CSIRT の役割
組織内 CSIRT の役割に関する記述として，最も適切なものはどれか。
- ア組織の情報セキュリティ方針を承認し，情報セキュリティに関する最終的な責任を負う。
- イ組織の情報システムが管理基準に準拠しているかを独立した立場で監査し，保証意見を表明する。
- ウ国内外の CSIRT 間の調整を担う窓口として，製品の脆弱性情報の公表時期を開発者と調整する。
- エ組織内のインシデント報告の受付窓口となり，対応の調整や支援を行うとともに，外部の CSIRT などと情報連携する。
正解と解説を見る
正解 エ
この問題の基礎知識
- CSIRT（Computer Security Incident Response Team）は，セキュリティインシデントの報告の受付，分析，対応の調整や支援などを行う組織である。
- CSIRT には，組織内 CSIRT のほか，国や地域を代表して CSIRT 間の調整や脆弱性情報の公表調整を行うコーディネーションセンター（日本では JPCERT/CC）などの種類がある。
- 情報セキュリティ方針の確立と最終的な責任はトップマネジメント（経営者）が担い，独立した立場で準拠性を評価して保証意見を表明するのは監査人の役割である。
ア組織の情報セキュリティ方針を承認し，情報セキュリティに関する最終的な責任を負う。
情報セキュリティ方針の確立と，情報セキュリティに関する最終的な責任はトップマネジメント（経営者）が担う。CSIRT はインシデント対応を担う組織であり，方針の承認者ではない。
イ組織の情報システムが管理基準に準拠しているかを独立した立場で監査し，保証意見を表明する。
独立した立場で管理基準への準拠性を評価し，保証意見を表明するのは監査人の役割である。インシデント対応を担う CSIRT は監査対象側に属し，その役割ではない。
ウ国内外の CSIRT 間の調整を担う窓口として，製品の脆弱性情報の公表時期を開発者と調整する。
国や地域を代表して CSIRT 間の調整や脆弱性情報の公表調整を行うのは，JPCERT/CC などのコーディネーションセンターの役割であり，組織内 CSIRT の主な役割ではない。
エ組織内のインシデント報告の受付窓口となり，対応の調整や支援を行うとともに，外部の CSIRT などと情報連携する。正解
組織内 CSIRT は，インシデントの報告受付，分析，対応の調整・支援を担い，組織の窓口として外部の CSIRT や関係機関と情報を共有する。
検証用の出典出典照合済み
JPCERT/CC CSIRT ガイド ／ NIST SP 800-61 Rev. 3 Incident Response Recommendations and Considerations for Cybersecurity Risk Management照合の根拠（3 件）
- エ（正解）: CSIRT はインシデント情報を受け付け，対応する。ア（方針承認・最終責任）・イ（独立監査）はインシデント対応サービスではないので排除される
An incident response team (also known as a Computer Security Incident Response Team [CSIRT]) is responsible for providing incident response services to part or all of an organization. The team receives information on possible incidents, investigates them, and takes action to ensure that the damage caused by the incidents is minimized.
NIST SP 800-61 Rev. 2 · Appendix F (FAQ 4)（新しいタブで開きます） - エ（正解）: 外部の CSIRT などとの連携
It is also vital to build relationships and establish suitable means of communication with other internal groups (e.g., human resources, legal) and with external groups (e.g., other incident response teams, law enforcement).
NIST SP 800-61 Rev. 2 · Executive Summary（新しいタブで開きます） - ウ（誤り）: 脆弱性情報の公表日の調整は調整機関である JPCERT/CC の役割
JPCERT/CC は、製品開発者から脆弱性検証の結果を受け取り、製品開発者と相談した上で、脆弱性情報と製品開発者の対策方法および対応状況の公表日を決定し、IPA および関係する製品開発者に通知します。
IPA 情報セキュリティ早期警戒パートナーシップガイドライン · Ⅳ 4. 3) 公表日の決定（新しいタブで開きます）
ア・イは CSIRT の定義（インシデント対応サービスの提供）から排除されると判断した。経営者の責任・監査人の役割を述べた METI 資料（システム監査基準等）は取得できない（HTTP 403）。