SOCとCSIRTの違いは？監視と事故対応の役割を少人数の会社で分ける

SOCは平時にログを見て異常を見つける役割で、CSIRTは事故が起きたときに判断と対応を受け持つ体制です。少人数の会社なら、見張りは外部に任せ、判断と連絡を社内に残す分け方ができます。

今日やることは、「夜中に外部から通知が来たら、誰の電話が鳴り、その人は誰に判断を求めるのか⁠」⁠を紙に書くことです。2つ⁠の役割の間の受け渡しが決まっていれば、組織の名前がなくても動けます。

SOCとCSIRTは、どこが違うのか？

一番の違いは、動く場面です。日本セキュリティオペレーション事業者協議会（ISOG-J）⁠のセキュリティ対応組織の教科書（第2.1版・2018年）⁠は⁠、次のように整理しています。

CSIRTは、JPCERT/CC⁠の説明では「組織内の情報セキュリティ問題を専門に扱う、インシデント対応チーム」⁠で⁠す⁠。Computer Security Incident Response Teamの略です。SOCはSecurity Operation Centerの略です。

ただし、線は厳密ではありません。教科書も「呼ばれることが多い」という書き方です。英国のNCSCの指針は、SOCの範囲は大きく異なり、多くは検知と対応の両方を受け持つとしています。会社によっては、SOCという名前の部隊が対応まで行います。名前より、誰が何をするかで考えます。

CSIRTの入口がSOCだけではない点にも注意が要ります。製造業なら、取引先から「御社の名前で不審なメールが届いた⁠」⁠と電話が来ることがあります。こうした連絡も、CSIRTの役割の入口です。監視を入れても、社外からの連絡を受ける窓口は別に要ります。

少人数の会社は、何を外に出して、何を残すのか？

全部を社内で持つ必要はありません。教科書も、一つの組織内にすべての機能を持つ必要はないと書いています。分け方の考え方は、扱う情報が社内のものか社外のものか、専門の技術が要るか、の2つ⁠の軸です。

同じ教科書は、組織の形の一つに「ミニマムインソース」⁠を挙げています。社内に専門の知見がほとんどなく、外部の専門組織に大きく頼る形です。IT企業ではない会社が総務部門を中心に組織を作る場合は、実態としてこの形になると説明しています。

これを専門家のいない会社の仕事に当てはめると、次の表になります。振り分けは私たちの整理で、教科書の記載そのものではありません。

見張りを頼む先の比べ方は、SOCサービスの比較の見方⁠にまとめました。商品の並びはセキュリティ運用代行・顧問サービスの比較で見られます。CSIRTの運用を支援するサービスも載っています。

受け渡しは、どう決めるのか？

外部のSOCと社内のCSIRTを分けると、弱くなるのはその間です。教科書も、組織をまたいで連携するなら非常に緊密な関係が必要だとしています。決めることは多くありません。

1. 通知を受ける人と代わりの人。夜間と休日を含めて、2人⁠の電話番号を外部に渡す
2. 受けた人が誰に回すか。重大なものは社長、それ以外は翌営業日など
3. 外部が社内の判断なしに実行してよい作業。端末の隔離など
4. 連絡がつかないときの扱い。何分待って、誰に回すか
5. 記録の残し方。時刻と、誰が何を決めたかを書く

時間の感覚をつかむには、IPAのサイバーセキュリティお助け隊サービス基準（2.1版）⁠が参考になります。重大な事案は即時、60分以内⁠を目標に通知する基準です。その通知を受ける人が社内にいて、はじめて次の動きにつながります。

夜間の連絡手段も確かめます。たとえばSOMPO SOCは、分析とメール通知は24時間で、電話は日中帯です。サービスごとに違うので、夜間にメールを見る人が要るのかどうかを決めておきます。

人数別の分け方は？

人数に決まりはありません。次は私たちの整理で、考え方の例です。

社内で動けるのが3人の会社

社長が判断、総務が連絡と記録、ITに詳しい1人⁠が機器の対応を受け持ちます。見張りと調査は外部です。総務とITの担当が通知の受け手と代わりを兼ねます。同じ人に集中するので、社長も連絡先の一覧を手元に持ちます。

社内で動けるのが5人以上の会社

拠点ごとに連絡役を置けます。判断する人の代わりも決められます。社内の窓口を1つ⁠にして、取引先からの連絡もそこへ集めます。

工場がある会社

たとえば、昼夜で動く工場がある製造業の場合です。夜間の通知は、事務所の総務ではなく工場側の責任者に届くようにします。ラインに関わるシステムを止める判断は、工場長と社長のどちらが行うのかを先に決めます。

設備につながるPCに異常が出たとき、外部のSOCには止めてよいかがわかりません。生産への影響を判断できるのは工場の人です。工場の連絡先を受け渡しの表に入れておくと、夜間に話が止まりにくくなります。

なぜ、この分担を今決めるのか？

警察庁の令和8年上半期の報告⁠によると、ランサムウェアの被害報告は123件で、半期として統計開始以降で最多でした。被害企業の約6割⁠が中小企業、業種別では製造業が約3割です。同じ報告のアンケートでは、1か月未満で復旧した組織は全体の5割弱に留まります。

どの会社でも起きるとは言えませんが、起きたときに誰が決めるのかは、起きる前にしか落ち着いて決められません。この分担に製品の購入は要りません。

事故のとき、社外のどこに頼るのか？

契約している先がない場合に備えて、連絡先を控えておきます。

• IPAの相談・届出窓口の一覧：企業組織向けの相談窓口があり、連絡先に迷ったらここと案内されています
• JNSAのサイバーインシデント緊急対応企業一覧：受付時間、対応地域、相談や見積もりが無償かどうかが並びます（2026年4月更新）

原因の調査を頼む先は、インシデント対応・フォレンジックの比較で事前に見ておけます。ログがなければ調べられないので、SIEM製品の比較やパソコンのログでわかる範囲⁠も関係します。平時の運用についてはセキュリティ運用のカテゴリ⁠にまとめています。