SOC（セキュリティ運用センター）の外注と内製は、「どちらか一方に決める」ものではない。基本は「判断は社内、運用は外部」で、外に出す範囲を決める前に、社内に残る仕事を先に決めると整理しやすい。EDR や MDR を入れても、アラートを受ける窓口、隔離の承認、取引先や当局への連絡、経営への報告は社内に残る。この記事では、SOC が指す範囲、内製・全面外注・ハイブリッドの比較、費用の見方、人材面と案件票に見る提示単価を整理する。全体像は セキュリティ人材・体制の相談先 にある。
なお、この記事は一般的な情報提供であり、法的助言ではない。個人データの取扱いの委託など、個人情報保護法に関わる点は専門家に確認してほしい。製品やサービスの優劣は評価しない。
結論：判断は社内、運用は外部。残る仕事を先に決める
外に出しやすい仕事と、社内に残る仕事を分けると、判断がしやすい。
- 外に出しやすい：ログやアラートの監視、一次分析、手順が決まっている初動
- 社内に残る：優先度と業務への影響の判断、取引先・当局・本人への連絡、経営への報告
外注するかどうかを決める前に、次の問いに答えられるようにする。アラートが鳴ったとき、誰がそれを受け、誰が何を決めるのか。夜間や休日はどうするのか。
公表データでも、外部委託は有力な選択肢として挙がっている。MM 総研の調査（2026 年 9 月 8 日発表）では、対策の方針は外部委託中心が 39%、外部委託と内製の半々が 29%、内製中心が 33% と報じられている（合計が 100% を超えるのは、丸めなどによる可能性がある）。（出典：MM総研『民間企業におけるサイバーセキュリティ対策の動向調査』。報道：ScanNetSecurity、2026 年 9 月 15 日）
同じ調査の 2025 年版では、外部に委託している業務のうち「戦略の意思決定」が 36% と最も多いと報じられた。判断まで外に出す企業があるということだ。ただし、事故のときに取引先や当局へ説明するのは自社であり、判断の材料と責任の所在は社内で持っておく必要がある。（出典：MM総研の 2025 年版調査。報道：ScanNetSecurity、2025 年 9 月 11 日）
また、警察庁の公表では、2026 年上半期のランサムウェアの被害報告は 123 件で、半期として過去最多とされる。うち中小企業は 79 件と報じられている。（出典：警察庁『令和8年上半期のサイバー空間の脅威情勢』、2026 年 9 月 10 日公表。警察庁の資料）
SOC が指す範囲（監視・分析・対応・改善）
「SOC」という言葉は、組織を指すことも、サービスを指すこともある。含まれる機能を 4 つに分けて考える。
| 段階 | 何をするか | 例 |
|---|---|---|
| 監視 | ログやアラートを集め、見続ける | 夜間・休日を含む監視 |
| 分析 | アラートが本当の脅威かを切り分け、影響範囲を見立てる | 一次分析、優先度づけ |
| 対応 | 被害の拡大を止め、復旧を支える | 端末の隔離、アカウントの停止、連絡 |
| 改善 | 検知の精度を上げ、再発を防ぐ | 検知ルールの調整、再発防止策、報告 |
MDR は、EDR などの端末側の検知を監視し、封じ込めの支援まで関わるサービスとして提供されることがある。ただし、範囲はサービスによって異なる。契約の前に、どこまでが含まれるかを確認する。
内製・全面外注・ハイブリッドの比較
3 つの構成を比べる。全面外注でも、判断は社内に残る。
| 観点 | 内製 | 全面外注 | ハイブリッド |
|---|---|---|---|
| 夜間・休日の監視 | 交代で入る人数が要る | サービスに含められる | 外部サービスが担い、社内は窓口になる |
| 判断 | 社内 | 社内（通知を受けて判断する） | 社内。参画する要員が補佐する |
| 費用の構造 | 人件費、製品、教育 | サービスの月額、製品 | サービスの月額、要員の費用 |
| 知見の残り方 | 残りやすい | 残りにくい | 記録を残す運用にすれば残りやすい |
| 向く企業 | 専任を置ける規模の企業 | 窓口は置けるが、運用の人手がない企業 | 窓口はあるが、運用と改善の手が足りない企業 |
夜間・休日も監視するには、交代で入る人数が要る。中小企業が自前で用意するには負担が大きい。このため、監視の部分は外部サービスに出し、社内は判断と窓口に集中する構成が検討されやすい。
どの構成から始めるか
次の 4 点で見る。
- 扱う情報と、止まったときの影響が大きいか。大きいほど、夜間・休日を含む監視の必要性が高い
- 社内に、通知を受けて判断できる窓口を置けるか。置けないなら、窓口の役割から先に決める
- 取引先や業界から、監視や報告の体制を求められているか
- 自社の環境を知り、検知の調整や改善を担う人がいるか。いなければ、要員の参画で補う方法がある
先に窓口と判断の役割を決め、そのうえで監視を外に出すか、要員を足すかを選ぶ順番が失敗しにくい。
外注できる範囲・できない範囲と、EDR/MDR を入れても残る仕事
外に出しやすい範囲
- ログやアラートの監視
- 一次分析と、優先度の仮判定
- 手順書に沿った初動（通知、あらかじめ決めた端末の隔離）
- 定期のレポート
社内に残る範囲
- 優先度と、業務への影響の判断（止めてよいか）
- 取引先、顧客、当局、本人への連絡
- 経営への報告と、予算の判断
- 例外設定の承認
EDR/MDR を入れても残る仕事
EDR や MDR は、端末側の検知と対応を助ける。しかし、導入しただけでは運用は回らない。次の仕事が残る。
- 通知の窓口：アラートを受ける人と、不在時の代理
- 隔離の承認ルール：誰が承認するか。連絡がつかないとき、自動での隔離を許すか
- 例外設定の管理：業務に必要な通信を止めないための調整
- 定期のレビュー：検知の内容を見直し、設定を更新する
- 報告の判断：個人データが関わるとき、報告が必要かの判断
個人情報保護委員会は 2026 年 10 月 7 日の注意喚起で、フィッシング耐性のある多要素認証、EDR による監視、アクセス権限の最小化、ログの保存・分析、侵害されたシステムの隔離などを対策例として示している。EDR だけでなく、権限やログの運用を含めて設計する必要がある。（出典：個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」、2026 年 10 月 7 日）
米国 NIST の SP 800-61 Rev.3（2025 年 4 月）は、インシデント対応をサイバーセキュリティのリスク管理の一部として位置づけている。監視と対応を単発の作業にせず、改善まで含めた運用として設計するときの参考になる。（出典：NIST SP 800-61 Rev.3）
ログには個人データが含まれることがある。外部の事業者に取扱いを任せる場合は、個人データの取扱いの委託として、委託先の監督が求められる場合がある。管理項目は 委託先の情報漏えいは誰の責任か で扱う。
体制づくりの相談
SOC・CSIRT・脆弱性診断・クラウドセキュリティの要員と体制づくりについて、Heyday がお話を伺います。
費用の見方：構成要素と、見積もりの取り方
EDR や MDR、監視サービスの費用について、出典のある相場は示さない。製品や契約によって差が大きいためだ。ここでは、費用の構成要素と、見積もりで確認する点を示す。
| 費用の項目 | 見積もりで確認すること |
|---|---|
| ライセンス（製品） | 対象の端末・サーバーの範囲、期間 |
| 導入・設定 | 初期の設定、既存環境への展開の範囲 |
| 監視サービスの料金 | 監視する時間帯、対象のログの種類 |
| 社内の工数 | 窓口、判断、報告にかかる時間 |
| 事故が起きたときの対応 | 定額に含まれるか、別料金か |
見積もりを比べるときは、条件をそろえる。
- 対象の範囲（端末、サーバー、クラウド、ログの種類）を同じにする
- 監視する時間帯を同じにする
- 通知の基準と連絡先を決める
- 一次対応の範囲（隔離まで含むか、調査は別か）をそろえる
- 事故対応の費用が定額に含まれるかを確認する
- 報告の頻度と形式をそろえる
- 契約期間と解約の条件を確認する
中小企業向けの価格の例としては、IPA が基準を定めた「サイバーセキュリティお助け隊サービス」がある。IPA の公表では、1 類には月額の上限が設けられ、ネットワーク監視は 1 万円以下、端末監視は 1 台 2,000 円以下とされている。これは基準に適合するサービスの上限であり、一般的な SOC や MDR の相場ではない。（出典：IPA『サイバーセキュリティお助け隊サービス』）
人材面：SOC の L1〜L3 と、案件票に見る提示単価
SOC の人材は、役割の深さで L1〜L3 に分けて語られることが多い。呼び方や範囲は組織によって異なる。
- L1：アラートの一次受けと、切り分け
- L2：詳細な分析と、対応の判断の補助
- L3：高度な分析、検知の改善、インシデント対応の主導
外部の人に入ってもらう場合の月額の目安として、Heyday が受信した案件票の集計を示す。
| 項目 | 値 |
|---|---|
| 案件票の掲載行数 | 358 行 |
| うち単価の上限が数値で読めた行 | 166 件 |
| 単価の上限 p25（小さい順の 4 分の 1 の位置） | 65 万円/月 |
| 単価の上限 中央値 | 75 万円/月 |
| 単価の上限 p75（同じく 4 分の 3 の位置） | 90 万円/月 |
| 単価の上限 最大 | 200 万円/月 |
出典：Heyday の案件データベース（案件メール由来の掲載行）。2026 年 3〜8 月に受信、重複除去前。技術タグ「セキュリティ/SOC/CSIRT」は、必須スキルと案件名にセキュリティ関連のキーワードを含む行で、1 行が複数のタグに入ることがある。単価は案件票に書かれた上限（発注側から SES 会社への企業向けの契約単価）で、エンジニアへの支払額（人材向けの単価）とは別。商流の途中で金額が変わることがある。
この集計は「セキュリティ/SOC/CSIRT」のタグ全体であり、SOC だけの分布ではない。SOC 単独の集計は現時点で行っておらず、L1〜L3 別の単価も、信頼できる公表データが見つかっていない。この数字は Heyday の料金を示すものではない。エンジニア側から見た SOC の単価は SOCアナリストの単価と未経験からの入り方 にある。
ハイブリッド構成と、相談前のチェック
外部サービスと、参画する要員を組み合わせる
ハイブリッド構成は、役割を次のように分ける。
- 外部サービス：夜間・休日を含む監視と、一次分析
- 社内の窓口：通知の受け手、判断、連絡、経営への報告
- 参画する要員：自社の環境を知る運用担当として、窓口の運用、検知ルールの調整の支援、事故後の実装を支える
SES（準委任）で要員が参画する形は、このうち窓口の運用や改善、事故後の実装で選択肢になる。要員への業務の指示は受託会社の責任者を通じて行い、発注側は直接指示しない。契約形態の違いは セキュリティ人材をSES・業務委託・派遣で入れる違いと費用 にまとめた。
相談前のチェック 8 項目
- 守る対象（システム、拠点、クラウド）
- 監視が必要な時間帯
- 通知を受ける人と、不在時の代理
- 隔離などの自動対応を許すか、承認者は誰か
- 一次対応の範囲（外部と社内の線引き）
- 個人データを外部に渡すか
- 取引先や業界から求められている要件
- 見直しの時期（契約期間、レビューの頻度）
事故が起きたときの体制は インシデント対応体制の作り方 で、ランサムウェアの入口対策は ランサムウェア対策 で扱っている。
よくある質問（FAQ）
Q. 中小企業に SOC は必要ですか？
SOC という組織を持つ必要があるかではなく、検知と初動の機能が必要かで考える。扱う情報と、止まったときの影響で決まる。専任を置けない場合は、監視を外部サービスに出し、社内は窓口と判断に集中する方法がある。
Q. MDR と SOC は何が違いますか？
SOC は監視・分析・対応・改善を行う機能や組織の総称で、対象のログが広い。MDR は、EDR などの端末側の検知を監視し、封じ込めの支援まで関わるサービスとして提供されることがある。ただし、呼び方と範囲はサービスによって異なるため、契約で含まれる範囲を確認する。
Q. 外注すると、社内に何が残りますか？
判断、連絡、報告、例外設定の承認、見直しが残る。外注しても、これらを担う人と手順は決めておく必要がある。
Q. 夜間対応はどう決めればよいですか？
検知から連絡までの時間、夜間に誰が判断するか、自動での隔離を許すか、業務への影響をどう扱うかを決める。連絡がつかない場合の代理も含めて、手順に書いておく。
Q. 常駐のエンジニアを置けば、外部の監視サービスは不要になりますか？
要員は、窓口の運用、検知の調整、事故後の実装を担える。しかし、夜間・休日を含む監視まで一人で担うのは難しい。外部サービスと組み合わせる構成が現実的だ。
関連記事
- セキュリティ人材・体制の相談先
- インシデント対応体制の作り方
- ランサムウェア対策
- SOCアナリストの単価と未経験からの入り方
- 委託先の情報漏えいは誰の責任か
- セキュリティエンジニアSES単価2026
