MDRとSOCの違いは？監視を外に任せる形の中小企業向けの選び方

SOCはセキュリティを監視して対応するチームや拠点のことで、MDRは検知から対応までを外の専門家に任せるサービスのことです。

今日やることは、自社の守りの機器を書き出すことです。UTM、VPN機器、パソコン、サーバー、Microsoft 365などのクラウドです。そのうち、誰もログや通知を見ていないものに印を付けます。印の付いたものが、外に任せる範囲の候補です。

MDRとSOCは何が違う？

SOCは「誰が見るか」⁠を指す言葉で、MDRは「何を買うか」⁠を指す言葉です。

MicrosoftのSOCの説明では、SOCは環境を24時間体制で監視して脅威を検出し、インシデントに対応するものとされています。形として、社内SOC、マネージド（アウトソーシング）SOC、ハイブリッドSOCの3つ⁠が挙げられています。

MicrosoftのMDRの説明では、MDRは技術と人の知見で監視、検出、対応するサービスとされています。MDRと連携することで、人を雇わずにSOCを利用できるという書き方です。つまり、MDRの中身にSOCが入っている関係だと考えると分かりやすいです。

日本の市場では呼び方がそろっていません。「SOCサービス」⁠の名前で隔離まで行う会社もあり、「MDR」⁠の名前でも操作の範囲に差があります。図鑑の比較でもMDR・SOC監視サービスの比較として1つ⁠にまとめています。

EDRとの関係は別の話で、製品とサービスの線引きはEDRとMDRの違い⁠で説明しました。

比べるのは「範囲」⁠と「深さ」⁠の2つ

名前の代わりに2つ⁠の軸で並べると、違いが見えます。範囲は何を監視するか、深さは見つけたあと何をするかです。公式ページで確かめた例を並べます。

SOMPO SOCのページには、分析とメールの通知は24時間⁠、電話の通知は日中帯という条件が書かれています。導入しやすい価格で提供するためと説明があります。サイバー保険も自動で付き、補償の上限は公式ページで累計300万円です。

深さが浅いことは、悪いことではありません。 価格とのつり合いです。社内に動ける人がいて、助言があれば止められるなら、それで足りることがあります。問題は、助言を受けても動ける人がいないのに、助言までの契約を選ぶことです。

端末を見るか、ネットワークを見るか

範囲の違いで特に大きいのが、この2つです。

IPAのサイバーセキュリティお助け隊の一覧も、この分け方で整理されています。ネットワーク監視は社内ネットワークにUTMなどを置いて通信を見ます。端末監視はパソコンにEDRなどを入れて通信と動きを見ます。併用もあります。

たとえば、持ち出したパソコンの動きは、社内のUTMでは見えません。逆に、ソフトを入れられない機器の通信は端末監視では拾えず、ネットワーク側の監視が向きます。

中小企業に合う外注の形は？

社内SOCを作る道は、最初に外して考えて構いません。Microsoftの説明でも、社内SOCは24時間365日⁠の運用に十分な予算と人材を割ける大規模な企業に向くとされています。

残る形は4つです。

4番目はハイブリッドの一種です。Microsoftの説明に、業務時間中は社内で監視し、夜間と週末をプロバイダーに委託する例があります。ただし、こうした時間で分けた契約が自社に合う形で売られているかは、会社ごとに確かめる必要があります。

外注には弱い面もあります。同じ説明では、マネージドSOCは社内チームと比べて直接の制御が少なく、応答に遅れが生じる可能性があるとされています。外の会社は、どの端末が工場の要なのかを最初は知りません。止めてよい機器と止めてはいけない機器の一覧を、契約時に渡してください。

小さな会社の入口になりやすいのがお助け隊です。IPAの基準の説明資料⁠によると、1類の月額の上限はネットワーク監視で1万円（税抜き）⁠、端末監視で1台2,000円（税抜き）⁠で⁠す⁠。相談窓口、異常の監視、駆付け支援、簡易サイバー保険をまとめて提供する決まりで、端末は1台から契約できます。最低契約期間は2年以内です。

一覧はIPAのページ⁠にあり、2026年10月30日⁠に更新されています。対象地域がサービスごとに違うので、拠点の所在地で絞ります。

工場と事務所が分かれている会社はどう考える？

たとえば、本社事務所と工場が別で、回線も分かれている製造業の場合を考えます。事務所にはパソコン、工場には生産管理の端末と検査装置があります。

端末を見るMDRだけだと、検査装置のようにソフトを入れられない機器は対象外になりがちです。UTMを見るSOCだけだと、社外に持ち出したパソコンが手薄になります。そこで、次のように分けて考えます。

• 事務所のパソコンとサーバー：端末を見るMDRかお助け隊の端末監視
• 工場とインターネットの境目：UTMのログを見るSOC
• ソフトを入れられない機器：ネットワークを分けて別に守る

令和8年上半期の警察庁の報告では、ランサムウェアの侵入経路はVPN機器が約5割⁠を占めました。VPN機器のログをSOCが見られるか、更新は誰の担当かも合わせて確かめます。

全部を一度に契約する必要はありません。印を付けた中で、止まると事業への影響が大きいものから順に頼みます。

契約前に聞く質問は？

名前を気にせず、次の質問を全社に同じ順で投げてください。答えをそのまま並べれば比較表になります。

1. 監視の対象は何か。自社の機種と製品は対応しているか
2. 通知の手段は何か。電話は24時間⁠か
3. 通知のあと、そちらで止められる操作はどこまでか
4. 止める前に自社の同意は要るか。連絡がつかないときはどうなるか
5. 原因調査と報告書は料金に含まれるか
6. ログの保存期間は何か月か
7. 最低の台数と契約期間はいくつか

SIEMの導入を提案されたときは、ログを集める道具の話なのか、見る人まで含むのかを分けて聞きます。道具だけなら、ログを読む人がさらに必要です。SIEMの比較で課金の単位や置く場所を確かめられます。監視以外の規程づくりや社員教育も頼みたいなら、セキュリティ運用代行・顧問サービスの比較も併せて見てください。

今の製品と費用から絞る

端末を見るMDRは、今のウイルス対策やEDRの製品で選べる先が変わります。製品を変えるかどうかは今のソフトへの追加と乗り換えの比較⁠、予算の組み立てはEDRと監視の費用の見方⁠で確かめられます。カテゴリの全体は端末のセキュリティの解説⁠にあります。