セキュリティ監視は何を見る？社内でやる範囲と外に任せる範囲の分け方

セキュリティ監視とは、端末、ネットワーク、クラウドの状態やログを継続して見て、攻撃の兆しや異常を見つける仕事です。中小企業なら、夜間と休日の見張りを外に任せ、止める判断と社内外への連絡は自社に残す分け方が考えられます。

今日やることは、今ある警告がどこへ届いているかを確かめることです。ウイルス対策ソフト、UTM、Microsoft 365やGoogle Workspaceの通知先を開いて、宛先を書き出してください。退職者のアドレスや誰も読まない共有アドレスなら、見張っていないのと同じ状態です。

なぜ入口だけでなく中を見るのか？

入られる前に防ぐ対策だけでは、すり抜けたときに気づけません。警察庁の2026年上半期の資料は、ランサムウェアの流れを説明しています。ネットワークへ侵入した攻撃者は、権限の奪取やセキュリティの無効化を試み、内部を探索します。データを持ち出した後に暗号化を実行します。

つまり、暗号化の画面が出るまでに段階があります。途中の不審なログインや通信に気づければ、被害を抑えられる可能性があります。同じ資料では、被害組織へのアンケートで侵入経路のVPN機器が約5割でした。

国の指針にも監視は入っています。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、攻撃の予兆や異常を早く見つけるため、システムやネットワーク、機器の状態を継続的に監視し分析するよう示しています。情報セキュリティ10大脅威 2026⁠の組織編でも、1位⁠はランサム攻撃による被害でした。

端末、ネットワーク、クラウドでは何を見る？

3か所は、見える異常が違います。どれか1つ⁠で全部は見えません。

端末

IPAのサイバーセキュリティお助け隊サービス基準は、端末監視をEDRなどのソフトで端末内部の挙動を常時監視することと定義しています。持ち出すノートパソコンも見られるのが強みです。付則では、少なくとも重要情報を扱う端末へ入れることを推奨しています。

ネットワーク

同じ基準のネットワーク監視は、UTMなどの装置で外部からの不審なアクセスと内部からの不正な通信を検知するものです。付則は、通信全体を監視できるよう設置場所を考慮するよう推奨しています。

社内を流れる通信まで細かく見たい場合はNDRが候補です。NDRの製品比較では、通信そのものを取り込む型と、機器のフロー情報を集める型に分けて並べています。

クラウド

クラウドは、社内の機器を見ているだけでは分かりません。IPAの2026年10月⁠の注意喚起も、外部公開のサービスやアカウントの侵害が起点になった事案の傾向に触れています。利用中の外部サービスを洗い出し、サービスごとのログと保有期間を整理するよう求めています。

ログは放っておくと消えます。Microsoft Entraでは、サインインのログの既定の保持⁠が無料版で7日⁠、P1とP2で30日です。Microsoft 365の監査は、Audit (Standard)の既定の保持⁠が180日です。

連休明けに異常に気づいたとき、7日分しかないと調べられる範囲は狭まります。自社のプランでの保持期間を一度確かめてください。

工場がある会社は何に気をつける？

たとえば、夜間も設備が動く部品工場の場合、事務所のパソコンと同じ手当てが設備用パソコンにできるとは限りません。古いOSで動いていたり、ソフトの追加が機器の保証に関わったりする場合があるからです。入れる前に機器メーカーへ確かめます。

こうした設備には、ネットワーク側で見る方法があります。事務と工場の間の接続点や、保守業者が外から入る回線を見る位置に置く考え方です。工場全体の進め方は、経産省の工場システムのサイバー・フィジカル・セキュリティ対策ガイドライン⁠が手引きになります。

止める判断も工場では重くなります。通信を遮断すれば生産が止まるかもしれません。設備の担当者を抜きに、監視の会社や情シス兼任者だけで決める形は避けてください。

社内でやる範囲と外に任せる範囲はどう分ける？

分け方の軸は、判断に自社の事情が要るかどうかと、夜中に動けるかどうかです。私たちは次の線引きを1つ⁠の目安として考えています。

外へ出しても、社内の仕事はなくなりません。どの機器が何の仕事に使われているかを知っているのは自社だけです。台帳が古ければ、通知を受けても重大かどうか判断できません。

何をどの段階で報告するかの基準は、先に社内で決めておきます。ビジネスでのインシデントの定義で、判定の決め方を説明しています。

夜間と休日に何を任せる？

ここで差がつくのは、監視の時間よりも、通知の後に誰が動くかです。

お助け隊サービスの基準を物差しにする

中小企業向けの制度として、IPAのサイバーセキュリティお助け隊サービス⁠があります。相談窓口、異常の監視、緊急時の対応支援、簡易サイバー保険を1つ⁠にまとめたサービスです。基準（2.1版）⁠の主な要件は次のとおりです。

ほかのサービスと比べるときも、これらの項目で揃えると見比べやすくなります。監視機能を強めた2類も創設されています⁠。

より深い監視と対応を求めるなら、MDR・SOC監視サービスの比較が候補になります。今のEDRを専門の会社が見る型、メーカーが自社製品を見る型、機器のログを見る型に分かれます。IPAの情報セキュリティサービス基準適合サービスリストにも、セキュリティ監視・運用サービスの一覧があります。

契約の前に書面で確かめる項目

「24時間監視」という言葉だけでは、夜中に何が起きるかまでは分かりません。次の点を確かめてください。

• 夜間と休日に、人が判定するのか、通知の自動送信だけなのか
• 重大な場合の連絡手段は、メールか電話か。電話に出なければ次に誰へかけるか
• 端末の隔離や通信の遮断を、こちらの許可なしに実行するのか
• 見る範囲に、クラウド、サーバー、設備用パソコンが入るか
• ログを何日保存し、解約時に受け取れるか
• 調査や復旧は料金に含まれるか、別料金か

隔離の権限は特に先に決めます。たとえば「事務用のパソコンは許可なしで隔離してよい。受注サーバーと工場の機器は社長か工場長の許可を取る」のように、機器の種類で分けます。

社内の受け手を2人決める

夜中の電話を受ける人が1人だと、出られないときに止まります。1番手と2番手を決め、連絡先を監視会社へ渡してください。役割の割り振りは、社員50人⁠の会社のCSIRT体制図⁠を下敷きにできます。

見張りだけでなく、セキュリティ担当の日常業務ごと支援を受けたい会社もあるでしょう。その場合はセキュリティ運用代行・顧問サービスの比較で、担う範囲を確かめます。

少しずつ始めるならどの順番？

全部を一度に揃える必要はありません。予算が限られるなら、次の順番で進める方法があります。

1. 今ある製品の通知先を直し、毎週誰が見るかを決める
2. クラウドの管理者アカウントに多要素認証をかけ、ログの保持期間を確かめる
3. 外から入れる機器（VPN、リモート接続）⁠のログが残っているか確かめる
4. 夜間と休日の監視を外部へ任せ、隔離の権限と連絡先を決める
5. 年に1回⁠、監視会社からの深夜の通知を想定して、連絡の流れを試す

製品を導入する前に、1と2だけでも進められます。監視全体の位置づけはセキュリティ運用のカテゴリ⁠にまとめています。