CSIRT・インシデント対応のスキルシートの書き方｜面談で評価される実績の見せ方

CSIRT・インシデント対応のスキルシートは、要約で軸の役割（体制づくり・ハンドリング・調査・報告支援のどれか）を示し、事案や案件ごとに「事案の種類・担当した工程・判断への関わり方・報告の相手」を書くのが基本です。そのうえで、発生時期や被害の内容など、事案を特定させる情報は書きません。

インシデント対応の経歴で読み手が知りたいのは、事案の大きさより「この人は判断の場面で何を任せられるか」です。この記事では、その点が伝わる書き方と、架空の記入例を紹介します。全体の構成はスキルシートの基本、守秘の一般的な考え方はスキルシートに書いてよいこと・いけないことで扱っています。

要約で役割と段階を示す

インシデント対応の経験は、同じ「CSIRT経験5年」でも中身が大きく違います。要約の最初の2〜3行で、次の点を示します。

• 軸の役割：体制づくり、事案のハンドリング、調査、報告の支援のどれか
• 段階：一次対応、ハンドリング、指揮・体制設計のどこまで担ったか
• 立場：社内のCSIRTか、外部の支援者か
• 時間外の対応：当番の経験があるか、今後受けるか

時間外の対応を受けるかどうかは、案件との相性に直結します。受けない場合も、その旨を書いておくと、合わない案件に提案される行き違いを減らせます。

事案欄は「種類・工程・判断・報告の相手」で書く

ほかの職種の「使用技術」の欄だけでは、インシデント対応の経験は伝わりません。次の4つをそろえます。

「判断への関わり方」を書き分ける

この職種で特に大切なのが、判断への関わり方の書き分けです。システムを止める、取引先に連絡する、公表するといった判断を、自分が下したのか、材料を出したのか、場を進行したのかで、経験の意味が変わります。社内CSIRTの経験では自分が判断していたことも、外部の支援者の立場では材料を出す役割になります。実際の役割より大きく書くと、面談で深く聞かれたときに説明が合わなくなります。

体制づくりの経験は成果物で書く

平時の体制づくりは、作ったものの種類で書くと伝わります。

• 対応の手順書、重大度の判断の基準、連絡表
• 時間外の当番の組み方と引き継ぎの書式
• 机上の訓練のシナリオと、訓練後の改善の記録

JPCERT/CCは、CSIRTの立ち上げを構想・構築・運用の3つのフェーズに分けて整理しています（2026年10月時点）。どのフェーズに関わったかを添えると、読み手が案件と結びつけやすくなります。

事案を特定させない書き方

インシデントは、報道や公表で外に知られていることがあります。スキルシートの情報を組み合わせると、どの会社の事案かが推測できてしまうことがあるため、公表済みの事案でも、次の書き方にそろえます。

個人データの漏えいが疑われる事案では、個人情報保護委員会への報告などが関わることがあります。報告を行うのは原則として発注元の事業者で、支援者が関わるのは報告に必要な事実の整理です。スキルシートでも「報告を行った」ではなく「報告に向けた事実の整理を支援」のように、自分の役割の範囲で書きます。

記入例

以下は書き方を示すための架空の例で、実在の案件や実績ではありません。

記入例1：外部支援としての事案対応（架空）

期間：20XX年〜20XX年（1年）
案件概要：サービス業向け インシデント対応の支援（常駐、平日日中＋時間外の当番）
規模・立場：発注元のCSIRT 5名に外部支援として参加
事案の種類：不正アクセスの疑い、マルウェア感染の疑い、メールの誤送信
担当した工程：初動の判断の補助、封じ込めの提案、ログの調査、報告書の作成
判断への関わり方：判断の材料を出す立場。封じ込めの選択肢を、影響と証拠の残し方とあわせて提示
報告の相手：情報システム部門、法務、経営層
工夫・成果：初動の記録の書式を作り、時間外の当番から日中の担当への引き継ぎを短くした

記入例2：体制づくり（架空）

期間：20XX年（8か月）
案件概要：製造業向け CSIRTの立ち上げ支援（リモート中心、聞き取りの時期は出社）
規模・立場：発注元の担当2名と進める外部支援
担当した工程：現状の聞き取り、手順書と連絡表の作成、重大度の基準づくり、机上の訓練
判断への関わり方：案を作る立場。基準と手順は発注元の承認を経て確定
報告の相手：情報システム部門の責任者、経営層
工夫・成果：訓練で見つかった連絡の詰まりを手順に反映し、時間外の連絡先を一本化した

どちらの例も、事案の発生時期、件数、被害の内容は書いていません。それでも、任された工程と判断の関わり方が分かれば、経験の深さは伝わります。

資格と時間外の経験の書き方

資格は、取得や登録の状態を正しく書きます。IPAの情報処理安全確保支援士試験は2026年度はCBT方式で実施され、2027年度から新しい試験制度に移る予定とされています（2026年10月時点のIPAの案内による）。合格と登録は区別して書き分けます。書き分けの詳しい考え方はセキュリティエンジニアのスキルシートの記事で解説しています。

時間外の当番の経験は、事実だけを書きます。「時間外の当番（月に数回、待機と一次判断）」のように、頻度と役割が分かれば十分です。呼び出しの具体的な日時や事案は書きません。

書けない部分は面談で補う

スキルシートで事案の詳細を伏せた分、面談では判断の流れを口頭で補うことになります。その準備として、スキルシートの事案ごとに、次の3点を短く話せるようにしておきます。

1. 最初に何を確かめたか：受付の直後に確かめた事実と、その理由
2. 何を選択肢として出したか：封じ込めや連絡について、どんな案を示し、どれが選ばれたか
3. あとから何を変えたか：その事案を受けて、手順や基準の何を改めたか

話すときも、発注元が分かる言葉は使いません。スキルシートと面談で説明の粒度をそろえておくと、書いていないことを聞かれても慌てずに済みます。聞かれやすい質問と答え方は、面談の記事で扱います。

よくある質問

社内CSIRTの経験しかない場合、どう書けばよいですか？

社内の経験でも、担当した工程と判断への関わり方を書けば十分に伝わります。外部の支援者として入る案件では、判断の材料を出す立場になることが多いため、材料のまとめ方や関係部署への伝え方の工夫を書いておくと、案件との結びつきが分かりやすくなります。

担当した事案の件数は書いたほうがよいですか？

件数は、組織の事案の発生状況を外に示すことになりかねないため、書かないほうが安全です。代わりに、事案の種類の幅と、担当した工程の範囲で経験を示しましょう。

監視の運用の経験は、どこに書けばよいですか？

インシデント対応の案件に応募する場合は、監視の経験を、事案の検知と一次判断の経験として書くと結びつきが伝わります。監視の運用そのものの案件に応募する場合の書き方は、SOCのスキルシートの記事で扱います。