CSIRTの活動はどれ？インシデント対応との関係を整理
ITパスポート試験 令和7年度 問68 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
CSIRTとして行う活動の例として，最も適切なものはどれか。
- ア
OSやアプリケーションソフトウェアのセキュリティパッチを定期的に適用する。
- イ
地震や洪水などの自然災害を想定し，情報資産を守るために全社的な事業継続計画を策定する。
- ウ
セキュリティ事故の発生時に影響範囲を調査して，被害拡大を防止するための対策実施を支援する。
- エ
保守業者がサーバ室で作業した日に，作業員の入退出が適切に記録されていたことを監査する。
会話形式の解説
講師今回はCSIRTという組織の役割を問う問題です。略語の中身、特に後半の「Incident Response」に注目すると判断しやすくなります。
受験者CSIRTはセキュリティ関係のチームだと覚えています。ただ、選択肢はどれもセキュリティや安全に関わる話なので、全部当てはまりそうに見えて迷いました。
講師そこが迷いやすいところです。CSIRTはComputer Security Incident Response Teamの略で、インシデント、つまりセキュリティ事故に対応する専門チームです。中心になるのは、事故が起きた後の対応です。
受験者事故が起きた後なら、セキュリティ事故の発生時に影響範囲を調べて、被害拡大を防ぐ対策を支援するという選択肢がそのまま当てはまりますね。
講師そのとおりです。原因や影響範囲の調査、被害拡大の防止、封じ込め、復旧の支援は、どれもインシデント対応そのものです。これが正解です。
受験者セキュリティパッチを定期的に適用するのも、セキュリティを守る作業です。これもCSIRTの仕事にはならないのでしょうか。
講師パッチ適用はシステム部門やIT運用部門が日常的に行う運用業務です。事故を未然に防ぐための予防策なので、事故が起きた後に対応するというCSIRTの主な役割とは異なります。
受験者自然災害を想定した全社的な事業継続計画、BCPの策定はどうですか。情報資産を守るとも書いてありました。
講師BCPの策定は、経営層や経営企画部門、危機管理部門などが担う仕事です。CSIRTが対象とするのはコンピュータセキュリティのインシデントなので、地震や洪水に備えた全社計画は当てはまりません。
受験者残りの、保守作業員の入退室記録が適切に残っていたかを監査するという選択肢は、事故対応ではなく確認作業に見えます。
講師よく見分けられています。これは内部監査部門や情報セキュリティ監査人の業務です。管理の仕組みが正しく機能しているかを評価する活動であり、インシデントへの対応ではありません。
受験者整理すると、予防の運用はIT運用部門、災害への備えは経営層や危機管理部門、監査は監査部門で、事故が起きたときの対応がCSIRTということですね。
講師はい。補足すると、CSIRTは脆弱性情報の収集や注意喚起、教育・啓発を行うこともありますが、最も典型的な活動は事故が起きたときの対応です。日本では国レベルのCSIRTとしてJPCERT/CCが活動しています。また、日常的な監視やログ分析はSOCが担うことが多いので、CSIRTと混同しないように注意してください。
まとめ
CSIRTはComputer Security Incident Response Teamの略で、セキュリティインシデントに対応する専門チームです。中心となる活動は、事故発生時の原因や影響範囲の調査と、被害拡大の防止・封じ込め・復旧の支援です。パッチ適用などの予防的な運用はIT運用部門、BCPの策定は経営層や危機管理部門、入退室記録の監査は内部監査部門や監査人の役割で、CSIRTとは区別されます。日常的な監視やログ分析を担うことが多いSOCとも混同しないようにしましょう。
解答・解説
正解はウです
この問題のテーマ
CSIRTがどのような役割を持つ組織なのかを理解し、その活動として当てはまるものを選べるかを問う問題です。
解き方の考え方
まず、CSIRTの正式名称であるComputer Security Incident Response Teamの「Incident Response（インシデント対応）」に注目します。CSIRTの中心となる役割は、セキュリティ事故が起きた後の対応です。そこで、各選択肢が「事故発生時の対応」なのか、それとも「予防のための運用」「災害への備え」「監査」なのかを見分けます。事後対応にあたるのはウだけなので、ウが正解になります。
選択肢ごとの解説
- ×ア OSやアプリケーションソフトウェアのセキュリティパッチを定期的に適用する。アのセキュリティパッチを定期的に適用する作業は、システム部門やIT運用部門が日常的に行う運用業務です。パッチ適用はインシデントを未然に防ぐための予防策で、事故が起きた後に対応するというCSIRTの主な役割とは異なります。
- ×イ 地震や洪水などの自然災害を想定し，情報資産を守るために全社的な事業継続計画を策定する。イの自然災害を想定した全社的な事業継続計画（BCP）の策定は、経営層や経営企画部門、危機管理部門などが担う仕事です。CSIRTが対象とするのはコンピュータセキュリティのインシデントなので、この活動には当たりません。
- ○ウ セキュリティ事故の発生時に影響範囲を調査して，被害拡大を防止するための対策実施を支援する。ウのセキュリティ事故が起きたときに影響範囲を調べ、被害が広がらないように対策の実施を支援する活動は、CSIRTの典型的で中心的な業務です。原因や影響範囲の調査、被害拡大の防止、封じ込め、復旧の支援は、どれもインシデント対応そのものにあたります。
- ×エ 保守業者がサーバ室で作業した日に，作業員の入退出が適切に記録されていたことを監査する。エの作業員の入退室記録が適切に残されていたかを監査する作業は、内部監査部門や情報セキュリティ監査人の業務です。これは管理の仕組みが正しく機能しているかを評価する活動であり、インシデントへの対応ではありません。
補足
CSIRTはインシデント対応のほかに、脆弱性情報の収集や注意喚起、教育・啓発を行うこともあります。ただし試験では「事故が起きたときの対応」が最も典型的な活動として問われます。日本では、国レベルのCSIRTとしてJPCERT/CCが活動しています。また、日常的な監視やログ分析はSOCが担うことが多いため、CSIRTと混同しないように注意しましょう。
POINT
- CSIRTはComputer Security Incident Response Teamの略で、セキュリティインシデントに対応する専門チームです。
- CSIRTの中心的な活動は、事故発生時の原因・影響範囲の調査と、被害拡大の防止・封じ込め・復旧の支援です。
- パッチ適用などの予防的な運用はIT運用部門が、BCPの策定は経営層や危機管理部門が担います。
- 入退室記録などの監査は内部監査部門や監査人の役割であり、CSIRTの役割とは区別されます。