SOCとは？セキュリティ監視の役割と外注する前に知っておきたいこと

SOC（ソック）⁠と⁠は⁠、ネットワーク機器やサーバーのログを常時監視・分析し、攻撃の兆候を見つけて対応につなげる組織や機能のことです。Security Operation Centerの略で、社内に作る会社も、外部のサービスに任せる会社もあります。

今日やることは、「この会社で夜中に警告が出たら、誰の電話が鳴るのか⁠」⁠を答えられるか確かめることです。答えが出なければ、製品や外注先を比べる前に、通知を受ける人と、機器を止める判断をする人を決めます。外注しても、この2人⁠は社内に要るからです。

SOCは何をしているのか？

英国の国家サイバーセキュリティセンターは、SOCの構築指針⁠で役割をこう説明しています。予防の対策をすり抜けた攻撃を検知し、対応することで、組織の被害を抑える。防ぐための製品とは別に、防げなかった場合に備える役割です。

同じ指針は、SOCの範囲は組織によって大きく違い、どの組織にも合う形はないとも書いています。「SOCを入れる」⁠と言っても、中身は一つに決まりません。外注のときに確認が要るのはこのためです。

国内では、セキュリティ運用の事業者が集まるISOG-Jが、SOC・CSIRTの解説書（2017年）⁠で機能を9つ⁠に整理しています。この記事に関係が深いのは次の4つです。

一般にSOCと聞いて思い浮かべるのは、上の表の1行目です。同じ解説書は、平時の分析運用を行う組織をSOC、有事の対応を行う組織をCSIRTと呼ぶことが多いとしています。呼び方は会社によって違うので、名前より「どの機能を誰が担うか」⁠で考えると話が早くなります。事故が起きたときの流れはインシデント対応の手順⁠で説明しています。

なぜ中小企業は自社に作らなくてよいのか？

理由は単純で、24時間⁠の監視には人数が要り、兼任では回らないからです。夜間も休日も警告を見て判断する体制を、社内の数人で組むのは現実的ではありません。

ISOG-Jの解説書も、一つの組織内に全ての機能を持つ必要はないとしています。社内に専門知識がほとんどなく、総務部門などが中心になる会社は、外部の専門組織に大きく頼る形になると説明しています。必要な役割が回るならアウトソースの比率が高くても問題はなく、無理に内製の比率を上げて実態が伴わないほうが問題だ、とも書いています。

監視を持つ意味はどこにあるのか

警察庁の令和8年上半期の報告⁠によると、ランサムウェアの被害報告は123件でした。被害企業の規模別では中小企業が約6割⁠、業種別では製造業が約3割です。同じ報告は、侵入経路はVPN機器が約5割⁠を占めるとしています。また、攻撃者は暗号化の前に内部を探索し、重要データやバックアップを物色すると説明しています。

侵入と暗号化の間に時間があるなら、その間に異常に気づける可能性があります。ただし、監視を入れれば必ず止められるという話ではありません。気づいたときに動く人がいて、初めて意味があります。

外注する前に、何を確かめるのか？

ここからは私たちの整理です。お見積もりの比較に入る前に、次の6点⁠を各社に同じ形で聞くと、違いが見えます。

監視の範囲を、自社の機器と突き合わせる

「24時間監視」⁠と書いてあっても、対象が出口の装置だけなのか、端末の中まで見るのかで、見えるものが変わります。端末を見るEDRの監視と、ネットワークを見る監視は別のものです。ネットワーク側の違いはネットワーク監視の始め方⁠で扱っています。機器の一覧を手元に用意して聞くと、「その機器は対象外です」という答えを先に引き出せます。

通知の基準を、数字で聞く

IPAのサイバーセキュリティお助け隊サービス基準（2.1版）⁠は⁠、比較の物差しとして使えます。1類では、重大なインシデントは即時（60分以内を目標）⁠に通知し、防御機能で十分に対策できたものや対応が不要なアラートは週1回などのレポートで知らせると定めています。

お助け隊以外のサービスを比べるときも、同じ問いをぶつけられます。何分以内に、誰に、電話かメールか。ここが曖昧なまま契約すると、夜中の通知が翌朝のメールだったということが起こりえます。

遮断の権限を、契約の前に決める

外注先が自分の判断で機器を切り離せる契約なら、対応は速くなります。代わりに、業務が止まる可能性を社内で受け入れる必要があります。助言までの契約なら、切り離すのは社内の人です。どちらが正しいかは会社によって違うので、決めておくことに意味があります。

費用の目安をどこに置くか

中小企業が比べやすい入口は、お助け隊サービスです。基準の2.1版は、相談窓口、異常の監視、緊急時の対応支援、簡易サイバー保険を原則として一つの契約で提供することを求めています。価格の上限も決まっています。

いずれも税抜きで、1類の基準です。実際の内容は、IPAの監視種別サービス一覧⁠で事業者ごとに確かめられます。

もう少し手厚い監視を探すなら、IPAの情報セキュリティサービス基準適合サービスリスト⁠に「セキュリティ監視・運用サービス」⁠の区分があります。民間のサービスはMDR・SOC監視サービスの比較、顧問の形で運用ごと頼む場合はセキュリティ運用代行・顧問サービスの比較で確かめられます。

製造業なら、どこでつまずきやすいか？

たとえば、夜勤のある部品メーカーが、事務所のネットワークの監視を外注した場合を考えます。深夜に「社内のパソコンから不審な通信がある⁠」⁠と通知が来たとき、そのパソコンが生産設備のデータを集める役割も持っていたら、切り離すとラインに影響が出るかもしれません。

事務所の担当者はそのパソコンの役割を知らず、夜勤の班長はセキュリティの判断ができない。こうした場面を想定して、外注先に渡す機器の一覧には「止めると何が止まるか」⁠を1列足しておきます。夜間に判断する人の連絡先も、工場側と事務所側でそろえておきます。

工場のネットワークまで監視に入れるかは、別の検討になります。経産省の工場システムのセキュリティ対策ガイドラインは、工場のネットワーク対策の一つに通信状況の可視化と監視を挙げています。あわせて、示した内容は例であり、環境は個社ごとに違うとしています。事務所から始めて、工場はあとから範囲を決める順番でも構いません。

社内に残すものは何か？

外注しても、社内に残るのは次の3つです。

1つ目は、通知を受ける窓口です。夜間と休日の連絡先を、担当者1人⁠に集中させないようにします。

2つ目は、止める判断です。売上と納期に関わるので、社長か、社長が決めた代理の人が持ちます。

3つ目は、ログの置き場所の把握です。警察庁の令和7年の報告は、ログを侵害範囲の特定に不可欠なものと書いています。外注先が持つログと自社が持つログのどちらに何が入るかを、一覧にしておきます。

ログを1か所に集めて分析する仕組みはSIEMと呼ばれ、外注のSOCがサービスに含めることもあります。自社で持つ場合の製品はSIEMの比較で確かめられます。SIEMのあとに検討される自動化については、SOARを急がなくてよい会社の基準⁠に書きました。

取引先から対策の説明を求められる会社は、SCS評価制度⁠の動きも見ておくと役立ちます。★3・★4は2027年3月⁠の受付開始に向けて整備が進められています。

監視や運用の全体像は、監視・運用・社内体制のカテゴリ⁠にまとめています。