ログイン

トップ

アウェアネス

PhishAI

AI SOC

サービス一覧

会社概要

記事

ホワイトペーパー

セミナー

用語集

ニュース

インシデント速報

お問い合わせ

資料ダウンロード

Insight

2026/09/11

MDR・MSS・XDR・AI SOCの違いとは？セキュリティ運用サービスの選び方

迎健太

MDR、MSS、EDR/XDR、SIEM、SOAR、AI SOC――似た略語が並ぶセキュリティ運用の選択肢を「製品・サービス・運用モデル」の3層で整理し、6つの比較軸と典型的な組み合わせパターン、よくある誤解、AI SOCの位置づけをわかりやすく解説します。

「MDRとMSSは何が違うのか」「XDRを導入すればMDRは不要になるのか」「AI SOCはMDRの代わりになるのか」。セキュリティ運用の外部委託や体制強化を検討し始めると似た略語が次々に登場し、比較の土台をそろえる前に提案書の山に埋もれてしまう、という声を多くの企業から聞きます。

混乱の原因は、これらの用語が同じ土俵に並んでいないことです。あるものは「製品」のカテゴリ名、あるものは「サービス」の提供形態、あるものは「運用モデル」を指しています。本記事では、MSS・MDR・EDR/XDR・SIEM・SOAR・AI SOCの6つの用語を定義し直したうえで、製品・サービス・運用モデルの3層に分けて整理し、比較の軸と選び方の手順を解説します。特定のベンダーの評価ではなく、「何を、どの層で、どこまで任せるか」を自社の状況に照らして判断するための考え方を示すことが目的です。

MSS・MDR・EDR/XDR・SIEM・SOAR・AI SOCの定義

MSS／MSSP（マネージドセキュリティサービス）

MSS（Managed Security Service）は、ファイアウォールやIDS/IPS（侵入検知・防御システム）、エンドポイント保護製品などの監視・運用管理を外部事業者（MSSP）が請け負うサービスの総称です。機器の稼働監視、ログ監視、アラート通知を中心に発展してきたため、従来型MSSでは検知時の主な成果物は「通知」であり、その後の調査や封じ込めは自社側で行うか別契約とする形が一般的でした。「監視は任せているが、夜間に通知が来ても動ける人がいない」という課題は、この構造から生じます。

MDR（Managed Detection and Response）

MDRは、脅威の検知（Detection）だけでなく対応（Response）までを遠隔から提供するサービスです。Gartnerは、MDRサービスの必須要素として「アラートや通知にとどまらない、ホストの隔離などの即時の遠隔での緩和・調査・封じ込め」「顧客固有のリスクに基づくユースケースを認識し、個々の顧客データに日常的に関与する24時間365日の要員体制」「提供者がホストし運用する、遠隔で提供される技術スタック」を挙げています（Gartner Peer Insights, 2025）。MSSとMDRの本質的な違いは、「通知で終わるか、対処まで踏み込むか」にあります。

EDRとXDR

EDR（Endpoint Detection and Response）は、PCやサーバーなどエンドポイントの挙動を記録し、不審な振る舞いを検知して調査や隔離を可能にする製品です。XDR（Extended Detection and Response）はその考え方をエンドポイント以外に拡張したもので、Gartnerは必須機能として「機械学習・相関・エンリッチメントを含むセキュリティ分析」「統合した全セキュリティ技術の出力を俯瞰し、調査とネイティブな自動対応を行うワークスペース」「エンドポイントを含む2種類以上のネイティブセンサーとログの取り込み」を挙げています（Gartner Peer Insights, 2026年閲覧）。重要なのは、EDRもXDRも「製品」であり、誰が24時間監視し、判断し、動かすかは別の問題だという点です。

SIEM（Security Information and Event Management）

SIEMは、ネットワーク機器、サーバー、クラウド、認証基盤など多様なソースからログを収集・保管し、相関分析で脅威を検知し、調査と報告を支える基盤です。Gartnerは必須機能として、アラートの調査・証拠化・報告、監査向けのレポート生成、利用者自身による検知ユースケースの開発・修正、イベントデータの長期保持などを挙げています（Gartner Peer Insights, 2025）。詳細は用語集の「SIEM」もご参照ください。SIEMは攻撃を「線」として捉える基盤ですが、検知ルールの調整とアラートの精査を続ける人手が前提となります。

SOAR（Security Orchestration, Automation and Response）

SOARは、SIEMやEDRのアラートに対し、あらかじめ定義した手順（プレイブック）で情報の付加、端末隔離、チケット起票などを自動実行する製品カテゴリです。Gartnerは必須機能として、脅威インテリジェンスの運用化、インシデント管理データの保持、幅広い既存セキュリティ技術への対応、手動および自動のトリガー、反復可能な自動タスクをプレイブック化できるワークフロー管理を挙げています（Gartner Peer Insights, 2024）。クラウド型SIEMの多くはこの機能を内包しており、たとえばMicrosoft Sentinelは、SIEMとしての収集・検知・調査・対応の機能に加え、自動化ルールとプレイブックによるオーケストレーション機能を提供しています（Microsoft Learn, 2026年閲覧）。SOARは強力ですが、人が想定して書いた分岐しか実行できず、プレイブックの作成と保守は人が担う点が制約です。

AI SOC

AI SOCは、業界として標準化された定義がまだ固まっていない新しい概念です。一般には、生成AIを基盤とするAIエージェントがSOCアナリストの調査手順を再現し、EDRやSIEMのアラートの一次調査（トリアージ）から根拠の収集、判定、対処の推奨や実行までを自律的に行う運用モデルを指し、それを実現する製品・サービスの呼称としても使われます。人が書いた分岐どおりに動くSOARと異なり、アラートごとに「何を調べるべきか」をAIが組み立てる点が特徴です。詳しくはピラー記事「AI SOCとは？仕組み・従来型SOCとの違い・導入メリット」をご覧ください。

「製品」「サービス」「運用モデル」の3層で整理する

比較が難しい理由は、各用語の属する層が異なることにあります。EDR・XDR・SIEM・SOARは「製品（テクノロジー）」の層、MSSとMDRは「サービス（誰が運用するか）」の層、SOCの体制やAI SOCは「運用モデル（調査・判断・対処をどう回すか）」の層に属しています。同じ層のものは代替関係になり得ますが、異なる層のものは代替ではなく組み合わせの関係にあります。XDRは検知と対応の手段を統合しますが、24時間そのコンソールを見て判断する人や仕組みは含まない、というのが典型例です。

NISTが2024年2月に公開したサイバーセキュリティフレームワーク（CSF）2.0は、「検知（DETECT）」を「サイバーセキュリティ攻撃や侵害の可能性を発見し、分析すること」、「対応（RESPOND）」を「検知されたインシデントに関して行動をとること」と定義し、検知の下に「継続的モニタリング」「有害イベントの分析」、対応の下に「インシデント管理」「インシデント分析」「報告とコミュニケーション」「インシデントの緩和」というカテゴリを置いています（NIST, 2024）。製品は主にモニタリングと分析の「能力」を、サービスや運用モデルはその能力を使って分析・管理・緩和を「実行する主体と手順」を提供する、と整理すると、各用語の位置づけがはっきりします。

SOCの役割やTier体制は「SOCとは？役割・Tier体制・24時間365日運用の基本と限界」で、内製と外部委託の費用・人材・品質の比較は「SOCの内製と外部委託（MSS/MDR）を徹底比較」で扱っています。

6つの比較軸で見るMDR・MSS・XDR・AI SOCの違い

層を分けたうえで、選定時には次の6つの軸で比較すると、提案書の表現の違いに惑わされにくくなります。

軸1：検知範囲（どこまで見えるか）

EDRやEDR中心のMDRはエンドポイントの可視性に強みがあり、XDRはそこにネットワーク、クラウド、メールなどのセンサーを加えます。SIEMは原則あらゆるログを取り込めるため範囲は最も広くなりますが、範囲の広さはアラート量の増加につながります。検知範囲の評価では、MITRE ATT&CKのような共通言語で、攻撃者のどの戦術・技術がカバーされるかを確認する方法が一般的です。MITRE ATT&CKは「実世界の観測に基づく、攻撃者の戦術と技術の世界的にアクセス可能な知識ベース」であり、脅威モデルや手法を開発する基盤として広く利用されています（MITRE, 2026年閲覧）。

軸2：対応の深さ（通知か、対処か）

最も差が出る軸です。従来型MSSでは「検知したことを通知する」までがサービス範囲となることが多く、MDRでは前述のとおり、ホストの隔離など遠隔での封じ込めまでを含むことが要件とされています。ただしMDRでも、自動隔離を許すか都度承認とするかなど、対処の権限をどこまで委ねるかは契約と運用設計で決めることになります。「通知を受けてから自社の誰が何をするか」が決まっていなければ、どのサービスを選んでも夜間・休日の対応はそこで止まります。

軸3：自社文脈の理解

あるアラートが本当に危険かどうかは、その端末が誰のものか、そのサーバーが本番系か、その通信先が業務上正当かといった自社固有の文脈に依存します。外部サービスがこの文脈をどの程度取り込めるかで、誤検知への耐性は大きく変わります。GartnerがMDRの要件に「顧客固有のリスクに基づくユースケースの認識」や「個々の顧客データへの日常的な関与」を含めているのは、この点を重視しているためです（Gartner Peer Insights, 2025）。選定時には、資産情報や業務ルールをどう共有し、判定に反映されるかを確認する必要があります。

軸4：24時間365日体制

攻撃は業務時間を選びません。IPAが2026年1月に公開した「情報セキュリティ10大脅威 2026」では、組織向けの1位は引き続き「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」で、3位には「AIの利用をめぐるサイバーリスク」が初めて選出されました（IPA, 2026）。こうした攻撃は業務時間外にも進行するため、検知から封じ込めまでを止めずに回せる体制が求められます。自社だけで24時間体制を組むには交代制で相当数の要員が必要となるため、この軸は「誰が夜間に判断するのか」を具体的に問うことになります。

軸5：コスト構造

製品はライセンス（エンドポイント数やログ量）で、サービスは監視対象の数や規模に応じた月額で課金されるのが中心です。内製SOCは人件費と教育・定着のコストが支配的になります。見落とされやすいのは、「アラートを見て判断する人」のコストがどこに乗っているかです。安価に見える構成でも、通知後の調査を自社で担うなら、その工数は自社側に残ります。総コストは、製品費・サービス費・自社側の運用工数の合計で比較する必要があります。

軸6：説明可能性と監査対応

規制産業では、なぜそのアラートを「問題なし」と判断したのか、どの手順で封じ込めたのかを、後から第三者に説明できることが求められます。従来型MSSやMDRであれば報告書やチケットの記録、SOARであればプレイブックの実行ログが根拠になります。AI SOCのようにAIが判断に関与する仕組みでは、調査の過程と根拠が人間に読める形で残るかが追加の評価項目となります。

典型的な組み合わせパターンと選び方の手順

3つの典型パターン

実務では、3層をまたいだ組み合わせが前提になります。代表的なパターンは3つです。

第一に「EDR＋MDR」です。エンドポイントの可視化をEDR製品で確保し、監視と対処をMDRに委ねる構成で、セキュリティ専任者が少ない組織が最短で24時間体制を得る方法として広く採用されています。弱点は、クラウドの設定不備や認証基盤の異常など、EDRの視野の外が見えにくいことです。

第二に「SIEM＋内製SOC」です。自社にログを集約し、自社のアナリストが検知ルールを育てながら運用する構成で、自社文脈の理解と説明可能性の面で最も強くなります。一方、人材の確保と定着、日々のアラート精査の工数が最大の課題です。

第三に「SIEM/EDR＋AI SOC」です。既存のSIEMやEDRを検知の基盤として維持し、そこから上がるアラートの一次調査と対処をAIエージェントに委ねる構成です。製品層の投資を活かしながら運用モデルの層を変える発想で、内製SOCやMDRを持つ組織が、アナリストの調査負荷を下げる目的で重ねて導入するケースも含まれます。

選び方の手順

どの組み合わせが適するかは、次の順序で確認すると判断しやすくなります。

守るべき資産と想定する脅威（ランサム攻撃、サプライチェーン経由の侵入、内部不正など）を書き出す。
現有の製品層（EDR・SIEM・クラウドのログ）を棚卸しし、検知範囲の穴を特定する。
「通知を受けてから誰が何をするか」を時間帯別に書き出し、夜間・休日に判断できる人がいるかを確認する。
いない場合は、対処まで含むサービス（MDR）か、調査・対処を自律化する運用モデル（AI SOC）のどちらで埋めるかを検討する。
自社文脈（資産情報、業務ルール、例外）をどう提供し、判定に反映されるかを確認する。
規制・監査の要件に照らして、判断の記録と報告の形式を確認する。
総コストを製品費・サービス費・自社工数の合計で比較し、PoC（概念検証）で検知精度と対応時間を実測する。

日本企業での実務ポイント

日本企業、とくに金融機関や防衛サプライチェーンの製造業では、委託先管理と説明責任の観点が選定に大きく影響します。外部に運用を委ねても最終的な判断責任は自社に残るため、「委託先が何を見て、何を判断し、何を実行したか」を自社が把握し、監督官庁や監査人に説明できる仕組みが必要です。また、情報システム部門が兼務で運用を担う組織では、対応の深さ（軸2）と24時間体制（軸4）を最初に確認することが、選択肢を絞る近道になります。PoCで確認すべき評価項目は「AI SOCの選び方：PoCで確認すべき評価項目と失敗しない導入ステップ」にまとめています。

AI SOCの位置づけ：MDRの代替ではなく「調査を自律化する層」

ここまでの整理を踏まえると、AI SOCは「製品」でも「サービスの契約形態」でもなく、SOCの運用モデルの層に位置づけられます。MSSやMDRが「人が調査し、対処する」ことを外部から提供するのに対し、AI SOCは調査と対処のプロセスそのものをAIエージェントが担い、人は判断の確認と例外対応に集中します。既存のMDR契約を置き換える場合もあれば、内製SOCやMDRの上に重ねて、アナリストが見きれていないアラートの調査を補完する場合もあります。

ヤグラAI SOCの場合、一流アナリストの調査手法を再現したAIエージェントが、EDR・SIEMのアラートを24時間365日自律的に調査・対処します。関連情報の収集や分析をAIが支援することで、担当者の負担軽減を目指します。調査率や対応時間への効果は、自社のアラートを使い、既存の運用と同じ条件で比較する必要があります。EDR・SIEM・ID管理製品など100以上のセキュリティ製品と連携すること、自社開発のサービスとしてMicrosoft Sentinelなどの既存製品と連携すること、コンテキストメモリで自社環境を学習し調査精度が向上することは、比較軸の「検知範囲」「自社文脈の理解」「24時間体制」に対応する特性です。一方、「説明可能性」は導入時に必ず確認すべき軸であり、調査の経過と根拠がどう記録・提示されるかをPoCの段階で見ておくことをお勧めします。

よくある誤解

「XDRを導入すればMDRは不要になる」。XDRは製品、MDRはサービスであり層が異なります。統合されたコンソールを24時間監視し、判断して動く主体は別途必要です。逆に、MDRを契約していても提供者の視野がエンドポイント中心であれば、検知範囲の穴は残ります。

「MDRを契約すればSOCやSIEMは不要になる」。MDRは検知と一次対応を担いますが、自社側の意思決定、経営層への報告、復旧、再発防止はサービス範囲外となることが一般的です。また、MDR提供者が監視する範囲と、自社として保管・分析すべきログの範囲は別です。SOCの機能のうち何を委ね、何を残すかの設計が必要です。

「SOARがあればAI SOCは不要」。SOARは人が書いたプレイブックを忠実に実行する仕組みで、想定外のアラートや分岐には対応できません。AI SOCはアラートごとに調査の方針を組み立てる点が異なります。両者の違いは「SOARとAI SOCの違い：プレイブック自動化からエージェントによる自律調査へ」で詳しく解説しています。

「AI SOCを導入すれば人は不要になる」。AI SOCが担うのは調査と一次対処の自律化であり、リスク受容の判断、封じ込めの最終承認、関係部門との調整は引き続き人の役割です。目的は人の時間をアラートの精査から判断と改善に振り向けることであり、人の置き換えではありません。

まとめ

MSS・MDR・EDR/XDR・SIEM・SOAR・AI SOCは、同じ土俵で優劣を競う選択肢ではなく、「製品」「サービス」「運用モデル」という異なる層に属する要素です。製品は検知と対処の手段を、サービスはそれを運用する主体を、運用モデルは調査・判断・対処の回し方を提供します。選定では、検知範囲、対応の深さ、自社文脈の理解、24時間365日体制、コスト構造、説明可能性の6軸で現状と候補を照らし合わせ、「通知を受けてから誰が何をするか」を起点に組み合わせを設計することが重要です。AI SOCは、人手に依存してきた調査工程を自律化する新しい層として、この組み合わせの中に位置づけられます。

関連サービス：EDR・SIEMのアラートをAIエージェントが24時間365日自律的に調査・対処する「ヤグラAI SOC」の詳細はこちら。

参考・出典

Gartner Peer Insights「Managed Detection and Response Services」市場・必須機能の定義（2025年11月更新）: https://www.gartner.com/reviews/market/managed-detection-and-response-services
Gartner Peer Insights「Extended Detection and Response」市場・必須機能の定義（2026年9月閲覧）: https://www.gartner.com/reviews/market/extended-detection-and-response
Gartner Peer Insights「Security Information and Event Management」市場・必須機能の定義（2025年11月更新）: https://www.gartner.com/reviews/market/security-information-event-management
Gartner Peer Insights「Security Orchestration, Automation and Response Solutions」市場・必須機能の定義（2024年10月更新）: https://www.gartner.com/reviews/market/security-orchestration-automation-and-response-solutions
MITRE「MITRE ATT&CK」（2026年9月閲覧）: https://attack.mitre.org/
NIST「The NIST Cybersecurity Framework (CSF) 2.0」NIST CSWP 29（2024年2月）: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
IPA「情報セキュリティ10大脅威 2026」（2026年1月）: https://www.ipa.go.jp/security/10threats/10threats2026.html
Microsoft Learn「What is Microsoft Sentinel?」（2026年9月閲覧）: https://learn.microsoft.com/en-us/azure/sentinel/overview