SOCアナリスト そっくあなりすと
簡単に言うとこんな感じ！
会社のシステムを24時間見張って「怪しい動きがないか」チェクし続けるセキュリティの番人だよ！不審なアクセスや攻撃の予兆を検知して、素早く対処するのが仕事なんだ。病院でいえば「救急担当の医師」みたいな存在ってこと！
SOCアナリストとは
SOCアナリスト（Security Operations Center Analyst）とは、SOC（セキュリティ・オペレーション・センター）に所属し、組織のネットワークやシステムをリアルタイムで監視・分析するセキュリティ専門家のことです。サイバー攻撃や情報漏えいの予兆を早期に発見し、インシデント（セキュリティ上の事故）が起きたときに迅速に対応することが主な役割です。
SOCアナリストは、SIEM（セキュリティ情報・イベント管理）ツールなどを使って大量のログやアラートを日々解析します。怪しい通信パターンや異常なアクセスを見つけ出し、「本物の攻撃か？誤検知か？」を判断する「目利き力」が求められます。IT担当者が少ない企業では、外部のMSSP（マネージドセキュリティサービスプロバイダ）にSOCアナリスト業務を委託するケースも増えています。
近年、ランサムウェアや標的型攻撃が急増する中で、SOCアナリストの重要性はますます高まっています。経営層が「セキュリティ担当を雇っているから安心」と思っていても、実際に監視・分析・対応を担う現場のSOCアナリストの質と体制が整っていなければ、インシデントの発見が遅れ、甚大な被害につながります。
SOCアナリストの役割とティア構造
SOCアナリストは通常、スキルと責任範囲に応じて3つのティア（階層）に分かれて運用されます。
| ティア | 別称 | 主な役割 | スキルレベル |
|---|---|---|---|
| Tier 1 | トリアージアナリスト | アラートの初期確認・仕分け・エスカレーション | 入門〜初級 |
| Tier 2 | インシデントレスポンダー | 深掘り調査・原因分析・封じ込め対応 | 中級 |
| Tier 3 | 脅威ハンター / フォレンジック | 高度な脅威調査・攻撃者の手口分析・再発防止 | 上級 |
日常業務の流れ
[SIEM/EDRがアラート発報]
↓
[Tier1: アラートを確認し誤検知か本物か仕分け]
↓ 本物の疑いあり
[Tier2: 詳細調査・影響範囲の特定・初動対応]
↓ 高度な攻撃・フォレンジックが必要
[Tier3: 深掘り分析・脅威ハンティング・報告書作成]
↓
[経営層・IT部門へのインシデントレポート提出]覚え方：「トリ・インシ・ハンター」
- トリ（Tier1）＝ 鳥のように広く見渡すトリアージ
- インシ（Tier2）＝ インシデントに深く潜る
- ハンター（Tier3）＝ 脅威を積極的に狩りに行く
歴史と背景
- 1990年代後半：インターネットの普及に伴いサイバー攻撃が増加。大企業を中心にセキュリティ監視の専門部門（SOC）が誕生し始める
- 2000年代初頭：SIEMツールが登場し、大量ログの一元管理・相関分析が可能になる。SOCアナリストという職種が明確に定義されていく
- 2010年代：標的型攻撃（APT攻撃）の増加により、単純なログ監視では不十分と認識される。脅威インテリジェンスや脅威ハンティングの概念が台頭
- 2017年前後：WannaCryなどのランサムウェアが世界規模で猛威を振るい、SOCの必要性が中小企業にも広まる
- 2020年代：クラウド化・テレワーク普及により攻撃対象が拡大。MDR（Managed Detection and Response） サービスが急成長し、SOCアナリスト業務のアウトソーシングが一般化
関連する技術・ツールとの関係
SOCアナリストが日々使うツール群と、それぞれの役割を整理します。
主要ツールの比較
| ツール | 略称の意味 | SOCアナリストの使い方 |
|---|---|---|
| SIEM | Security Information and Event Management | ログを一括収集し、不審なパターンをアラートとして検知する |
| EDR | Endpoint Detection and Response | PC・サーバ上の不審なプロセスや挙動をリアルタイムで監視・ブロック |
| SOAR | Security Orchestration, Automation and Response | 定型的な対応手順を自動化し、アナリストの負荷を軽減 |
| 脅威インテリジェンス | — | 世界中の攻撃者情報（IP・ハッシュ値など）を取り込み、既知の脅威と照合 |
| フォレンジックツール | — | 攻撃痕跡を深掘り調査し、攻撃者の侵入経路や手口を特定 |
発注・選定時に押さえるポイント
システム発注や外部委託を検討するビジネスパーソンが知っておきたい観点を整理します。
自社SOCと外部委託の比較
| 観点 | 自社SOC | MSSP/MDR委託 |
|---|---|---|
| コスト | 初期投資・人件費が高い | 月額費用で予測しやすい |
| 対応速度 | 社内事情を熟知し連携しやすい | SLAで対応時間が保証される |
| 専門性 | 採用・育成が困難 | 最新の脅威情報に常時アクセス可 |
| 向き不向き | 大規模企業・規制業種 | 中小企業・セキュリティ人材不足の組織 |
発注時のチェックポイント： 「Tier1〜3の体制はどうなっているか」「インシデント発生時の連絡フローと対応SLAは何時間か」「使用SIEMやEDRツールは何か」を必ず確認しましょう。
関連する規格・RFC
| 規格・番号 | 内容 |
|---|---|
| NIST SP 800-61 | コンピュータセキュリティインシデント対応ガイド。SOCアナリストの対応プロセスの基本となる米国標準ガイドライン |
| ISO/IEC 27035 | 情報セキュリティインシデント管理の国際規格。SOCの運営プロセスに準拠が求められることが多い |
関連用語
- SOC — セキュリティ・オペレーション・センター。SOCアナリストが所属する組織・拠点
- SIEM — ログ収集・相関分析ツール。SOCアナリストが最も頻繁に使う基盤システム
- EDR — エンドポイント検知・対応ツール。端末レベルの不審挙動を検知しアナリストに通知する
- インシデントレスポンス — セキュリティ事故への対応プロセス全体。SOCアナリストが中心を担う
- 脅威インテリジェンス — 攻撃者・マルウェアに関する情報収集・活用の仕組み
- SOAR — セキュリティ対応の自動化プラットフォーム。Tier1業務の効率化に貢献
- MSSP — セキュリティ監視・運用を代行するマネージドサービス。SOCアナリスト機能を外部調達できる
- 脅威ハンティング — 既知のアラートに頼らず能動的に攻撃者を探す高度なTier3業務