インシデント対応の流れとCSIRTとは？ 初動・報告・復旧を表で整理

「パソコンがマルウェアに感染したかもしれない」と連絡を受けたとき、最初に何をすべきでしょうか。情報セキュリティマネジメント試験では、こうした場面での初動と、CSIRT・SOCといった組織の役割がよく問われます。

この記事では、インシデント対応の全体の流れを、IPA（情報処理推進機構）の手引きに沿って整理します。あわせて、CSIRTの意味と種類、PSIRT・SOCとの違いを表で確かめましょう。

インシデントとは？ 「事象」との違い

情報セキュリティインシデントとは、情報の漏えい・改ざん・破壊や消失、情報システムの機能停止、またはそれらにつながるおそれのある出来事のことです。IPAの手引きでも、単に「インシデント」と呼ぶとしたうえで、この範囲を示しています（2026年11月10日確認）。

試験の用語では、「事象」と「インシデント」を分けて考えます。

事象の段階では、まだ被害とは限りません。事象を見逃さず、インシデントかどうかを見極めて動くことが、対応の出発点です。

インシデント対応の目的と3段階の流れ

IPAの手引きは、対応の目的を「被害とその影響範囲を最小限に抑え、迅速に復旧し、再発を防止することで、事業の継続を確保すること」としています。そして、対応を次の3つの段階に分けて説明しています。

ステップ1: 検知・初動対応

インシデントの疑いを見つけた人は、情報セキュリティ責任者に報告します。外部から通報を受けたときは、通報者の連絡先を控えておきます。責任者は、対応すべきインシデントだと判断したら、すぐに経営者へ報告します。経営者は体制を立ち上げ、責任者と担当者を決めて役割分担をはっきりさせます。

初動対応では、被害が広がるおそれがある場合に、ネットワークの遮断、対象機器の隔離、システムやサービスの停止を行います。

ステップ2: 報告・公表

第一報では、関係者全員に知らせるのが難しい場合や、影響が広く一般に及ぶ場合に、ウェブサイトやメディアで公表します。公表で被害が広がらないよう、時期・内容・対象を考えます。顧客や消費者が関係するなら、問い合わせ専用の窓口を開きます。

第二報以降は、被害者や取引先・顧客へ、対応状況や再発防止策を報告します。届出先は状況で変わります。

ステップ3: 復旧・再発防止

状況を5W1H（いつ、どこで、誰が、誰を、何を、なぜ、どうしたか）で調べ、原因を突き止めて、修正プログラムの適用や設定変更、データの復元などを行います。自社だけでは難しいときは、製品メーカーや保守ベンダー、公的機関の相談窓口に助言を求めます。

あわせて、のちの訴訟などに備えて証拠を保全します。必要なら、パソコンのハードディスクやメモリ、サーバーやネットワーク機器のログを調べるフォレンジック調査を行います。正しく修復できたと確認できたら、止めていたシステムを復旧し、結果を経営者に報告します。そして最後に、同じことが起きないよう再発防止策を講じます。

CSIRTとは？ 役割と種類

CSIRT（Computer Security Incident Response Team、シーサート）は、JPCERT/CCによると「組織内の情報セキュリティ問題を専門に扱う、インシデント対応チーム」です（2026年11月10日確認）。「チーム」といっても、独立した部署とは限りません。JPCERT/CCのCSIRTガイドは、独立部署、部署をまたぐ形、個人など、実装はさまざまだと示しています。

CSIRTは、サービス対象（どこで起きたインシデントに対応するか）で分けると、次の6つになります。JPCERT/CCは、この分け方は一例だと断っています。

見分けのコツは「誰を相手にするか」です。とくにコーディネーションセンターは、相手が他のCSIRTである点が特徴です。

CSIRT・PSIRT・SOCの違い

名前がよく似ているので、役割を表で分けておきます。

JPCERT/CCのCSIRTガイドには、SOC事業者がインシデントレスポンスプロバイダーの例として出てきます。試験対策としては、「SOCが見つけて知らせ、CSIRTが受けて対応する」という分担で覚えると整理しやすくなります。

試験での問われ方

情報セキュリティマネジメント試験は、科目Aと科目Bの2科目で、120分・60問のCBT方式です（IPAの試験区分ページ、2026年11月10日確認）。インシデント対応は、科目Bで「場面を読んで、最初にとるべき行動を選ぶ」形になりやすい分野です。

判断の軸は次の2つです。

1. 被害を広げない: 感染が疑われる端末をネットワークから切り離す。電源を切る・初期化する・ログを消すなど、記録を失う操作は避ける
2. 決められた経路で連絡する: 自分の判断だけで処理せず、上位者や責任者、CSIRTに連絡する。重大な事案ほど、経営層まで速やかに上げる

選択肢で迷ったら、「広がりを止めているか」「記録を残しているか」「決めた相手に伝えているか」の3点を確かめましょう。関連して、ランサムウェアの被害時の動きはランサムウェアと二重脅迫の記事で、リスクへの対応の考え方はリスク対応の4つの違いの記事で確認できます。

授業で学ぶには

インシデントの流れとCSIRTは、図で全体像をつかむと覚えやすい分野です。情報セキュリティマネジメント講座では、インシデント管理とCSIRT・SOCを1本の授業で扱い、AI講師トーレスにその場で質問することもできます。

よくある質問

Q. CSIRTは必ず専門の部署を作る必要がありますか？

いいえ。JPCERT/CCのCSIRTガイドは、独立した部署のほか、部署をまたぐ形や個人など、実装はさまざまだと示しています。組織の規模や状況に合った形でよいとされています。

Q. マルウェアに感染した疑いのとき、電源は切るべきですか？

IPAの手引きは、ネットワークの遮断や機器の隔離を行う一方で、電源を切るなどの不用意な操作でシステム上の記録を消さないよう求めています。まず上位者や担当者に連絡し、指示を受けて動きましょう。

Q. SOCとCSIRTはどちらがインシデントに対応しますか？

一般には、SOCが監視で異常を見つけて知らせ、CSIRTが受けて対応を進める役割分担です。組織によっては同じチームが両方を担うこともあります。

まとめ