セキュリティ製品 - SIEM・SOC

SOC（セキュリティオペレーションセンター）そっく（せきゅりてぃおぺれーしょんせんたー）

セキュリティ監視インシデント対応SIEMサイバー攻撃ログ分析アナリスト

SOCについて教えて

簡単に言うとこんな感じ！

SOCは「会社のセキュリティ専門の警備センター」だよ！ネットワークやシステムを24時間監視して、サイバー攻撃や不審な動きをいち早くキャッチして対処する専門チームのことなんだ。火事で言うと「消防署＋監視カメラ室」みたいなイメージ！

SOCとは

SOC（Security Operations Center：セキュリティオペレーションセンター） とは、組織のITインフラやシステムを常時監視し、サイバー攻撃・不正アクセス・情報漏えいといったセキュリティインシデント（問題事案） を検知・分析・対応することを専門とする組織・拠点のことです。

SOCを構成するのは人（セキュリティアナリストと呼ばれる専門家）とツール（SIEMなどのログ分析システム）の組み合わせです。「24時間365日」 稼働するのが理想であり、攻撃が深夜・休日に集中しやすいサイバーセキュリティの特性上、常時稼働体制は非常に重要です。

近年、ランサムウェアや標的型攻撃が急増するなかで、「攻撃されないこと」だけを目指す予防策（ファイアウォール・ウイルス対策）だけでは不十分とされるようになりました。「侵入されることを前提に、いかに早く検知・封じ込めるか」 という考え方（インシデントレスポンス）の実践部隊として、SOCの重要性は年々高まっています。

SOCの役割と構造

SOCが担う主な機能は大きく4段階に分けられます。

フェーズ	役割	具体的な作業例
監視（Monitor）	システムログ・通信を常時チェック	SIEM でログを集約・アラート検知
検知（Detect）	異常・攻撃の兆候を見つける	不審なログイン試行、大量データ転送の発見
分析（Analyze）	攻撃か誤検知かを判断する	マルウェア解析、攻撃元IPの調査
対応（Respond）	封じ込め・復旧・報告	感染端末の隔離、経営層への報告

SOCのアナリスト階層（Tier構造）

SOCの内部はスキルレベルに応じて役割が分かれています。

Tier 3（上位）: 脅威ハンティング・フォレンジック・ペネトレーションテスト
     ↑ エスカレーション
Tier 2（中位）: インシデント深掘り分析・対応手順の判断
     ↑ エスカレーション
Tier 1（初級）: アラートのトリアージ（重要度分類）・一次対応

内製SOC vs 外部委託SOC（MSSP）

比較軸	内製SOC	外部SOC（MSSP）
コスト	初期投資大・固定費高	月額費用・初期費用少
対応スピード	自社対応で素早い	SLA（契約）次第
専門知識	採用・育成が必要	専門家がすでにいる
自社情報の把握	深い	浅くなりがち
向いている企業	大企業・金融・インフラ	中堅・中小企業

MSSP（Managed Security Service Provider） とは、SOC機能をまるごと外部委託できるサービス事業者のことです。

歴史と背景

1990年代後半：インターネットの商業利用が広がり、企業へのサイバー攻撃が本格化。大手企業や金融機関を中心に社内にセキュリティ専門チームが生まれ始める
2000年代前半：米国政府・軍が大規模なSOCを整備。重要インフラ保護の観点から制度化が進む
2005年頃：SIEMツール（Splunk・ArcSightなど）が登場し、大量ログの自動収集・分析が現実的に。SOCの効率が飛躍的に向上
2013年：Targetの大規模情報漏えい事件（約4,000万件のカード情報）が発覚。SOCにアラートが届いていたにもかかわらず対応が遅れたことが判明し、「SOCの重要性」と「対応品質」が世界的に注目される
2017年以降：ランサムウェア（WannaCryなど）の猛威を受け、日本でも大企業・上場企業を中心にSOC整備が加速
2020年代：クラウド環境・テレワークの拡大により監視対象が複雑化。AIを活用した自動検知・対応（SOAR）との組み合わせが主流に

SOC・SIEM・CSIRTの関係

SOCと混同されやすい用語を整理します。

SOC・SIEM・CSIRT の違いまとめ

用語	何者か	平時の役割	有事の役割
SOC	組織・チーム	監視・検知・分析	初動対応・エスカレーション
SIEM	ツール（ソフトウェア）	ログ収集・アラート生成	攻撃証跡の検索・調査支援
CSIRT	組織・チーム	ポリシー整備・訓練	本格調査・復旧・報告
SOAR	ツール（自動化）	プレイブック管理	自動封じ込め・通知

💡 一言まとめ：「SOCが警備センター、SIEMが監視カメラシステム、CSIRTが特殊捜査班、SOARが自動ドア・警報装置」と覚えると整理しやすいです。

規格・番号	内容
NIST SP 800-61	コンピュータセキュリティインシデント対応ガイド（SOC運用の基礎となる米国標準）
ISO/IEC 27035	情報セキュリティインシデント管理の国際規格
NIST SP 800-137	情報セキュリティの継続的監視（SOCの監視プロセス設計の参考）