インシデント対応・フォレンジック 重要度:★★★出題: AM2・PM1
CSIRT / SOC (セキュリティ運用体制)
しーさーと / そっく / Computer Security Incident Response Team / Security Operations Center
脅威の24時間365日監視・検知を担うSOCと、有事のインシデント対応・統括を担うCSIRTの協調運用体制。
3行速習ポイント
- SOC：SIEMやEDRのセキュリティログを常時監視し、アラートのトリアージと初期分析を実施
- CSIRT：インシデント発生時に原因調査、封じ込め、根絶、復旧、対外報告・情報開示を主導
- インシデントハンドリングの標準プロセス（準備 ➔ 検知・分析 ➔ 封じ込め・根絶・復旧 ➔ 事後対応）を遵守
図解
図SOC検知からCSIRTインシデント対応完了までのエスカレーションフロー
11. SOC常時監視
検知SIEM / EDR ログのリアルタイム相関分析
22. アラートトリアージ
初期分析インシデントの確度・深刻度判定
33. CSIRTエスカレーション
統括対策本部の立ち上げ・経営陣報告
44. 封じ込め・根絶・復旧
解決端末隔離・フォレンジック・再発防止
💡 24時間監視・トリアージを担う「SOC」と、インシデント発生時の意思決定・封じ込め指揮・対外報告（個人情報保護委員会やJPCERT/CC等）を担う「CSIRT」の連携が要諦
概要と本質
高度なサイバー攻撃に対抗するため、検知・分析を行う技術監視部隊（SOC）と、意思決定・関係各所連携を行う対応統括部隊（CSIRT）の役割分担が重要です。NIST SP 800-61（コンピュータセキュリティインシデント対応ガイド）に準拠した運用設計が求められます。
重要ポイント・コア概念
- SOCの役割：ログ収集・相関分析、ファーストレスポンス、誤検知（False Positive）の排除
- CSIRTの役割：経営陣・広報・法務とのエスカレーション、外部専門機関（JPCERT/CC、警察）連携
- 事後活動（Post-Incident Activity）：根本原因分析（RCA）と再発防止策の策定、手順書の改訂
午後記述・情報セキュリティ対策での攻略ポイント
午後問題で「インシデント発生時の連絡体制フロー」「外部委託SOCと社内CSIRTの連携手順」「証拠保全とシステム復旧の優先判断」が頻出します。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
