ヒガキさんに相談だ!- 第１回 -

セキュリティの専門家であるヒガキさんが、
PSIRTに関する皆さまの
お悩みを解決していきます。

こんにちは。ヒガキです。PSIRTのことなら、お任せください！

インターネット接続が可能な製品を提供するメーカーにとって、製品セキュリティ対策の強化は喫緊の課題です。
特に、IoT機器を狙ったサイバー攻撃が増加・高度化しており、自動車や医療機器、スマートホームデバイスなど、私たちの生活に密接する製品でセキュリティインシデントが発生すると、人名やインフラに影響を及ぼす重大なリスクとなります。

このため、製品セキュリティに対する組織的な対応が必要で、その中心的役割を果たすのが製品セキュリティインシデント対応チームPSIRT（Product Security Incident Response Team：ピーサート）です。

A さん

PSIRT?

今回の悩める相談者は、上司からPSIRT特命リーダーに任命されたものの、
どこから・何から始めたらよいか分からない A さんです。
では A さんのお悩みを聞いてみましょう。

Aさん

PSIRT特命リーダーに任命されましたが、そもそもPSIRTのことがよく分かりません。

PSIRTは、自社製品のセキュリティ事故を防ぐため、自社で製造・開発する製品・サービスに対するセキュリティ向上や、インシデントへの対応を目的として活動する組織です。平時の際にはセキュリティインシデントの予防を、有事の際にはセキュリティインシデントへの対応をマネジメントする役割を担っています。

ヒガキさん

Aさん

平時にも備えが必要なんですね。

はい。平時の際は、脆弱（ぜいじゃく）性の管理やセキュリティポリシーの策定、リスク管理などを行い、有事の際に迅速かつ効果的に対応するための基盤を築いておきます。一方、有事の際は、インシデントの初動対応や原因分析の実施、社外のステークホルダーとの連携窓口となるなど、迅速な復旧に向けて活動します。企業にとってPSIRTは、製品・サービスのセキュリティを維持し、企業の信頼性とお客さまの安全を守るために不可欠な存在です。

ヒガキさん

Aさん

なるほど。PSIRTは企業の信頼性とお客さまの安全を守る組織なんですね。
ではすぐに組織を立ち上げます！

ちょっと待ってください！無計画にPSIRTを立ち上げてもうまくいきません。セキュリティインシデントへは、開発、品質保証、お客さまサポートはもちろん、法務や広報、関連社外団体など、あらゆる部署や関係者と連携して対応する必要があります。特に有事の際には迅速な対応が求められますが、対応手順が定着していないと、速やかな連携が取れない、役割や責任が不明確で情報やタスクが欠落するといった事態に陥りがちです。