正解：ウ
各選択肢の解説
ア事故の報告を受けるまでは活動を控え、発生後の対応だけを受け持つようにしておく。
誤り。CSIRTを「火事が起きてから出動する消防」とだけ捉える誤解です。 事故時に素早く動けるかどうかは、平常時の情報収集や手順の準備で決まるため、 平常時の活動もCSIRTの重要な役割です。
イ経営層と各部門の責任者で、全社の情報セキュリティ方針や規程を審議して承認する。
誤り。これは情報セキュリティ委員会の役割です。方針や規程を決める場であり、 CSIRTはその方針のもとで、インシデントへの備えと対応を実務として担う チームという位置づけです。
ウ脆弱性や攻撃の情報を外部組織から集めて社内に注意喚起し、事故時の連絡手順を整える。
正解。CSIRTは事故時の対応だけでなく、平常時にも脅威情報の収集と社内への周知、 対応手順や連絡体制の整備、訓練などを行い、いざというときに備えます。
エ独立した立場から、規程どおりに対策が運用されているかを点検し、経営者に報告する。
誤り。これは内部監査（情報セキュリティ監査）の役割です。対策を実施する側から 独立して点検することに意味があるため、対応の当事者であるCSIRTが 自らこの役を担うことはありません。
理解を深めるために
消防署は火事のない日も働いている
消防署は、火事が起きていない日にも、防火の呼びかけや設備の点検、訓練をしています。 だからこそ通報があればすぐに出動できます。CSIRT（シーサート）も同じで、 インシデントが起きたときに対応するチームですが、その力は平常時の準備で決まります。
CSIRTの平常時と緊急時
CSIRTは Computer Security Incident Response Team の略で、組織内でインシデントに 対応するチームです。
- 平常時：脆弱性情報や攻撃手口の情報を収集し、社内へ注意喚起する。対応手順や 連絡体制を整え、訓練や教育を行う。他社のCSIRTや外部機関と連携の関係を作っておく
- 緊急時：インシデントの報告を受け付け、影響の調査、被害の封じ込め、復旧、 再発防止までを指揮し、社内外との連絡・調整にあたる
社外との窓口になるのもCSIRTの特徴です。外部から「御社のサーバから不審な通信が 出ている」と連絡が来たとき、受け止める先がはっきりしていることが重要です。
混同しやすいものとの違い
| 組織 | 主な役割 |
|---|---|
| CSIRT | インシデントへの備えと対応、社内外との連絡・調整 |
| 情報セキュリティ委員会 | 全社の方針や規程を審議・決定する |
| 内部監査部門 | 独立した立場で運用状況を点検する |
| SOC | ログや通信を常時監視し、攻撃の兆候を検知する |
試験では「対応・調整」ならCSIRT、「監視・検知」ならSOC、「決定」なら委員会、 「点検」なら監査と、動詞で切り分けると迷いません。