CSIRTと情報共有体制

CSIRT（Computer Security Incident Response Team）は、組織で発生したセキュリティインシデントを受け付け、分析し、対応を調整して再発防止につなげる機能である。単一の組織だけでは攻撃の全体像を把握しきれないため、外部の専門機関や他組織と情報を共有し、連携して対応することが不可欠である。本単元では、情報共有の枠組みと、その中でCSIRTが果たす役割を整理する。

情報共有の仕組みと役割分担

インシデントへの対応は、報告の受付、発生状況の把握、手口の分析、再発防止策の助言という流れで進む。国内でこの中核を担う組織がJPCERT/CCであり、特定の政府機関や企業から独立した立場で、国内のコンピュータセキュリティインシデントの報告を受け付け、対応を支援する。

一方で、電子政府推奨暗号の安全性評価を行う組織や、産業標準の調査・審議を行う組織は、インシデント対応の受付機関とは役割が異なる。政府全体のサイバー攻撃対策の司令塔機能を担う組織も、個別のインシデントを直接受け付ける窓口とは区別される。対応の窓口と、評価や標準化を担う組織を混同しないことが、役割分担を理解する第一歩である。

官民の情報共有の取組み

J-CSIP（サイバー情報共有イニシアティブ）は、参加組織の間で標的型サイバー攻撃などに関する情報を共有し、高度な攻撃への対策につなげる取組みである。参加組織が検知した攻撃情報を持ち寄り、IPAが集約・分析するハブとなる点が特徴である。

J-CSIPは、参加組織間で監査を相互に実施して結果を共有する取組みや、データを相互にバックアップする取組みとは異なる。また、セキュリティ製品の有効性を評価して公開する仕組みでもない。共有の対象は攻撃に関する情報であり、対策の結果を評価する制度と混同しないことが求められる。

J-CRAT（サイバーレスキュー隊）は、標的型サイバー攻撃を受けた組織などから提供された情報を分析し、攻撃の実態と被害を明らかにする。社会や産業に重大な被害を及ぼしかねない攻撃を把握し、対策の早期着手を支援する点が役割の中心である。政府全体の監視機能を整備する役割や、重要インフラ事業者が秘密保持契約の下で情報を共有する仕組みとは区別して理解する。

ISAC（Information Sharing and Analysis Center）は、サイバーセキュリティ情報を組織間で共有し、攻撃への防御力を高めることを目的とする枠組みである。事業規模が大きくない組織であっても、加盟によって外部の攻撃情報を入手し、自社だけでは得られない視点から対策を検討できる。

ISACから受けた情報は、自社の機器や通信の状況と照らし合わせて対応の要否を判断する。逆にISACへ情報を提供する際には、どの機器でどのような痕跡が見られたかを具体的に伝えることが、他社の防御に役立つ情報になる。