SIEMはログを集めて分析する道具で、SOCはその結果を見て攻撃かどうかを判断する人と体制です。関係で言えば、SOCの人たちが仕事に使う道具の1つがSIEMです。専任者のいない会社なら、道具だけを買うより、見る仕事ごと外に任せるほうが回ります。
今日やることは、夜10時に「サーバーで不審な動きがあります」と電話が来た場面を考えることです。誰が電話を受け、誰がサーバーを止めると決めるのか。名前を2人書き出します。ここが空欄のままだと、SIEMを買っても、SOCを外注しても、最後の一歩で止まります。
SIEMとSOCはどんな関係？
SIEMは製品です。米国NISTの用語集は、多様なログをまとめて記録するプログラムと定義しています。いまの製品は、分析や検知の機能まで備えます。
SOCは体制の呼び名です。日本セキュリティオペレーション事業者協議会（ISOG-J）のセキュリティ対応組織の教科書 第3.2.1版は、インシデント検知のための分析や、セキュリティ対応システムの監視と保守を「運用」と呼びます。こうした分析運用を行う組織は、SOCと呼ばれることが多いという説明です。
工場でたとえると、SIEMは設備の異常を知らせる監視盤で、SOCは監視盤を見て判断する当直です。監視盤を買っても当直がいなければ、警報は誰にも届きません。当直がいても監視盤がなければ、異常に気づきにくくなります。
SOCとCSIRTも別のもの
同じ教科書は、「運用」で検知された事象に対してインシデント対応を実行する組織は、CSIRTと呼ばれることが多いとしています。SOCが見つけて分析し、CSIRTが対応する、という分担です。実際には境目があいまいな場合もあり、言葉より誰が何をするかを決めておくほうが役に立ちます。
道具と人、どちらを外注する？
組み合わせは大きく4つあります。
| 形 |
道具（SIEMなど） |
人（監視と分析） |
向いている会社 |
| 自社運用 |
自社 |
自社 |
専任のチームがある |
| 人だけ外注 |
自社 |
外部 |
自社のSIEMが既にある |
| 道具ごと外注 |
外部 |
外部 |
専任者がいない |
| 製品付属の監視 |
製品の会社 |
製品の会社 |
EDRと一緒に頼みたい |
道具を自社で買うと、費用は利用料にとどまりません。オーストラリア政府のサイバーセキュリティ機関（ASD）の経営者向け指針は、専門人材の採用と維持、既存社員の育成、外部委託の費用も挙げています。多くの製品の価格が取り込むデータ量に連動し、上限がないと大きく膨らむという注意もあります。
専任者がいない会社にとって、「自社運用」は現実的な出発点になりにくいと私たちは考えます。兼任の担当者が日中の仕事の合間に警告を読み続けるのは難しく、夜間と休日はさらに難しくなります。
中小企業向けには、IPAのサイバーセキュリティお助け隊サービスがあります。監視に加えて、相談窓口、初動の支援、簡易サイバー保険までをひとまとめにしたものです。基準（2.1版）の1類では、ネットワーク監視の月額上限は1万円（税抜き）、端末監視は1台2,000円（税抜き）です。MDR・SOC監視サービスの比較や、顧問まで含めたセキュリティ運用代行の比較と並べると、範囲と価格の違いが見えてきます。
外注してもできないことは？
ISOG-Jのマネージドセキュリティサービス選定ガイドライン Ver.2.0は、どこまでを自組織で行い、どこからを依頼するかを決めるよう促しています。専門スキルが要り、自組織で行うことが必須でない領域を委託する考え方です。同じ資料は、委託すると運用状況が見えにくくなるとも指摘し、事業者と十分に情報交換するよう求めています。
外に出しにくいのは、会社の事情を知らないとできない判断です。
- 工場や基幹システムを止めるかどうかの判断
- 取引先、顧客、警察、関係機関への連絡
- 社員への指示と、業務を続ける方法の決定
- どの情報と機器が事業にとって大事かの整理
事業者は「この端末は攻撃を受けている可能性が高い」とは言えます。その端末が今日の出荷に必要かどうかは、社内の人にしか分かりません。
責任までは移らない
監視を委託しても、自社の情報の管理に責任がなくなるわけではありません。委託先が何を見ていて、何を見ていないかを、社内の誰かが説明できる状態にしておきます。
見積もりで何を確かめる？
監視と書いてあっても、中身は事業者ごとに違います。ガイドラインも、365日24時間の体制もあれば、平日日勤帯に限る提供もあり、形態はまちまちだと説明しています。次の項目を書面で確かめます。
監視の範囲と時間
- 監視の時間帯。夜間、休日、年末年始を含むか
- 見る対象。PC、サーバー、VPN機器、クラウドのどこまでか
- 見ないものは何か
通知と対応
- 重大な事案を何分以内に通知するか。お助け隊サービスの基準は60分以内を目標としている
- 電話が届かなかったときに、次に誰へ連絡するか
- 端末の隔離を事業者に任せられるか。事前の承認が要るか
- 現地に来てもらえるか。年に何回まで費用に含まれるか
終わるときのこと
- 監視の基盤を事業者が持つ場合、解約したあとログはどうなるか
- 調査が必要になったとき、ログを受け取れるか
- 最低契約期間と途中解約の条件はどうなっているか
事業者を探すときは、IPAの情報セキュリティサービス基準適合サービスリストに「セキュリティ監視・運用サービス」の一覧があります（2026年10月9日掲載分を確認）。掲載は審査登録機関による基準への適合の審査にもとづくものです。自社に合うかどうかは別に確かめます。
製造業の場合は何を決めておく？
たとえば、夜勤のある工場を持つ金属加工の会社の場合です。夜間に事業者から「生産管理のサーバーが不審です」と連絡が来たとして、止めれば朝の出荷に響きます。そのまま動かせば、被害が広がるかもしれません。
この判断を夜中に初めて考えないよう、次の2つを平時に決めます。
- 誰が判断するか。社長と工場長の順番を決め、両方つながらないときの代理まで決める
- どの条件なら連絡を待たずに隔離してよいか。事務のPCは事業者の判断で隔離してよい、生産管理のサーバーは必ず電話を受けてから決める、といった線を引く
設備を動かすPCは監視の対象にできない場合もあるので、見積もりの前に一覧を作り、対象の内と外を事業者と合わせておきます。
社内に何から用意するか？
外注先を探す前に、社内の窓口を決めます。専門知識は無くても、事業者の報告を受けて社長につなぐ人が1人いれば、外注は機能します。
順番としては、連絡先の整理、ログを残す設定、監視の外注です。ログの残し方はログ監視ツールの比較の見方に、端末とログのどちらから見るかはSIEMとEDRの違いに書きました。自社のSIEMを持つ段階になったら、SIEMの製品比較で課金の単位から確かめられます。体制全体の考え方はセキュリティ運用のカテゴリにまとめています。
取引先からの要求で監視体制を問われる場面も増えていくかもしれません。SCS評価制度の概要資料によると、★3と★4の受付開始は2027年3月の予定で、要求項目には「攻撃等の検知」が含まれます。外注している部分をどう説明するかも、受付が始まる前に事業者と話しておくと進めやすくなります。
