CSIRTとは【図解でわかりやすく】

最終更新日：2026年7月16日

30秒でわかる結論

CSIRT（Computer Security Incident Response Team）はセキュリティインシデントに対応する組織内の専門チーム。「平時は準備（手順整備・訓練・情報収集）、有事は対応の司令塔（検知→封じ込め→復旧→再発防止）」という二役が試験のポイント。SOC（監視に特化した組織）との違いも頻出です。

セキュリティインシデントに備え、検知・対応・再発防止を担う組織内の専門チーム。セキュリティの消防隊。

セキュリティ事故は「起きるかどうか」ではなく「いつ起きるか」——だから、消防隊が必要です。

図解

解説

CSIRT（Computer Security Incident Response Team、シーサート）は、セキュリティインシデント（事故）の発生に備えて組織内に設置される専門チームです。

役割は平時と有事の両方にあります。平時には、インシデント対応手順の整備、対応訓練、脆弱性や脅威情報の収集を行い、「いざ」に備えます。有事には、インシデントの検知・受付から、被害の封じ込め、原因分析、復旧、再発防止策の立案までを主導する司令塔となります。

火事に例えるなら、CSIRTは消防隊です。火事を完全に防ぐことはできなくても、訓練された消防隊がいれば、ボヤのうちに消し止め、被害を最小化できます。組織内のCSIRT同士が外部と情報連携する体制もあり、日本ではJPCERT/CCがその調整役を担っています。

関連組織としてSOC（Security Operation Center）があります。SOCは監視に特化した組織で、「SOCが異常を検知し、CSIRTが対応を主導する」という役割分担で語られることが多く、試験でもこの対比が問われます。

具体例

①大手製造業：CSIRT設立後にランサムウェア感染→CSIRT主導で感染端末を隔離・原因分析・復旧・再発防止策（パッチ適用・権限最小化）を実施。②平時の取り組み：JPCERT/CCから脆弱性情報を受け取り、自社環境への影響を評価・対応（情報収集の役割）。③訓練：年1回のインシデント対応訓練（机上演習）でCSIRTの対応手順の実効性を検証。

間違えやすい類似用語

CSIRT vs SOC：SOC（Security Operation Center）は監視・検知に特化した組織（24時間ログ・アラートを監視）。CSIRTはインシデントの対応・収束に特化したチーム。「SOCが火事を発見し、CSIRTが消火・原因調査・再発防止を主導する」という役割分担。
CSIRT vs PSIRT：PSIRT（Product Security Incident Response Team）は製品の脆弱性対応に特化したチーム（製品を販売する企業が設置）。CSIRTは社内システムへのインシデント対応全般を担う。製品脆弱性はPSIRT、社内インシデントはCSIRTが窓口。

覚え方

セキュリティの消防隊＝CSIRT。平時に訓練、有事に出動

試験での問われ方

情報セキュリティマネジメント試験では「①CSIRTの定義（インシデント対応の専門チーム）」「②平時の役割（準備・訓練・情報収集）と有事の役割（検知→封じ込め→復旧→再発防止）」「③SOCとの役割分担の違い（監視 vs 対応）」が頻出。JPCERT/CCがCSIRT同士の情報連携を調整する組織という知識も押さえましょう。