MDRとは、EDRなどの通知を専門のアナリストが監視、調査し、対応までを支援するサービスです。Managed Detection and Responseの略で、Microsoftの説明では、技術と人の知見を組み合わせて24時間体制で監視、検出、対応するものとされています。同じ説明の中で、サービスの内容はプロバイダーによって異なるとも書かれています。
今日やることは、見積もりを取る前に「夜中の3時に、誰の判断で何を止めてよいか」を社内で決めることです。工場の生産管理サーバーは止めてよいのか、社長に電話がつかないときはどうするのか。この答えが、選ぶべき契約の形を決めます。
EDRとMDRはどう違う？
EDRは製品で、MDRは人が動くサービスです。EDRの役割とウイルス対策ソフトとの差にあるとおり、EDRは端末の動きを記録して通知を出します。通知を読む人がいなければ、その先へ進みません。MDRは、その読む人と動く人を外から用意します。
SIEMやXDRが並ぶと分かりにくくなりますが、整理は単純です。SIEM、XDR、EDRは道具の名前で、MDRは運用の名前です。Microsoftの説明でも、EDRはMDRのプロバイダーで頻繁に使われるツールとされています。
なぜ外注が話題になるのかは、被害の統計から分かります。令和8年上半期の警察庁の報告では、ランサムウェアの被害報告が半期で最多の123件となり、規模別では中小企業が約6割を占めました。復旧に総額1,000万円以上かかった組織は全体の6割です。兼任の担当者だけで夜間まで見続けるのは現実的でなく、そこを埋める手段の1つがMDRです。
MDRの「止める」は会社で何が違う？
同じMDRという名前でも、動く範囲に幅があります。公開資料が詳しい2社を例に見ます。製品の優劣を言うものではなく、確認の観点をつかむための例です。
Sophosの公式ヘルプ（2026年9月時点）では、対応の範囲を3つのモードから選びます。
| モード |
検知の通知 |
調査 |
封じ込めの実行 |
| Notify |
する |
限られる |
しない |
| Collaborate |
する（推奨付き） |
する |
同意や書面の許可があれば |
| Authorize |
する |
する |
先に実施して知らせる |
同じヘルプでは、NotifyではMDRチームが脅威を封じ込められないとされ、長期間の利用は勧められていません。Collaborateには、登録した連絡先すべてに電話しても反応が無いときにAuthorizeと同じ扱いにできる選択肢があります。中小企業にとって一番の論点は、この部分だと私たちは考えます。
また、Authorizeで「完全な無害化」まで任せられるかは契約の種類（MDR Plus）で分かれると書かれています。モード名だけでは範囲が決まりません。
Microsoft Defender Experts MDRでは、アナリストが24時間体制で通知の一覧を管理し、切り分けと調査をします。Microsoftの製品については対応を実施するか案内するかの形で、サポート対象の他社製品については対応の案内にとどまると書かれています。つまり、同じ契約でも製品によって「止める」と「教える」が分かれます。
このサービスはセキュリティ運用センターを置き換えるのではなく補強するものと説明されています。監視の部署が無い中小企業が想定する丸投げとは、前提が違う場合があることになります。
「24時間監視」の一言では比べられません
見ているだけ、電話が来る、代わりに止める、はどれも「24時間監視」と書けます。比べるのは監視の時間ではなく、通知の後に誰が何をするかです。
外注範囲の見極めは何を確認する？
次の項目を、そのまま問い合わせに使えます。答えが書面で出るサービスを選ぶと、後で揉めにくくなります。
調べる範囲
- 監視の対象は端末だけか。サーバー、メール、クラウド、ファイアウォールのログは含むか
- 自社で使っているEDRのままでよいか、指定の製品に入れ替える必要があるか
- 誤検知の切り分けはどこまで会社側でやってくれるか
- 報告は日本語か。報告の頻度はどのくらいか
止める範囲
- 端末の切り離しを、許可なしで実行できるか
- アカウントの停止、不審なファイルの削除、サーバーの隔離はそれぞれ範囲に入るか
- 連絡がつかないときの扱いを、契約の段階で選べるか
- 止めてはいけない機器を除外リストにできるか
- 夜間と休日で対応の内容や速さが変わるか
止めた後の範囲
- 根本原因の調査は含むか、別料金か
- 駆け付けはあるか。遠隔だけか
- 復旧の作業は誰がやるか
- 警察、取引先、個人情報保護委員会への連絡で助言はもらえるか
- 保険は付いているか。補償の範囲はどこまでか
契約の条件
- 最低の席数、最低の契約期間はいくつか
- 目標の応答時間はあるか。それは保証か目標か
- 解約後に記録を受け取れるか
Microsoftの場合、Plan 2は最低1,500席のライセンスを必要とすると明記されています。席数の条件は製品の良し悪しと別に候補を絞るので、最初に聞きます。
中小企業はどこまで外に出すべき？
全部を外には出せません。線の引き方の目安は、次のとおりです。
外に任せやすいのは、通知の監視、切り分け、端末の切り離しです。専門性と24時間の人員が要り、社内で持つのが難しい部分です。
社内に残すのは、業務を止める判断、取引先への説明、公表の判断、復旧の優先順位です。これらは会社の事情を知る人にしか決められません。担当者を1人決め、代わりも決めます。
たとえば、夜勤のある部品工場の場合です。事務所のパソコンは許可なしで切り離してよいとします。生産管理サーバーは止めると夜勤の工程が止まるので、工場長の電話を経由する、と決めます。工場長に連絡がつかない時間の扱いも書いておきます。こうした表を1枚作っておけば、サービスの比較がしやすく、契約後の設定にも使えます。
この表を急ぐ理由があります。トレンドマイクロのインシデント対応の解説は、通知を受けた後の隔離判断や承認ルートが定まっていなければ、検知を被害の抑制につなげられないと書いています。同社が対応した1件では、EDRの無効化を検知してからランサムウェアの実行まで22分でした。すべての攻撃がこの速さとは限りませんが、社内の承認を夜中に回す時間が無い場合があるのは確かです。
予算が合わないときの別の道は？
MDRが規模や予算に合わないときは、サイバーセキュリティお助け隊サービスを比べます。IPAのサービス基準（2.1版）の1類では、24時間の監視、重大な事案の即時通知（60分以内が目標）、駆け付け支援、簡易サイバー保険を一体で提供することが求められています。端末監視は1台あたり月額2,000円（税抜）が上限で、1台から契約できます。
MDRとの差は、基準が定めているのが主に検知と通知、要請時の支援である点です。基準の文言からは、夜中に代わりに端末を止めることまでは読み取れません。そこはサービスごとに確かめます。
監視の対象を広げたい会社は、XDRが要るかの判断基準も合わせて読むと、任せる範囲を決めやすくなります。すでに入れているウイルス対策ソフトとの関係はEPPとEDRの違いで整理しました。
候補を並べるときは、MDRサービスの比較とセキュリティ運用の外注サービスの比較を使えます。入れる製品から決めたい場合はEDRの製品比較が先です。端末を守る考え方の全体はエンドポイントセキュリティのカテゴリにまとめています。
ここで挙げた各社の内容は、公開資料をもとに整理したものです。私たちが実際に契約して確かめたものではありません。サービスの範囲は更新されるので、最新の資料と見積もりの条件で確認してください。
