セキュリティの
学び場

IR（インシデントレスポンス）とは

IR（インシデントレスポンス）とは、サイバー攻撃などのセキュリティインシデントが発生した際に対応（レスポンス）する為の体系化された活動を指します。対応を迅速かつ適切に実施する事で、企業への損害を最小限に抑える事を目的としています。

近年標的型サイバー攻撃の手口は巧妙化・高度化の一途を辿っており、被害を完全に防ぐことは不可能とも言われています。そうした背景の中、セキュリティインシデントが発生した場合に迅速な対応を可能にする必要性が高まっており、インシデントの対応を専任とするチームを設置・運営する動きが強まっております。

CSIRTとは

CSIRT（Computer Security Incident Response Team）とは、セキュリティ事故が発生する前提でインシデント発生時に迅速に対応するために組織された専門チームです。

CSIRTはよく消防団に例えられる事があります。火事（インシデント）が発生した際に行う消火活動（事後対応）に加えて、平時から情報収集や啓蒙活動、または外部のセキュリティ組織との交流といった防火活動（事前対応）といった両面での対応が重要となります。

CSIRTの役割と構築のポイント

CSIRTの役割

セキュリティインシデントが発生した場合、まずCSIRTでは社内の関連部署やメンバーの調整を行い、事態の収束化に向けた初動対応を行います。社内で横の連携を図り、どこに事態を報告するか、技術的にどのような対策を施せばよいか、被害の拡大を防ぐために何をすべきか、迅速な状況判断が必要となります。また国内の本社、支社、グローバル企業であれば海外拠点も含め、各拠点が問題や情報を共有できる体制を構築し、企業全体でインシデントの対応能力を向上させる啓蒙活動も必要です。

こうした対応は如何にセキュリティに通じた技術者でも1人では対応できません、社内の関連部署との横の連携が重要となりますし、自社だけで解決できない問題は社外のIRチームと連携することも必要となる場合があります。また対応には迅速な経営判断を迫られる事も十分考えられますので、経営層との連携も重要なポイントとなります。

CSIRTの構築については、こうすれば良いといった正解は存在しません。各社の事業形態や企業風土、組織体制にマッチしたチーム体制を構築する必要があります。

CSIRT構築のポイント

JPCERT/CCでは、「CSIRTマテリアル」というCSIRT構築に関する資料を公開しており、構想、構築、運用の3つのフェーズについて詳細な資料が用意されております。

CSIRTにはこれがベストという型はなく、各社それぞれの在り方が存在しますので、CSIRT構築に際しては自身の社内でのベストな形を模索する必要があります。ただし、「インシデントが発生した際にそれを迅速に認識し、対応する為の仕組が重要であること」は共通して言えます。自組織のみでそうした仕組みを作る事が困難な場合は外部のサービスを頼るという手段もあります。例えばCSIRTと協調してIRを補助するMDR（Managed Detection and Response）といったサービスがあります。IRではEDRのような「脅威検知のための技術」の活用や、脅威を検知した際の侵入経路の特定や情報流出経路の遮断等、高度なスキルを駆使した素早い対応が求められますが、こうした作業をマネージドサービスとして代行してくれるのが、MDRです。

自社内にインシデントレスポンスの専門家がいなくても、MDRを活用する事で自社のネットワークに潜む脅威の検知と除去、システムの回復などの迅速な対応を実現できるようになります。