ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問40 PSIRT が受け持つもの

応用情報​技術者試験 令和7年度 秋期 午前、全80問のうちの問40。

出典：令和7年度 秋期 応用情報技術者試験 午前 問40

ある組織では CSIRT と PSIRT が設置されている。セキュリティインシデントのうち，PSIRT が対応するものはどれか。

  1. ア組織が顧客に販売した製品とその利用において発生したセキュリティインシデント
  2. イ組織が製品の在庫を管理するシステムにおいて発生したセキュリティインシデント
  3. ウ組織が製品の販売を管理するシステムにおいて発生したセキュリティインシデント
  4. エ組織の従業員の個人情報を管理するシステムにおいて発生したセキュリティインシデント
答えと解説を開く

正解はアです。

PSIRT (Product Security Incident Response Team) は、自社が作って顧客に提供している製品やサービスのセキュリティを受け持つ組織です。製品の脆弱性の報告を受け付けて直し、利用者に知らせる、といった対応をします。一方 CSIRT は、自社の中で使っているシステムやネットワークで起きた事故に対応します。顧客に販売した製品とその利用で起きた事故を挙げたアが、PSIRT の受け持ちです。

ほかの選択肢が違う理由

  • イ在庫を管理するシステムは、組織が自分で使う社内のシステムです。そこで起きた事故は CSIRT が対応します。
  • ウ販売を管理するシステムも社内のシステムなので、CSIRT の受け持ちです。
  • エ従業員の個人情報を扱うシステムも社内のシステムです。CSIRT が対応します。

仕組み

CSIRT は「自分たちが使う物」、PSIRT は「自分たちが売る物」を守る、と覚えると区別しやすくなります。

外部の研究者から製品の脆弱性の報告を受けたとき、窓口になるのが PSIRT です。日本では、IPA と JPCERT/CC が受付と調整をする仕組み (早期警戒パートナーシップ) もあります。