CSIRTガイドの6分類で、コーディネーションセンターの役割を見分ける
情報セキュリティマネジメント試験 平成31年度春期 午前 問2 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JPCERT/CC “CSIRTガイド（2015年11月26日）”では、CSIRTを活動とサービス対象によって六つに分類しており、その一つにコーディネーションセンターがある。コーディネーションセンターの活動とサービス対象の組合せとして、適切なものはどれか。
- ア
活動：インシデント対応の中で，CSIRT間の情報連携，調整を行う。／サービス対象：他のCSIRT
- イ
活動：インシデントの傾向分析やマルウェアの解析，攻撃の痕跡の分析を行い，必要に応じて注意を喚起する。／サービス対象：関係組織，国又は地域
- ウ
活動：自社製品の脆弱性に対応し，パッチ作成や注意喚起を行う。／サービス対象：自社製品の利用者
- エ
活動：組織内CSIRTの機能の一部又は全部をサービスプロバイダとして、有償で請け負う。／サービス対象：顧客
会話形式の解説
講師今回は、JPCERT/CCの「CSIRTガイド」にあるCSIRTの分類がテーマです。CSIRTは、インシデント（セキュリティ上の事故や事件）に対応する専門チームのことです。ガイドでは「何をするか」という活動と、「誰のためにするか」というサービス対象の二つの観点で、CSIRTを6種類に分けています。その中のコーディネーションセンターに当てはまる組合せを選ぶ問題です。
受験者コーディネーションは「調整」という意味なので、CSIRT同士の情報連携や調整を行い、サービス対象を他のCSIRTとする組合せかなと思いました。ただ、ほかの選択肢もそれらしく見えて、自信はありません。
講師その考え方で合っています。コーディネーションセンターは、インシデント対応の中で協力関係にあるCSIRT同士の間に立ち、情報を橋渡しして対応がスムーズに進むよう調整する役割です。調整する相手がCSIRTなので、サービス対象も一般の利用者や顧客ではなく、他のCSIRTになります。
受験者傾向分析やマルウェアの解析をして注意を呼びかける選択肢も、いろいろな組織に情報を届けるので、調整役に近い気がしました。
講師迷いやすいところですね。その選択肢は、インシデントの傾向分析やマルウェア解析、攻撃の痕跡の分析が活動の中心です。これは分析センターの説明です。必要に応じて注意を呼びかけることはあっても、CSIRT同士の連携を取り持つことが本来の仕事ではありません。
受験者自社製品の脆弱性に対応して、パッチ作成や注意喚起をする選択肢はどうでしょうか。PSIRTという言葉を聞いたことがあります。
講師よく覚えていますね。それはベンダーチームの説明で、一般にPSIRTとも呼ばれます。製品の脆弱性、つまりセキュリティ上の弱点に対応するチームなので、サービス対象は自社製品の利用者です。
受験者残りの、組織内CSIRTの機能を有償で請け負って顧客にサービスする選択肢は、外部委託先のようなものだと考えてよいですか。
講師はい。それはインシデントレスポンスプロバイダです。組織内CSIRTの機能の一部または全部をサービスとして有償で引き受けるので、サービス対象は顧客になります。セキュリティベンダーやSOCなどがこれにあたります。
受験者まとめると、他のCSIRT向けに連携・調整をするのがコーディネーションセンター、分析と注意喚起が分析センター、自社製品の利用者向けがベンダーチーム、顧客向けの有償サービスがインシデントレスポンスプロバイダ、ということですね。
講師そのとおりです。補足すると、6分類は組織内CSIRT、国際連携CSIRT、コーディネーションセンター、分析センター、ベンダーチーム、インシデントレスポンスプロバイダです。国を代表してインシデント対応の連絡窓口となる国際連携CSIRTも外部とのやりとりを担うので、あわせて区別しておくと安心です。見分けるときは、他のCSIRT、自社製品の利用者、顧客といったサービス対象の欄に注目すると判断しやすくなります。
まとめ
JPCERT/CCの「CSIRTガイド」は、CSIRTを活動とサービス対象の二つの観点で6種類に分類しています。コーディネーションセンターは、インシデント対応の中でCSIRT間の情報連携と調整を行い、サービス対象は他のCSIRTです。傾向分析やマルウェア解析をして注意を喚起するのは分析センター、自社製品の脆弱性に対応するのはベンダーチーム（PSIRT）、CSIRT機能を有償で請け負うのはインシデントレスポンスプロバイダです。サービス対象に注目すると、それぞれの分類を見分けやすくなります。
解答・解説
正解はアです
この問題のテーマ
JPCERT/CC「CSIRTガイド」が示すCSIRTの6分類のうち、コーディネーションセンターがどのような活動を、誰に向けて行うのかを問う問題です。
解き方の考え方
CSIRTガイドでは、CSIRTを「何をするか（活動）」と「誰のためにするか（サービス対象）」の2つの観点で分類しています。コーディネーションセンターは、その名のとおり「調整役」です。インシデント対応の中でCSIRT同士をつなぐ役割だと分かれば、サービス対象は一般の利用者や顧客ではなく他のCSIRTになると見当がつきます。ほかの選択肢がどの分類の説明なのかも合わせて確かめておくと、類題にも対応できます。
選択肢ごとの解説
- ○ア 活動：インシデント対応の中で，CSIRT間の情報連携，調整を行う。／サービス対象：他のCSIRTCSIRT間の情報連携と調整を行い、サービス対象を他のCSIRTとするこの組合せは、コーディネーションセンターの定義に合っています。協力関係にあるCSIRT同士の間に立ち、インシデント対応がスムーズに進むよう橋渡しをするのが役割です。
- ×イ 活動：インシデントの傾向分析やマルウェアの解析，攻撃の痕跡の分析を行い，必要に応じて注意を喚起する。／サービス対象：関係組織，国又は地域インシデントの傾向分析、マルウェア解析、攻撃の痕跡分析を行い、必要に応じて注意を喚起するのは分析センターの活動です。分析が中心であり、CSIRT同士の連携を調整するコーディネーションセンターの役割とは異なります。
- ×ウ 活動：自社製品の脆弱性に対応し，パッチ作成や注意喚起を行う。／サービス対象：自社製品の利用者自社製品の脆弱性に対応してパッチ作成や注意喚起を行い、自社製品の利用者を対象とするのはベンダーチームです。製品の脆弱性に対応するチームなので、一般にPSIRTとも呼ばれます。
- ×エ 活動：組織内CSIRTの機能の一部又は全部をサービスプロバイダとして、有償で請け負う。／サービス対象：顧客組織内CSIRTの機能の一部または全部を有償で請け負い、顧客にサービスを提供するのはインシデントレスポンスプロバイダです。セキュリティベンダーやSOCなどがこれにあたります。
補足
6分類は、組織内CSIRT、国際連携CSIRT、コーディネーションセンター、分析センター、ベンダーチーム、インシデントレスポンスプロバイダです。国を代表してインシデント対応の連絡窓口となる国際連携CSIRTも「つなぐ」役割を持つため、コーディネーションセンターと混同しやすいので注意してください。見分けるときは、サービス対象の欄（他のCSIRT、自社製品の利用者、顧客など）に注目すると判断しやすくなります。
POINT
- CSIRTガイドは、CSIRTを活動とサービス対象の2つの観点で6種類に分類しています。
- コーディネーションセンターは、インシデント対応の中でCSIRT間の情報連携と調整を行い、サービス対象は他のCSIRTです。
- 傾向分析やマルウェア解析を行い、必要に応じて注意を喚起するのは分析センターです。
- 自社製品の脆弱性に対応するのはベンダーチーム（PSIRT）で、サービス対象は自社製品の利用者です。
- CSIRT機能を有償で請け負うのはインシデントレスポンスプロバイダで、サービス対象は顧客です。