SIEMとは？ログを集めて何がわかるのかと中小企業に要るかの判断

SIEM（シーム）⁠と⁠は⁠、機器やサービスのログを1か所に集めて関連づけ、脅威の兆候を見つけて担当者に知らせる仕組みのことです。Security Information and Event Managementの略です。ログを見て判断する人がいない中小企業は、製品を買うより先に、ログの保存と監視の外注を検討するほうが筋が通ります。

今日やることは、保守会社か情シス兼任者に2つ聞くことです。「VPN機器とサーバーのログは、今どこに、何日分残っていますか」「そのログは、今週誰か見ましたか⁠」⁠。この答えで、SIEMの話をする段階かどうかがわかります。

SIEMは何をしているのか？

IBMの解説は、SIEMの中心機能を次のように説明しています。もともとはログ管理の道具で、SIMとSEMを合わせた言葉として2005年⁠にGartnerが名付けました。

ログ管理との違いは、相関分析と警告にあります。NIST SP 800-92 Rev.1の初期公開草案は、ログ管理を「ログを生成し、送り、保存し、参照し、廃棄する工程⁠」⁠と説明しています。SIEMはそのログを使って、何が起きているかを判断する材料を作ります。

ログを関連づけると何がわかるのか

1つ⁠のログだけでは普通に見える出来事でも、並べると意味が変わることがあります。

たとえば、樹脂部品の工場で、保守会社のアカウントが深夜にVPNへ接続し、その後に図面サーバーを見に行き、大量のデータが外へ送られていた場合です。VPNの記録、サーバーの記録、通信の記録は、別々の機器に残ります。1つずつ見れば異常と言い切れなくても、同じ時間に並べれば調べる理由ができます。

ただし、その接続が本当に異常かどうかは、ログだけでは決まりません。保守会社が夜に作業する予定だったなら、正常です。判断には、工場の予定や取引先との関係を知っている人が要ります。

なぜログを集めるだけでは役に立たないのか？

オーストラリアのサイバーセキュリティ機関とCISAなどは、2025年に経営層向けの指針⁠を公表しました。そこでは、SIEMもSOARも「設定して終わりの道具ではない」⁠と述べています。理由を中小企業の事情に置き換えると、次の4つです。

1つ目は、警告を見る人がいないと何も起きないことです。SIEMは知らせるまでが仕事で、接続を止めるか、取引先に連絡するかは人が決めます。夜間や休日に誰も見ないなら、警告が翌朝まで放置されます。

2つ目は、調整が続くことです。IBMも、誤検知を減らすために設定を定期的に調整するよう勧めています。機器を入れ替えたり、新しいクラウドを使い始めたりすれば、条件を見直す作業が発生します。

3つ目は、ログの量が費用に響くことです。同じ指針は、多くのSIEM製品が取り込む量で課金し、上限を設けないと高額になりうると指摘しています。Microsoft Sentinelの課金の説明でも、分析用の層の従量課金は保存されるデータ量に基づき、90日⁠を超える保持は追加の費用対象です。全部集めるほど安心、とはいきません。

4つ目は、集めていなければ調べられないことです。指針の関連文書であるSIEMへ取り込むログの優先順位の指針⁠が別に用意されています。検知や対応に効く重要なログを選んで取り込むことが、それだけ大事な論点だということです。

中小企業に要るかはどう判断するか？

会社の人数ではなく、警告を受けて動ける人がいるかで分けます。次の表は、私たちが判断の目安として整理したものです。

外注が向く中小企業の条件

次のうち2つ以上当てはまるなら、製品を買う前に外注の見積もりを取る価値があります。

• 情シスが兼任で、警告を毎日見る時間がない
• 夜間や休日に判断する人がいない
• SIEMの検知条件を書ける人がいない
• 守りたいのがパソコンとサーバー中心で、機器の種類が多くない
• 予算を月額で見たい

指針は、外注の利点だけを挙げてはいません。社内で運用する利点は、社員がネットワークと業務の流れをよく知っていることだとしています。外注には、見えない部分ができる、作業が重なる、連絡が難しくなる、といった注意点があります。

そのため、任せるのは監視と一次判断までにして、止める判断は社内に残します。誰が判断するかは専任なしで作るCSIRTの役割分担⁠で決めておきます。

予算が限られるなら何から入るか

入口として比べやすいのは、IPAのお助け隊サービスです。基準の2.1版では、1類の監視は24時間で、UTMなどによるネットワーク監視か、EDRなどによる端末監視を含みます。月額の上限は、ネットワーク監視が1万円⁠、端末監視が1台あたり2,000円です（税抜き）⁠。

これはSIEMの代わりになるものではなく、守る範囲が違います。監視そのものを任せるならMDR・SOC監視サービスの比較を見ます。担当者の仕事ごと外に頼むならセキュリティ運用の代行・顧問の比較です。自社で持つ前提ならSIEM製品の比較です。代表的な製品の1つについては、Splunkの機能と料金の仕組み⁠で整理しました。

SIEMの前に整えるログは何か？

SIEMを入れない会社でも、ログの保存は別の話です。警察庁は令和7年の報告で、ログの取得を侵害範囲の特定に不可欠なものとして挙げています。一方で令和8年上半期の報告は、攻撃の最後にログなどの痕跡が消される流れを示しています。

ここから言えるのは、機器の中にだけログを置かないことです。ログを別の場所へも送っておけば、機器のログが消えても調査の手がかりが残ります。ログ管理製品の比較は、この段階の製品を比べるときに使えます。

保存期間に全社共通の正解はありません。契約や業界の基準で決まっている場合はそれに従います。指定がなければ、事故に気づくまでの時間と、フォレンジック調査で必要になる記録⁠を考えて、保守会社と決めます。

見積もりで何を聞くか？

製品でも外注でも、次の質問への答えで比べると、機能の一覧表より差が見えます。

• 1日⁠に取り込むログ量をどう見積もるか。超えたら費用はどうなるか
• 警告が出たとき、誰が何時間以内に連絡してくるか
• 夜間や休日に、機器の隔離までしてくれるか
• ログはどこに何日保存され、解約時に受け取れるか
• 事故のときの調査は契約に入るか、別料金か

指針も、外注先の24時間監視の体制を確かめること、効果の検証と事故時の責任分担を契約で確認することを挙げています。

監視や運用の全体像は、監視・運用・社内体制のカテゴリ⁠にまとめています。