PSIRT立上げ：必須チェックリスト（雛形）
「OEMからPSIRT体制を求められた」
「脆弱性の影響有無を報告しろと言われた」
「でも専任がいない。兼務で回すしかない」
この状況で最初に必要なのは、“高機能なツール”よりも やることの順番が決まったチェックリスト です。
PSIRTは、立上げ時に 窓口・役割・期限・証跡 が揃っていないと、次の照会で必ず止まります。
この記事では、そのまま仕事が進む「PSIRT立上げ必須チェックリスト（雛形）」 を公開し、書き方・運用のコツ・よくあるNG例もセットで解説します。
使い方（3分）
- 下のチェック項目を、そのまま社内のタスク表（スプレッドシート等）にコピペする
- 「完了/未完了」「担当」「期限」を入れる
- まずは Day1（当日） だけ終わらせる（ここが最優先）
- 次に 1週間以内、最後に 1ヶ月以内 を積み上げる
PSIRT立上げ必須チェックリスト（雛形）
Day1（当日）：まず“止まらない”状態を作る（最重要）
ここまで終われば、「急に来た照会に“何も返せない”」状態は回避できます。
1週間以内：最低限「影響あり/なし/調査中」を返せる状態にする
1ヶ月以内：ノイズを減らし、監査・追加質問に耐える状態にする
よくあるNG例（これを潰すだけで事故が減る）
Auto PSIRT Cloudで、このチェックリストを“運用に落とす”ポイント
チェックリストは人手でも回せますが、兼務体制ほど「繰り返し作業」で詰まります。
Auto PSIRT Cloudのデモでは、次の流れを 画面で確認できます。
- SBOM/部品表の取り込み：対象判定の前提を揃える
- CVE突合とトリアージ：ノイズを減らす
- 日本語要約：兼務でも理解できる形にする
- OEM対応ウィザード/レポート出力：回答書を“型”で作る
- 期限（SLA）/タスク可視化：返答漏れを防ぐ
このチェックリストを「自社向けに落とし込む（対象製品・版数・証跡・SLAまで）」壁打ちをご希望なら、ご相談ください。
【無料】オンライン相談を予約するFAQ：チェックリストの活用について
最初は「窓口1本化」「役割（4役）」「一次回答テンプレ」「案件台帳」「証跡フォルダ」「社内SLA」の6点をDay1で揃えるのが最優先です。
回せます。人数より「役割」と「型」が重要です。4役を決め、一次回答（調査中＋次回更新日）を許可すると破綻しにくくなります。
“根拠の一言”と証跡です。たとえば「搭載なし」「実行経路なし」「到達不能」など、根拠語彙を固定して残すと監査に強くなります。
状況によります。添付しない場合でも、回答書に「証跡ID／保管場所／対象版数」を明記できるように設計すると、追加質問に耐えやすくなります。
まとめ
PSIRT立上げは、最初の整備でほぼ勝負が決まります。
Day1で“止まらない”状態を作り、1週間で“返せる”状態にし、1ヶ月で“監査に耐える”状態へ進める。この順番で積み上げれば、兼務でもPSIRTは回ります。
体制構築とツール導入を同時に進めませんか？
Auto PSIRT Cloudには、このチェックリストで求められる「台帳管理」「SLA管理」「証跡の紐付け」「回答書の型化」がすべて組み込まれています。