「PSIRT」プロダクト・セキュリティー・インシデント・レスポンス・チーム

こんにちは。

今朝の日経新聞から、「PSIRT」についての説明したいと思います。

IoT製品のサイバー防衛、日本電産や楽天系が専門部署

PSIRTは「ピーサート」と呼びます。

自社で製造・開発する製品やサービスを対象に、セキュリティレベルの向上やインシデント発生時の対応を行う組織がPSIRT（Product Security Incident Response Team）です。自組織の保護やインシデント対応を目的とするCSIRTに対し、PSIRTは外部に提供する製品やサービスの保護を目的にする点が大きな違いです。PSIRTの業務内容には、製品およびサービスのセキュリティレベル向上を目的とした安全管理、セキュリティ面におけるユーザーサポート、そして製品／サービスに関連するインシデントが発生したときの対応などがあります。特に自社製品／サービスの脆弱性の発見は重要であり、新たな脆弱性が見つかった際には迅速にユーザーに通知して対応を促すといった役割を担っています。

ITトレンド用語より

PSIRTは組織の名前で、自社製品について、サイバー攻撃に利用される脆弱性が無いか管理し、脆弱性が見つかった際は自社製品の利用者に対して対策の呼びかけを行う組織です。

ここ1～2年でPSIRT立ち上げの動きが加速しており、PSIRTと明示して活動する日本の企業は20社程度ですが、同様の機能をもつ組織がある企業は100社程度ある、とみられています。

PSIRT支援サービス

PSIRT設立の動きに合わせて、その支援サービスも立ち上がっています。

日立製作所は、PSIRT業務効率化ツールを提供しています。
そのツールでは、AIの自然言語処理を用いたツールで、各製品の脆弱性レポートを特定の文言で検索することを可能にするようです。

脆弱性レポートは、製品ごとに表記ゆれがあったり、記号が違ったりと、各企業が使用している製品に影響があるのか判断するのが難しい状況でした。

本ツールを使うことで、表記ブレがあっても脆弱性のレポートが自社製品に関係するかどうか調べることができます。

企業間のノウハウ共有

2017年からPSIRTを始めたサイボウズは、業界団体のソフトウェア協会内にPSIRT推進研究会を立ち上げて、定期的に情報交換を実施しているようです。
まずは、そのような研究会に参加してみて、脆弱性情報を収集するのが良いかもしれません。