過去問題と、各技術の公式資料を優先して内容を確認しています。制度変更や誤りを確認した場合は、記事を見直して更新します。
編集方針・情報源・訂正方針を見る