ログ監視ツールとは、機器やソフトが残す記録を集め、決めた条件に合うものを知らせる道具です。SIEMは複数の機器のログを突き合わせ、単独では見えない攻撃の兆しまで探す仕組みです。どちらを選ぶかは、ログを出す機器の台数と、通知を読む人がいるかで決めます。
今日やることは、VPN機器、ファイアウォール、認証サーバー、ファイルサーバーの4つについて、ログが何日分残っているかを確かめることです。担当者か保守会社に聞けば分かります。あわせて、会社のPCとサーバーの台数を1枚の紙に書き出します。製品の比較は、この2つが分かってから始めます。
ログ管理、ログ監視、SIEMは何が違う？
3つの言葉は重なって使われますが、仕事の中身で分けると整理できます。
| 呼び方 |
主な仕事 |
答えられる問い |
| ログ管理 |
集める、しまう、探す |
あの日、誰が接続したか |
| ログ監視 |
条件に合う記録を知らせる |
深夜に管理者の接続があったか |
| SIEM |
複数のログを突き合わせて分析する |
別々の機器の動きが1つの攻撃につながるか |
米国NISTのログ管理の計画ガイド（SP 800-92 Rev.1の初期公開草案）は、ログ管理を、ログの生成、転送、保管、参照、廃棄までの工程と説明しています。事故の調査だけでなく、運用上の問題の発見や、必要な期間の記録の保存にも使うものです。
SIEMは、NISTの用語集では、多様なログをまとめて記録するプログラムと定義されています。ただ、いまの製品はそこにとどまりません。Microsoft Sentinelの公式説明は、検知、調査、対応、脅威の探索までを支える製品として書いています。製品名がログ監視でもSIEMでも、できることは製品ごとに確かめる必要があります。
図鑑でも、統合ログ管理ツールの製品比較は保管と監査対応を主役に、SIEMの製品比較はログの取り込みと相関分析を主役にして分けています。
なぜ検知の前に「残す」から始めるのか？
検知の仕組みがなくても、ログが残っていれば後から調べられます。残っていなければ、どんな高機能の製品でも過去はさかのぼれません。
警察庁の令和7年上半期の情勢報告は、ログが保存されていないと適切な対策を講じられず、弱点が放置されて再被害のおそれがあると指摘しています。バックアップからの復旧に支障が出るおそれにも触れています。同じ報告は、攻撃者が被害企業のログを消す場合があるとも記しています。
IPAが2026年3月に公開した中小企業の情報セキュリティ対策ガイドライン第4.0版も、本編で次の3つを挙げています。
- 通信ログや認証ログを取得して保管する
- ログの改ざんを防ぐ
- 定期的にレビューする
高価な分析より先に、この3つが要ります。ログを機器の中だけに置かず、別の場所へ送っておくと、機器が壊れたり消されたりしたときにも記録が手元に残ります。
機器の台数でどう選ぶ？
次の線引きは私たちの整理で、公的な基準ではありません。台数の境目より、右端の「見る人」の条件を重く見てください。
| 規模 |
無理のない形 |
見る人 |
| PC30台まで、サーバー数台 |
機器とクラウドの標準機能でログを残す。検知は監視サービスへ |
外部。社内は連絡の受け手だけ |
| PC100台まで、サーバー10台前後 |
統合ログ管理ツールで1か所に集め、条件を絞って通知する |
兼任者が週に1回見る時間を確保 |
| 100台超、または複数拠点 |
SIEMを検討する。取り込むログは段階的に増やす |
専任者か、外部の監視サービス |
台数が効くのは、ログの量と通知の量が台数とともに増えるからです。小さな会社では、ツールを入れても通知を読み切れず、誰も見ない画面が残るだけになりかねません。
SIEMを検討する段階でも、一度に全部を入れる必要はありません。オーストラリア政府のサイバーセキュリティ機関（ASD）のSIEM導入の経営者向け指針は、費用として利用料のほかに人材の採用と育成を挙げています。優先すべきログの指針は、取り込むログを徐々に増やす進め方を勧めています。
比較表はどの順に見る？
価格の列から見ると判断を誤ります。次の順に見ると、自社に関係のない製品が早く外れます。
1. 課金の単位
台数、利用者数、取り込むデータ量のどれで課金するかで、将来の費用が変わります。先の指針は、多くのSIEMの価格は取り込むデータ量に連動し、上限がないと費用が大きく膨らむと注意しています。Microsoft Sentinelの課金の説明も、取り込むデータの階層に基づく料金です。
データ量課金の製品を比べるときは、自社のログが1日に何GB出るかを先に測ります。試用期間があれば、その間に実際の量を確かめます。
2. 保管期間
標準で何日残るか、延ばすといくらかを見ます。すぐ検索できる期間と、取り出しに時間がかかる保管の期間が分かれている製品もあるので、両方を確かめます。
3. 改ざん対策
ログを消せる権限を誰が持つかを確かめます。普段の管理者アカウントと、ログを消せる権限を分けられるかがポイントです。
4. 取り込めるログの種類
自社のVPN機器やファイアウォールの機種に対応しているかを、機種名で問い合わせます。対応一覧に無ければ、追加の開発費がかかる場合があります。クラウドサービスを使っているなら、そのログも取り込めるかを聞きます。
5. 通知の出し方
メール、チャット、電話のどれで届くかを確かめます。条件を会社ごとに調整できるか、最初の条件を誰が作るかも重要です。最初の設定を販売会社が担うのか、自社で作るのかで、導入の手間が大きく変わります。
製造業の場合は何を残す？
たとえば、PC40台の部品メーカーで、本社にファイルサーバー、工場に設備をつなぐ別のネットワークがある場合を考えます。図面を置くファイルサーバーのアクセス記録と、外から入るVPNの接続記録が、最初に残したいものです。警察庁の同じ報告では、アンケートの回答でVPNやリモートデスクトップ用の機器からの侵入が感染経路の8割以上を占めていました。
設備側は、同じ扱いができるとは限りません。機器が記録を外に送れない場合もあり、設定の変更が保証に関わることもあります。工場のネットワークは設備メーカーに確かめたうえで、事務側との境目にあるファイアウォールの記録から残します。
サーバーの中の動きまで見たくなったら、サーバーセキュリティの製品比較で、ログの収集とは別の守り方も確かめられます。
ツールを入れれば監視は回る？
回りません。ツールが出すのは通知で、攻撃かどうかの判断と、次の行動は人の仕事です。
社内に読む人を置けないなら、ログの保管だけを自社で持ち、検知は外部に任せる形があります。SIEMとSOCの違いと外注の考え方で、道具と人の分け方を整理しています。PCの中で起きていることを先に見たいなら、SIEMとEDRのどちらを先に入れるかが判断の材料になります。
取引先からログ管理を求められたら？
経済産業省と国家サイバー統括室の監督のもとでIPAが運営するSCS評価制度は、★3の要求項目が26件、★4が43件です。IPAの概要資料（2026年10月）では、大分類「攻撃等の検知」のうち、継続的監視が★3で1件、★4で2件、有害事象の分析が★4で1件あります。受付開始は2027年3月の予定です。
ログの中身は、検討段階の案が手がかりになります。★4の例として、ファイアウォール、プロキシサーバー、認証サーバーのログを6か月保管する内容が示されていました。案の段階の資料なので、取得を目指すときはIPAが公開している最新の要求事項と評価基準で確かめます。
この制度を目指すかどうかにかかわらず、今日の棚卸しで残っている日数が分かれば、足りない機器と必要な期間が見えてきます。セキュリティ運用の考え方から、体制づくりの記事もたどれます。
