CSIRT・インシデント対応のフリーランス面談でよく聞かれる質問と答え方

CSIRT・インシデント対応のフリーランス面談でよく聞かれるのは、事案の中でどの立場にいたか、最初の数時間に何を確かめたか、封じ込めと証拠の保全をどう両立したか、誰にどう報告したかの4つです。面談官は、扱った事案の大きさより「混乱した場面で、この人は順番を守って動けるか、判断の材料を相手が動ける形で渡せるか」を確かめようとしています。

答えるときは、模範解答を覚えるより、自分の経験から性質の違う事案を3つほど選び、どの質問にもそこから答えられるように準備しておくのが近道です。面談全般の答え方の型は業務委託の面談でよく聞かれる質問と答え方で解説しているので、この記事ではインシデント対応に固有の質問に絞ります。

面談官が見ていること

インシデント対応の案件の面談に出てくるのは、発注元の情報システム部門やCSIRTの責任者であることが多く、自分でも事案を担ってきた人です。そのため、使った道具の名前より、話の中に出てくる判断の順番と根拠を聞いています。

面談官が知りたいのは、おおむね次の3点です。

1. 任せられる範囲：一次対応、事案のハンドリング、指揮・体制づくりのどこまでを担ってきたか
2. 崩れた場面での動き方：情報がそろわないときに、何を先に確かめ、何を決めたか
3. 情報の扱い：最も外に出したくない情報に触れる仕事を、安心して任せられるか

3つ目はこの職種に特有です。面談での話し方そのものが、守秘の感覚を測る材料になっています。

よく聞かれる質問と答え方の考え方

ここで示す答えの例は、組み立て方を伝えるための架空の例です。そのまま使うのではなく、ご自身の経験に置き換えて準備してください。

1. 「これまで担った事案の種類と、あなたの立場を教えてください」

確かめたいのは任せられる範囲です。事案の種類（不正アクセスの疑い、マルウェア感染、誤送信、委託先での事故など）、担った工程、社内のCSIRTか外部の支援者か、を短く伝えます。件数や発生時期、被害の規模は話さず、種類と工程で経験の幅を示します。

架空の例：「社内CSIRTの担当として、不正アクセスの疑いとマルウェア感染の事案を中心に、受付から封じ込めの提案、報告書の作成までを担当しました。重大な事案では、責任者の判断の材料をまとめる役でした」

2. 「通報を受けてから最初の数時間で、何をしますか」

最もよく掘り下げられる質問です。次の順番で組み立てると伝わりやすくなります。

• 最初に確かめる事実（何が、いつから、どこまで）
• 被害が広がっているかの見立て
• 誰に知らせ、誰に判断を仰ぐか
• 記録をどこにどう残し始めるか

「すぐに端末を切り離します」だけで終わると、判断の順番が見えません。分かっていること・分からないこと・次に確かめることを分けて動くという型を話せると、経験の重さが伝わります。

3. 「封じ込めと証拠の保全が両立しないとき、どうしますか」

端末を止める、アカウントを止めるといった対応は、後の調査の手がかりを消すことがあります。面談官は、どちらを選ぶかより、両方の影響を並べて、決める人に選択肢として示せるかを見ています。自分が決める立場になかった場合は、決める人に何を材料として渡したかを話します。

4. 「経営層や法務への報告はどう組み立てましたか」

相手ごとに伝える内容を変えられるかを確かめる質問です。経営層には影響と決めてほしいこと、法務には事実と時系列、広報には外部に説明できる範囲、という分け方を、実際の場面に沿って話します。確かめた事実と推測をどう書き分けたかも話せると評価されます。

5. 「個人情報が関わる事案ではどう動きますか」

報告の制度を理解しているか、そして自分の役割の線を分かっているかを見る質問です。個人情報保護委員会は、漏えい等の報告について、速報を発覚日から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています（2026年10月時点）。報告するのは原則として発注元で、支援者は報告の要否を判断するための事実を期限に間に合う順でそろえる、と答えると立場の理解が伝わります。法的な判断を自分が下すような話し方は避けましょう。

6. 「手順書や訓練に関わった経験はありますか」

平時の体制づくりを任せられるかを確かめる質問です。作ったものの種類（手順書、重大度の基準、連絡表、訓練のシナリオ）と、訓練で見つかった課題を手順にどう戻したかを話します。JPCERT/CCがCSIRTの立ち上げを構想・構築・運用の3フェーズに分けて整理しているように（2026年10月時点）、自分がどのフェーズに関わったかを添えると、案件との結びつきが伝わりやすくなります。

7. 「夜間や休日の対応はどこまで受けられますか」

条件の確認であると同時に、長く続けられるかを見る質問です。待機の当番を受けるか、駆けつけはできるか、応答の目安はどのくらいかを、できる範囲で正直に伝えます。受けられないことを曖昧にして参画すると、後で双方が困ります。

8. 「なぜフリーランスでインシデント対応をしているのですか」

会社員に戻るつもりがあるか、長く続けられるかを確かめる質問でもあります。働き方の希望だけでなく、平時の体制づくりか、有事の支援か、どの局面で力を出したいかを添えると、案件との合い方が伝わります。

準備は「性質の違う事案」を3つに絞る

上の質問は数が多く見えますが、答えの材料は共通しています。準備は次の手順で進めると効率的です。

1. 事案を選ぶ：外部からの攻撃、内部の誤りや不正、委託先で起きた事故など、性質の違う事案を3つ選ぶ
2. 事案ごとにメモを作る：最初に確かめたこと、選択肢、選ばれた案と理由、報告の相手、あとで変えた手順を書き出す
3. 伏せる情報を決める：社名、業種と規模の細かい組み合わせ、発生時期、件数、手口の具体的な特徴は話さない
4. 2分版と5分版を作る：最初は2分で話し、掘り下げられたら詳しく話せるようにする
5. スキルシートと照らし合わせる：シートの「判断への関わり方」と話の内容が一致しているかを確かめる

スキルシートとの一致は特に大切です。面談官はシートを見ながら質問するため、シートで「判断の材料を出した」と書いた事案を、面談で「自分が判断した」と話すと、どちらも信用されにくくなります。シートの書き方はCSIRT・インシデント対応のスキルシートの記事、冒頭の自己紹介の組み立て方は面談の自己紹介の記事で解説しています。

面談の相手によって重心が変わる

複数の相手と順に面談することもあります。技術の担当との面談では調査の手順、責任者との面談では判断と報告の話に重心を置くと、限られた時間を有効に使えます。調査の技術が中心の案件ならセキュリティエンジニアの面談の記事、監視の運用が中心ならSOCの面談の記事も参考になります。

インシデント対応ならではの逆質問

逆質問は、印象づくりより参画後のずれを防ぐ確認に使います。次の点を聞いておくと判断がしやすくなります。

• 平時と有事の仕事の割合と、今対応中の事案があるか（答えられる範囲で）
• 自分が担う判断の範囲と、判断を仰ぐ相手
• 時間外の当番の頻度、応答の目安、駆けつけの有無
• 調査会社や監視の担当など、ほかに関わる体制と役割の分担
• 調査で取ったデータや記録の保存先と、使う端末

一般的な逆質問の考え方は業務委託の面談で聞いておくべき逆質問にまとめています。聞いた内容は契約前の確認にもそのまま使えます。確認点の全体はCSIRT・インシデント対応の案件の選び方で整理しています。

よくある質問

守秘義務があって事案の中身を話せない場合、どう答えればよいですか？

事案を特定させる情報を伏せたうえで、判断の順番と基準を一般化して話せば十分に伝わります。「外部からの不正アクセスの疑いで、最初に認証の記録を確かめ、影響の範囲を見立ててから封じ込めの選択肢を出した」のように、種類と流れで話しましょう。伏せていることを一言添えると、情報の扱いへの姿勢も伝わります。

大きな事案の経験がないと、面談で不利になりますか？

規模より、一つの事案を通しで振り返り、判断の根拠を説明できるかのほうが見られます。小さな事案でも、記録の残し方や手順の改善まで話せれば、経験として受け止められることが多くあります。平時の体制づくりの案件から関わる道もあります。

フォレンジックの道具について細かく聞かれたら、どう答えればよいですか？

調査を専門に担う案件では、道具の使い方を問われることがあります。その場合も、道具の名前を並べるより、どの証拠から何を確かめ、結果をどう判断に結びつけたかを話すほうが伝わります。使った経験のない道具は、正直にそう答えましょう。見送られやすい答え方は面談で見送られる理由の記事で解説しています。