CSIRT・インシデント対応のフリーランス案件で求められるスキルと経験

CSIRT・インシデント対応の案件で問われるスキルは、体制づくり、初動の判断、調査とフォレンジックの支援、報告とコミュニケーションの4分野に分けると整理しやすくなります。すべてを一人で深く担う必要はなく、どの分野を軸にし、どの段階まで任せられるかが案件選びの基準になります。

どの分野でも共通して見られるのは、限られた情報で判断の順番を守れるか、そして判断の材料を相手が動ける形で渡せるかです。この記事では、分野ごとに求められる中身と、経験の段階ごとの水準を説明します。

4分野の早見表

監視の画面でアラートを分析する仕事はSOCの記事群、システムの弱点を探す仕事は脆弱性診断の記事群で扱います。ここでは、事案が起きたあと、または起きる前の備えに関わるスキルに絞ります。

体制づくりのスキル

組織の実情に合わせて設計する

JPCERT/CCは、CSIRTの立ち上げを構想・構築・運用の3つのフェーズに分けた資料を公開しています（2026年10月時点）。外部の支援者に求められるのは、こうした考え方を、発注元の規模や部署の分かれ方に合わせて具体化する力です。専任の担当がいない組織と、各部署に窓口がある組織では、連絡の流れも判断の権限も違います。

判断の基準を文書にする

「どの事態なら誰に連絡し、誰が何を決めるか」を、当事者が迷わない言葉で書く力が問われます。重大度の段階、連絡先の一覧、時間外の呼び出しの条件などを、一枚で引ける形にまとめた経験は評価されます。

訓練を設計する

手順書は、使ってみないと穴が見えません。机上でシナリオを順に読み上げ、参加者に判断を求める訓練を設計し、見つかった課題を手順に戻す力が求められます。

NISTは2025年4月にSP 800-61の改訂版（Revision 3）を公表し、インシデント対応の推奨事項を、サイバーセキュリティのリスク管理（CSF 2.0）の活動全体に組み込む形に改めました。改訂版は、従来の「Computer Security Incident Handling Guide」（Revision 2）を置き換えるものです。事故が起きてからの手順だけでなく、平時の備えと結びつけて体制を考える流れは、国内の案件でも意識しておきたい点です。

初動の判断のスキル

分からないことを分からないまま進める

事案の最初の数時間は、情報がそろいません。その中で、被害が広がっているか、止めるべきものは何か、誰に知らせるかを決める必要があります。分かっていること・分からないこと・次に確かめることを分けて記録し、判断を先送りしすぎない力が求められます。

封じ込めと証拠の両立を提案する

端末をネットワークから切り離す、アカウントを止めるといった封じ込めは、調査の手がかりを消すことがあります。被害の広がりを止めることと、後の調査に必要な証拠を残すことの両方を考え、発注元に選択肢として示せるかが問われます。

時系列の記録

誰がいつ何を見て、何をしたかを、その場で記録する習慣は、どの段階でも基本です。後の報告書や、外部への報告の材料は、この記録から作られます。

調査とフォレンジック支援のスキル

調査の技術は、案件によって求められる深さが大きく違います。代表的な領域は次のとおりです。

• ログの読み方：認証、ネットワーク機器、プロキシ、メールのログから、不審な動きの時系列を組み立てる
• 端末の調査：OSの記録、実行の痕跡、持続化の仕組みを確かめる
• クラウドの調査：管理画面の操作の記録や、権限の変更の履歴を読む
• 証拠の保全：調査の前に、元のデータを変えない形で写しを取り、誰がいつ扱ったかを記録する

専門の調査会社と組む案件では、自分で解析するより、調査会社への依頼の範囲を決め、結果を発注元の判断に結びつける役割を求められることもあります。その場合は、調査の手法を理解し、結果の確からしさを読み取れることが大切です。

報告とコミュニケーションのスキル

相手ごとに伝える内容を変える

経営層には影響と決めてほしいこと、法務には事実と時系列、広報には外部に説明できる範囲、技術の担当には具体的な作業を伝えます。同じ事案を、相手ごとに短くまとめ直す力が問われます。

報告の期限を意識する

個人データの漏えいが疑われる事案では、個人情報保護委員会への報告が必要になる場合があります。委員会は、速報を発覚日から3〜5日以内、確報を30日以内（不正の目的によるおそれがある場合は60日以内）としています（2026年10月時点）。報告するのは原則として発注元で、支援者には、報告の要否を判断するための事実（項目、件数の見込み、原因、二次被害のおそれなど）を、期限に間に合う順でそろえる力が求められます。委託先として通知する場面の考え方は漏えいしてしまったときの対応の記事をご覧ください。

言葉を選ぶ

外部に出る文書では、「漏えいした」と「漏えいのおそれがある」、「原因」と「原因と考えられる」を書き分けるなど、確かめた事実と推測を混ぜない書き方が求められます。

経験の段階ごとに求められる水準

フリーランスの案件では、ハンドリング以上の経験が求められることが多くなります。一次対応の経験が中心の方は、判断の場面に関わった経験を一つでも作ってから独立を考えると、案件の幅が広がります。進め方はCSIRT・インシデント対応がフリーランスになるにはで解説しています。

資格の位置づけ

資格だけで任される範囲が決まることは多くありませんが、知識の裏付けとして見られることはあります。IPAの情報処理安全確保支援士試験は、セキュリティ対策の調査・分析・評価を行い、その結果に基づき指導・助言を行う人などを対象とした試験で、2026年度はCBT方式で前期・後期に実施され、2027年度から新しい試験制度に移る予定とされています（2026年10月時点のIPAの案内による）。資格ごとの詳しい解説は情報処理安全確保支援士の記事やCISSPの記事をご覧ください。

よくある質問

プログラミングの力はどの程度必要ですか？

調査を専門に担う案件では、ログを加工する簡単なスクリプトを書ける程度の力が役立つ場面があります。体制づくりや指揮・調整が中心の案件では、プログラミングより、文書化と判断の力が重く見られます。

英語の資料は読めたほうがよいですか？

攻撃の手口の情報や、海外の指針は英語で公表されることが多いため、読めると情報を早く集められます。NISTのSP 800-61のように、体制づくりで参照される資料もあります。翻訳の道具を使いながらでも、原文に当たれる習慣を持っておくと役立ちます。

事案の経験が少ない場合、どう補えばよいですか？

訓練の設計や参加、検証環境での調査の練習、手順書の見直しなどで、判断の流れを経験する方法があります。実際の事案の数より、一つの事案を通しで振り返り、判断の根拠を説明できることのほうが、面談では伝わりやすくなります。