CSIRT担当

一言でいうと

セキュリティインシデントが起きた後の対応を統括し、封じ込めから社内外への報告、再発防止までを担当する役割です。

この職種の出自と登場時期

起点は1988年のモリスワームです。インターネット上で自己増殖するプログラムが広範囲に影響を与え、組織をまたいだ対応の枠組みが必要だと認識されました。これを受けて最初の CERT が設立され、1990年には国際的な連携組織として FIRST（Forum of Incident Response and Security Teams）が発足します。インシデント対応を専門チームの機能として置く考え方は、ここから広がりました。

国内では JPCERT コーディネーションセンターが国内外の調整の窓口を担っています。企業側にチームを置く動きが本格化したのは2007年前後で、この年に日本シーサート協議会（NCA）が任意団体として発足し、企業内 CSIRT どうしの情報共有の場ができました。以降、上場企業を中心に自社 CSIRT の設置が広がっています。

なお CSIRT はチームの名称であり、専任の職種として置く組織と、情報システム部門やセキュリティ担当が兼務する組織の両方があります。求人票では専任かどうかの確認が必要です。

ミッション

責任範囲は、インシデントの被害を最小に抑え、事業を再開させることです。原因の究明よりも、止血して復旧させ、説明責任を果たすところに重心があります。

技術的な対応と同時に、経営・法務・広報・顧客対応との調整が発生します。個人情報の漏えいでは監督官庁への報告義務が生じるため、期限と手続きを把握していることが前提条件になります。

主な業務範囲

• インシデント対応の指揮。検知の報告を受け、対応方針と体制を決める
• 封じ込めと復旧。影響範囲を特定し、被害の拡大を止めて事業を戻す
• 原因の分析。侵入経路と影響を調査し、フォレンジックの実施可否を判断する
• 報告と開示。経営への報告、監督官庁への届け出、顧客・取引先への説明を担当する
• 平時の備え。対応手順の整備、訓練の実施、外部組織との情報共有を行う

求められる能力

扱う範囲は、ログ解析、マルウェアの挙動の理解、ネットワークとOSの内部構造、フォレンジックの基礎に及びます。すべてを自分で実施する必要はありませんが、外部の専門ベンダーに依頼する判断と、その結果を評価する力が求められます。

混乱した状況で判断を下し続けられるかが、この役割の中心にあります。情報が不完全なまま、サービスを止めるかどうかを決める場面が発生します。経営や法務に対して技術的な状況を平易に説明する力も、実務では同じくらい重く見られます。

この職種に就く人のキャリア経路

多いのは SOCアナリスト・情報システム部門・セキュリティエンジニアからの移行です。監視と一次対応の経験を積み、統括側へ進む流れが一般的です。セキュリティベンダーでインシデント対応支援を担当してきた人が、事業会社側へ移る例もあります。

セキュリティ組織の責任者や CISO へ進む例が代表的です。リスク管理やガバナンスの領域に移る人もいます。

隣接職種との違い

採用担当の見極めポイント

• 求人票では、専任かどうかと、対応時の意思決定権を書いてください。権限のない調整役として採ると、有事に動けません
• 職務経歴書では、実際のインシデントを担当した経験を確認してください。手順書の整備と、発生時に指揮した経験では水準が異なります
• 経営への報告経路を募集前に決めてください。事業を止める判断は現場だけでは下せず、経路がない組織では担当者が孤立します
• 漏えい時の報告フローが社内で決まっているかを確認してください。誰が監督官庁への報告を判断し、誰が本人通知を出すかが未整備なら、その整備自体が着任後の最初の仕事になります

求人・市場の傾向

国内の母集団は薄く、特に実インシデントの指揮経験を持つ候補者は限られます。兼務で担っている人が経歴に CSIRT と書かない場合も多く、検索結果は実態より少なく出ます。採用競合は金融機関・大手事業会社・セキュリティ専業ベンダーです。

探すときは「セキュリティエンジニア」の職種カテゴリから入り、フリーワードに「インシデント対応」「CSIRT」「フォレンジック」を重ねます。日本シーサート協議会の活動やセキュリティコミュニティでの発信から接点を作る進め方も有効です。

関連キーワード

インシデント対応 / フォレンジック / FIRST / JPCERT/CC / 日本シーサート協議会 / 個人情報漏えい / ポストモーテム / 事業継続