CSIRT
コンピュータセキュリティ上の事故やその疑いについて、報告の受付、調査、対応の調整を行うチームや機能。技術担当だけでなく関係部署や外部組織と協力し、被害の拡大を抑えて復旧や事故の繰返しを防ぐ活動につなげる。
イマシルちゃんの解説
学校で水漏れが起きたとき、連絡を受ける人が決まっていると助かるよね。
現場を確かめ、危ない場所を使わないようにして、修理する人にも来てもらうんだ。
一人で全部を直すのではなく、誰が何をするかをそろえる。
落ち着いた後に、同じことを繰り返さないための見直しもするんだよ。
より深い解説
事故対応を進める役割
CSIRTは特定の一つの世界組織の名称ではない。企業、大学、政府機関などに置かれ、対象組織や利用者のために活動する。専任部署の形だけでなく、複数部署の担当者が連携する形もある。
対応範囲、連絡先、判断できる権限をあらかじめ定めることが重要である。報告を受けても、サービス停止を誰が承認するか分からなければ、必要な措置が遅れる。
主な活動
| 段階 | 活動 |
|---|---|
| 平時 | 対応手順、連絡網、訓練を準備する |
| 受付 | 通報や監視情報から状況を把握する |
| トリアージ | 影響や緊急性から対応の優先順位を決める |
| 初動 | 端末隔離などで被害の拡大を防ぐ |
| 調査 | ログなどの証拠を保全し、原因と範囲を調べる |
| 復旧 | 原因への対処後、業務を安全に再開する |
| 振り返り | 手順や設定を見直し、再発防止につなげる |
これらは常に一方向に進むとは限らない。調査で別の被害が分かれば、封じ込めの範囲や優先度を変更する。
技術以外の担当者との協力
| 相手 | 主な連携事項 |
|---|---|
| システム運用担当 | 停止、隔離、設定変更、復旧 |
| 経営層・業務部門 | 業務への影響と対応の承認 |
| 法務・広報 | 通知内容や公表方針の検討 |
| 他組織の対応窓口 | 関連する事象の情報共有と調整 |
技術的に停止が望ましくても、業務影響が大きい場合がある。判断材料と記録を残し、決めた権限に従って行動する。外部へ共有する情報の範囲も管理する。
ほかの組織との違い
SOCとCSIRTの分担は組織によって異なり、一部を同じ担当者が担う場合もある。名称だけで実際の担当範囲を決め付けない。
JPCERT/CCは、日本の窓口となるCSIRTとして国内外の組織との協力を進める。自組織内で解決できない事象でも、適切な窓口を通じた連携によって調査や被害抑制を進められる。