基本情報技術者 2026年 科目A 問10

インシデント対応組織【午前解説】

正解の理由

解法ステップ

1. 記述のキーワードに注目する（例：「インシデント対応」「検知」「脆弱性」「相談窓口」など）。
2. 各キーワードがどの専門組織の典型的な役割を示すかを思い出す（SOC、CSIRT、PSIRT、国や地域のCERTなど）。
3. 「発生したインシデントに対し対応を行う」はCSIRTの代表的な説明であることから該当を決定する。

選択肢別の誤答解説

• ア: 自社が顧客に提供する製品やサービスの脆弱性に起因するリスクへの対応を指す記述は、PSIRT（Product Security Incident Response Team）や製品セキュリティ部門の説明に近いです。したがってCSIRTとは役割が異なります。
• イ: システム監視やログ分析などの継続的な検知・監視を担うのは一般にSOC（Security Operations Center）です。SOCは検知と一次対応（アラートのトリアージ）に強みがあり、必ずしもインシデント全体の調整・復旧を行うとは限りません。
• ウ: 発生したセキュリティインシデントに対して対応を行う組織、つまりCSIRTの説明に一致します。インシデントの封じ込め、原因調査、復旧、情報共有や報告などが主要業務です。
• エ: 「標的型攻撃特別相談窓口」や相談持ち込み組織の被害低減支援、攻撃連鎖の遮断支援は、国や地域のCERT（Computer Emergency Response Team）や公的な支援窓口（例：JPCERT/CC等）の役割を想起させます。CSIRTは自組織向けの対応が主で、こうした外部被害低減のための窓口機能は必ずしもCSIRT単体の説明とは合致しません。

よくある誤解

• CSIRTとSOCは同じものと考える誤解：SOCは主に監視と検知を担当し、CSIRTは発生したインシデントの対応・調整を担う点で役割が重複することはあるが別物です。
• PSIRTとCSIRTを混同する誤解：PSIRTは製品やサービスの脆弱性対応（顧客通知、パッチ提供等）を主に行います。CSIRTは組織のインシデント対応が中心です。
• 「CERT」と「CSIRT」は同義とする誤解：用語は重なる場面もありますが、CERTは国や地域レベルの緊急対応・連携窓口であることが多く、CSIRTは組織内や業界単位の対応チームを指すことが多いです。

補足コラム

• CSIRTの主要活動（一般的なフレームワーク）
  • 準備（ポリシー策定、体制整備、演習）
  • 識別（インシデントの検知・確認）
  • 封じ込め・根絶（短期・長期の封じ込め策、マルウェア除去）
  • 復旧（サービス復旧、検証）
  • 事後対応（原因分析、改善策、報告・共有）
• 参考となるガイドライン：NIST SP 800-61（Incident Response）などが実務指針として有用です。
• 組織規模や目的により「内部CSIRT」「インダストリCSIRT（業界）」「国/地域CERT」「商用CSIRT」など形態が異なります。SOCやPSIRTと連携して運用することが一般的です。

FAQ