CSIRTとは？役割・構築手順・SOCとの違いを現場視点で解説
サイバー攻撃の被害を受けた企業のニュースが後を絶たない。ランサムウェアによる業務停止、個人情報の大規模漏洩、サプライチェーンを経由した侵害――いずれも「まさか自社が」と思っていた企業で起きた現実だ。
こうした状況を背景に、「CSIRT（シーサート）を設置すべきか」と検討する経営層や情報システム担当者が増えている。しかし、CSIRTとはそもそも何をする組織なのか、SOCとどう違うのか、どう構築すればよいのか、疑問は多い。
本記事では、CSIRTの定義から役割、構築手順、運用上の実践的なポイントまで、できるだけ現場感のある形で解説する。
CSIRT（シーサート）とは
CSIRTは「Computer Security Incident Response Team」の略で、「シーサート」と読む。日本語に訳せば「コンピュータセキュリティに関するインシデント対応チーム」となる。
一言で言えば、サイバー攻撃や情報漏洩などのセキュリティ事故が発生したとき、被害の拡大を防ぎ、迅速に復旧させるための専門組織だ。
ただし、CSIRTは単に「インシデントが起きたら動く消火部隊」ではない。むしろその本質は、「インシデントはいつか必ず起きる」という前提に立ち、事前の備えから事後の再発防止まで一貫して担う組織にある。この認識の違いが、機能するCSIRTと「名ばかりCSIRT」を分ける最大の分岐点になる。
CSIRTという概念の起源
CSIRTの歴史は1988年に遡る。インターネット黎明期に「モリスワーム」と呼ばれるコンピュータウイルスが爆発的に拡散し、当時のARPANET（現インターネットの前身）に大きな被害をもたらした。この事態を受けて米国のCMU（カーネギーメロン大学）に設置されたのが、世界初のCSIRTである「CERT/CC（Computer Emergency Response Team Coordination Center）」だ。
その後、CSIRT という概念は世界中に広まり、国・業界・企業単位でさまざまな形のCSIRTが設立されてきた。日本では1996年にJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）が発足し、国内のCSIRT活動の中核を担っている。
「CERT」と「CSIRT」という表記が混在することがあるが、これは歴史的な経緯によるもので、実質的に指している概念はほぼ同一だ。「CERT」はCMUの登録商標であるため、組織によって使い分けられている。
CSIRTが求められる理由
「セキュリティ対策はファイアウォールやウイルス対策ソフトで十分では」という声は今も聞かれる。しかし、現代のサイバー脅威の実態を見ると、その認識がいかに危ういかがわかる。
「侵入されること」を前提にしなければならない時代
IPAが毎年発表している「情報セキュリティ10大脅威」では、ランサムウェアや標的型攻撃、サプライチェーンを狙った攻撃が上位に並び続けている（IPA 情報セキュリティ10大脅威 2024年版）。これらの攻撃に共通するのは、既知の対策を巧みにすり抜ける手口だ。
ゼロデイ脆弱性の悪用、フィッシングメールへの誘導、正規のリモートアクセスツールを使った侵入など、技術的なブロックだけで防ぎきることは現実的ではない。経済産業省のガイドラインでも「サイバー攻撃を完全に防ぐことは困難であり、侵害を前提とした対応体制の構築が不可欠」という考え方が明示されている。
つまり、CSIRTが必要な理由は「攻撃が増えているから」ではない。「防ぎきれない攻撃が確実に来る中で、被害を最小化するための仕組みが不可欠になったから」だ。
インシデント対応の遅延が被害を指数関数的に拡大させる
サイバー攻撃による被害額は、発見から対処までの時間に大きく左右される。例えばランサムウェア攻撃では、侵入からデータ暗号化まで数日〜数週間かけて組織内を横断的に広がることが多い。この間に誰も異常に気づかなければ、最終的な被害範囲は膨大になる。
CSIRTがある組織では、インシデントの検知・トリアージ（優先度判断）・封じ込めまでの初動対応が体系化されている。これにより、被害を局所にとどめる可能性が格段に高まる。対応手順が整備されていない組織では、「誰に報告すればいいか」「何から手をつければいいか」の確認だけで数時間を失うことも珍しくない。
CSIRTの主な役割
CSIRTの役割は、「インシデント対応」という言葉から想像されるよりも幅広い。大きく分けると、事後対応・事前対応・脆弱性管理・教育・啓発の4領域にまたがる。
1. インシデントへの事後対応（インシデントレスポンス）
インシデントが発生した際の一連の対応が、CSIRTの最も中心的な機能だ。具体的には以下のフェーズで動く。
検知・トリアージ：SIEMやEDRからのアラート、社内報告、外部からの通報などを受け取り、インシデントの有無と深刻度を判断する。誤検知も多い中で「本当に動くべき案件か」を素早く見極めるスキルが問われる。
封じ込め：被害が拡大しないよう、感染端末をネットワークから切り離したり、不正アクセスに使われたアカウントを停止したりする。スピードと判断の正確さが求められる局面だ。
根絶・復旧：マルウェアの完全除去、侵入経路の特定と遮断、システムのクリーンな状態への復元を行う。この段階で経路を完全に塞がないと、再侵害のリスクが残る。
再発防止：インシデントの詳細な記録と原因分析（フォレンジック調査）を行い、再発防止策を策定・実施する。このフェーズが「消火」ではなく「防火」につながる部分だ。
2. インシデントへの事前対応（インシデントレディネス）
多くの組織でCSIRTの事前対応への投資が不足している。しかし実際には、インシデントが起きてから慌てて動くより、起きる前に手順を整えておく方が最終的な被害を圧倒的に抑えられる。
具体的には、インシデント対応計画（IRP: Incident Response Plan）の策定、対応手順書（プレイブック）の整備、定期的な訓練（机上演習・実地演習）の実施などが含まれる。
ここで押さえておきたいのは、「訓練」の質だ。形式的に手順書を読み合わせるだけでは不十分で、実際に近いシナリオで役割分担や判断プロセスを試す演習が効果的だ。特に、経営層を巻き込んだ訓練は、有事の際の意思決定スピードに直結する。
3. 脆弱性の管理
JPCERT/CCやIPAから日々公開される脆弱性情報を収集・分析し、自社システムへの影響を評価して対処する。パッチ適用の優先度づけ、回避策の周知、システム担当部門との調整などが業務となる。
脆弱性管理は「やるべきことはわかっているが、後回しにされがちな業務」の筆頭だ。実際、多くのインシデントが「既知の脆弱性に対してパッチを当てていなかった」ことを起因としている。CSIRTが脆弱性管理の司令塔として機能することで、見落としや先送りを防ぐ仕組みが作れる。
4. セキュリティ教育・啓発活動
フィッシング詐欺のような人的要因による侵害を防ぐためには、組織全体のセキュリティリテラシーを高める取り組みが欠かせない。CSIRTは社内向けのセキュリティ研修の企画・実施、インシデント事例の共有、フィッシング模擬訓練の運用などを通じて、「人」という最大のセキュリティリスクに対処する役割も担う。
CSIRTとSOC・PSIRTの違い
CSIRTを調べると必ず出てくる用語に「SOC」と「PSIRT」がある。混同されやすいが、機能も対象も異なる。
SOCとの違い
SOC（Security Operation Center）は、ネットワークやシステムを24時間365日監視し、脅威や異常をリアルタイムで検出する組織だ。主な業務はログやアラートの監視・分析であり、「異常の検知」に特化している。
一方CSIRTは、検知された（または報告された）インシデントへの対応と、組織のセキュリティ体制全体の維持・改善が主軸だ。
両者の関係を消防に例えるとわかりやすい。SOCが「火災報知器の監視室」だとすれば、CSIRTは「消防隊」に相当する。報知器が鳴った（SOCが検知した）情報を受けて、CSIRTが現場に駆けつけ対処する、という連携関係が理想的だ。
大企業ではSOCとCSIRTを別組織として運用するケースが多い。中小企業では人員の制約からSOCとCSIRTの機能を兼務させることも現実的な選択肢となる。
PSIRTとの違い
PSIRT（Product Security Incident Response Team）は、自社が開発・提供するプロダクト（製品・サービス）に関するセキュリティ脆弱性に対処する組織だ。IoTデバイスやソフトウェアを製造・販売する企業に設置されることが多い。
CSIRTが「社内の情報システムを守る」組織であるのに対し、PSIRTは「自社製品を利用する外部ユーザーを守る」という視点を持つ点が大きく異なる。製品に脆弱性が発見された場合のパッチリリース、ユーザーへの通知、修正状況の公開などを担う。
CSIRTの種類
CSIRTは設置主体や活動範囲によっていくつかの種類に分類される。
組織内CSIRT（社内CSIRT）：企業や団体が自社の情報システムを守るために設置する形態。最も一般的なCSIRTの形で、本記事では主にこのタイプを扱う。
国家CSIRT：国単位でサイバーセキュリティ対策を担う組織。日本では内閣サイバーセキュリティセンター（NISC）やJPCERT/CCがこれに相当し、民間企業や政府機関への情報提供・調整を行う。
コーディネーションCSIRT：複数の組織間でインシデント情報を共有・調整するハブとなる組織。JPCERT/CCがその代表例だ。組織内CSIRTが単独では対応困難なインシデントについて、連携・支援を行う。
セクターCSIRT：特定の業界・分野に特化したCSIRT。金融業界のFSIRT、電力・インフラ分野のCSIRTなどがある。
各種CSIRTは日本シーサート協議会（NCA）を通じて連携しており、2024年時点で加盟組織は500を超えている。NCAへの加盟は、外部組織との情報共有ネットワークに参加するうえで有効な手段だ。
CSIRTの構築手順
「CSIRTを作ろう」と決めてから実際に機能するまでには、ある程度の準備期間と段階を踏むプロセスが必要だ。以下は一般的な構築の流れだが、組織の規模や既存のセキュリティ体制によって適宜調整してほしい。
ステップ1：プロジェクトの立ち上げと経営層の理解取得
CSIRTは、情報システム部門だけで完結するプロジェクトではない。インシデント発生時には経営判断（事業停止・情報開示・外部通報など）が不可欠なため、経営層のコミットメントが必要条件となる。
この段階では、サイバー攻撃の現状と自社のリスクを経営層に具体的に伝え、CSIRT設置の必要性を腹落ちさせることが最優先だ。「コストがかかる割に効果が見えにくい」という懸念に対しては、インシデント発生時の損失（業務停止コスト、信用失墜、法的リスクなど）と対比して示すことが有効だ。
ステップ2：社内の現状把握と課題の整理
現在の情報セキュリティ体制を棚卸しする。どのシステムが存在し、どんな脆弱性があるか。セキュリティ担当者の人数や保有スキルはどの程度か。インシデントが発生した場合の連絡体制は整っているか。
この現状把握をせずにCSIRTを構築しても、机上の空論になりやすい。既存のセキュリティ担当者や現場部門にヒアリングを行い、「実態としての課題」を洗い出すことが重要だ。
ステップ3：活動範囲と役割分担の定義
CSIRTが何をどこまで担当するかを明確にする。「インシデント対応専任」なのか「脆弱性管理も含む」のか、「社内完結型」なのか「外部委託を活用する」のか。範囲があいまいなまま動き出すと、インシデント発生時に「これはCSIRTの仕事なのか、IT部門の仕事なのか」という混乱が生じやすい。
あわせて、CSIRTと他部門（法務・広報・経営企画など）との連携フローも定義しておく。個人情報漏洩が疑われるインシデントでは、法務部門への報告と個人情報保護委員会への届出が法的に必要になる場面があり、この手順を事前に整備していないと有事に慌てることになる。
ステップ4：体制の構築とツールの整備
CSIRTの人員を決め、各役割を割り当てる。専任のCSIRTメンバーを確保できる大企業はよいが、多くの中小企業では兼務体制からのスタートになるだろう。その場合でも、インシデント発生時に誰がCSIRT長の役割を担い、誰が各機能を実行するかを明確にしておくことが最低条件だ。
ツール面では、インシデント管理システム、SIEM（Security Information and Event Management）、フォレンジックツールなどが代表例だ。ただし、ツールを揃えることよりも「ツールを使いこなせる人材と手順があるか」の方が重要であることを忘れないでほしい。
ステップ5：インシデント対応計画と手順書の整備
CSIRT構築で最も見落とされがちなのが、この手順書の整備だ。「どんなインシデントが起きたとき、誰が何をするか」を具体的なシナリオ別に落とし込んだプレイブックを作成する。
例えば「社内端末がランサムウェアに感染した可能性がある場合」のプレイブックには、最初に確認すること、ネットワーク切断のタイミングと手順、報告先と報告内容、外部専門機関への連絡可否の判断基準などを記載する。インシデント発生中は誰もが混乱するため、「考えなくても動ける手順」が書かれていることが価値だ。
ステップ6：訓練の実施とCSIRTの運用開始
書類上で整備できたら、実際に訓練を行う。最初は机上演習（シナリオを読み上げ、役割ごとに対応を議論する形式）から始め、慣れてきたら実地演習（実際の環境を使った模擬インシデント対応）へと移行するのが現実的だ。
訓練で大切なのは「うまくできたかどうか」ではなく、「手順や連携のどこに穴があったかを発見すること」だ。訓練後の振り返りを丁寧に行い、課題を手順書に反映させるサイクルを回し続けることが、CSIRTの成熟度を高める。
ステップ7：継続的な改善
CSIRTは一度作って終わりではない。脅威の動向は変化し、組織の体制も変わる。定期的にインシデント対応計画の見直しを行い、新たな脅威シナリオに対応した訓練を追加し、メンバーの教育を継続していく必要がある。
CSIRTを機能させるための実践的なポイント
構築手順を踏んでも、実際には形骸化してしまうCSIRTが少なくない。機能するCSIRTと「名ばかりCSIRT」を分けるポイントを整理する。
「何のためのCSIRTか」を組織全体で共有する
CSIRTを設置した動機が「義務感」や「他社も導入しているから」という場合、中身が伴いにくい。CSIRTが守るべき資産は何か、想定する脅威シナリオは何か、を明確にしたうえで体制を組むことが重要だ。目的が明確であれば、人員・ツール・手順の優先順位づけも自ずとできる。
権限と予算を実態に合わせて付与する
CSIRTがインシデント発生時に素早く動くためには、「ネットワーク遮断を判断する権限」「外部専門機関に依頼する予算」が事前に担保されていなければならない。権限がなく予算もないCSIRTは、いざというときに「上申して承認を待つ」状態になり、初動が致命的に遅れる。
外部との連携を日頃から整備する
組織内CSIRTが単独で対処できるインシデントは限られている。JPCERT/CCや警察のサイバー犯罪相談窓口、セキュリティベンダーのインシデント対応サービスなど、有事に頼れる外部リソースとの関係を、インシデントが起きる前に構築しておくことが重要だ。「困ってから初めて電話する」では、調整に時間がかかりすぎる。
メンバーのスキル維持・向上を継続する
サイバー攻撃の手口は日々進化する。CSIRTメンバーが最新の脅威情報に追いついていない状態では、巧妙な攻撃には対処できない。セキュリティ関連の資格取得支援（CISSP、CEH、CompTIA Security+など）や、外部のCSIRTコミュニティへの参加、CTF（Capture the Flag）など技術的なトレーニングへの投資を継続することが、チームの実力を保つ鍵となる。
CSIRTの設置状況
CSIRTの設置はどの程度進んでいるのか。JPCERTコーディネーションセンターと日本シーサート協議会（NCA）が公開するデータによれば、NCA加盟のCSIRT組織数は年々増加しており、2024年時点で500組織を超えている。
一方で、全国の企業数に占める割合で見ると、特に中小企業ではCSIRT機能を持つ組織はまだ少ない。IPAの調査でも、中小企業においてはセキュリティ担当者が不在だったり、兼務のIT担当者が片手間でセキュリティを担っていたりするケースが多いことが示されている。
大企業では、グループ全体のセキュリティガバナンスを統括する「グループCSIRT」を設置し、傘下の各社に社内CSIRTを設けるという階層型の体制を取るケースも増えている。こうした構造は、サプライチェーン全体のセキュリティ強化という観点からも注目されている。
CSIRTとゼロトラストセキュリティの関係
近年「ゼロトラスト」という考え方がセキュリティの文脈でよく語られるようになった。ゼロトラストとは、「社内ネットワーク内だからといって信頼しない」という原則のもと、すべてのアクセスを継続的に検証するアーキテクチャだ。
CSIRTとゼロトラストは別々の概念だが、相互補完的な関係にある。ゼロトラスト環境では、アクセスログや認証情報が豊富に記録される。これはCSIRTのインシデント調査において非常に有用なデータとなる。一方、ゼロトラスト導入後も「設定ミスによる権限過大」「IDの不正利用」といったインシデントは発生しうるため、CSIRTによる対応体制は引き続き必要だ。
ゼロトラストを導入するなら、それに合わせてCSIRTの対応手順やプレイブックを見直すことが望ましい。
CSIRTの外部委託という選択肢
「CSIRTを設置したいが、専任の人材を確保できない」という相談は多い。特に中小企業では現実的な悩みだ。この場合、セキュリティベンダーへの外部委託（アウトソーシング）を選ぶという選択肢がある。
外部委託型CSIRTのメリットは、専門性の高い人材を即時活用できる点と、最新の脅威情報へのアクセスが得られる点だ。一方、自社の内部事情を外部に共有することになるため、委託先の信頼性の確認と、契約上の機密保持条項の整備は必須だ。
また、外部委託に依存しすぎると、いざというときに社内に意思決定できる人間がいないという事態に陥りやすい。理想的には、外部委託を使いながらも、社内の担当者がCSIRTの仕組みと対応フローを理解している状態を維持することが重要だ。外部委託は「完全な代替」ではなく「社内機能の補強」として位置づけるべきだろう。
CSIRTを構築・強化したい場合は
ここまで読んで「CSIRTの必要性はわかった、でも何から手をつければいいかわからない」と感じている方は多いのではないか。
CSIRTの構築は、セキュリティポリシーの整備、組織設計、技術的な体制構築、人材育成と多岐にわたるため、単独で進めることに難しさを感じる場面も出てくる。現状のセキュリティ体制の診断から、CSIRTの設計・構築・運用支援まで専門家と一緒に進めることで、方向性を誤らずに確実に前進できる。
セキュリティの専門家への相談や支援サービスの活用も視野に入れながら、自社に合った形でCSIRT機能を育てていくことを推奨したい。
まとめ
CSIRTとは、セキュリティインシデントへの対応を担う組織であり、「攻撃を完全に防ぐ」という幻想を捨て、「起きたときに最小の被害で切り抜ける」体制を整えるための仕組みだ。
本記事で押さえておきたいポイントを振り返ると、以下のとおりだ。
CSIRTはインシデント対応だけでなく、事前の備え・脆弱性管理・教育まで幅広く担う
SOCは「監視・検知」の組織、CSIRTは「対応・改善」の組織であり、互いに補完し合う
構築は「経営層の理解取得」から始まり、手順書の整備と訓練の実施が実効性を左右する
「名ばかりCSIRT」にならないためには、権限・予算・外部連携の三点セットが必要
中小企業では外部委託を活用しつつ、社内に理解者を育てることが現実的な戦略
サイバー攻撃を受けてから体制を整えることは、火事の後に防火訓練を受けるようなものだ。CSIRTの構築は、コストではなく事業継続への投資として考えてほしい。
