1. はじめに
2.3. CSIRT メンバー
2.3.1. CSIRTメンバーの行動規範や指針が定められているか
明確に文書化されていないまでも、多くの CSIRT が CSIRT メンバーの行動規範や指針を定められてい る。
2.3.1. CSIRTメンバーの行動規範や指針が定められているか
# 定義や文書の有無 回答数
1 明確に設定され、文書として存在しており、CSIRT責任者やCISOにより承 認されている、さらに業務が文書に従っているか管理(監査)されている
9
2 明確に設定され、文書として存在しており、CSIRT責任者やCISOにより承 認されている
16
3 明確に設定され、文書として存在しているが、正式に承認されていない 4 4 だいたいの目安になるものは設定されているが、文書として存在していない 19 5 設定されておらず、発生の都度検討している 15
6 未回答 3
（複数回答なし N = 66）
50 2.3.2. 設立当初のメンバー数
設立時のメンバー数は、5名未満のCSIRTが最も多く、未回答を除くと10名未満のCSIRTが半数以上 を占めている。
2.3.2. 設立当初のメンバー数
# 人数 回答数
（複数回答なし N = 66）
1 5名未満 15
2 5名以上10名未満 13
3 10名以上20名未満 6
4 20名以上 1
5 バーチャルなので流動性あり 1
6 不明 1
7 未回答 29
2.3.2.1. 正社員と外部委託のメンバーの割合
正社員と外部委託メンバーの内訳は、設立時のCSIRTのメンバーをすべて正社員で構成している組織が 多い。すべてを外部委託した組織はなかった。
2.3.2.1. 正社員と外部委託のメンバーの割合
# 割合 回答数
（複数回答なし N = 66） 1 すべて外部委託 0
2 正社員2割以下 2
3 正社員2割～4割 1
4 正社員4割～7割 3
5 正社員8割以上 7
6 すべて正社員 53
7 未回答 0
51 2.3.3. 現在のメンバー数
現在のメンバー数は、5名以上10名未満のCSIRTが最も多く、ほとんどのCSIRTが20名未満のメンバ ーで構成されている。
2.3.3. 現在のメンバー数
# 人数 回答数
（複数回答なし N = 66）
1 5名未満 6
2 5名以上10名未満 18
3 10名以上20名未満 11
4 20名以上 3
5 5～20 1
6 バーチャルなので流動性あり 1
7 未回答 26
52
2.3.3.1. 正社員と外部委託のメンバーの割合
現在のCSIRTのメンバーをすべて正社員で構成している組織が多い。
すべてを外部委託している組織はなかった。
2.3.3.1. 正社員と外部委託のメンバーの割合
# 割合 回答数
（複数回答なし N = 66）
1 すべて外部委託 0
2 正社員2割以下 2
3 正社員2割～4割 1
4 正社員4割～7割 5
5 正社員8割以上 9
6 すべて正社員 48
7 未回答 1
53
2.3.4. CSIRTメンバーに必要なスキルセットが定義されているか
CSIRT メンバーに必要なスキルセットを設定している組織は少数で、スキル水準の目安を設けたり、そ
の都度、判断したりしている組織が多い。
2.3.4. CSIRTメンバーに必要なスキルセットが定義されているか
# 定義や文書の有無 回答数
1 明確に設定され、文書として存在しており、CSIRT責任者やCISOにより承 認されている、さらに業務が文書に従っているか管理(監査)されている
2
2 明確に設定され、文書として存在しており、CSIRT責任者やCISOにより承 認されている
5
3 明確に設定され、文書として存在しているが、正式に承認されていない 5 4 だいたいの目安になるものは設定されているが、文書として存在していない 28 5 設定されておらず、発生の都度検討している 25
6 未回答 1
（複数回答なし N = 66）
54
2.3.5. CSIRTメンバー向けに組織内部で提供されているトレーニングを受講できる体制やルールが
確立されているか
CSIRT のメンバーが参加する組織内トレーニングを明確に規定している組織は全体から見れば少なく、
多くの組織がその都度、誰をどのトレーニングに参加させるべきかを判断している。
2.3.5. CSIRTメンバー向けに組織内部で提供されているトレーニングを
受講できる体制やルールが確立されているか
# 基準の有無 回答数
（複数回答なし N = 66）
1 CSIRT メンバーが参加するトレ
ーニングについて、明確な基準が 存在する
5
2 CSIRT メンバーが参加するトレ
ーニングについて、だいたいの目 安になる基準は存在する
6
3 CSIRT メンバーが参加するトレ
ーニングについて、基準が確立し ておらず、受講の都度検討してい る
54
4 未回答 1
55
2.3.6. CSIRTメンバー向けに外部の技術トレーニングを受講できる体制が確立されているか
CSIRT のメンバーが参加する組織外トレーニングを明確に規定している組織は少ない。その都度、組織
外トレーニングの受講を判断している。
2.3.6. CSIRTメンバー向けに外部の技術トレーニングを
受講できる体制が確立されているか
# 基準の有無 回答数
（複数回答なし N = 66）
1 CSIRT メンバーが参加するトレ
ーニングについて、明確な基準が 存在する
1
2 CSIRT メンバーが参加するトレ
ーニングについて、だいたいの目 安になる基準は存在する
8
3 CSIRT メンバーが参加するトレ
ーニングについて、基準が確立し ておらず、受講の都度検討してい る
56
4 未回答 1
56
2.3.7. CSIRTメンバー向けに外部のコミュニケーショントレーニングを受講できる体制が確立されて
いるか（プレゼンテーションやコミュニケーションスキルに関するトレーニング ）
明確な規定があるCSIRTは少ない。その都度の判断によっている。
2.3.7. CSIRTメンバー向けに外部のコミュニケーショントレーニングを受講できる体制が
確立されているか（プレゼンテーションやコミュニケーションスキルに関するトレーニング）
# 基準の有無 回答数
（複数回答なし N = 66）
1 CSIRT メンバーが参加するトレ
ーニングについて、明確な基準が 存在する
1
2 CSIRT メンバーが参加するトレ
ーニングについて、だいたいの目 安になる基準は存在する
9
3 CSIRT メンバーが参加するトレ
ーニングについて、基準が確立し ておらず、受講の都度検討してい る
54
4 未回答 2
2.3.8. メンバーのスキルを定量的に測定する仕組み（試験や資格など）があるか
CSIRT のメンバーのスキルを定量的に測定する仕組みを有している組織は少ない。なお自由記述の回答
では「外部資格（CISM etc）」と回答した組織があった。
2.3.8. メンバーのスキルを定量的に測定する仕組み（試験や資格など）があるか
# 仕組みの有無 回答数
（複数回答なし N = 66）
1 ある 5
2 ない 56
3 その他自由記述 3
4 未回答 2
57