CSIRT（シーサート）

CSIRT（シーサート）とは「Computer Security Incident Response Team」の略で、その名の通り、コンピューターセキュリティに関連する問題を専門に扱うインシデント対応チーム/組織のことです。CSIRTは、情報流出やマルウェア感染、攻撃者によるシステムへの侵入、Webページの改ざんといったインシデントが発生した際に、初動から被害縮小化、復旧、予防までの一連の対応を担います。また、インシデントが発生していない平常時にも、情報収集やインシデント対応手順の策定・周知、従業員教育、社内啓発活動など、インシデントを予防するため、もしくは発生時の影響を最小限に抑えられるようにするための取り組みに従事します。

＜インシデント発生時のCSIRTの主な役割＞

• 初動対応：インシデント発生時の連絡受付、インシデントの分類、対応方法の決定
• インシデント対応：インシデント原因の排除・被害縮小化・復旧（ウイルス除去、システム停止、パッチ適用など）
• 社内連携の確保：部署間の情報のとりまとめ・伝達などの社内調整
• 外部への連絡・報告・通知：警察や関係省庁、個人情報保護委員会などへの報告のほか、取引先や漏洩被害者への通知、プレスリリース発信などの対応

など

＜平常時の主な役割＞

• 情報収集：インシデント関連情報、脆弱性情報、攻撃予兆情報などの収集
• インシデント対応計画：インシデントが発生した際に遅滞なく対応を開始できるようにするための対応フロー（対応手順）の策定・周知
• 社内連携の確保：各部署から報告される情報セキュリティに関する情報のとりまとめや、関係部署・経営層への報告
• 従業員教育・注意喚起：インシデントを予防するためのセキュリティ教育や意識向上トレーニングの実施、注意喚起

など

CSIRTと度々混同されることのある用語に、「SOC（ソック）」があります。SOCとは「Security Operation Center」の略称で、情報システムに対する脅威の監視や分析などを行う役割や専門チームのことを言います。CSIRTはインシデントが発生した際の対応に重点が置かれている組織/チームであるのに対し、SOCはインシデントの検知に重点を置いたものであるという点が両者の最大の違いです。

CSIRTについてさらに詳しくは、こちらの記事もご覧ください：

「CSIRTとは？役割やSOCとの違い、構築のプロセスについて解説」