SOCとCSIRTの違い｜セキュリティ運用体制の考え方と規模別の設計パターン

「インシデントが起きたら誰に連絡すればいいですか？」——この質問に即答できる組織が、現場でどれくらいあるでしょうか。

SOCやCSIRTという言葉は聞いたことがあっても、「うちには関係ない大企業の話」と思っていませんか。規模に関わらず、インシデントが起きたときに「誰が・何を・どの順番でやるか」を決めておくことは、すべての組織に必要です。

この記事では、SOCとCSIRTの役割の違いと、組織の規模に合った体制の作り方を整理します。

「うちにはSOCもCSIRTもない」——では、インシデントが起きたら誰が動くのか

インシデント対応の全体像については「セキュリティインシデント対応入門」で解説しています。

セキュリティ運用体制が整っていない組織でインシデントが発生すると、以下のような状況が起きます。

SOCとCSIRTはこれらの問題に対して「誰が何を担当するか」を明確にする仕組みです。名前や規模にこだわるより、役割を定義して担当者を決めることが本質です。

SOC（Security Operation Center） ネットワーク・システム・アプリケーションのログやアラートを24時間365日監視し、セキュリティインシデントを検知・分析する専門チームまたは組織。

SOCの主な役割は「異常を見つけること」です。EDRやSIEMのアラートを監視し、「これは本物の攻撃か・誤検知か」を判断して、インシデントと判断した場合にCSIRTへ引き渡します。

SOCが担う主な業務は以下の通りです。

業務	内容
ログ・アラートの監視	EDR・SIEM・ファイアウォールのアラートを常時監視
トリアージ	アラートの優先度判定・誤検知の除外
初期分析	攻撃の種類・影響範囲の暫定的な特定
CSIRTへのエスカレーション	インシデントと判断した場合の引き渡し

EDRのアラート対応の基本については「EDRとは？」で解説しています。

CSIRT（Computer Security Incident Response Team） セキュリティインシデントが発生した際に対応・収束・再発防止を担う専門チーム。常設である場合と、インシデント発生時に招集される場合がある。

CSIRTの主な役割は「インシデントを収束させること」です。SOCから引き渡されたインシデントに対して、封じ込め・証拠保全・復旧・再発防止までを担当します。

SOCとCSIRTは独立して動くのではなく、インシデントを起点に連携します。

【連携の流れ】

SOC（常時監視）
  ↓ アラート検知・トリアージ
  ↓ 「インシデント」と判断
  ↓ エスカレーション
CSIRT（対応開始）
  ↓ 封じ込め・調査
  ↓ 復旧・報告
  ↓ 再発防止策をSOCにフィードバック
SOC（監視ルールの改善）

重要なのは「SOCが検知したら必ずCSIRTに引き渡すルート」と「CSIRTの対応結果をSOCの監視ルールに反映するフィードバックループ」が設計されていることです。この2つがないと、検知しても対応されない・同じ攻撃を何度も見逃すという状況が生まれます。

ランサムウェアなど実際のインシデントでの初動対応については「ランサムウェア対応の初動手順」を参照してください。

セキュリティ専任チームを社内に持ち、SOCとCSIRTをそれぞれ設置します。24時間対応のためにシフト制を組み、SIEMやEDRを活用した高度な監視体制を構築します。

必要なもの：専任のセキュリティ人材・SIEM基盤・インシデント管理ツール・対応手順書（プレイブック）

社内にセキュリティ専任者を置くのが難しい場合、外部サービスで補完する方法があります。

外部サービス	役割
SOCaaS（SOC as a Service）	SOC機能を外部に委託。24時間監視をアウトソース
MDR（Managed Detection and Response）	EDRの監視・対応まで含めてアウトソース
外部CSIRTサービス	インシデント発生時に外部の専門家を呼ぶ契約