セキュリティの体制を整えようとすると、「SOC」と「CSIRT」という言葉に出会います。どちらもセキュリティの専門チームを指すことが多く、混同されがちですが、受け持つ仕事が違います。違いが分かると、監視を外部の事業者に任せたときに、社内で誰が何をすればよいかも見えてきます。

SOCとCSIRTは何をするか

SOC（Security Operation Center、ソック）は、ネットワーク機器やサーバー、パソコンなどから集まるログやアラートを監視・分析して、攻撃や異常の兆候を見つける組織です。監視に使う仕組みの運用や保守も受け持ちます。主に平常時の仕事です。

CSIRT（Computer Security Incident Response Team、シーサート）は、インシデント（セキュリティ上の事故やその疑い）が起きたときに対応する組織です。影響の範囲を調べ、封じ込めと復旧を指揮し、経営への報告や社外への連絡を受け持ちます。経済産業省のサイバーセキュリティ経営ガイドラインは、CSIRTを「インシデントの発生に対応するための体制」と説明しています。

SOCの事業者などでつくるISOG-J（日本セキュリティオペレーション事業者協議会）の「セキュリティ対応組織の教科書」も、平常時の分析と監視を担う組織をSOC、インシデント対応を担う組織をCSIRTと呼ぶことが多いと整理しています。CSIRTが動くきっかけは、SOCの検知に限りません。社員や取引先からの通報、外部の機関からの連絡、脆弱性の公表も入口になります。また、JPCERT/CCの整理では、CSIRTの業務6つのうちインシデント発生時の業務は1つで、脆弱性への対応（パッチの適用など）、社内への注意喚起や普及啓発、予行演習などの5つは平常時の業務です。

検知から復旧までの流れ

IPAがガイドラインの解説で示している例をもとに、メールの添付ファイルからパソコンがマルウェアに感染した場合の流れを書きます。

  • 検知。SOCが、パソコンから外部の不審なサーバーへの通信を見つける
  • 報告と判断。SOCがCSIRTに報告する。CSIRTは、インシデントかどうか、影響の大きさと対応の順番を判断して、封じ込めを指示する
  • 封じ込め。情報システムの担当や委託先が、パソコンをネットワークから切り離す
  • 復旧と報告。マルウェアを取り除いてネットワークに戻す。CSIRTは経緯と影響を経営に報告し、必要に応じて取引先や所管省庁に知らせ、再発防止策をまとめる

SOCは何が起きているかを技術的に明らかにし、CSIRTはどう動くかを決めます。決めるには、技術の情報に加えて、止めてよい業務、守るべきデータ、報告の義務といった社内の事情が要ります。

自社で監視を続けるには人数が要る

SOCの監視を自社で24時間365日続けるには、交代で見張る人、詳しく調べる人、監視の仕組みを保つ人が要ります。ISOG-Jの教科書は、セキュリティ専門の24時間365日の体制を自社に置く場合のスタートラインとして、12名の体制を示しています。24時間の対応をしない最低限の体制でも7名です。

監視と分析は、SOCをサービスとして提供する事業者に委託することもできます。EDRの監視と初動を任せるMDRも、その一つです。教科書は、すべてを自社で担う形を絶対の目標にする必要はなく、無理に自社でやる割合を高めて実態が伴わないほうが問題だとしています。

委託しても社内に残る仕事

教科書は、セキュリティの仕事を、扱う情報が社内のものか攻撃者の側のものかと、専門的なスキルがどれだけ要るかの2つで分けています。社内の情報を扱い、専門のスキルより社内の事情を知っていることが大事な仕事は、外部に頼ることが難しく、自社で行う必要があるとしています。インシデント対応では、対応の状況の管理と、収束したあとの報告がこれに当たります。インシデントかどうかの判断と、影響の大きさや優先度の判断も、自社が中心になり、委託先が支える仕事です。

監視を委託しても、CSIRTの役割は社内に残ります。委託先からの通知を受ける窓口と判断する人が決まっていなければ、通知が届いても誰も動けません。委託の契約では、何を検知したら、誰に、どの手段で、何分以内に連絡するか、夜間と休日はどうするか、委託先がパソコンの切り離しまで行ってよいかを決めておきます。

専任のチームがなくても始められること

CSIRTは、専任の部署として作るとは限りません。ほかの業務と兼ねる担当者が役割を受け持つ形もあります。JPCERT/CCも、CSIRTの機能をすべて備える必要はなく、組織の状況に合った形があるとしています。最初は次の4つから始められます。

  • 窓口を決める。社員、取引先、委託先からの連絡を受けるメールアドレスと電話番号を決めて、社内外に知らせる
  • 判断する人と代わりの人を決める。夜間と休日に誰が判断するかも決める
  • 連絡先の一覧を作る。委託先、保険会社、警察やIPAの相談窓口、所管省庁、個人情報保護委員会（初動対応、漏えいの報告義務）
  • 年に1回、演習をする。「監視の委託先から夜中に通知が来た」と想定し、連絡と判断の順番をたどる

経済産業省のガイドラインも、指示7でCSIRTなどの対応体制の整備、通知先の把握、実践的な演習を求めています。体制づくりの手順は、JPCERT/CCの「CSIRTマテリアル」や、日本シーサート協議会が2025年10月に公開した「CSIRTスタータキット」の第3版にまとまっています。

SOCCSIRTインシデント対応セキュリティ監視体制づくり