ひとことで言うと
社内で、セキュリティ事故に対応するチーム
EXAMPLE
たとえば
専任でなくてもよく、「事故のときに誰が判断し、誰に連絡するか」を決めておくことが第一歩です。
01CSIRTとは
CSIRT（シーサート、Computer Security Incident Response Team）は、組織の中で情報セキュリティの問題を専門に扱う、インシデント対応のチームです。JPCERT/CCは、セキュリティの問題がシステム管理者だけでなく、経営層が関わるべき問題になったことから、組織全体の視点で扱うCSIRTの構築が注目されていると説明しています。
大きな会社の専門部署だけを指す言葉ではありません。JPCERT/CCの資料も、すべてのCSIRTが同じ機能をそろえる必要はなく、組織の状況に応じた形があるとしています。小さな会社なら「事故のときに集まる担当者の組み合わせ」でも、役割が決まっていればCSIRTの第一歩です。
02起きたら最初にやること（CSIRTの動き）
JPCERT/CCの侵入型ランサムウェアのFAQでは、被害に気づいたらまず次の体制を確保するよう書かれています。
- 被害に対応する体制を確保し、状況を把握する
- 被害の情報を社内で共有する連絡体制を確保する
- 社外からの問い合わせに答える一元的な窓口と広報の体制、外部の組織と連携する担当者を確保する
この3つを事故のたびにゼロから決めていては間に合いません。CSIRTは、これを前もって決めておくためのものです。
03備えておくこと
| 決めること | 例 |
|---|---|
| 誰が判断するか | ネットワークから切り離す、サービスを止める、公表する、の判断者 |
| 誰に連絡するか | 経営者、取引先、保険会社、調査会社、警察、個人情報保護委員会 |
| 社員はどこに報告するか | 「怪しいメールを開いた」を受ける窓口と連絡方法 |
| 外部の支援先 | 事前に契約する調査会社や監視サービス |
JPCERT/CCは、CSIRTを作る組織向けに「CSIRTマテリアル」を公開しています。構想・構築・運用の3つの段階に分けて、備えるべき機能や演習のやり方を説明しています。
社内の人手が足りない場合は、体制づくりを外部に手伝ってもらう方法もあります（コンサル・体制づくり）。見張りを外に任せるなら監視・SOC・MDRの会社が候補になります。
04やってはいけないこと
- 報告した社員を責めること。報告をためらう空気があると、異常に気づくのが遅れます。
- 決めたまま放っておくこと。連絡先の担当者が辞めていた、ということが起きます。年に一度は見直し、訓練で動きを確かめます。
他社のCSIRTと情報を交換する場として、日本シーサート協議会もあります。
ARTICLES
