第42回では、インシデント対応の実働部隊であるCSIRTの役割と、JPCERT/CCや日本シーサート協議会（NCA）といった社外組織との連携を確認した。
続く番外編では、PHPの重大な脆弱性「php2shell」を題材に、脆弱性情報を受け取ってからの対応の流れを見た。この事案では修正版の公開前から悪用の試みが観測されていたが、こうした兆候を日常の監視の中で捉えようとするのが、今回取り上げる「SOC」の役割である。
それでは、情報セキュリティ組織・体制シリーズの最終回として、CSIRTとしばしば混同されるSOCについて、両者の違いと連携のあり方を整理しよう。
SOCとは
SOC（Security Operation Center：セキュリティオペレーションセンター）とは、組織内のネットワークやシステムを監視し、サイバー攻撃の兆候やセキュリティ上の異常を検知することを専門に担う組織・部門である。24時間365日体制で監視を行う場合もある。
ファイアウォールやIDS・IPS（以前のシリーズで確認した技術的対策）が出力する大量のログを常時監視し、通常とは異なる挙動や不審な通信を早期に見つけ出すことが、SOCの中心的な役割となる。
SOCとCSIRTの役割の違い
SOCとCSIRTは、どちらも情報セキュリティの運用に関わる組織であるため混同されやすいが、担っている役割の重心が異なる。
- SOC：監視・検知が中心。「異常が起きていないか、常に見張る」役割
- CSIRT：インシデントへの対応が中心。「異常が発生したときに、被害を抑え、復旧するための対応を主導する」役割
例えるなら、SOCは建物の警備において常時モニターを見張る監視員、CSIRTは実際に異常を検知した際に駆けつけて対処する緊急対応チーム、という関係に近い。
両者は別の役割を担いながらも、一連のインシデント対応の流れの中で密接に連携して動く。
SOCとCSIRTの連携の流れ
実際のインシデント対応では、おおむね次のような流れでSOCとCSIRTが連携する。
- SOCによる監視・検知：ログ監視の仕組みを通じて、不審な通信や挙動を検知する
- SOCからCSIRTへの報告・引き継ぎ：検知した事象について、インシデントの疑いがある場合は、CSIRTへ報告・エスカレーションする。
- CSIRTによる分析・対応：報告を受けたCSIRTが、前回確認した「検知・分析→封じ込め・復旧→事後対応」という流れで、実際の対応を主導する
つまり、SOCが見つけた「異常の兆し」を、CSIRTが引き継いで「実際の対処」につなげる、という役割分担になっている。この連携がうまく機能しなければ、せっかく異常を検知しても対応が遅れてしまったり、逆に対応は万全でも検知そのものが遅れてしまったりと、どちらか一方だけでは組織の防御体制として十分に機能しない。
自社運用とアウトソースの考え方
SOCの運用には、大きく分けて次の2つの形態がある。
自社運用（インハウスSOC）
自社の従業者によってSOCを構築・運用する形態である。自社のシステム環境に精通した人材が監視にあたれる一方、24時間365日体制を維持するための人員確保や、専門知識を持つ人材の育成・確保が課題になりやすい。
アウトソース（マネージドセキュリティサービスの利用など）
外部の専門事業者に監視業務を委託する形態である。専門性の高い監視体制を比較的早く整えられる一方、自社のシステム環境に関する知識の蓄積は外部事業者側に偏りやすく、委託先選定や契約内容（委託先管理、本シリーズで以前に確認した人的セキュリティ対策とも関連するテーマ）が重要になる。
多くの組織では、両者を組み合わせる形（監視の一部は外部委託しつつ、最終的な意思決定や社内固有の対応はCSIRTが担う、など）で運用されることが多い。
試験対策のポイント
- SOCは「監視・検知」、CSIRTは「対応・復旧」という役割の違いを明確に区別できるようにしておこう。
- 両者が独立して動くのではなく、「SOCが検知→CSIRTへ報告・連携→CSIRTが対応」という一連の流れで機能する点を押さえておこう。
- SOCの運用形態として、自社運用とアウトソース（マネージドセキュリティサービスの利用など）の2つがあり、それぞれに長所・課題がある点を理解しよう。
- 事例文で「監視チームが異常を検知し、対応チームへ引き継いだ」といった記述があれば、SOCからCSIRTへのエスカレーションの流れであると判断できるようにしておこう。
まとめ
今回は、情報セキュリティ組織・体制シリーズの最終回として、SOCの役割、CSIRTとの違いと連携の流れ、運用形態の考え方を確認した。
これで、CISO・情報セキュリティ委員会（第41回）、CSIRT（第42回）、SOC（第43回）という、情報セキュリティを支える組織・体制の全体像を一通り概観したことになる。
次回からは、新たなシリーズとして、情報セキュリティに関連する法律・規格を取り上げていく予定である。
コメント