EPPは脅威が入る前に防ぐ製品、EDRは入った後の動きを見つけて対応につなげる製品です。Microsoftの中小企業向けの解説も、EPPは侵入する前段階の防御、EDRは侵入した後の被害を抑えることを主な目的としています。
今日やることは、いま使っているウイルス対策ソフトの契約を開き、「EDR」の文字があるかを確かめることです。すでに両方の機能が入っていて、使っていないだけの会社もあるからです。買い足す相談は、その後で十分です。
EPPとEDRは何が違う？
3つの点で違います。
|
EPP |
EDR |
| 働く時点 |
入る前、動き出す時 |
入った後 |
| 主な機能 |
既知の脅威の遮断、駆除 |
動きの記録、検知、調査、切り離し |
| 人の関わり |
少なくて済む |
通知を読み判断する人が要る |
EPPはEndpoint Protection Platform、EDRはEndpoint Detection and Responseの略です。トレンドマイクロの説明では、EPPは既知のマルウェアなどをパターンマッチングなどで止める事前防御を主目的とし、EDRは内部への侵入を許した場合に不審な動作を検出して対応するものとされています。
EDRの中身はEDRとウイルス対策ソフトの役割の差で詳しく扱いました。この記事は「どちらを、どの順で」に絞ります。
用語の使い方はメーカーで揺れています
CrowdStrikeの説明では、EPPはウイルス対策に加えて暗号化やデータ漏えい防止も含む製品群とされています。「EPP」と書かれた製品にEDRが含まれていることも、別売りのこともあります。言葉でなく機能の一覧で確かめてください。
片方だけでは何が足りない？
EPPだけの場合は、すり抜けた後が見えません。令和8年上半期の警察庁の報告は、攻撃者が管理者権限の奪取やセキュリティの無効化を試みながら社内を探る流れを示しています。入口で止められなかったとき、その後の動きに気づく手段がEPPにはほとんどありません。
同じ報告では、インターネットに露出した箇所から遠隔で侵入する手口が多く、メールの添付ファイルによる感染は少なくなっているとされています。ファイルを止める役だけでは対応しきれない理由はここにあります。
EDRだけの場合は、入口で止められたはずのものまで通知と調査の対象になり、人の手間が増えるおそれがあります。CrowdStrikeの説明も、片方があるからといって、もう片方の必要が減るわけではないとしています。製品を売る側の説明なので、割り引いて読む必要はありますが、役割の違いという点ではトレンドマイクロ、Microsoftと同じです。
片方に絞るなら、外すのはEDRのほうです。EPPを外してEDRだけにする判断は、中小企業ではまず出てきません。
両方必要な会社と片方でよい会社の分かれ目は？
問いの形を変えると判断しやすくなります。「EPPに、EDRを足すか」です。見るのは社員数と監視の体制の2つです。
| 体制 |
〜20人程度 |
20〜300人程度 |
300人超 |
| 通知を見る担当者か外注先がある |
両方 |
両方 |
両方 |
| 担当者はいないが外注の予算がある |
外注込みで両方 |
外注込みで両方 |
両方。担当も置く |
| どちらも無い |
EPP＋基本の対策 |
体制を先に作る |
体制を先に作る |
この人数の区切りは統計ではなく、私たちが整理のために置いた目安です。根拠があるのは次の2点です。300人という数字は、Microsoft Defender for Businessの対象が最大300人であることに合わせました。そして被害の規模は小さい会社にも及んでいて、同じ警察庁の報告では中小企業が被害の約6割を占めます。人数が少ないからEDRが要らない、とは言えません。
少人数でも両方を考える会社
人数が少なくても、次に当てはまる会社は「どちらも無い」の行で止まらず、外注の予算を取るところから考えます。
- 大手の取引先の図面や仕様を預かっている
- 受発注や生産管理のサーバーが止まると数日で納期に響く
- 取引先からセキュリティ対策の説明を求められている
取引先の要求は今後増えるかもしれません。SCS評価制度は、★3・★4の2027年3月の受付開始に向けて準備が進められています。EDRを必須としているかは要求事項を読んで確かめてください。
EPPから始めてよい会社
守るデータが少なく、パソコンが数台で、サーバーを持たず、クラウドのサービスで業務が回る会社です。この場合は、次の順で進めます。
- OSとソフトの更新を自動にする
- メールとクラウドのログインに多要素認証を入れる
- バックアップを取り、戻す試験をする
- 中小企業の情報セキュリティ対策ガイドライン（第4.0版）の自社診断で穴を探す
EPPだけで始めた場合でも、事故が起きたときに誰へ連絡するかは決めておきます。
費用を抑えて両方そろえる方法は？
別々に買うとは限りません。
1つの製品にまとまっている形
Microsoft Defender for Businessは最大300人向けで、EDRや調査・修復の自動化を含みます。Microsoftの解説では、EDRに加えて従来のEPPの機能も備えるとされています。土台のMicrosoft Defenderウイルス対策はWindows 10、11とWindows Serverで使えます。Microsoft 365 Business Premiumの契約には含まれているので、すでに契約している会社はまず設定を確かめます。
今のEPPを残してEDRだけ足す形
MicrosoftのブロックモードのEDRの説明は、他社のウイルス対策を主に使う端末を想定しています。ただし、Defender for Endpoint Plan 2が対象で、パッシブモードでは使えない機能もあると書かれています。組み合わせの制約は製品ごとにあるので、併用できるかは両方のメーカーに聞きます。
監視まで含むパッケージ
サイバーセキュリティお助け隊サービスのサービス基準（2.1版）では、1類の端末監視は1台あたり月額2,000円（税抜）が上限です。24時間の監視、重大事案の即時通知、駆け付け支援、簡易サイバー保険までが一体です。基準上の端末監視は「EDR等」を使うもので、IPAのFAQでも、機能があれば必ずしもEDRに限らないとされています。
比較するときの3つの値段
- 製品のライセンス料（1台あたり、1ユーザーあたりで単位が違う）
- 監視を外に出す費用（製品に含むか別か）
- 初期の設定費用（端末への配布を誰がやるか）
監視の外注で見るべき範囲はMDRの外注範囲の見極め方に確認項目を並べました。端末以外までつなぐ話はXDRが中小企業に要るかの判断基準にあります。
製造業では端末を分けて判断する
全社で同じ答えにしなくてかまいません。
たとえば、事務所のパソコン40台、サーバー2台、工場の設備につながるパソコン6台の会社の場合です。事務所のパソコンとサーバーは両方の対象にします。サーバーは止まったときの影響が一番大きいので、優先度を上げます。
工場の6台は、設備メーカーの保守条件と対応OSを確かめてからです。Microsoft Defender for Endpointの要件でも、古いWindowsは接続方法に条件があり、Windows CEのように対象外のものがあります。入らない機器はネットワークを分けて守ります。
こうして台数を分けると、見積もりの台数も、ライセンスの単位も正確に出せます。
比較の材料には、EPPを含むエンドポイントセキュリティの製品比較とEDRの製品比較、監視まで任せるならMDRサービスの比較を使えます。端末を守る製品全体はエンドポイントセキュリティのカテゴリにまとめています。
ここに書いた製品の内容は、公開資料から整理したものです。私たちが製品を使って確かめたものではありません。契約前に各社の最新の資料で確かめてください。
