EDRとMDRの違いは？製品を買うかサービスを頼むかの判断基準を解説

EDRは端末の不審な動きを記録して知らせる製品で、MDRはその通知を専門家が監視し、調査や対応まで受け持つサービスです。

今日やることは、選定の前に社内で1つ確かめることです。「土曜の深夜2時にEDRの通知が来たら、誰が見て、誰がその端末をネットワークから切り離すのか⁠」⁠。名前を挙げて答えられるならEDRだけで始められる余地があります。答えられないなら、MDRも検討に入れます。

EDRとMDRは何が違う？

違いは、買うものが道具か、人の動きかです。

Microsoftの説明では、MDRは技術と人の専門知識を組み合わせ、24時間体制で監視、検出、対応するものとされています。同じページで、MDRはサイバーセキュリティのツールとそのデータを管理する人間主導のサービスだと書かれています。EDRは端末側の道具なので、役割が重なる関係ではありません。

ウイルス対策ソフトとの関係も整理しておきます。ウイルス対策は入口で止める役割で、EDRは入り込んだあとの動きを追う役割です。MDRはこの2つ⁠の通知を見る人の話なので、ウイルス対策かEDRかという比較とは軸が違います。

どちらも、守れる範囲には限りがあります。令和8年上半期の警察庁の報告では、ランサムウェアの被害組織へのアンケートで、侵入経路はVPN機器が約5割でした。EDRやMDRを入れても、VPN機器の更新とパスワードの管理は別の仕事として残ります。

製品を買うか、サービスを頼むかはどう決める？

判断の軸は、夜間と休日の扱いです。次の順に確かめると決まります。

1. 通知を受ける人が、夜間と休日も連絡のつく形でいるか
2. その人が、通知の深刻さを読めるか
3. その人に、端末を切り離す権限があるか
4. 交代できる人が2人以上いるか

4つとも「はい」⁠な⁠ら⁠、EDRだけで運用できる可能性があります。1つでも「いいえ」⁠な⁠ら⁠、その穴の分だけ外の力を借りることになります。

情シス兼任の担当者が1人⁠の会社は、4番で止まります。 休暇中や病欠のときに誰も見られないからです。担当者の努力で埋める話ではなく、体制の話として扱ってください。

通知を朝まで放置すると決めるのも、判断の1つです。そのときは、夜間に広がったときの復旧手順とバックアップを先に整えておきます。「決めていない」状態がいちばん困ります。

EDRだけで始められる会社

社内に通知を読める担当者がいて、平日の日中だけ見れば足りると経営者が判断した会社です。夜間を自社で見るなら、交代の当番表と連絡手段まで作ります。EDRの導入は通知の山を受け取ることでもあるので、誤検知を減らす調整の時間も担当者の予定に入れます。

MDRまで頼むほうが筋に合う会社

兼任の担当者しかいない会社、工場や拠点が分かれていて夜間も端末が動いている会社です。警察庁の同じ報告では、被害企業のうち中小企業が約6割⁠、製造業が約3割⁠を占めています。また、復旧に総額1,000万円以上かかった組織は全体の6割でした。この費用と監視料を、経営者が同じ表で比べられるようにしておきます。

金額の見方はEDRとMDRの1台あたりの費用と総額⁠で扱っています。今のウイルス対策の会社に頼むか別の会社へ移るかは、今のソフトへのEDR追加と乗り換えの比較⁠で整理しました。

夜勤のある工場では何を決めておく？

たとえば、部品工場で夜勤があり、生産管理サーバーが24時間動いている場合を考えます。夜勤の人はいますが、製造の担当でパソコンの調査はしません。

このとき、MDRの会社から夜中に電話が来ても、受けた人は判断できません。外に頼むだけでは足りず、次の表を社内で作っておく必要があります。

3行目は見落としやすい点です。EDRは対応OSに入らない古いWindowsには入らないことがあり、ソフトを入れられない機器も工場にはあります。EDRの製品比較を見る前に、台帳で対象外の機器を数えてください。対象外の機器は、ネットワークを分けるなど別の手当てが要ります。

工場のOTセキュリティの比較は、ソフトを入れられない機器を守る製品を見るときの入口になります。

MDRの「対応」⁠はどこまでを指す？

MDRの名前が同じでも、範囲は同じではありません。Microsoftの説明にも、MDRのサービスはプロバイダーによって異なるとあります。公式ページで確かめた例を挙げます。

• ラックのEDR監視・運用：24時間365日⁠の監視と分析、端末の隔離を行います。EDR製品のライセンスは含まず、最低利用期間は12か月です。価格は個別見積もりです。
• NRIセキュアのマネージドEDRサービス：CrowdStrike Falconが対象で、端末は100台からです。詳細な調査と報告書の取りまとめはオプションです。
• キヤノンMJのESET PROTECT MDR：防御とXDRと監視をまとめて提供し、Liteは26ライセンスからです。初動対応のあと、隔離からの復旧など利用者側の作業が残ると注記されています。

見積もりで聞くことは5つ⁠に絞れます。

• 誰の判断で端末を隔離するか。事前の同意は要るか
• 隔離した端末を戻すのは誰か
• 原因調査と報告書は料金に含まれるか
• 夜間と休日の通知は電話か、メールだけか
• 最低の台数と最低の契約期間はいくつか

MDRに任せても、社内に残る仕事があります。工場を止めるかの判断、取引先への連絡、警察や保険会社への連絡は会社の仕事です。連絡を受ける窓口を夜間も含めて決めておきます。

候補を並べるときは、MDR・SOC監視サービスの比較で監視の時間、隔離の代行、使える製品を見比べられます。

MDRの最低台数に届かない会社はどうする？

MDRには最低台数の条件が付くことがあります。先の例でも、100台からや26ライセンスからです。10台⁠の会社には合いません。

このときの選択肢が、IPAのサイバーセキュリティお助け隊サービスです。サービス基準の説明資料⁠によると、端末監視は24時間見守る仕組みを含み、1台から契約できます。重大なインシデントは即時（60分以内を目標）⁠に通知し、駆付け支援と簡易サイバー保険も組み合わせて提供する決まりです。

ただし、基準が求めるのは主に検知と通知、駆付け支援です。夜中に誰が端末を止めるかはサービスごとに確かめてください。監視と事故対応だけでなく、規程づくりや相談まで頼みたいときは、セキュリティ運用代行・顧問サービスの比較も候補です。

EDRを自社で持ち、社内の日中の監視と夜間の外注を組み合わせる形もあります。SOCとの違いも含めて、MDRとSOCの違いと外注の形⁠にまとめました。

選んだあとに確かめること

契約したら、一度は訓練をしてください。サービス会社に依頼できるか確かめたうえで、夜間に通知が来た想定で連絡網を試します。電話がつながらない、工場長の番号が古い、といった問題は書類の上では見つかりません。

連絡先は人の異動で古くなるので、年に1回⁠は更新します。検討の入口として、カテゴリ全体は端末のセキュリティの解説⁠で確認できます。