CSIRT立ち上げ・再構築の実務：拠点バラバラ問題を乗り越える現実解

「CSIRTを立ち上げたい」「既存の運用を見直したい」。そう決めた瞬間から、多くの企業が直面するのは“組織の多様性”という現実です。支社・グループ会社・海外現法・外部委託先――それぞれが独自の歴史とやり方を持ち、統一は理念だけでは動きません。この記事は、ばらつきを前提にしつつ一貫性を獲得するためのCSIRT設計と運用の具体策を、実務の粒度でまとめたものです。ゴールは「誰が、いつ、何を、どの順に」やるかが迷わない仕組み。派手さより、“回る”ことを最優先にします。

1. まず押さえる現実：よくある“バラバラ”の正体

拠点ごとに運用がバラつく原因は、概ね次の組み合わせです。

判断基準の差：本社の“重大”が支社では“軽微”。同じIOC（侵害の痕跡）でも扱いが違う。
報告経路の多重化：ベンダ直通／SOC直通／本社IT経由など複線化し、初動が遅延。
ツールの差分：SIEMやEDR、ログ保管ルールが部門ごとに違い、相互参照に時間がかかる。
人材・言語・時差：海外現法や委託先を含むと、用語・時差・権限調整が詰まる。
責任境界の不明瞭さ：誰が「止める／通知する／対外説明する」を決めるのか曖昧。

ポイントは、全拠点を一気に“同じ形”へ寄せるのではなく、「最低限の共通ルール＋拠点裁量の余地」を設計すること。CSIRTは中央集権ではなく「一貫性のある分散」を目指します。

2. CSIRTの基本モデル：三層で考えるとブレない

運用を安定させるには、次の三層を明確にします。

戦略層（経営・CISO）：優先順位・予算・リスク許容度・対外方針（顧客／メディア／当局）。
調整層（CSIRT本体）：全社の報告受け・重大度判定・指揮・エスカレーション・事後分析。
実務層（SOC・各拠点IT・ベンダ）：検知・初動封じ込め・復旧・ログ分析・IOC共有。

役割を文書化する時は、RACI（Responsible/Accountable/Consulted/Informed）で整理します。例えば「重大度判定」はCSIRTがAccountable、SOCはResponsible、事業部はConsulted、経営はInformed――のように決め打ちしておくと、初動で迷いません。

3. 立ち上げフロー：設計→構築→運用→改善の4段階

3-1. 設計（0〜90日）

ミッション定義：CSIRTは「最終判断の場」か「調整ハブ」か。守備範囲（社内／グループ／委託先）を明文化。
重大度基準（Severity）とSLA：検知→報告→一次封じ込め→復旧→事後の目標時間を定義（例：Sev1は15分報告、60分内封じ込め）。
報告チャネルの一本化：拠点からCSIRTへの入口を「1つ」に（チケット＋緊急ホットライン）。メールは控えめ。
法務・広報・人事の接続：個人情報・労務・広報レピュテーションの観点を最初から組み込む。
最低限の共通テンプレ：初動票、対外FAQ、経営向け速報、顧客説明テンプレ。

3-2. 構築（60〜180日）

人と体制：24/365ならオンコール表、代替要員、外部DFIR（フォレンジック）契約を準備。
可視化と集約：EDR・クラウドログ・メール・VPNなどをSIEMへ集約。拠点差分は正面から吸収（インテグレーション表）。
自動化の最短距離：SOARで「チケット起票／隔離／IOC配布」を自動化。完全自動より半自動（要承認）から。
危機コミュニケーション：広報と演習。想定問答（Q&A）を準備しておくと判断が速い。
ベンダ連携：通報窓口・SLAの合意。委託先の検知・初動を全社SLAに合わせる。

3-3. 運用（常時）

平時KPI：MTTD/MTTR、Sev別SLA遵守率、初動票の欠損率、再発率、パッチ適用遵守率。
周知リズム：月次で「全社インシデントダイジェスト」。拠点別の改善トピックを1つずつ入れて“自分ごと化”。
教育・演習：四半期ごとに机上（Tabletop）＋年1回は実動演習。役員／広報／法務も巻き込む。

3-4. 改善（四半期）

PIR（事後分析）：事実関係・判断根拠・影響・よかった点・改善点・再発防止。テンプレ化して30分で書ける形へ。
ルールと検知の見直し：最近の攻撃傾向（認証回り・SaaS誤設定・メール誘導）の反映をルーチン化。
経営レビュー：Top 3リスクと来期の重点投資（人・検知・復旧・教育）。

4. “慎重にケア”すべき論点：ここを外すと止まる

4-1. 権限移譲と“止める権利”

インシデントの最中、CSIRTが全拠点のシステムを止める権利を持っているかで結果が変わります。少なくともSev1では「ネットワーク隔離・アカウント凍結」をCSIRTの承認だけで実施できるよう、権限委任（Delegation）を事前に合意。これは経営の決裁事項です。

4-2. 境界の設計：本社統制と拠点裁量

「一律禁止」は回りません。禁止リストではなくコア要求事項の定義に変えます（例：“ログ保管365日以上・重大度判定SLA遵守・CSIRTへ一本化報告・アカウント棚卸し四半期実施”）。実装は拠点裁量でOK。監査は“要求事項の充足”で評価。

4-3. 法務・広報の早期巻き込み

個人情報・営業秘密・規制対応はインシデントと隣り合わせ。事後ではなく初動票に「法務・広報チェック欄」を標準搭載。対顧客／当局報告の基準も事前に決めておきます。

4-4. ベンダコントロールと委託先SLA

委託先で検知→委託先SOC→委託先CSIRT→本社…と階層をたどると遅延します。直接通報ライン（委託先→本社CSIRT）を契約で明記。IOCの相互共有・抑止策の適用SLAも合意し、四半期で遵守レビュー。

5. 最低限の“共通装備”：テンプレと基準は薄く・強く

5-1. 重大度（Severity）基準の例

Sev1：全社影響／機密データ漏えい懸念／横展開の可能性が高い事象。15分報告、60分封じ込め開始。
Sev2：複数拠点・重要システム影響。30分報告、2時間内封じ込め。
Sev3：限定的・代替あり。業務時間内対処、PIRは簡易版。

5-2. 初動票テンプレ（抜粋）

発見日時／発見者（拠点／ベンダ）
兆候（IOC／ユーザー報告／アラートID）
影響推定（システム／データ種別／件数）
当面の封じ込め（アカウント・端末・ネットワーク）
必要な承認（停止・対外説明・当局報告）

5-3. 経営向け速報テンプレ（1枚）

要旨（ビジネス影響ベース）
現状と次の30–60分の動き
意思決定リスト（停止／代替案／社外コミュニケーション）

5-4. KPIダッシュボード（毎月）

Sev別件数・SLA遵守率・平均MTTD/MTTR
再発カテゴリTop3（例：フィッシング、脆弱プラグイン、権限設定ミス）
拠点別“改善達成率”と翌月の重点

6. ツールは“人とプロセス”の後に：導入の順番を間違えない

ツールは助けになりますが、順番を間違えると運用が崩れます。おすすめの順は以下。

入口の一本化：チケット＋緊急通報（電話 or チャット）。
可視化：既存ログをまず集める（EDR・メール・SaaS監査・VPN・クラウド監査ログ）。
相関：SIEMでルール化、誤検知率を下げる（トップ10ノイズの潰し込み）。
半自動化：SOARで定型を自動（IOC配布／端末隔離／初動票作成）。
完全自動の限定適用：フィッシング隔離や既知マルウェアなど誤検知コストが低い領域から。

大事なのは、「既存の拠点差分を吸収するアダプタ」（連携スクリプトやプレイブック）を作ること。完璧な統一より、“気持ちよく集約できる”ことを優先します。

7. 人の問題を真正面から：属人化を潰す3つの仕掛け

業務断面での標準化：検知→判定→封じ込め→復旧→報告の各断面に、テンプレ・チェックリスト・想定FAQを紐付け。
交代制とバックアップ：オンコール表に“影”担当をセット。休暇・異動でも回る。
ナレッジの“軽量化”：長文手順より、1ページの決定フロー＋各手順リンク。新人でも30分で参戦可に。

特に“止める／止めない”の判断は訓練なしにできません。机上演習で「この状況なら止める」を何度も反復し、合意を身体化しておきます。

8. グループ・海外・委託先とどう繋ぐか：一貫性のある分散運用

責任分界：“検知は委託先、判定と対外説明は本社CSIRT”など、RACIで線を引く。
契約条項：通報SLA・ログ保全・協力義務・第三者開示・費用負担（DFIR費含む）。
データレジデンシ：海外現法のログ転送は法規制に注意。匿名化やサマリ転送で代替する設計を用意。
多言語運用：重大度・時刻表記・役割名の英語／日本語対訳集をテンプレに添付。時差は“拠点ローカル時刻＋JST換算”の二段表記に固定。

9. 最初の90日プラン：現実的なロードマップ

Week 1–2：ミッション・スコープ定義、Severity基準、エスカレーション図をドラフト。
Week 3–4：初動票／経営速報テンプレ作成、通報チャネル一本化の試行。
Week 5–8：主要ログの一覧化・欠損判定、インテグレーション表（誰の、どのログが、どこに）を作る。
Week 9–12：机上演習（経営・広報含む）、SOARで1〜2本の半自動プレイブックを実装。

“完成”を目指さず、動く最小機能から。本社のやり方を押し付けるのではなく、拠点の強みを拾い上げて標準に取り込むと、導入摩擦が小さくなります。

10. よくある失敗を避けるミニFAQ

Q. ツールを一気に刷新すべき？
A. いきなりは危険。今あるものを“見える化→相関→半自動化”の順に整え、刷新は段階的に。

Q. 監査観点はいつ入れる？
A. 最初から。“要求事項”ベースの内規（ログ保全・SLA・報告統一等）を定め、監査は遵守率で見る。

Q. 経営はどこまで関与？
A. 重大度・止める判断・対外方針は経営決裁。演習で意思決定のリズムを作っておけば、本番で迷わない。

11. まとめ：CSIRTは“制度”ではなく“習慣”

CSIRTが強い組織は、派手なツールより習慣が整っています。一本化された通報、迷わない重大度判定、短い意思決定、そして事後の学び。支社やグループが多様でも、“最低限の共通ルール”と“拠点裁量の余地”を両立すれば、日々の運用は確実に速く、静かになります。まずは90日、動く最小機能から始めましょう。整ったCSIRTは、平時の効率化と人材育成そのものです。