ITパスポート 2018年 秋期 問98

CSIRT組織【ITパスポート解説】

正解の理由

解法ステップ

1. 問題文のキーワードを拾う：「セキュリティ事故」「対応」「組織」。
2. 各選択肢の略語を展開して意味を確認する。
   • CSIRT = Computer Security Incident Response Team：事故（インシデント）対応チーム
   • ISMS = Information Security Management System：情報を守る仕組み（管理の枠組み）
   • ISP = Internet Service Provider：インターネット接続サービス提供者
   • MVNO = Mobile Virtual Network Operator：他社回線を借りて携帯サービスを提供する事業者
3. 「事故の対応を行う組織」に最も合う意味はCSIRTであると判断する。

選択肢別の誤答解説

• ア：CSIRT（Computer Security Incident Response Team：コンピュータセキュリティ事故対応チーム）
  • 正解。インシデントの検知・分析・封じ込め・復旧・原因究明・情報共有などを行う組織です。企業内のチームや業界横断のチーム、国レベルのチームなど形態はさまざまです。
• イ：ISMS（Information Security Management System：情報セキュリティマネジメントシステム）
  • 間違い。ISMSは「組織が情報を安全に管理するための仕組みや運用ルール」のことです。事故対応の組織そのものではありません。ISMSを導入すると、インシデント対応のルールを整備することはありますが、ISMS自体が対応組織ではありません。
• ウ：ISP（Internet Service Provider：インターネットサービスプロバイダ）
  • 間違い。ISPは個人や企業にインターネット接続などを提供する事業者です。ネットワーク機器や回線を提供しますが、通常は自社サービスの運用や接続に関するサポートが中心で、インシデント対応を専門に行う組織とは異なります。
• エ：MVNO（Mobile Virtual Network Operator：仮想移動体通信事業者）
  • 間違い。MVNOは他社（MNO＝携帯電話の回線を持つ事業者）の回線を借りて携帯通信サービスを提供する事業者です。通信事業の形態のひとつであり、インシデント対応組織を指す語ではありません。

よくある誤解

1. CSIRTとSOC（Security Operations Center：セキュリティ運用センター）を同じと考える誤解
   • 両者は関連しますが役割が違います。SOCは日常的な監視とアラート対応を担う運用拠点で、CSIRTは発生したインシデントを総合的に管理・対応するチームです。小規模組織では両者を兼任することもありますが、概念は別です。
2. ISMSがあればCSIRTは不要と考える誤解
   • ISMSは管理の枠組みであり、ポリシーや手順を定めます。実際のインシデントの技術的対応や調査はCSIRTの仕事です。両方が補完関係にあります。
3. ISPやMVNOがすべてのセキュリティ事故に対応してくれると考える誤解
   • ISPやMVNOは自社サービスに関わる障害や不正利用に対処しますが、組織全体のインシデント調査や社内対応を行うCSIRTの代わりにはなりません。

補足コラム

• CSIRTとCERTの違い
  • CERTはComputer Emergency Response Team（コンピュータ緊急対応チーム）という名称で、CSIRTとほぼ同じ機能を指すことが多いです。歴史的にはCERTが先に使われ、以降組織や国によってCERT/CSIRTの呼び方が分かれています。
• インシデント対応の基本プロセス（簡単に）
  1. 発見（検知）
  2. 分析・評価（被害範囲の確認）
  3. 封じ込め（被害拡大の防止）
  4. 根絶（原因除去）
  5. 復旧（運用の再開）
  6. 教訓化（再発防止策と報告）
  • CSIRTはこの一連の流れを指揮・実行します。
• 中小企業の場合
  • 小規模組織は専任のCSIRTを持つのが難しいため、外部のセキュリティベンダーに委託したり、複数社で共同のCSIRTを作るケースもあります。

FAQ