SOC・CSIRTとは（全体像）
セキュリティを守るには、「ふだんの見張り」と「事が起きたときの対応」の両方が要る。この2つを担うのがSOCとCSIRTだ。
- SOC（Security Operations Center）… 24時間365日、セキュリティを監視する部署。SIEMなどで異常を見つける。
- CSIRT（Computer Security Incident Response Team）… インシデントが起きたときに対応する専門チーム。
押さえるのは、SOCとCSIRTの役割の違いと、インシデント対応の6フェーズだ。
詳しく：役割と6フェーズを押さえる
ここが心臓部。まず2つの役割を整理する。
SOCとCSIRTの役割
| 組織 | 役割 |
|---|---|
| SOC | 24時間365日の監視が中心（SIEM中心・SOARで自動化） |
| CSIRT | インシデント対応の専門チーム（日本はJPCERT/CCが代表） |
インシデント対応は6つのフェーズで進む（NIST SP 800-61）。
インシデント対応の6フェーズ
| 段階 | 内容 |
|---|---|
| 準備 | ふだんから備える |
| 検知 | 異常を見つける |
| 封じ込め | 被害の広がりを止める |
| 根絶 | 原因（火種）を取り除く |
| 復旧 | 元の状態に戻す |
| 教訓 | ふり返って次に活かす（事後活動） |
言葉を噛み砕いておく。
- SOCとCSIRTの違い … SOCは「見張り」（日常の監視）、CSIRTは「事が起きたときの対応」（封じ込め・復旧など）。役割が違うが、連携して動く。
- 6フェーズ … 準備→検知→封じ込め→根絶→復旧→教訓。最後の教訓（事後活動）で、次に活かすところまでが対応に含まれる。
- CSIRTは規模を問わない … 「大企業だけのもの」ではなく、規模を問わず持つことが推奨される。
わかりやすく言い換えると
つまり、SOCは「24時間の警備監視室」、CSIRTは「事故時の消防・初動対応チーム」にたとえるとスッと入る。
SOCは、カメラ（SIEM）で建物をずっと見張り、異常を見つける監視室。CSIRTは、火事（インシデント）が起きたときに駆けつけて対応するチームだ。見張りと対応で役割が分かれる。
対応の流れは、火事にたとえると分かりやすい。準備（日頃の備え）→検知（火災発見）→封じ込め（延焼を止める）→根絶（火種を消す）→復旧（元に戻す）→教訓（反省して次に活かす）。この6段階で進める、というわけだ。
試験のツボ
🔴 一番出る：SOCとCSIRTの違い
①SOC＝24時間365日の監視が中心（SIEM中心）
②CSIRT＝インシデント対応の専門チーム（日本はJPCERT/CC）
🔴 次に出る：インシデント対応の6フェーズ
①準備・検知・封じ込め・根絶・復旧・教訓
②最後の教訓（事後活動）で次に活かすところまで含む
🟡 押さえると安定：SOC＝CSIRTではない。CSIRTは規模を問わず推奨
よくある間違い
①「SOCとCSIRTはまったく同じものだ」→ ✗ SOCは監視が中心、CSIRTはインシデント対応の組織。役割が違う。
②「CSIRTは大企業だけが持てばよい」→ ✗ 規模を問わず持つことが推奨される。
③「インシデント対応は復旧で終わりで、ふり返りはしない」→ ✗ 最後の教訓（事後活動）まで含む。ふり返って次に活かす。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（SOCとCSIRT）
SOCとCSIRTに関する次の記述のうち、正しいものはどれか。
- SOCもCSIRTもまったく同じ組織で、監視と対応のどちらも区別なく行うとされているのが実情である
- SOCは画面の文字を大きくする設定のことで、セキュリティの監視とは関係しないとされているものである
- SOCは24時間365日の監視が中心、CSIRTはインシデント対応の専門チームで、役割が違うものである
- CSIRTは通信を速くするためだけのしくみで、そもそもインシデント対応とはまったく関係がないとされているのだ
解答は 3 である。
SOCは24時間365日の監視が中心、CSIRTはインシデント対応の専門チーム。見張りと対応で役割が分かれる。
選択肢1は「まったく同じ」が誤り。選択肢2の画面設定、選択肢4の通信速度は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 監視と対応で役割が違う |
| 2 | ✗ | 画面設定ではない |
| 3 | ✓ | SOC＝監視・CSIRT＝対応で正しい |
| 4 | ✗ | 通信を速くするしくみではない |
オリジナル問題2（6フェーズ）
インシデント対応のフェーズに関する次の記述のうち、正しいものはどれか。
- インシデント対応は復旧で完全に終わりで、ふり返りや教訓の段階はいっさい存在しないとされているのだ
- インシデント対応は準備・検知・封じ込め・根絶・復旧・教訓の6段階で進め、最後にふり返って次に活かす
- インシデント対応は検知から始まり、準備という段階はそもそも存在しないものとされているのが実情である
- インシデント対応は通信の速度を上げる作業のことで、被害の封じ込めや復旧とは関係しないとされている
解答は 2 だ。
インシデント対応は、準備・検知・封じ込め・根絶・復旧・教訓の6段階で進める。最後の教訓（事後活動）で、ふり返って次に活かすところまで含む。
選択肢1は「復旧で終わり」が誤り。選択肢3は「準備がない」が誤り。選択肢4は「通信を速くする作業」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 教訓の段階まで含む |
| 2 | ✓ | 6段階・最後に教訓で正しい |
| 3 | ✗ | 準備の段階から始まる |
| 4 | ✗ | 通信を速くする作業ではない |
オリジナル問題3（CSIRTの位置づけ）
CSIRTに関する次の記述のうち、正しいものはどれか。
- CSIRTはインシデント対応の専門チームで、規模を問わず持つことが推奨されるものとされている
- CSIRTは大企業だけが持てばよく、中小の組織には不要なものだとされているのが実情だ
- CSIRTは画面を拡大する機器のことで、インシデント対応とはまったく関係しないとされているものだ
- CSIRTはデータを圧縮するためだけのしくみで、セキュリティの事故対応とは無関係とされているのである
解答は 1 だ。
CSIRTはインシデント対応の専門チームで、規模を問わず持つことが推奨される。「大企業だけ」ではない点が大事だ。
選択肢2は「大企業だけ」が誤り。選択肢3の画面拡大、選択肢4の圧縮は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 対応の専門チーム・規模問わず推奨で正しい |
| 2 | ✗ | 大企業だけではない |
| 3 | ✗ | 画面拡大の機器ではない |
| 4 | ✗ | 圧縮のしくみではない |
まとめ
押さえどころ
- 🔴 SOC ＝ 24時間365日の監視が中心（SIEM中心・SOARで自動化）。CSIRT ＝ インシデント対応の専門チーム（日本はJPCERT/CC）。
- 🔴 インシデント対応は6フェーズ（準備・検知・封じ込め・根絶・復旧・教訓）。最後の教訓まで含む。
- 🟡 SOC＝CSIRTではない（監視と対応）。CSIRTは規模を問わず推奨。
次に学ぶ
- NWセキュリティ（FW・IDS/IPS・WAF） ── SOCが監視する、入口を守る技術的なしくみ。
- セキュリティガバナンス（ISO 27001・NIST CSF） ── SOCやCSIRTを位置づける、組織の管理のしくみ。
- ランサムウェア（RaaS・四重脅迫） ── CSIRTが対応する、代表的なインシデントの例。
執筆: SikakuQuest編集部