CSIRTとSOC・PSIRT・J-CRATの見分け方
基本情報技術者試験 令和8年度 問10 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティに関する専門組織の説明のうち，CSIRTの説明として，最も適切なものはどれか。
- ア
自社が顧客に提供する製品又はサービスの脆弱性に起因するリスクに対応する組織
- イ
セキュリティインシデント検知のために，システム監視，ログ分析などのセキュリティ運用を担う組織
- ウ
発生したセキュリティインシデントに対し，インシデント対応を行う組織
- エ
標的型サイバー攻撃特別相談窓口をもち，相談をもち込んだ組織の被害の低減と攻撃の連鎖の遮断を支援する組織
会話形式の解説
講師今回は、情報セキュリティの専門組織のなかからCSIRTの説明を選ぶ問題です。選択肢はどれも実在する組織の説明なので、何を対象に、どの段階で動く組織なのかに注目して見分けていきましょう。
受験者CSIRTはインシデントに関係する組織だったと思います。ただ、監視やログ分析でインシデントを検知する組織という説明もCSIRTに見えてしまって、迷いました。
講師そこがいちばん迷いやすいところです。監視やログ分析で攻撃や異常を見つける運用組織はSOCといいます。SOCの主な役割は検知です。検知したあとの対応を担うのがCSIRTで、役割が分かれています。
受験者検知までがSOCで、そのあとがCSIRTなのですね。では、発生したインシデントに対応する組織という説明が正解でしょうか。
講師そのとおりです。CSIRTはComputer Security Incident Response Teamの略で、名称のとおりインシデントへの対応（Response）を担います。対応の範囲は、調査、被害の封じ込め、復旧、再発防止に及びます。
受験者自社が顧客に提供する製品やサービスの脆弱性に対応する組織という説明もありました。脆弱性への対応も、インシデント対応と似ている気がします。
講師それはPSIRTの説明です。PSIRTは自社製品の脆弱性を対象に、脆弱性情報の収集、修正、利用者への告知などを行います。自社が受けたインシデント全般に対応するCSIRTとは、対象が違います。
受験者CSIRTとPSIRTは一文字しか違わないので、混ざりやすいです。
講師頭文字に注目すると区別しやすいです。CはComputer Security、PはProduct Securityです。Pなら自社製品の脆弱性が対象だと判断できます。
受験者最後の、標的型サイバー攻撃の特別相談窓口をもつ組織はどうでしょうか。相談を受けて被害の低減を支援するなら、これもインシデント対応に近いと思いました。
講師それはJ-CRAT、別名サイバーレスキュー隊の説明です。IPAが運営していて、相談してきた組織を支援し、被害の低減や攻撃の連鎖の遮断を手助けします。発生したインシデントへの対応そのものを担うCSIRTとは、位置付けが異なります。
受験者整理すると、自社製品の脆弱性ならPSIRT、監視による検知ならSOC、標的型攻撃の相談窓口ならJ-CRAT、発生したインシデントへの対応ならCSIRTですね。
講師よく整理できています。試験では、SOCとCSIRTのようにどちらもインシデントにかかわる組織が並べられることがよくあります。「検知」か「対応」かという段階の言葉を手がかりにすると、落ち着いて選べます。
まとめ
CSIRTは、発生したセキュリティインシデントへの対応（調査、封じ込め、復旧、再発防止）を担う組織です。システム監視やログ分析で攻撃や異常を検知するのはSOCで、検知まではSOC、検知後の対応はCSIRTと段階で区別できます。自社が提供する製品やサービスの脆弱性に対応するのはPSIRTで、頭文字のC（Computer Security）とP（Product Security）で対象を見分けます。標的型サイバー攻撃の相談窓口をもち、相談してきた組織を支援するのは、IPAが運営するJ-CRATです。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティにかかわる専門組織のうち、CSIRTの役割を、PSIRT・SOC・J-CRATと区別して選べるかを問う問題です。
解き方の考え方
各選択肢がどの組織の説明なのかを順に当てはめていきます。手がかりになるのは、組織が何を対象に、どの段階で動くかです。「自社製品の脆弱性」ならPSIRT、「監視・ログ分析による検知」ならSOC、「標的型攻撃の相談窓口」ならJ-CRAT、「発生したインシデントへの対応」ならCSIRTと整理すると、正解が一つに絞れます。
選択肢ごとの解説
- ×ア 自社が顧客に提供する製品又はサービスの脆弱性に起因するリスクに対応する組織アの、自社が顧客に提供する製品やサービスの脆弱性に起因するリスクに対応する組織は、PSIRTの説明です。PSIRTは自社製品の脆弱性情報を集め、修正して利用者に知らせる役割を担います。自社が受けたインシデント全般に対応するCSIRTとは、対象が異なります。
- ×イ セキュリティインシデント検知のために，システム監視，ログ分析などのセキュリティ運用を担う組織イの、システム監視やログ分析でインシデントを検知する運用組織は、SOCの説明です。SOCの主な役割は攻撃や異常の監視・検知です。検知したあとの対応を担うCSIRTとは役割が分かれています。
- ○ウ 発生したセキュリティインシデントに対し，インシデント対応を行う組織ウの、発生したセキュリティインシデントに対応する組織という説明が、CSIRT（Computer Security Incident Response Team）に当てはまります。名称のとおり、インシデントへの対応（Response）を担います。対応の範囲は、調査、被害の封じ込め、復旧、再発防止に及びます。
- ×エ 標的型サイバー攻撃特別相談窓口をもち，相談をもち込んだ組織の被害の低減と攻撃の連鎖の遮断を支援する組織エの、標的型サイバー攻撃特別相談窓口をもち、被害の低減と攻撃の連鎖の遮断を支援する組織は、J-CRATの説明です。J-CRAT（サイバーレスキュー隊）はIPAが運営しており、相談してきた組織を外から支援します。各組織の内部でインシデントに対応するCSIRTとは位置付けが異なります。
補足
特にSOCとCSIRTはどちらもインシデントにかかわるため、混同しやすい組み合わせです。「検知」までがSOC、「検知後の対応」がCSIRTと、段階で区別すると覚えやすくなります。また、CSIRTとPSIRTは名称が1文字違いです。頭文字のC（Computer Security）とP（Product Security）を見て、対象が自社のインシデント全般か、自社製品の脆弱性かを判断しましょう。
POINT
- CSIRTは、発生したセキュリティインシデントへの対応（調査・封じ込め・復旧・再発防止）を担う組織です。
- PSIRTは、自社が提供する製品やサービスの脆弱性に対応する組織です。
- SOCは、システム監視やログ分析によって攻撃や異常を検知する運用組織です。
- J-CRATは、IPAが運営する標的型サイバー攻撃の相談・支援窓口です。