XDRとSIEMの違いは、XDRが検知と対応を速める仕組みで、SIEMが組織全体のログを集めて分析する仕組みである点です。専任の監視担当がいない少人数の会社なら、先に検討するのはXDRと外部の監視で、SIEMの自社運用はログの要件が出てから検討する順番が現実的です。
今日やることは、ログが欲しい理由を1行で書くことです。「攻撃に早く気づいて止めたい」「取引先から保管を求められた」「事故の後に原因を調べたい」のどれかによって、選ぶ道具が変わります。その横に、夜間の通知を読む人の名前も書いてください。
集めるログはどう違う？
Microsoftの説明では、XDRはエンドポイント、ネットワーク、クラウド、メール、SaaSアプリ、IDからデータを集め、検出、調査、応答をリアルタイムで行うものです。同じくSIEMの説明では、サーバー、ネットワーク機器、ファイアウォール、クラウドアプリなど組織全体からログを集めて分析するとされています。
並べると範囲は似ています。差が出るのは、集めた後の扱いです。
| 比べる点 |
XDR |
SIEM |
| 主な目的 |
攻撃の検知と対応を速める |
全体の可視化、検知、監査の報告 |
| データの扱い |
関連する通知を結び付ける |
形式をそろえ、ルールで分析する |
| 準備の中心 |
対応する製品をつなぐ |
取り込み元とルールを決める |
| 対応の形 |
自動の応答を重視 |
ルールに応じた通知と自動処理 |
MicrosoftはXDRの説明の中で、SIEMはログの収集と分析で可視性とコンプライアンスを実現する一方、手動での相関付けが必要な場合が多いと書いています。これはXDRを売る側の説明なので、差し引いて読みます。SIEMの説明では、イベントの相関分析や自動応答もSIEMの構成要素とされており、製品によって手作業の量は違います。
もう1つ見ておきたいのが、取り込めるログの幅です。XDRが広く見られるのは、原則として対応する製品や連携先の範囲です。たとえばMicrosoftの解説でも、Defender XDRはユーザー、ID、デバイス、アプリ、電子メールにまたがる検出と応答を提供するものとされ、さらに分析するデータをSentinelに送る構成が紹介されています。自社の機器のログが入るかは、製品ごとに確かめる項目です。
SIEMとXDRは誰が使う前提か？
SIEMは、監視の部署が使う前提で説明されています。Microsoftの説明では、セキュリティオペレーションセンター（SOC）が検出、調査、対応できるようにするものです。
同じページが挙げる導入の鍵を見ると、運用に必要な仕事が分かります。
- 何を達成したいかを決め、利用目的を具体化する
- 取り込むデータの優先度を決め、形式をそろえる
- 規制や社内の必要に応じて、ログの保持方針を作る
- 自動で実行する内容と、そのルールを定める
- 担当者の教育を続け、ルールや通知を定期的に見直す
入れて終わりではなく、これらを担う人が社内か委託先に必要です。
費用の見え方も確認します。たとえばMicrosoft Sentinelの価格ページでは、分析用の層は従量課金か、1日に取り込むデータ容量を予約する形です。ログの種類を増やすと、費用にも影響します。何でも入れるのではなく、優先順位を付けます。米国CISAなどが2025年に公開したSIEM導入のガイドの案内にも、取り込むログの優先順位を扱う文書が含まれています。
少人数の会社でXDRを先に考えるのは、製品をつなげば、関連する通知のまとまりを受け取れるからです。ただし、通知を読んで判断する人が要らなくなるわけではありません。MicrosoftもXDRを中小企業にも役立つものと説明していますが、使うのはセキュリティチームという書き方です。担当者が兼任なら、MDR・SOC監視サービスの比較で、通知を読む人を外に頼む形を合わせて検討します。
少人数の会社はどちらを選ぶ？
専任がいない会社で、攻撃に早く気づいて止めることが目的なら、自社運用のSIEMは最初の候補にしなくてよいと私たちは考えます。今の体制ごとに、次のように分けられます。
| 今の状況 |
先に検討するもの |
| 通知の出どころが端末のソフトだけ |
EDRと外部の監視 |
| 端末、メール、IDの通知がばらばら |
XDRと外部の監視 |
| 特定のログの長期保管や提出を求められた |
機器側の保管、足りなければログ管理やSIEM |
| 監視の部署や委託先がルールを見直せる |
SIEM、必要ならXDRと併用 |
端末の守りの土台がまだなら、XDRより先に法人向けセキュリティソフトの選び方を片づけるほうが順番として素直です。端末の対策全体はエンドポイント対策のカテゴリで整理しています。
2つの境界は薄れてもいます。Microsoftの解説では、SentinelはDefenderのポータルで統合されたSIEMとXDRの環境を提供するとされています。製品名の分類より、「どのログが入り、誰が通知を読むか」で比べるほうが実態に合います。XDRの製品比較とSIEMの製品比較を並べるときも、この2点から見てください。
製造業の場合、どのログから考える？
たとえば、本社と2つの工場をVPNでつなぎ、図面をクラウドで共有している部品メーカーの場合です。関係するのは、事務所の端末、クラウドのログイン、VPN機器やファイアウォールの記録です。
警察庁の令和8年上半期の報告では、ランサムウェア被害組織へのアンケートで、侵入経路の約5割がVPN機器でした。業種別では製造業が約3割です。そこで、この会社なら見積もりのときに「使っているVPN機器のログを取り込めるか」を最初に聞きます。
取り込めるならXDRの範囲で検討を続けられます。取り込めず、横断して調べる必要があるなら、SIEMか、VPN機器のログを見てくれる監視サービスを比べます。工場の制御機器のログまで含めるかは別の話で、機器メーカーへの確認も要るため、最初の範囲から分けて考えるほうが進めやすくなります。
取引先からログを求められたらSIEMが要る？
要るとは限りません。経産省のサイトに掲載されたIPAの資料では、SCS評価制度の評価基準の概要として、ファイアウォール、プロキシサーバー、認証サーバーのログを取得して6か月保持することと、認証サーバーの月次のモニタリングが挙げられています。この概要の文面は、ログの取得と保持を求めるもので、製品の種類を指定していません。
また、SCS評価制度の★3・★4自己評価等ガイドには、★4の基準の1つとして、入手した情報やログの相関分析等で攻撃の予兆やインシデントの発生を検知できる体制が挙げられています。★4を目指す会社では、SIEMや外部の監視が選択肢に入る場面があるでしょう。要求事項は2026年10月にVer.1.1へ更新されているので、自社が求められる星と項目は最新版で確かめてください。
SCSを目指していない中小企業でも、ログの準備には意味があります。IPAのガイドライン第4.0版の付録は、事故に備えて相談先のセキュリティベンダーを前もって決め、システムのログを取得しておくことを挙げています。製品を選ぶ前にできる準備です。
見積もりの前に何を聞くか？
次の5つへの答えを、製品やサービスごとに同じ表へ書き込むと比べやすくなります。
- 今使っている端末のソフト、メール、クラウド、VPN機器のログを取り込めるか
- ログは何日分保管され、延長するといくらかかるか
- 費用は何で決まるか（端末数、ユーザー数、データ量）
- 通知を読むのは誰か、夜間や休日は誰が判断するか
- ルールの見直しと、製品のつなぎ込みは誰の作業か
この表が埋まれば、XDRかSIEMかという問いは、自社の体制で回せるのはどれかという問いに置き換わります。私たちは製品を試した立場ではないので、最終的な確認は各社の公式資料と試用で行ってください。
