本記事では、2026年時点のセキュリティ環境を踏まえ、CSIRTの役割からSOCとの違い、AI・脅威インテリジェンスの活用、組織づくりのポイントまでを実践的に解説します。
はじめに
サイバー攻撃は、単に「侵入を防ぐ」だけでは対処しきれない時代に入っています。ランサムウェア、フィッシング、脆弱性の悪用、サプライチェーン攻撃に加え、クラウドや正規サービスを悪用して活動する攻撃者も増えており、企業には「侵入されないための対策」と同時に「侵入された後に、いかに早く状況を把握し、事業への影響を抑えるか」が求められています。
そこで重要になるのが、**CSIRT（Computer Security Incident Response Team）**です。
CSIRTは単なる「セキュリティ事故対応チーム」ではありません。現在では、インシデントの検知・分析・封じ込め・復旧だけでなく、脅威情報の収集、脆弱性への対応、関係部署との調整、経営層への報告、再発防止までをつなぐ組織的な機能として位置付けることが重要です。FIRSTのCSIRT Services Frameworkでも、CSIRTは特定の組織や利用者を対象として、インシデントの予防、検知、処理、対応を支援する組織または能力として整理されています。すべてのサービスを自前で持つ必要はなく、自社の使命や対象範囲に合わせてサービスを設計する考え方が示されています。
1. CSIRTとは？なぜ今、重要性が高まっているのか
1-1. CSIRTの基本的な役割
CSIRTとは、組織内で発生するサイバーセキュリティインシデントに対応するための専門的な組織・機能です。
代表的な業務には、セキュリティアラートの調査、インシデントの影響範囲の特定、端末やアカウントの隔離、攻撃経路の分析、復旧支援、証拠保全、関係者への情報共有、再発防止策の検討などがあります。
重要なのは、CSIRTを「人が集まった部署」とだけ考えないことです。実際に機能するCSIRTには、明確な権限、対応プロセス、技術基盤、連絡体制、外部組織との連携ルールが必要です。FIRSTの最新フレームワークでも、適切なCSIRTには明確なミッションやガバナンス、対象に応じたサービス設計、技術、プロセス、継続的改善が必要とされています。
1-2. 攻撃を「防ぐ」だけでは不十分になった
CSIRTが注目される背景には、攻撃の変化があります。
ENISAの「Threat Landscape 2025」では、2024年7月から2025年6月までに分析した4,875件のインシデントをもとに、DDoSやランサムウェア、脆弱性悪用などの脅威が継続していることが示されています。特にランサムウェアは影響の大きい脅威として位置付けられ、攻撃者が正規サービスやクラウド環境を悪用して検知を回避する動きも確認されています。
つまり、セキュリティ対策は「侵入を100％防ぐ」という発想から、侵入を想定して被害を限定し、迅速に復旧できる状態を作る方向へシフトしています。
2. インシデント対応は「発生後」から「継続的なリスク管理」へ
2-1. NISTの最新指針が示すインシデント対応
インシデント対応の考え方も変化しています。
NISTは2025年4月、従来の「SP 800-61 Rev.2」に代わる「SP 800-61 Rev.3」を公開しました。新しい指針では、インシデント対応を独立した作業として扱うのではなく、Cybersecurity Framework（CSF）2.0に基づくサイバーリスク管理全体へ組み込むことが重視されています。
これはCSIRTの役割を考えるうえでも重要です。
CSIRTは、事故が起きたときだけ活動する「消防隊」ではありません。平時から脅威情報を収集し、重要資産を把握し、脆弱性を確認し、対応手順を整備し、訓練を実施する。そしてインシデント発生後は、その経験を次のリスク低減につなげる。この継続的な改善サイクルこそが現代のCSIRTに求められる姿です。
2-2. 実効性を左右するのは「初動の速さ」
インシデント対応では、攻撃を発見してから最初の数時間が重要になります。
例えば、不審なアカウントが確認された場合、単純にアカウントを削除するだけでは十分とは限りません。認証情報が窃取された経緯、同じ認証情報を利用しているシステム、攻撃者による横展開の有無、データへのアクセス状況などを確認する必要があります。
そのためCSIRTには、検知→トリアージ→分析→封じ込め→根絶→復旧→振り返りという一連の流れを標準化しておくことが重要です。
3. AIと脅威インテリジェンスが変えるCSIRT
3-1. AIは「判断の代替」ではなく「調査の高速化」に活用
2026年のCSIRT運営で無視できないテーマがAIです。
セキュリティログやアラートの量は、人間だけで確認するには膨大です。そこでAIを活用し、ログの要約、アラートの優先順位付け、関連イベントの相関分析、過去インシデントとの類似性確認、調査報告書の作成支援などを自動化することで、担当者の負担を軽減できます。
一方で、AIが出した分析結果をそのまま「事実」として扱うのは危険です。誤検知や見落とし、生成AI特有の誤情報、機密情報の入力リスクなどがあるため、重要な判断については人間による確認を組み込む必要があります。
特に生成AIの普及によって、AIそのものを悪用した攻撃も問題になっています。ENISAは、正規のAIサービスを装った偽サイトやマルウェア、AI・MLモデルやソフトウェアパッケージを狙うサプライチェーン上の脅威などを指摘しています。
これからのCSIRTには、AIを使う側のセキュリティとAIを悪用する攻撃への対応の両方が求められます。
3-2. 脅威インテリジェンスを「行動」につなげる
脅威インテリジェンスとは、攻撃者、攻撃手法、脆弱性、マルウェア、侵害指標などに関する情報を収集・分析し、自組織の防御に役立てる仕組みです。
重要なのは、情報を集めること自体を目的にしないことです。
例えば「特定の脆弱性が悪用されている」という情報を入手したのであれば、自社で該当製品を利用しているかを確認し、対象システムを特定し、パッチ適用や監視強化につなげる必要があります。
つまり、情報収集→自社環境との照合→リスク判断→対策までを短時間で回せる仕組みが、成熟したCSIRTの特徴です。
4. CSIRTとSOCはどう違う？連携が成功の鍵
CSIRTと混同されやすいのがSOC（Security Operation Center）です。
SOCは主にログやアラートを監視し、異常を検知・分析する役割を担います。一方、CSIRTはインシデントが発生した際に、技術面だけでなく、IT部門、法務、広報、経営層、事業部門などを含めて対応を統括する役割を担います。
簡単に言えば、SOCが「異常を見つける機能」であるのに対し、CSIRTは「その異常をインシデントとして扱い、組織としてどう対応するかを決める機能」です。
ただし、実際の組織では完全に分離する必要はありません。企業規模によっては同じ担当者がSOCとCSIRTの業務を兼務することもあります。
重要なのは組織図よりも、誰が検知し、誰が判断し、誰がシステムを止め、誰が経営層へ報告し、誰が社外へ説明するのかを明確にすることです。
5. CSIRTが機能しない理由と、実践的な改善策
CSIRTを設置したにもかかわらず、有事に機能しないケースは珍しくありません。
最大の原因は「権限」と「責任」の曖昧さです。
例えば重大な攻撃を検知した際、CSIRTが「サーバを停止すべき」と判断しても、実際に停止する権限がIT部門や事業部門にしかなければ、意思決定に時間がかかります。
そのため、CSIRTを構築する際には、平時から重大度ごとの対応基準を決めておくことが重要です。「どの条件ならアカウントを停止できるのか」「誰の承認でネットワークを遮断できるのか」「経営層への報告基準は何か」といったルールを事前に定義します。
また、人材不足への対策として、すべてを自社だけで抱える必要はありません。SOCやMSSP、フォレンジック専門会社、法律事務所、広報支援会社などと連携し、外部リソースを含めた対応体制を構築することも有効です。
CSIRTに必要なのは「何でも自分たちでできること」ではなく、必要なときに必要な能力へアクセスできることです。
6. 日本企業に求められるCSIRTの進化
日本でもサイバーセキュリティを取り巻く制度環境は変化しています。
特に重要インフラ分野では、国家サイバー統括室が2026年7月に「重要インフラのサイバーセキュリティ対策のための統一基準」を決定し、2026年10月1日の施行が予定されています。従来の分野・事業者ごとの取り組みだけではなく、横断的かつ統一的な対策水準を意識した取り組みが進められています。
この流れを考えると、CSIRTはIT部門だけの問題ではありません。
経営層は事業継続とリスク管理の観点からCSIRTを支援し、法務部門は報告・契約・個人情報保護などの観点から対応を支え、広報部門は顧客や社会への説明を担い、IT部門は技術的な封じ込めと復旧を進めます。
つまりCSIRTは、セキュリティ部門を中心とした横断型の危機管理機能へ進化していく必要があります。
7. これからのCSIRTに必要な5つの視点
今後CSIRTを強化するなら、単純に人員やセキュリティ製品を増やすだけでは十分ではありません。
第一に、明確なミッションと権限を定めることです。誰を守るチームなのか、何をインシデントとして扱うのか、どこまで判断できるのかを明文化します。
第二に、SOCやIT部門との連携です。検知から封じ込めまでの引き継ぎを標準化し、対応時間を短縮します。
第三に、脅威インテリジェンスの実運用です。外部情報を自社環境のリスク判断に結び付けます。
第四に、AIによる業務効率化です。ログ分析や報告書作成など定型業務を支援させ、人間は高度な判断に集中します。
第五に、訓練と継続的改善です。インシデント対応計画は作成するだけでは意味がありません。机上演習や実践的な訓練を行い、発見された問題を次の計画へ反映する必要があります。
まとめ：CSIRTは「守る組織」から「事業を止めない組織」へ
CSIRTは、サイバー攻撃を受けたときに対応するためだけの組織ではありません。
現代のCSIRTには、攻撃の予防、脅威情報の分析、異常の検知、インシデント対応、事業復旧、経営判断の支援、再発防止までを一つのサイクルとして回す役割が求められています。
NISTの2025年版インシデント対応指針が示すように、インシデント対応はサイバーリスク管理全体へ組み込むことが重要になっています。 また、FIRSTのCSIRT Services Frameworkが示すように、すべてのCSIRTが同じサービスを持つ必要はなく、自組織の使命や対象範囲に合わせて機能を設計することが重要です。
これからのCSIRTに求められるのは、「高度なセキュリティ製品を持っていること」ではありません。異常を素早く発見し、正しく判断し、関係者を動かし、事業への影響を最小限に抑え、その経験を次の防御へつなげられることです。
サイバー攻撃が完全になくならない以上、企業にとって重要なのは「絶対に侵入されない環境」を目指すことだけではありません。侵入や障害が起きても事業を止めず、迅速に立て直せるレジリエンスを高めることです。
CSIRTは、そのレジリエンスを実現する中核機能として、今後ますます重要性を増していくでしょう。
