EDR・ウイルス対策：パソコンとサーバーの守りを無理なく足す順番

EDR（Endpoint Detection and Response）とは、パソコンやサーバーの動きを記録し、侵入後の不審な動きを見つけて対応するための仕組みです。入口で止めるウイルス対策ソフト（EPP）⁠と⁠は役割が違い、「防げなかったとき」⁠に効きます。

何から手を付けるか

新しい製品の前に、今ある端末を把握します。

1. パソコンとサーバーの台帳を作る（誰が使い、どのOSか）
2. OSとソフトの更新が止まっている端末を無くす
3. ウイルス対策ソフトが全台で動いているか確かめる
4. 管理者権限で普段の仕事をしないようにする
5. EDRが要るかを判断する
6. 警告を見る人を決める。社内にいなければ外部に任せる

1から4は情報セキュリティ6か条⁠の範囲に重なります。IT資産管理の道具を使うと台帳は楽になりますが、最初は表計算でも始められます。

ウイルス対策ソフトとEDRの違い

それぞれの役割を分けると、次のようになります。

IPAの2024年度の実態調査では、対策の必要性を感じている企業（2,203社）⁠の80.0%⁠がウイルス対策ソフトを導入しています。多くの会社には、1段目がすでにあります。

ただ、ウイルス対策だけで足りるとは限りません。警察庁の令和8年上半期の報告⁠が示すランサムウェアの代表的な流れでは、攻撃者は侵入後に管理者権限の奪取とセキュリティの無効化を試みます。入られたあとの動きに気づく手段があるかどうかが、2段目の論点です。

EDRが活きる会社、まだ早い会社

判断の軸は、規模より運用です。

活きるのは、次のいずれかに当てはまる会社です。

• 社外から社内に入れる機器があり、すべてを塞げない
• 取引先から預かった図面や個人情報を端末で扱っている
• 取引先から端末の監視を求められている

一方で、更新が止まった端末が残っている、ウイルス対策の入っていない端末がある、という段階なら、そちらが先です。警告を受け取っても判断する人がいなければ、記録がたまるだけになります。

カタログの検知率だけでは、自社で回せるかはわかりません。EDR製品の比較を見るときも、この4点⁠を軸にすると違いが見えます。

監視する人がいない会社の選択肢

3つあります。

1つ目は、監視まで含むサービスを使うことです。MDRサービスは、EDRなどの監視と対応を外部に任せる形です。どこまで調べ、どこまで止めてくれるのかは会社ごとに違うので、範囲を確かめます。

2つ目は、サイバーセキュリティお助け隊サービスです。IPAが基準を定めた、中小企業向けのひとまとめのサービスで、監視の形にはネットワーク監視と端末監視などがあります。

3つ目は、ひとまず見送って、更新とバックアップを固める判断です。無理に入れて放置するより、説明がつきます。理由を書き残しておけば、取引先に聞かれたときにも答えられます。

導入を、段階に分ける

全台へ一度に入れると、誤った警告で業務が止まったときに対応しきれません。次のように段階を分けると、影響を確かめながら進められます。

1. 情報システムの担当と総務の数台で試す
2. 記録だけを取り、止める動きは入れないで様子を見る
3. 誤った警告の扱いを決め、業務で使う製品を例外に登録する
4. サーバーと全社の端末へ広げる

サーバーには別の注意が要ります。古いOSの端末や、業務用ソフトの動作条件が厳しい端末は、対応の可否を提供会社に確かめます。入れられない端末が残るなら、ネットワークを分けるなどの代わりの対策を一覧に書いておきます。

夜間や休日の警告は、どうするか

工場が夜も動いている会社では、夜間の警告を誰が受けるかが現実の問題になります。「翌営業日に見る」⁠と決めるなら、その間に広がる可能性も受け入れることになります。これは製品の機能より、経営の判断です。

体制の決め方は監視・運用・社内体制⁠で扱います。工場の端末には、更新や製品の導入そのものに制約がある場合もあるので、工場・製造業のセキュリティ⁠も確かめてください。全体の順番はセキュリティ対策の全体像⁠にあります。