PSIRTとCSIRT：製品の脆弱性と自社ITのインシデント

CSIRTとは？

CSIRT（Computer Security Incident Response Team）は、コンスティチュエンシーと呼ばれる特定の人々や組織の集団に対して、セキュリティインシデントに対処するチームです。FIRSTのCSIRT Services Frameworkは、CSIRTを、そのコンスティチュエンシーに「コンピューターセキュリティインシデントの予防、検知、対処、対応のための」サービスを提供する組織単位（仮想的な場合もある）または機能と定義しています。

コンスティチュエンシーによって、CSIRTの種類が決まります。

• 企業CSIRT：1社の自社ネットワーク、システム、アカウント、データ。
• セクターCSIRT：金融やエネルギーなど、1つの業界に属する組織の集団。
• ナショナルCSIRT：国全体。国境を越えた調整の役割を担うことも多い。
• ベンダーチーム：企業の顧客（自社製品の問題が対象）。これがPSIRTです。

CSIRT Services Framework（バージョン2.1）は、CSIRTのサービスを5つの領域に分類しています。情報セキュリティイベント管理、情報セキュリティインシデント管理、脆弱性管理、状況認識、知識の移転です。

PSIRTとは？

PSIRT（Product Security Incident Response Team）は、FIRSTの言葉を借りれば、組織が製造または販売する「製品のセキュリティ脆弱性に関連するリスクの特定、評価、処置」に注力する組織内の部門です。脆弱性の報告を受け付け、影響を受ける製品とバージョンを特定し、修正を開発して出荷させ、アドバイザリを通じて顧客に知らせます。

そのフレームワークであるPSIRT Services Framework（バージョン1.1）には、6つのサービス領域があります。ステークホルダーエコシステム管理、脆弱性の発見、脆弱性のトリアージと分析、修正、脆弱性の開示、トレーニングと教育です。

主な違い

違いは、誰のシステムがリスクにさらされているかです。CSIRTは組織を守ります。インシデントは自社の環境で起きており、自社で封じ込めます。PSIRTは顧客を守ります。脆弱性は顧客の環境で動いている自社製品の中にあり、顧客の代わりにパッチを当てることはできません。修正を出荷し、インストールするよう顧客に伝えます。

FIRSTは端的に、同じ組織内のPSIRTと他のインシデント対応チームとの間で「製品に注力していることが主な差別化要因」であり、企業CSIRTは一般に組織自身のインフラを構成するシステムとネットワークに注力していると述べています。

PSIRTとCSIRTの比較

	企業CSIRT	PSIRT
対象範囲	組織自身のネットワーク、システム、データにおけるインシデント	組織が出荷する製品の脆弱性
コンスティチュエンシー	従業員と社内システム	製品の顧客と利用者
主なインプット	アラート、ログ、ユーザーからの報告、脅威インテリジェンス	研究者からの報告、サードパーティコンポーネントのアドバイザリ、社内テスト、調整機関
主なアウトプット	封じ込めたインシデント、復旧したシステム、インシデント後のレビュー	修正済みリリース、セキュリティアドバイザリ、CVEレコード、顧客への通知
起点	インシデントが検知されたとき	脆弱性が報告または公開されたとき
主な責任者	CISOまたはITセキュリティ部門	製品セキュリティ部門またはエンジニアリング部門
FIRSTのフレームワーク	CSIRT Services Framework 2.1	PSIRT Services Framework 1.1
規格	ISO/IEC 27035（インシデント管理）	ISO/IEC 29147（脆弱性開示）、ISO/IEC 30111（脆弱性取扱い）

どちらのフレームワークも、両チームが孤立して動くわけではないことを強調しています。PSIRTのフレームワークは、ナショナルCSIRTを含むCSIRTを、PSIRTが関係を築くべきステークホルダーとして挙げています。ベンダーが脆弱性を早期に知るのは、多くの場合CSIRTを通じてだからです。

CERTとCSIRTの違い

この種のチームとして最初に誕生したのはCERT Coordination Centerです。SEIによれば、1988年のMorrisワームへの対応から、DARPAの資金提供を受けてカーネギーメロン大学のソフトウェア工学研究所に生まれました。CERTはカーネギーメロン大学が米国で登録している商標で、SEIは米国のチームに対し、チーム名への使用を認めています。米国外ではこの商標のライセンスをもう行っていません。

つまり「CERT」と「CSIRT」は同じ種類のチームを指します。CSIRTは中立的な用語で、FIRSTやEUの法律で使われています。多くのチーム、特にナショナルチームは、今も名称にCERTを冠しています。

ナショナルCSIRTと調整機関

発見者、ベンダー、利用者の間に立つため、製品チームにとって重要な組織がいくつかあります。

• CERT/CCは1988年からソフトウェア脆弱性の開示を調整しており、独自のプロセスを構築する組織向けに、協調的な脆弱性開示のガイドを公開しています。
• CISAは、米国で報告者、製造業者、利用者の間の開示を調整しており、応答のないベンダーへの最初の連絡から最短45日で、修正の有無にかかわらず公表することがあります。
• EU各国のCSIRT。NIS2は、すべての加盟国に1つ以上のCSIRTの指定または設置を求めており、これらはCERT-EUとともにCSIRTs Networkで協力しています。EUのサイバーセキュリティ機関であるENISAが、その事務局を務めています。

ナショナルCSIRTは、脆弱性の報告においても正式な役割を担っています。NIS2第12条のもとで、各加盟国は1つのCSIRTを協調的な脆弱性開示の調整機関に指定します。脆弱性の報告者と製造業者の間の信頼できる仲介者として、関係するベンダーを特定し、報告者を支援し、開示のタイムラインを交渉できます。Cyber Resilience Actも同じ役割を前提としています。製造業者は、自社製品で実際に悪用されている脆弱性を、調整機関として指定されたCSIRTとENISAに同時に通知します。

PSIRTとCSIRTの連携

自社製品と社内システムの両方で使われているオープンソースのコンポーネントに脆弱性があり、悪用されているとします。両チームは同じアドバイザリを受け取り、それぞれが自らの役割を果たします。

1. CSIRT：社内のサーバーやノートPCでコンポーネントを見つけ、ログで悪用の痕跡を確認し、パッチ適用または隔離を行い、侵害があればインシデント対応を実施します。
2. PSIRT：どの製品、バージョン、ビルドにコンポーネントが含まれるかを特定し、製品が影響を受けるかを評価し、修正済みリリースを出荷してアドバイザリを公開します。影響を受けないバージョンについてはVEXステートメントを添えます。
3. 両者：侵害の痕跡とタイムラインを共有します。攻撃がビルドシステムに達していたことをCSIRTが突き止めた場合、PSIRTは出荷済みのリリースが改ざんされていないかを確認しなければならず、社内インシデントが製品のインシデントに変わります。サプライチェーン攻撃は、通常この境界を越えます。

PSIRTにとって時間がかかるのは2つ目のステップです。CSIRTは自社の環境をスキャンできます。PSIRTはすでに顧客の手元にあるソフトウェアに責任を負うため、出荷したすべてのリリースに何が含まれていたかを把握している必要があります。PSIRTが修正に至るまでの残りの過程は、脆弱性管理ライフサイクルと協調的な脆弱性開示のページで解説しています。

CSIRTとSOCの違い

セキュリティオペレーションセンター（SOC）は監視します。アラートとログを24時間体制で監視し、ノイズを除外して、本物に見えるものをエスカレーションします。CSIRTは対応します。確認されたインシデントを引き受け、封じ込め、調査し、法務や広報と連携して、復旧を主導します。小規模な組織では、SOCとCSIRTが同じメンバーであることも多く、SEIが指摘するように、チームがCSIRT、SOC、あるいは別の名前で呼ばれるかよりも、どの機能を果たすかの方が重要です。

どちらもPSIRTの代わりにはなりません。SOCは自社の環境を監視するものであり、顧客が使うデバイスの脆弱性は見えません。

両方が必要か？

ソフトウェアやデバイスを製造し、自社のITも運用しているなら、両方の機能が必要です。2つの部門が必要なわけではありません。小規模なベンダーは多くの場合、社内のインシデント対応を担うセキュリティ責任者1人と、製品向けに文書化されたPSIRTプロセス、そして修正に備えてオンコールで待機するエンジニアリングという体制から始めます。分けなければならないのはプロセスです。社内インシデントと製品の脆弱性では、責任者も、期限も、通知すべき相手も異なります。

CRACIの位置付け

CRACIはPSIRT側、つまり出荷するソフトウェアに何が含まれているかの把握を支援します。GitHub Actionsのビルドを自社のランナーで実行し、各ジョブが実際に取得したパッケージを、推移的依存関係やキャッシュから復元されたパッケージも含めて記録し、SBOMをCycloneDXまたはSPDXでエクスポートします。

監視対象のSBOMは継続的に再評価され、ビルド履歴から脆弱な依存関係を含んでいた過去のビルドがわかります。インベントリビューでは、どのバージョンがどの製品にデプロイされているかがわかり、セキュリティチームは検出結果をトリアージして修正を担当するチームに割り当てます。脆弱性トラッキングとPSIRT向けのCRACIをご覧ください。

PSIRTとCSIRT：よくあるご質問

CSIRTとは何ですか？

Computer Security Incident Response Team（コンピューターセキュリティインシデント対応チーム）です。FIRSTは、特定のコンスティチュエンシーに対し、コンピューターセキュリティインシデントの予防、検知、対処、対応のためのサービスと支援を提供する組織単位（仮想的な場合もある）または機能と定義しています。コンスティチュエンシーは、1社、1つのセクター、あるいは国全体の場合があります。

PSIRTとCSIRTの違いは何ですか？

PSIRTは、企業が販売する製品の脆弱性、つまり顧客がさらされる脆弱性に対処します。企業CSIRTは、企業自身のシステムとネットワークにおけるセキュリティインシデントに対処します。FIRSTは、製品に注力していることを両者の主な差別化要因としています。

CERTとCSIRTは同じものですか？

機能的には同じです。CERTはカーネギーメロン大学が米国で登録している商標で、同大学のCERT Coordination Centerは、Morrisワームを受けて1988年に設立された最初のこの種のチームです。CSIRTは一般的な用語です。多くのナショナルチームが名称にCERTを使っており、EUは法律でCSIRTという用語を使っています。

SOCとCSIRTの違いは何ですか？

SOCは24時間体制で監視と検知を行い、アラートとログを見て本物に見えるものをエスカレーションします。CSIRTは確認されたインシデントへの対応、つまり封じ込め、調査、調整、復旧を担います。多くの組織では両者が重なったりメンバーを共有したりしており、SEIは、重要なのはチームの名称ではなく、どの機能を果たすかだと指摘しています。

PSIRTとCSIRTの両方が必要ですか？

ソフトウェアやデバイスを販売し、自社のITも運用しているなら、両方の機能が必要です。ただし、必ずしも2つの部門が必要なわけではありません。小規模な企業では、同じ少人数のメンバーが両方を担うことも多く、その場合もプロセスは分けます。1つは自社環境のインシデント用、もう1つは出荷するものの脆弱性用です。

ナショナルCSIRTは何をしますか？

国単位のコンスティチュエンシーのインシデントに対処し、警告を共有し、国境を越えた調整を行います。NIS2のもとで、EUの各加盟国は少なくとも1つのCSIRTを指定し、そのうち1つが協調的な脆弱性開示の調整機関として、脆弱性の報告者と製造業者の間の信頼できる仲介者を務めます。