正解：エ
各選択肢の解説
ア自社の情報システムで起きたインシデントに対応するCSIRT
誤り。CSIRTが守るのは、自社が使っている情報システムやネットワークです。 どちらも「インシデントに対応するチーム」なので混同しやすいのですが、 販売した製品の脆弱性を直して購入者に届けるのは、製品を対象にする別のチームです。
イネットワークやサーバを常時監視して攻撃の兆候を見つけるSOC
誤り。SOCは、自社のネットワークやサーバのログを常時監視して、攻撃の兆候を 見つける組織です。セキュリティの専門組織という点は同じですが、 役割は監視と検知で、製品の修正版を作って提供することはしません。
ウ国内外の関係者の間で脆弱性情報の調整を行うJPCERT/CC
誤り。JPCERT/CC は、脆弱性情報について開発者や関係機関の間を調整する外部の組織です。 製品の脆弱性に関わるので候補に見えますが、修正版を作って購入者に届けるのは 開発者である自社で、JPCERT/CC はその連絡相手になる立場です。
エ自社が開発・販売した製品の脆弱性に対応するPSIRT
正解。PSIRT（Product Security Incident Response Team）は、自社製品の 脆弱性情報を受け付け、影響を調べ、修正版の提供や利用者への周知を行う組織です。
理解を深めるために
守る対象が「売った製品」ならPSIRT
自動車メーカーにたとえると、社用車の事故に対応する部署と、販売した車の欠陥を リコールで直す部署は別です。セキュリティでも、自社で使うシステムを守るのがCSIRT、 自社が売った製品の弱点を直して届けるのがPSIRTです。
なぜPSIRTが中心になるのか
- PSIRTは、製品の脆弱性を発見者や外部機関から受け付ける窓口を持つ
- 受け付けた情報が自社製品に当てはまるかを調べ、開発部門と修正版を作る
- 修正版の公開と、購入者への周知・回避策の案内までを受け持つ
- この過程で、JPCERT/CC のような外部の調整機関と連絡を取り合うことがある。 ただし、直す責任を持つのは開発者である自社
混同しやすい組織との違い
| 組織 | 守る・扱う対象 | 主な役割 |
|---|---|---|
| PSIRT | 自社が開発・販売した製品 | 脆弱性の受付・修正版の提供・利用者への周知 |
| CSIRT | 自社が使う情報システム | インシデント発生時の対応と社内外との連絡 |
| SOC | 自社のネットワークやサーバ | 常時監視と攻撃の兆候の検知 |
| JPCERT/CC | 社外の組織（一般社団法人） | 脆弱性情報やインシデントの関係者間の調整 |
試験では「製品」「購入者」「修正版」といった語が出たらPSIRT、「社内のシステム」なら CSIRT、「常時監視」ならSOCと、守る対象と役割の語で見分けます。