まず、いちばん重要な点を先に置きます。JPCERT/CCの『CSIRTガイド』は、こう書いています。

同資料には、実装の形を示した図が載っています。独立部署・部署横断・個人の3つが並んでいます。「個人」も公式に例示されていることは、知っておく価値があります。

出典：JPCERT/CC『CSIRTガイド』図1.1-2「CSIRTの実装はさまざま（独立部署、部署横断、個人）」。右2列の補足は筆者によるものです。

この考え方があるので、CSIRC（シーサーク：Computer Security Incident Response Capability）という言い方もあります。Team（チーム）ではなくCapability（機能・能力）。人の集まりよりも、その機能が組織にあるかどうかが本質だという意味です。

第1章 おわり — 次は第2章

CSIRTの話が増えている理由は、道具の話が行き詰まったからではありません。被害が長期化しているからです。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月公表）。BCP・復旧期間・費用はいずれも、ランサムウェア被害に遭った企業・団体等へのアンケート結果です。

1行目を、もう一度読んでください。実際に被害に遭った組織のうち、事前に決めていたのは18%です。残りは、事故が起きてから体制を作り始めました。

警察庁は、被害後の対応についてこう書いています。

ここで求められているのは、高度な技術ではありません。連絡先の一覧です。それすら8割の組織が持っていなかった、というのが1行目の中身です。

制度の側からも求められています

経産省・監督省庁に関する記述はJPCERT/CC『CSIRTガイド』はじめにより。NCAの件数は同協議会の加盟組織一覧ページの表示件数で、ページに基準日の表示がないため、確認日を併記しています。

4行目について補足します。655という数字は、「協議会に加盟している組織」の数であって、日本のCSIRTの総数ではありません。加盟していないCSIRTのほうが、はるかに多いはずです。この数字は規模ではなく、コミュニティが成立していることの証拠として見てください。

第2章 おわり — 次は第3章

CSIRTの業務は、JPCERT/CCの整理では3つのステージに分かれます。事故対応そのものは、そのうちの1つでしかありません。

出典：JPCERT/CC『CSIRTガイド』6.1節。

同資料は、平時の業務についてこう述べています。「CSIRTの日常業務として最も重要なことは、インシデントに関する情報の収集とそれが自組織のシステムに与える影響の分析、そして自組織のリスク許容度を評価すること」。ウイルス対策ソフトの導入ではありません。

よく混ざる3つの言葉を分ける

「インシデント対応」と呼ばれるものは、実は3層の入れ子になっています。ここを分けておくと、提案書や契約書が読みやすくなります。

出典：JPCERT/CC『CSIRTガイド』図6.1-1。同資料は「これらの区別は厳密なものではなく、CSIRTによって異なります」とも述べています。

この入れ子が分かると、「インシデント対応を外部に委託した」と言うときに、どの層のことなのかが問えるようになります。多くの場合、委託できるのはいちばん内側だけです。

対応中に動く4つの機能

出典：JPCERT/CC『CSIRTガイド』6.2節および図6.2-1。

この表で気づいてほしいのは、4つのうち技術が中心なのは2番だけだということです。残りは判断と、伝達と、説明です。これが第5章につながります。

第3章 おわり — 次は第4章

JPCERT/CCの位置づけは『CSIRTガイド』1.2節の分類にもとづきます。

6行目に補足します。CSIRTはサービス対象（誰のインシデントに対応するか）によって6つに分類されており、JPCERT/CCは「国際連携CSIRT」に当たります。自社に作るのは「組織内CSIRT」です。

出典：JPCERT/CC『CSIRTガイド』1.2節。同資料は「この分類方法は一例に過ぎず、他にもさまざまな視点で分類されることがあります」と注記しています。

よくある3つの誤解

第4章 おわり — 次は第5章

「セキュリティに詳しい人がいないから、CSIRTは無理だ」。これがいちばん多い理由だと思います。ところが、JPCERT/CCはその前提を正面から否定しています。

同じ節には、こうも書かれています。「そのような専門知識やIT分野における経験は、必ずしもCSIRTメンバーとなる者への必須要件とはなりません」。

理由は第3章の4機能を見れば分かります。技術が中心なのは4つのうち1つだけで、残りは判断・伝達・説明です。事故のとき、いちばん詰まるのは「誰に言えばいいか分からない」であって、「技術的に解析できない」ではありません。

では、何を決めればCSIRTと言えるのか

JPCERT/CCは「CSIRTにあらかじめ必要なこと」として、4つを挙げています。逆にいえば、この4つが決まっていれば、規模は問われません。

出典：JPCERT/CC『CSIRTガイド』5章（5.1〜5.4）。右端の列は筆者による補足です。

4番について補足します。同資料は「インシデントの内容によっては自ら検知することが難しいものもあり、そのようなインシデントは多くの場合、外部からの通報がなければ知ることができません」と述べています。自社サイトに連絡先が書かれていない組織は、外から教えてもらう道を自分で閉じていることになります。

第5章 おわり — 次は第6章

前章の4項目を、実際の人に割り当ててみます。専任は0人、兼任3人という前提です。

この割り当ては筆者による整理で、公的な雛形ではありません。組織の実情に合わせて調整してください。

この3人＋外部で、第5章の4項目は埋まります。肝心なのは、AとCを空けないことです。技術のBだけ決まっていて、判断者と伝達役が決まっていない——これが最も多い状態です。

紙1枚で始める

実務上の一般的な整理です。BCPをすでにお持ちの組織は、その中に組み込むのが確実です。

第6章 おわり — 次は第7章

「体制を作るべき」と言われても切迫感が湧かないのは、決めていない場合に何が起きるかが具体的でないからだと思います。場面ごとに並べます。

実務上よく見られる整理で、統計にもとづくものではありません。個々の組織で状況は異なります。

この表のどの行も、技術力の差ではありません。決めてあるかどうかの差です。そして失われるのは時間で、時間は費用に変わります。第2章の「復旧に1か月以上が半数近く」「総額1,000万円以上が5割超」は、この積み重ねの結果でもあります。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ