セキュリティの
学び場

CSIRTとは

CSIRTとはComputer Security Incident Response Teamの略で「シーサート」と呼ばれるのが一般的です。直訳すると「コンピュータセキュリティインシデント対応チーム」となるとおり、インシデント、つまりセキュリティ上の問題としてとらえられる事象が発生した際に対応するチームのことを指します。

そのために、業務としては、日常的には脆弱性情報などの収集を行い、インシデント発生時には直接的な対応と、社内外の組織との情報共有や連携を行います。

なおCSIRTに関連した組織としてSOC（Security Operation Center）がありますが、この両者の違いは、SOCはインシデント発生の前からインシデント発生の検知までに重きを置いているのに対し、CSIRTはインシデント発生後の対応（マネジメント）に重きを置いていることが挙げられます。

CSIRTの必要性

では、なぜCSIRTという組織が必要なのでしょうか。

ほとんどすべての組織には、守るべき情報資産があります。したがって、それが漏えいしたり紛失したり侵害されたりする問題、すなわちセキュリティインシデント（セキュリティ事故）の脅威に常にさらされていると言ってよいでしょう。
とりわけ大企業や公的組織といった組織は、その保有している情報資産の価値も高く、外部の攻撃者に狙われやすくなっています。

インシデント対応は組織にとって非常に大きな課題であり、ひとたびインシデントが発生すると、サービス継続、復旧、そして法的な対応に追われるなど多大な人的コストが発生します。また直接のコストとしては算出が難しいですが、「あの組織はセキュリティインシデントを起こした組織である」という評判によって損失するビジネスの機会などを含めると損害は甚大です。

しかし、サイバー攻撃の手段は年々高度化・先鋭化しており、インシデントを完全に防ぐことは多くの場合困難です。セキュリティインシデントが起きないような体制を作る一方で、インシデントは起きるものと考え、起きたときの対策と復旧を最適に行うことが求められています。

CSIRTはこのように、「セキュリティインシデントが起きたあとの対策」を扱うチームです。いざセキュリティインシデントが生じたときに、そのコストを最小限にすることがチームの役割として求められます。