CSIRTとSOCとは？違いと連携を解説

「CSIRTとSOCって、何が違うの?」
「どっちが監視で、どっちが対応?」
「会社の中で、どんな関係なの?」

アルファベットが似ているうえ、どちらもセキュリティの組織なので混ざりがちです。ですが、両者は動くタイミングがはっきり分かれています。ある夜のインシデントを追えば、その境目が一目で分かります。

SOCはシステムを常時監視して異変を見つける「検知役」、CSIRTは事故が起きた後に対応の指揮を執る「対応役」です。SOCが先、CSIRTが後ろに位置します。

この記事では、2つの役割を定義したうえで、深夜に不審な通信が見つかってから復旧までの流れを時系列で追い、違いを表で整理し、社内での置き方までを断定して示します。SGのセキュリティ運用対策に直結します。

1 1. SOCは見張り役、CSIRTは対応役
2 2. あるインシデントの一晩を時系列で追う
3 3. SOCとCSIRTの違いを表で整理
4 4. 連携と社内での置き方
5 5. SGでの問われ方
- 5.1 次のステップ

1. SOCは見張り役、CSIRTは対応役

SOC（Security Operation Center・ソック）は、システムやネットワークを24時間365日で監視し、あやしい動きをいち早く見つける組織です。機器が出すログや通信を見張り、兆候をつかんだら、それが本物の脅威か誤検知かを切り分けます。ここまでがSOCの主な守備範囲で、その先の本格的な対応は別の役割へ引き継ぎます。あなたが取り違えやすいのはここで、SOCは「気づいて知らせる」までが中心だと押さえてください。

CSIRT（Computer Security Incident Response Team・シーサート）は、セキュリティ事故が起きた後に、対応の指揮を執る専門チームです。被害の広がりを止め、原因を取り除き、復旧へ導きます。技術担当・経営層・広報・法務のあいだに立ち、判断をつなぐ司令塔の役目を担います。平時も、攻撃情報を集めて手順を整える備えをします。

覚え方はシンプルです。「監視のS（SOC）、対応のC（CSIRT）」。SOCが気づき、CSIRTが動く。あなたがこの頭文字と役割を結びつけておけば、名前が似ていても取り違えません。CSIRTが実際にどう動くかはインシデント対応とはで詳しく追えます。

2. あるインシデントの一晩を時系列で追う

役割は、時間の流れに沿って見るといちばん腑に落ちます。ある会社で、深夜に社内サーバーから外部への不審な通信が始まった——この一晩を時系列で追います。

流れを言葉にすると4段階です。①SOCが検知——監視ツールが不審な通信をつかむ。②SOCが判定——それが本物の脅威か、ただの誤検知かを見極める。③CSIRTへ引き継ぎ——事故と判断したら対応役へ連絡する。④CSIRTが対応——通信を止めて封じ込め、原因を取り除き、復旧へ導く。バトンを渡すリレーのように、検知から対応まで途切れずつながります。あなたが押さえるべきは、この受け渡しの一点です。

CSIRTの仕事は技術対応だけではありません。取引先や顧客への説明、警察や公的機関への届け出、再発防止策の検討まで、技術以外の調整も守備範囲に入ります。事故の「社内外の窓口」も担うと押さえておくと、SOCとの違いがさらにくっきりします。攻撃の入り口となるマルウェアとはを知っておくと、SOCが何を見張っているかも具体的にイメージできます。

3. SOCとCSIRTの違いを表で整理

時系列でつかんだ違いを、観点ごとに並べ直します。名前は似ていても、担当も、動くタイミングも、向き合う相手も分かれています。

観点	SOC	CSIRT
主な役割	常時監視・兆候の検知	事故後の対応の指揮
動くタイミング	平時からいつも	主に事故が起きた時
向き合う相手	ログ・通信・機器	経営層・各部署・外部
ゴール	異変に気づいて知らせる	被害を止めて復旧させる

どちらが上ということはありません。役割が違うだけで、両方そろって初めて組織のセキュリティが回ります。SOCが見つけ、CSIRTが対応する。この分担が基本の形です。組織としてセキュリティをどう回すかの全体像は情報セキュリティマネジメントとはで押さえられます。

見分けに困ったら「時計の針」を思い出してください。SOCは平時からずっと見張り続けるので針が動きっぱなし。CSIRTは事故という特定の時刻に動き出す。あなたが時間軸のどこで働くかで捉えれば、2つはきれいに分かれます。

4. 連携と社内での置き方

2つのチームは、社内での置き方が組織ごとに変わります。SOCを社内に持つ会社もあれば、外部の専門会社へ委託する会社もあります。CSIRTも、専任チームを常設する場合と、事故のときに各部署から人を集めて編成する場合があります。規模や事情に合わせて形が変わると押さえておけば十分です。

大切なのは、検知から対応までが途切れずつながっていることです。見つけても引き継がれなければ意味がなく、引き継いでも対応の体制がなければ動けません。あなたの会社で「誰が気づき、誰が動くか」が決まっているか——この一点が、いざというときの初動の速さを左右します。SOCとCSIRTは、その流れを支える両輪です。

実務でよく起きるのが、SOCが警報を上げても、受け取るCSIRT側の判断基準や連絡先が曖昧で初動が遅れるケースです。引き継ぎのルールを事前に決めておくことが、体制づくりの肝になります。監視の道具をそろえるだけでなく、渡し方まで設計しておく——ここまでが1セットです。

5. SGでの問われ方

CSIRTとSOCは、情報セキュリティマネジメント試験（SG）の運用・体制のテーマで問われます。定番は「常時監視して検知するのはどちらか」「事故後の対応を指揮するのはどちらか」という役割の見分けです。

答えの軸は、この記事で追った時間の流れです。SOCが検知し、CSIRTが対応する。あなたが「監視のS、対応のC」と、深夜の一晩の流れをセットで思い出せれば、用語を取り違えずに落ち着いて選べます。役割の分担を骨として持っておくことが、この分野の得点を安定させます。

次のステップ

CSIRTやSOCがSG全体のどこに位置し、どう配点されるかは、情報セキュリティマネジメント試験（SG）の試験範囲と勉強法ガイドで見取り図として確認できます。

知識を得点に変えたいなら、SG 管理・運用の問題集で、組織体制や運用面の設問に取り組むのが近道です。