SOCは、企業の情報セキュリティ対策をどう変える？ 基礎知識から、どこまで任せるべきかまで整理

SOC（Security Operation Center）とは

「SOC（Security Operation Center）」とは、セキュリティに関するログを24時間365日監視し、異常を見極めて、必要な対応を行う体制のことです。

多くの企業が、いまSOCを求めている理由

ここ数年で、企業のSOCに対するニーズは確実に高まっています。その背景にあるのは、サイバー攻撃そのものの巧妙化に加え、企業を取り巻く環境の変化です。

サイバー攻撃そのものが巧妙になってきている

まず、サイバー攻撃は年々高度化し、対応も複雑になっています。なかでもランサムウェアは依然として大きな脅威であり、近年では中小企業における被害も増加傾向にあります。

リモートワークや生成AIが攻撃リスクを広げている

次に、企業を取り巻く環境の変化も、攻撃リスクを高めています。リモートワークの普及により、インターネットに接続するネットワーク機器や端末が新たな侵入口となるケースが増えてきました。社内ネットワークだけを守ればよかった時代とは異なり、守るべき範囲そのものが大きく広がっています。

さらに、生成AIの登場により、攻撃を行う側のハードルが劇的に下がったことも見逃せません。攻撃の準備や攻撃そのものの実行が容易になり、誰にでも起こり得るリスクとして現実味を帯びてきています。

中小企業の被害事例も増えてきている

こうした変化の結果、実際に中小企業でも以下のような被害が発生しています。

〈近年、中小企業で実際に起きているサイバー攻撃の例〉

• ランサムウェア感染により業務システムが停止し、復旧までに長期間を要した
• 取引先を装ったメールにより不正送金の被害が発生した
• ネットワーク機器の脆弱性が原因で、外部から不正アクセスを受け、情報を漏えいした

サイバー攻撃は、企業規模を問わず、つねに向き合うべきリスクとなったことで、継続的に監視・判断・対応を行うSOCの必要性が、いまあらためて注目されているのです。

情報セキュリティ対策ツールを「入れただけ」では足りない理由

情報セキュリティ対策というと、EPP^※1やEDR^※2などのツールを導入することがまず思い浮かぶかもしれません。しかし、現場の視点で見ると、ツールを入れたこと自体が情報セキュリティ対策のゴールになることは、ほとんどないと言えるでしょう。

※1 パソコンやスマートフォンなどの端末（エンドポイント）を保護するセキュリティツールの総称
※2 パソコンやスマートフォンなどの端末（エンドポイント）を継続的に監視・記録し、不審な挙動や痕跡を検知して、迅速に対応・封じ込めを行うサイバーセキュリティ手法

アラートの約99％は「過検知」のため

実際の運用では、ツールが検知するアラートの約99％が過検知だと言われています。つまり、その大半はすぐに対応すべき攻撃ではありません。問題は、その膨大なアラートのなかから「本当に危険なもの」をどう見つけ出すか、という点にあります。

検知レベルが厳しすぎても緩すぎても、セキュリティを守れないため

すべてを厳しくブロックすれば業務に支障が出てしまい、設定を緩くしすぎれば攻撃を見逃します。現場ではこの間で判断が求められています。

そのため重要になるのが、アラートのチューニングです。検知ルールを調整し、「明らかに問題のないもの」は除外しつつ、「グレーな挙動」は漏れなく丁寧に拾い上げ、通信内容や状況を細かく調べていく。こうした作業を繰り返すことで、初めて実効性のある情報セキュリティ対策が成り立ちます。

サイバー攻撃を防ぐためには「運用し続けること」が重要なため

つまり、サイバー攻撃を防ぐうえで重要なのは、ツールそのものではなく、それをどう使い、どう運用し続けるかになります。セキュリティチームとして監視・運用し、最終的には人による確認、判断をし続ける。その積み重ねこそが、攻撃を未然に防ぐ力につながっていきます。

企業はSOCに何を任せているのか？

サイバー攻撃への対応が常態化するなかで、多くの企業はSOCに「何を任せるべきか」を考えるようになっています。結論から言えば、多くの企業がSOCに任せているのは、情報セキュリティ対策を"続けて回すこと"そのものです。

企業がSOCに任せている主なセキュリティの役割

具体的には、日々発生する膨大なセキュリティログを24時間365日体制で監視し、異常があればそれが本当に攻撃なのかを見極め、必要に応じて初動対応を行う。こうした一連の対応を、多くの企業が外部のSOCに運用の中核を委ねています。

主な役割は、大きく分けると以下のようなものです。

• 24時間365日のセキュリティログ監視
• 異常の切り分けや初動対応を行う監視業務
• セキュリティインシデント発生時の対応支援

さらに、最新の攻撃手法を学びセキュリティ技術や製品を見極め、環境に合わせた構築や導入を支援することも、SOCに期待される役割のひとつです。単なる監視にとどまらず、運用全体を支える存在として活用されるケースが増えています。

【監修・佐々木 満春のコメント】NTT東日本のSOCが対応している領域とは

佐々木 満春

NTT東日本のSOCでは、WAFやFWといったセキュリティ機器のログをSIEM^※3に取り込み、一元的に管理しています。独自に作成したルールを用いて攻撃を検知し、その内容については実際の通信を確認しながら、攻撃の状況や被害の有無を判断します。

インシデントが発生した場合には、即時に遮断などの一次対処を行い、そのあとはお客様と連携しながら被害の終息に向けた対応を進めていきます。SOCは、ツールや仕組みだけではなく、人が判断し、対応し続ける運用の現場として、企業のセキュリティを支えているのです。

※3 ITシステムのログを集約・分析し、セキュリティ脅威を検知・対応するための基盤、仕組みのこと

SOCは自社で持つべきか。外部に任せるべきか

SOCの話を聞くと「うちも導入した方がいいのかもしれない」と感じる一方で、次に浮かぶのは現実的な悩みではないでしょうか。

「どこまで対策すればいいのか」「どれくらいのコストをかけるべきなのか」そして、「すべてを任せてしまって本当にいいのか」——。多くの企業が、こうしたジレンマのなかで判断を迫られています。

自社でSOCを運用する場合のメリット

SOCを自社で運用する場合のメリットは、セキュリティ対応を通じてノウハウが社内に蓄積され、組織としての対応力が徐々に高まっていく点にあります。一方で、そのためには専門人材の確保や体制づくりが欠かせません。すぐに実現できる企業は限られるのが実情です。

外部のSOCサービスを活用する場合のメリット

一方、外部のSOCサービスを活用すれば、専門的な知見や運用体制をすぐに利用することができます。限られた人員や予算のなかでも、24時間365日の監視やインシデント対応などの自社だけでは難しい領域をカバーできる点が大きな利点です。

【監修・星 慎一郎のコメント】優先度をつけて段階的に対応する必要がある

星 慎一郎

重要なのは、「自社で運用するか、外部に運用を委ねるか」を二択で考えることだけではありません。すべてを丸ごと任せるのか、一部の領域だけを外部に委ねるのか、といった点も重要です。自社のリソースやリスクの大きさを踏まえながら、どこまでをSOCに任せるのかを段階的に考えていくことが現実的な選択になります。

NTT東日本がSOCを運用してわかったこと

SOCを自社で運用してきたなかで、NTT東日本が実感しているのは、多くの環境を横断してログを見続けること自体が、大きな価値になるという点です。さまざまな攻撃ログが日々集まることで、特定の企業だけを見ていては気づきにくい脅威の傾向を、早い段階で把握できるようになります。

大規模なSOC運用から得られた知見

NTT東日本では、これまで次のような環境でSOC運用を行ってきました。

〈NTT東日本によるSOC運用の例〉

• 約6万人規模の自社業務環境を対象に、日常的なセキュリティ監視とインシデント対応を実施
• 大規模な自治体を対象に、マネージドセキュリティサービスを提供。お客様環境のセキュリティ監視とインシデント対応を実施

こうした知見は、インシデントが発生したときだけでなく、平時の運用にも活かされます。アラートの精度を高めたり、検知ルールを見直したりといった改善を重ねることで、SOC全体としての対応力が底上げされていきます。

【監修・佐々木 満春のコメント】NTT東日本の強みについて

佐々木 満春

SOC内で監視から判断、一次対応までを完結させることで、企業側の運用負荷を最小限に抑えられる点も重要です。日々の細かなアラート対応をすべて自社で抱え込むのではなく、外部の専門チームに担わせることで、担当者は本来の業務に集中することができます。

まとめ｜「考え始めたとき」がSOC検討のベストタイミング

サイバー攻撃は、起きてから対策を考えるには遅すぎるケースも少なくありません。

情報セキュリティ対策は、後手に回るほど選択肢が限られ、判断の余地も狭まっていきます。だからこそ、SOCを導入するかどうかを決める前に、SOCという選択肢について考え始めているかどうかが重要になります。

どこまで対策すべきか、どこを外部に任せるべきか。明確な答えが出ていなくても構いません。もし判断に迷ったり、現状に不安を感じたりしたときには、外部の知見を頼るという選択もあります。NTT東日本では、そうした検討段階の相談にも対応しています。

SOCを導入するかどうかよりも、セキュリティとどう向き合い続けるか。その第一歩として、考え始めること自体が、これからの企業のセキュリティ対応力につながっていくはずです。