ITパスポート 2025年 問68

CSIRTとして行う活動の例【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認する：ここでは「CSIRT」と「活動の例」。
2. CSIRTの役割を思い出す：事故対応（調査・封じ込め・復旧・報告・教訓化）が中心。
3. 各選択肢と照らし合わせる：事故対応に当てはまるものを選ぶ。
4. 事故対応に直接関係するものが選べば正解（今回はウ）。

選択肢別の誤答解説

• ア: OSやアプリケーションソフトウェアのセキュリティパッチを定期的に適用する。
  • 「OS（Operating System：基本ソフト）」やアプリのパッチ（修正プログラム）は重要な作業です。しかしこれは日常的な運用・保守（システム管理チームやIT運用）が主に行う業務で、CSIRTは通常、パッチ適用の方針や優先度の助言をすることはあっても、定期的な適用作業自体が主業務ではありません。
• イ: 地震や洪水などの自然災害を想定し、情報資産を守るために全社的な事業継続計画を策定する。
  • 事業継続計画（BCP：Business Continuity Plan）は、自然災害などにも備える会社全体の計画です。CSIRTはサイバー事故に関する計画や連携を担当することがあるものの、全社のBCP策定は危機管理部門や経営企画が中心になります。
• ウ: セキュリティ事故の発生時に影響範囲を調査して、被害拡大を防止するための対策実施を支援する。
  • 正解。CSIRTのコア業務そのものです。事故発生時に技術的調査（どの端末・サーバが侵害されたか）を行い、封じ込め（隔離）や復旧の支援を行います。
• エ: 保守業者がサーバ室で作業した日に、作業員の入退出が適切に記録されていたことを監査する。
  • 入退室記録の監査は内部監査や情報セキュリティの統制確認（コンプライアンス）に近い業務です。CSIRTは事後にログを確認する場合もありますが、日常的な監査業務が主ではありません。

よくある誤解

• CSIRTは「全てのセキュリティ業務」を行うチームだと思う。
  • 誤りです。CSIRTは事故対応が中心で、日常の運用（パッチ適用やログ監視の常時運用）はSOC（Security Operations Center：セキュリティ監視運用センター）が担うことが多いです。
• BCPを作るのもCSIRTの主業務と考える。
  • BCPは範囲が広く、経営や事業継続担当が主導します。CSIRTはサイバーインシデント部分で関与しますが、全社的計画の主担当ではありません。

補足コラム

• インシデント対応の基本的な流れ（ライフサイクル）は次の通りです：
  1. 準備（準備体制、手順書、演習）
  2. 検知・識別（異常の発見と判断）
  3. 封じ込め（被害の拡大を止める）
  4. 駆除・復旧（原因の除去と正常化）
  5. 事後対応（原因分析と再発防止、教訓の反映）
     CSIRTはこれらすべてに関わりますが、特に「検知～封じ込め～復旧」のフェーズで中心的な役割を果たします。
• 用語のちょっとした違い：
  • SOC（Security Operations Center：セキュリティ監視運用センター）→ 日常的な監視やログ分析、アラート対応を24/7で行う運用部門。
  • CERT（Computer Emergency Response Team：コンピュータ緊急対応チーム）→ 国や地域、業界単位で設置されることが多い、広域的な対応機関。CSIRTは組織内のチームを指すことが多いです。

FAQ