サイバー攻撃や情報漏えいへの備えとして、「CSIRT（シーサート）」という言葉を目にする機会が増えています。
しかし、中小企業の経営者や担当者からすると、
「大企業にあるセキュリティ専門部署のことでは？」
「専任のセキュリティ担当者がいない会社には関係ないのでは？」
「そもそもSOCや情報システム部門とは何が違うの？」
と感じることも多いのではないでしょうか。
CSIRTは、簡単に言えば、サイバー攻撃や情報漏えいなどが発生したときに、会社としての対応を取りまとめる“司令塔”となる体制です。
重要なのは、必ずしも「CSIRT部」という専門部署を新しく作ることではありません。中小企業であれば、経営者、総務・管理部門、IT担当者、外部の保守会社やセキュリティ会社などが役割を分担し、必要なときに連携できる体制を決めておくことから始められます。
以前のコラム「インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと」では、端末の隔離や外部への報告、復旧など、事故が発生した際の具体的な対応について解説しました。
（参考）インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと
今回は、そのインシデント対応を実際に動かすための「体制」に焦点を当て、CSIRTとは何か、中小企業にも必要なのか、どのように作ればよいのかを分かりやすく解説します。
CSIRTとは、Computer Security Incident Response Teamの略で、「シーサート」と読みます。
企業や組織でセキュリティインシデントが発生した際に、状況を整理し、関係者を集め、対応方針を決め、被害の封じ込めや復旧、社内外への連絡などを調整する役割を持つチームや体制です。
NIST（米国国立標準技術研究所）では、インシデント対応に関わる役割として、経営層、インシデント対応担当者、IT技術者、法務、広報など、さまざまな関係者が挙げられています。
つまりCSIRTは、「セキュリティに詳しい技術者だけを集めたチーム」と考えるよりも、
「何か起きたときに、会社として必要な人を集めて対応を動かす仕組み」
と考えると分かりやすいでしょう。
たとえばランサムウェア感染が発生した場合、技術担当者だけでは対応を完結できません。
端末やネットワークをどう隔離するかはIT・セキュリティ担当者が考えますが、重要なシステムを停止するかどうかは経営判断が必要になることがあります。
顧客情報が漏えいした可能性があれば、法務や個人情報の管理担当者が関係します。取引先への連絡が必要であれば、営業担当や経営者も関わります。
こうした複数の関係者をつなぎ、会社として一つの対応にまとめていくのがCSIRTの重要な役割です。
「インシデント対応チーム（Incident Response Team）」という名前から、CSIRTは事故が発生したときだけ招集される組織と思われがちです。
しかし、実際には平時の準備もCSIRTの重要な仕事です。
平時には、どのような事象をインシデントとして扱うのか、従業員が異常を発見したとき誰に報告するのか、重大な事故の場合は誰まで連絡するのか、外部のどの会社へ相談するのか、といったルールを整えておきます。
また、インシデント対応手順の確認、連絡先の更新、セキュリティ情報の収集、システムの脆弱性管理、社内教育、訓練なども重要です。
一方、実際に事故が発生したときには、状況を確認し、深刻度を判断して、必要な関係者を招集します。そのうえで、技術担当者や外部専門会社と連携しながら、封じ込め、原因調査、復旧、社内外への報告などを進めます。
そして、事故が収束した後には、「なぜ発生したのか」「対応で困ったことはなかったか」「次回はどう改善するか」を振り返ります。
IPAも、インシデントに対応するための体制（CSIRT等）について、初動対応や再発防止だけでなく、平時から役割や体制を整え、実践的な演習を行うことの重要性を示しています。
CSIRTは、単なる「事故処理班」ではなく、会社がインシデントに備え、対応し、その経験を次の対策につなげるための仕組みなのです。
CSIRTと混同されやすいものに「SOC（Security Operation Center）」があります。
両者は関係が深いものの、役割は異なります。
| SOC | CSIRT | |
| 主な役割 | セキュリティ監視・検知 | インシデント対応の統括・調整 |
| 平時 | ログや通信、端末などを監視 | 体制・手順・連絡先の整備、訓練 |
| 異常発生時 | 異常を検知・分析して通知 | 状況を判断し、関係者を動かす |
| イメージ | 「異常を見つける」 | 「見つかった異常に会社として対応する」 |
たとえばSOCが、「あるパソコンから不審な通信が発生している」と検知したとします。
その情報を受けて、端末を隔離するのか、他の端末まで調査するのか、経営者へ報告するのか、取引先へ連絡する必要があるのか、といった対応を調整するのがCSIRTです。
IPAの資料でも、「SOCが不正な通信を検知し、CSIRTへ報告し、CSIRTが封じ込め策を指示する」という流れが例示されています。
つまり、SOCとCSIRTは競合するものではありません。
SOCが“目や耳”だとすれば、CSIRTは“頭と司令塔”と考えると理解しやすいでしょう。
（参考）：SOCとは？中小企業に監視体制は必要か｜SIEM・MDRとの違いも解説
ここで気になるのが、「中小企業にも本当にCSIRTが必要なのか」という点です。
結論から言えば、CSIRTという名前の専門部署を設置する必要はなくても、CSIRTが担う“機能”は中小企業にも必要です。
むしろ、専任のIT担当者やセキュリティ担当者が少ない会社ほど、「何かあったら○○さんが何とかしてくれる」という属人的な状態になりやすいため、役割を決めておくことが重要です。
IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」でも、インシデントの対象範囲や判定基準を定めること、対応手順や役割分担、報告事項、連絡体制を定めることなどが求められています。
また、サイバーセキュリティの管理体制について、必ずしも専任部署だけを前提としているわけではなく、既存の担当者が兼任して役割を持つ体制も紹介されています。
たとえば従業員20人の会社が、5人のセキュリティ専門家を採用してCSIRTを設置する必要はありません。
それよりも、
「異常を見つけたら総務担当者へ連絡する」
「総務担当者は社長とIT担当者へ連絡する」
「技術的な調査は契約しているセキュリティ会社へ依頼する」
「顧客や取引先への連絡は社長または営業責任者が判断する」
といった役割が決まっている方が、実際の事故では役に立ちます。
中小企業でCSIRTの体制を考える場合、最初から大規模な組織図を作る必要はありません。
最低限、次のような役割を整理すると分かりやすくなります。
| ① 統括・最終判断 |
| 経営者や情報セキュリティ責任者が担当します。重大なシステム停止、外部への公表、事業継続に関わる判断などを行います。 |
| ② 社内の受付・連絡調整 |
| 総務、管理部門、情報セキュリティ担当者などが担当します。従業員からの報告を受け、必要な関係者へ情報を伝えます。 |
| ③ 技術対応 |
| 社内IT担当者やシステム管理者が担当します。ただし、フォレンジック調査や高度なマルウェア解析など、自社で対応できない部分は外部のセキュリティ会社へ依頼します。 |
| ④ 対外対応 |
| 顧客、取引先、行政機関、保険会社などへの連絡を担当します。企業規模によっては、経営者や総務担当者が兼任しても構いません。 |
たとえば、
「社長＋管理担当者＋IT担当者＋外部セキュリティ会社」
という構成でも、十分にCSIRTの機能を持たせることは可能です。
NISTの現在のインシデント対応ガイドでも、インシデント対応担当者について、社内要員だけでなく、契約先のSOC・セキュリティ会社や、必要なときに利用できる外部の専門家などを組み合わせる考え方が示されています。
大切なのは、すべてを自社だけで抱え込むことではありません。
「自社で判断すること」と「専門家に任せること」を平時から分けておくことが、中小企業のCSIRTでは特に重要です。
CSIRTの体制づくりは、組織名を決めるところから始める必要はありません。
まず、「もし明日インシデントが発生したら誰が動くのか」を書き出してみましょう。
最初のステップとしては、次の5つを決めるとよいでしょう。
|
1. 社内のインシデント受付窓口を決める |
たとえば、
「社員のパソコンに突然ランサムウェアの画面が表示された」
というケースを想定し、
「最初に誰へ電話する？」
「社長が不在だったら誰が判断する？」
「保守会社の電話番号は分かる？」
「夜間や休日だったらどうする？」
と確認するだけでも、体制の不足が見えてきます。
立派なマニュアルがあっても、担当者しか内容を知らなかったり、退職した担当者の電話番号が残っていたりしては意味がありません。
CSIRTの実効性を高めるには、手順書を作ること以上に、実際に連絡でき、判断でき、動ける状態を維持することが重要です。
中小企業で特に注意したいのが、セキュリティ対応の属人化です。
「パソコンに詳しい○○さん」
「システムを導入したときから担当している○○さん」
だけが、システム構成や管理者アカウント、外部業者の連絡先を知っている状態では、その人が休暇中や退職後に事故が起きると、対応そのものが止まってしまいます。
IPAも、CSIRT業務の課題の一つとして属人化を挙げ、インシデントや脅威に関する情報を共有・蓄積しておくことの重要性を示しています。
そのため、最低限、
「誰が担当者なのか」
「担当者が不在の場合は誰が代わるのか」
「外部専門会社の連絡先はどこにあるのか」
「これまでどのような事故や対応があったのか」
を会社として残しておく必要があります。
CSIRTの目的は、特定の人に負担を集中させることではありません。
誰か一人がいなくても、会社として対応できる状態を作ることも、CSIRTを整備する大きな意味の一つです。
インシデント対応体制の整備は、実際に事故が発生したときだけの問題ではありません。
近年は、取引先からのセキュリティチェックシートなどで、
「インシデント発生時の責任者は決まっていますか」
「緊急連絡体制は整備されていますか」
「対応手順書がありますか」
「定期的に訓練を実施していますか」
といった確認を受けることもあります。
また、サプライチェーンセキュリティ対策を考えるうえでも、インシデント発生時の体制整備は重要な項目の一つです。
つまりCSIRTを整えることは、単に「事故が起きたときのため」だけではありません。
取引先に対して、自社がどのようにセキュリティリスクを管理しているのかを説明できる体制を作ることにもつながります。
（参考）：SCS評価制度とは？サプライチェーンセキュリティ対策を中小企業向けに解説
（参考）：大手取引先のセキュリティチェックシートにどう対応する？中小企業が進めるべき改善の考え方
CSIRTという言葉を聞くと、大企業のセキュリティ専門部署を想像するかもしれません。
しかし、中小企業に必要なのは、大人数の専門チームを作ることではありません。
重要なのは、
「異常が起きたら誰に連絡するのか」
「誰が会社として判断するのか」
「技術的な対応は誰が行うのか」
「自社でできないことを誰に相談するのか」
を平時から決めておくことです。
インシデントが発生してから、社長、総務担当者、IT担当者、保守会社、セキュリティ会社が初めて顔を合わせるようでは、対応に時間がかかります。
反対に、少人数の会社であっても、役割、連絡先、判断ルートが整理されていれば、インシデント発生時の混乱を大きく減らすことができます。
CSIRTは「専門部署の名称」ではなく、会社がサイバー事故に組織として対応するための機能と考えてみてください。
まずは自社で、
「今、サイバー事故が起きたら誰が司令塔になるのか？」
を確認するところから始めてみるとよいでしょう。
（参考）：インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと
体制構築の進め方に不安がある場合や、自社に最適なセキュリティツール、インシデント対応の専門的サポートをお探しの場合は、ぜひ一度セキュリティの専門家にご相談ください。LYSTでは、中小企業の実情に寄り添った最適なセキュリティ体制づくりをご支援しております。