LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

EDRを入れたものの、毎日届くアラートを見切れていない。夜中に検知があったとき、端末を切り離してよいのか判断できる人がいない——。EDRを導入した会社の情報システム部門では、こうした悩みが起こりがちです。EDR（Endpoint Detection and Response）は、パソコンやサーバーなどの端末に入り込んだ攻撃を見つけ、管理者に知らせる仕組みです。

EDRは入れて終わりではなく、届いた通知を確かめ、攻撃かどうかを見分け、必要なら端末を切り離し、社内に報告するまでが運用です。この運用は外部に頼めますが、万能ではなく、どこまでを任せるかを詰めておかないと、いざというときに誰も動けません。本記事では、EDRの運用を任されたシステム担当者に向けて、EDR運用の作業の中身、自社運用と外注の違い、作業の分け方、そして外注先の選び方と確認したい点を整理します。

EDR運用とは

IPA（情報処理推進機構）の中小企業向けガイドラインは、EDRを「ネットワークに接続されたパソコンやサーバー、スマートフォンなどの端末機器に侵入したウイルスやランサムウェアなどのサイバー攻撃を検出し、管理者に通知する技術」と説明しています。^*1 政府機関向けのガイドラインも、感染を防ぐことに特化した製品とは違い、感染した後の対処に役立つ仕組みとして位置づけています。^*2

EDRが通知した後に人が行う作業をまとめて、EDR運用と呼びます。主な作業は次の5つです。

• アラートの確認：EDRが出した通知を見て、内容と対象の端末を確かめる
• 切り分け：本物の攻撃か、業務で使うソフトを誤って検知したものかを見分ける
• 隔離：感染のおそれがある端末をネットワークから切り離す
• 報告：社内の責任者に状況を伝え、対応の記録を残す
• 見直し：誤検知が続く通知の設定や、隔離の条件を直す

政府機関向けのガイドラインは、EDRは導入後の運用・保守の段階で「専門的な知識を持った人材による膨大なログの分析が必要」になるとし、SOC（監視を専門に行う部署）の業務を委託できるサービスの利用も検討するとよいとしています。^*2

自社運用と外注の違い

EDRの運用を外部に頼む形は、大きく2つに分けられます。IPAのガイドラインは、セキュリティ監視・運用サービスの例として、セキュリティ製品が出すログの分析・通知・レポートを続けて行う「セキュリティ監視サービス」と、インシデントやその予兆の検知・防御まで受け持つ「マネージドセキュリティサービス」を挙げています。^*1 EDR運用に当てはめると、通知までを頼む形と、隔離などの対処まで頼む形です。

どちらの形でも、すべてを外注先に任せることはできません。IPAのガイドラインは、インシデントの兆候を検知したら情報セキュリティ責任者に報告し、責任者が対応すべきかを判断して経営者に報告する流れを示しています。^*1 隔離まで任せる形でも、業務を止めるかどうか、取引先に知らせるかどうかを決めるのは自社です。ログの監視をSOCとしてまとめて頼む場合の考え方はSOCによるセキュリティ監視運用の外注で扱っています。

外注で任せる作業の分け方

外注すると決めたら、アラートが届いてから報告までの流れを4つの段階に分け、段階ごとに「誰が動き、誰が決めるか」を書き出します。次の図は、隔離まで任せる場合の分け方の例です。

• ステップ1 アラートの確認：外注先が通知を受け、対象の端末と使っている人を特定する
• ステップ2 切り分け：誤検知か攻撃かを見分け、深刻さの段階を付ける
• ステップ3 隔離：事前に決めた条件に当たれば外注先が端末を切り離し、当たらなければ自社の担当者に判断を求める
• ステップ4 報告：自社の責任者に状況と対応を伝え、記録を残す

いちばん食い違いが起きやすいのはステップ3です。政府機関向けのガイドラインは、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討するよう求めています。^*2 ただし、基幹業務のサーバーを切り離せば業務が止まります。パソコンは外注先の判断で切り離してよいが、サーバーは自社の承認を待つ、というように、端末の種類ごとに条件を決めておきます。

もう1つ決めておきたいのが、隔離のときの操作です。IPAのガイドラインは、初動対応で対象機器の電源を切るなどの不用意な操作によって、システム上に残された記録を消さないよう注意を促しています。^*1「隔離はネットワークの切り離しだけで行い、電源は切らない」と手順書に書き、外注先と自社の両方で同じ手順を使います。

外注先の選び方と確認したい点

EDR運用の外注先を選ぶときは、自社の流れに合わせて動けるかを確かめます。見積もりを頼む前に、次の点を聞いておくと比べやすくなります。

• 任せる作業：確認・切り分け・隔離・報告のどこまでを受け持つか。夜間や休日も同じ内容か
• 隔離の条件と権限：外注先が自分の判断で切り離せる端末はどれか。切り離した後の解除は誰が行うか
• 連絡の手順：深刻なときに、誰へ、どの手段で連絡が来るか。連絡がつかないときの次の連絡先はどうするか
• 報告の形：定期のレポートに何が載るか。誤検知の傾向や設定の見直し案が含まれるか
• 第三者の確認：IPAが公開している「情報セキュリティサービス基準適合サービスリスト」に、セキュリティ監視・運用サービスとして載っているか

IPAのサービスリストは、経済産業省が策定した「情報セキュリティサービス基準」に適合すると審査登録機関が認めたサービスを載せたもので、区分の1つに「セキュリティ監視・運用サービス」があります。^*3 ただしIPAは、掲載された事業者やサービスについて保証するものではないと断っています。^*3 リストは候補を絞る手がかりとして使い、最後は上の点を自社で確かめます。システム障害の夜間対応までまとめて考える場合はインシデント対応・オンコール運用の外注も参考になります。

まとめ：EDR運用の外注で確かめておきたい3つの点

EDR運用を外注するうえで、確かめておきたい点は3つに整理できます。第一に、アラートの確認・切り分け・隔離・報告のうち、どこまでを外注先に任せるかを決めること。第二に、外注先が自分の判断で端末を切り離してよい条件と、自社の承認を待つ条件を、端末の種類ごとに書いておくこと。第三に、連絡の手順と報告の形を、契約の前に外注先とそろえておくことです。この3点を踏まえておけば、「外注していたのに、夜中の検知で誰も端末を切り離せなかった」という事態を避けやすくなります。体制づくりや手順の整え方に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：本編の用語解説「EDR」、「セキュリティサービス例と活用」の「セキュリティ監視・運用サービス」、「セキュリティインシデント対応」の「検知・初動対応」の記述を参照（2026年10月確認）
2. *2　参考：国家サイバー統括室「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」第3部〜付録（令和8年6月一部改定）（https://www.cyber.go.jp/pdf/policy/general/guider8_6_02.pdf）。出典：基本対策事項6.2.1(2)-2 c)および7.2.2(1)-7「EDRソフトウェア」の記述を参照（2026年10月確認）
3. *3　参考：独立行政法人情報処理推進機構（IPA）「情報セキュリティサービス基準適合サービスリスト」（https://www.ipa.go.jp/security/it-service/service_list.html）。出典：リストの位置づけ（経済産業省の情報セキュリティサービス基準・審査登録機関）、サービス区分、免責事項の記述を参照（2026年10月確認）

Tweet