【初心者向け】14年ぶり全面改訂！CSIRTスタータキット v3.0 徹底解説
はじめに
セキュリティ担当に任命されて、「CSIRTを構築しよう」と言われたけれど、何から始めればいいのかわからない…そんな経験はありませんか？
2025年10月、日本シーサート協議会（NCA）が14年ぶりに全面改訂した「CSIRTスタータキット Ver 3.0」が公開されました。この記事では、セキュリティ担当になりたての方に向けて、v3.0のポイントと実践的な構築ステップをわかりやすく解説します。
そもそもCSIRTとは？
CSIRT（Computer Security Incident Response Team：シーサート）は、コンピュータセキュリティにかかるインシデントに対処する組織の総称です。
セキュリティインシデントが発生したとき、「誰が」「どう対応するか」が曖昧だと、対応が遅れたり、被害が拡大したりします。CSIRTは、そうしたインシデント対応の統括機能として、組織を守る「セキュリティインシデント消防署」のような役割を果たします。
CSIRTのメリット
- 同じ失敗を繰り返さない：インシデント対応のノウハウが組織に蓄積される
- 外部との連携強化：他のCSIRTやセキュリティコミュニティと情報共有できる
- 対外的信頼の向上：「うちにはCSIRTがある」という安心感を提供
- 迅速な対応が可能に：事前に決めた手順で、組織横断的に動ける
v3.0で何が変わった？
v2.0（2011年公開）から14年、v3.0は大きく進化しました。
最大のメッセージ：「まずは始めましょう」
v3.0の最大の特徴は、完璧を目指さず、スモールスタートで始めることを推奨している点です。
- すべてのステップを完璧にこなす必要はない
- 自組織に合った形から始めればいい
- 「なんでも屋」にならないよう、対応範囲を明確に
実は、今では大規模なCSIRTも、最初は小さなチームからスタートしています。
主な変更点
| 観点 | v2.0 | v3.0 |
|---|---|---|
| ステップ数 | 7ステップ | 6ステップ（2フェーズに整理） |
| トーン | 形式的・技術文書的 | 親しみやすく実践的 |
| サービス定義 | 独自の18サービスを詳述 | 国際標準（FIRST）を参照 |
| コラム | なし | 9個追加（現場の悩みを共有） |
| 成熟度評価 | 言及なし | SIM3を紹介 |
特に、「1人CSIRT」や「バーチャル組織モデルの苦悩」といったコラムは、現場のリアルな課題を共有してくれており、非常に参考になります。
CSIRT構築の6ステップ
v3.0では、CSIRT構築を「構築フェーズ（0～3）」と「運用フェーズ（4～5）」の2つに分け、全6ステップで進めます。
【構築フェーズ】STEP 0～3
STEP 0：プロジェクト立上げ
まずは経営層の理解を得ることが最重要です。「サイバーセキュリティ経営ガイドライン」でもCSIRT機能の構築が推奨されており、経営課題として取り組むべき活動です。
やること：
- 目標の明確化（なぜCSIRTが必要か）
- ステークホルダーの特定（法務、広報、情シス、経営層など）
- プロジェクト体制の構築
STEP 1：現状把握・問題把握
自組織の現状を徹底的に調べます。
収集する情報：
- 既存のセキュリティポリシー
- 過去のインシデント対応事例
- 現在のログ管理状況
- 使用しているセキュリティツール（IDS/IPS、SIEM、EDRなど）
- 各部署の役割と権限
STEP 2：CSIRT企画立案
ここがCSIRT構築の核心です。v3.0では、v2.0から大幅に項目が増えて、より具体的になりました。
定義すべき項目：
- CSIRT名：自組織であることが明確な名称（例：「組織名-CSIRT」）
- ミッション：「なぜCSIRTが必要か」を端的に表現
- 行動指針・倫理規範：機微な情報を扱うための行動原則
- サービス定義：何をやるか、何をやらないか
- コンスティチュエンシー：誰に対してサービスを提供するか
- トリアージ基準：インシデントの重大度をどう判定するか
CSIRTの型は、大きく3つのモデルがあります：
初期段階では部門内モデルでスタートし、実績を積んだ上で発展させる段階的アプローチが現実的です。
STEP 3：CSIRT構築
企画内容を文書化し、経営層の承認を取得します。
やること：
- CSIRT記述書の作成（RFC 2350準拠）
- 関係部署との調整
- 経営層の承認取得
- リソース調達（人、システム、予算）
- 手順書の整備
【運用フェーズ】STEP 4～5
STEP 4：CSIRT運用
いよいよ運用開始です。
やること：
- 社内外への周知（連絡先、提供サービスの明確化）
- 他CSIRTとの連携体制確立（日本シーサート協議会、FIRSTなど）
- サービス提供開始
STEP 5：CSIRT再検討
v3.0では、再検討を「短期的」と「中長期的」の2軸で整理しています。
短期的な再検討（日々の運用フィードバック）：
- 手順書のアップデート
- 業務の自動化検討
- インシデント対応フローの改善
中長期的な再検討：
- CSIRT拡大展開：サービス対象の拡大（グループ会社、海外拠点など）、新規サービスの追加
- 成熟度向上：文書化と再評価、演習の継続実施、人材育成（SIM3を活用）
成功のポイント
CSIRT構築を成功させるための重要なポイントを、v3.0の内容からまとめます。
1. 経営層の理解とコミットメント
CSIRTは経営課題として取り組むべき組織横断的な活動です。経営層からの明確な指示と支援がないと、各部署の協力を得にくくなります。
2. スモールスタートの実践
全てを完璧にしようとせず、必須のサービスだけから始めましょう。運用を通じて、段階的にサービスを拡大していきます。
3. サービスとスコープの明確化
「なんでも屋」にならないために、**何をやるか（サービス）と誰に対して提供するか（コンスティチュエンシー）**を明確に定義します。スモールスタートとして、初期段階では提供サービスと対象範囲を限定し、段階的に拡大する戦略が有効です。
4. 組織内の信頼構築
部署間の縦割りを超えて動けるように、各部署のキーパーソンを見つけ、連携を確立しましょう。CSIRTメンバーは機微な情報を扱うため、倫理的行動と守秘義務の徹底が信頼の基盤となります。
5. アウトソーシングの適切な活用
すべてを内製化する必要はありません。
アウトソーシングに向くもの：
- SOC（セキュリティ監視）
- フォレンジックス（証拠保全・解析）
- リスクアセスメント
- OSINT調査
内製化すべきもの：
- コーディネーション業務（関係者調整）
- 意思決定（ビジネスを止める判断など）
インシデント対応フローの全体像
v3.0では、NIST SP800-61 Rev. 2を参考に、「検知」「分析」「封じ込め」「根絶」「復旧」「インシデント後の対応」のプロセスと、自組織で定義したトリアージ基準を組み合わせて対応フローを作成することが推奨されています。
以下は、その考え方に基づいた対応フローの例です。ただし、実際のインシデント対応では状況に応じた臨機応変な対応が必要であり、このフローは「行動原則」として位置づけられます。
まとめ
CSIRTスタータキットv3.0は、「完璧なCSIRTの設計図」ではなく、「今日から始められる道しるべ」として生まれ変わりました。
これからCSIRT構築を始める方へのメッセージ：
- 完璧を目指さず、まず始めましょう
- 自組織に合った形を見つけることが大切（CSIRTは百社百様）
- 他のCSIRTやコミュニティを積極的に活用しましょう
- 小さく始めて、段階的に拡大すればOK
CSIRTスタータキットv3.0は、日本シーサート協議会の公式サイトで無料公開されています。実際の構築時には、本文書と合わせて、「CSIRT人材の定義と確保」「CSIRT Services Framework」などの関連資料も参照することをお勧めします。
セキュリティインシデントは「起きるかもしれない」ではなく「必ず起きる」ものです。備えあれば憂いなし――あなたの組織のCSIRT構築の第一歩を、今日から踏み出してみませんか？
Discussion