PSIRTとは
（役割・やるべきことを一言で）
PSIRTとは Product Security Incident Response Team の略で、ひとことで言うと
「製品に関する脆弱性・セキュリティ問題を“受けて、判断して、期限内に返す”ための窓口と運用の仕組み」です。
自動車サプライヤーの現場では、PSIRTは“専門部署”というより、OEMからの照会（CVE影響有無の確認）や監査要求に、根拠付きで回答するための業務フローとして機能します。
UN-R155/ISO/SAE 21434の流れで「運用が回る体制」が求められ、PSIRTがその中心に置かれやすくなっています。
PSIRTがやること（3つだけ覚えればOK）
PSIRTがやることは、大きく分けて次の3つです。
ここが回れば、PSIRTは“立ち上がっています”。
PSIRTとSOC/CSIRTの違い（混同ポイント）
| 組織名 | 対象と役割の違い |
|---|---|
| PSIRT | 製品の脆弱性・セキュリティ問題の受付と対応（製品起点） |
| SOC / VSOC | 監視・検知（ログやアラート起点） |
| CSIRT | 組織全体のインシデント対応（社内IT/業務影響も含む） |
サプライヤーでは、SOCまで持てないケースが多い一方、PSIRT（窓口と回答の型）だけはOEM要求で必要になることが増えています。
兼務でも回る「PSIRT最小セット」（これだけ整えればOK）
PSIRTは大掛かりに作る必要はありません。最小セットはこれです。
- 窓口： 共有メール（例：psirt@）または受付フォーム
- 役割： 受付／技術評価／対外回答／承認
（兼務可、承認だけは別が安全） - SLA目安： 受領確認（1営業日）／一次回答（3〜5営業日）／最終回答（10営業日等）
- 台帳（チケット）： 案件ID、期限、対象版数、結論、根拠、次回更新日、証跡参照先
- 証跡の置き場： 依頼原本・調査メモ・回答書・提出履歴を1案件に集約
“完璧な結論”より、一次回答（調査中＋次回更新日）を返せることが実務では重要です。
FAQ：PSIRTとは
製品に関する脆弱性・セキュリティ問題を、受付→影響判定→対外回答まで回すための窓口と運用の仕組み（体制）です。
OEM照会や監査で「窓口は？期限内に返せる？証跡は？」に答えられず、回答遅延・手戻り・追加質問の増加につながります。
必須ではありません。Tier2〜Tier4では兼務で始めるケースが一般的です。まずは窓口・役割・SLA・台帳・証跡の最小セットを固定するのが近道です。
PSIRTは製品起点（脆弱性・製品セキュリティ）、CSIRTは組織起点（社内インシデント全般）です。両者は重なる部分もありますが、役割の主語が違います。
自社のPSIRT運用、どう形にするか迷っていませんか？
はじめに、Auto PSIRT CloudでPSIRT運用を「空回りしない形」に整えたい方はご相談ください。兼務体制でも回る業務フローの設計からサポートします。