情報セキュリティマネジメント 2016年 春期 午前（科目A） 問01

CSIRTの定義【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを拾う：「報告を受け取り」「調査し」「対応活動」などの語句は「インシデント対応（事故対応）」を示す。
2. 選択肢ごとにその語句と照らし合わせる：インシデント対応を行う組織かどうかで判別する。
3. 背景知識で照合する：CSIRT、IETF、ICANN/IANA、攻撃者（ハクティビスト等）などの役割を思い出す。
   この手順で、インシデント対応を明示する選択肢が正解とわかります。

選択肢別の誤答解説

• ア: 「IPアドレスの割当て方針の決定、DNSルートサーバの運用監視、DNS管理に関する調整などを世界規模で行う組織」
  → これはICANN（Internet Corporation for Assigned Names and Numbers：ドメイン名・IPアドレス等の調整を行う団体）やIANA（Internet Assigned Numbers Authority）の役割に近い説明です。CSIRTの業務説明とは異なります。
• イ: 「インターネットに関する技術文書を作成し、標準化のための検討を行う組織」
  → これはIETF（Internet Engineering Task Force：インターネット技術の標準化を行う組織）等の説明です。標準化・仕様作成が役割で、インシデント対応は主目的ではありません。
• ウ: 「企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称である」
  → こちらがCSIRTの説明で正しいです。組織の規模や範囲（社内・部門・地域・国レベルなど）により名称や構成は異なりますが、役割は一致します。
• エ: 「情報技術を利用し、宗教的又は政治的な目標を達成するという目的をもった人や組織の総称」
  → これはハクティビスト（hacktivist：政治的・社会的目的でサイバー行為を行う者）やサイバーテロリスト等、攻撃者側の説明です。防御・対応を行うCSIRTとは対極にあります。

よくある誤解

• CSIRTとSOC（Security Operations Center：セキュリティ運用センター）を混同する
  → SOCはふだんの監視・検知（ログ監視、アラート対応）に重点がある一方、CSIRTは発生したインシデントの調査・対応や結果の改善（再発防止）に重点を置きます。小規模組織では両者を兼務する場合がありますが、役割は異なります。
• CSIRTは大企業だけが持つものと思い込む
  → 中小企業や自治体、産業分野ごとのCSIRT（フォンデーションや共有チーム）もあります。規模に応じて内部チーム、アウトソース、外部連携で対応可能です。
• CERTとCSIRTは別物だと過度にこだわる
  → CERT（Computer Emergency Response Team）は歴史的には特定の名（Carnegie Mellon大学の登録商標）ですが、現場ではほぼ同義で使われます。名称より「何をする組織か」が重要です。

補足コラム

• 受付窓口（メールフォーム、専用電話、チャット）でインシデント報告を受ける。
• 事実確認（ログ収集、影響範囲の特定）、一次対応（被害拡大の封じ込め）、根本原因の調査、復旧作業を順に行う。
• 法務や広報、外部ベンダー、場合によっては警察や監督官庁と連携する。
  実務では「誰が連絡を受けるか」「初動で何を止めるか」「ログの保全方法」をあらかじめ決めておくことが重要です。

FAQ