ログイン

トップ

アウェアネス

PhishAI

AI SOC

サービス一覧

会社概要

記事

ホワイトペーパー

セミナー

用語集

ニュース

インシデント速報

お問い合わせ

資料ダウンロード

Insight

2026/09/11

SOCの内製と外部委託（MSS/MDR）を徹底比較：費用・人材・品質・スピード

迎健太

セキュリティ監視を自社で持つか、MSS/MDRに委託するか。内製SOCに必要な人員と費用、外部委託でカバーできる範囲と「通知まで」の落とし穴、5つの比較軸、ハイブリッド運用、AIエージェントという第3の選択肢まで、判断のためのチェックリスト付きで解説します。

セキュリティ監視の体制をどのように持つかは、多くの日本企業にとって先送りしにくい経営課題になっています。IPAが公開した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位に挙げられており（IPA, 2026）、侵入を完全に防ぐことよりも「いかに早く検知し、被害の拡大を止めるか」が問われる状況です。その中核を担うのがSOC（Security Operations Center：セキュリティの監視・分析・対応を担う専門組織）ですが、これを自社で内製するのか、MSS（Managed Security Service：セキュリティ機器の運用・監視を請け負うサービス）やMDR（Managed Detection and Response：検知後の調査・対応支援まで含むサービス）に外部委託（アウトソース）するのかによって、費用・人材・品質・スピードのそれぞれに異なる帰結が生じます。

本記事では、内製SOCの構成要素と必要人員、外部委託でカバーできる範囲と限界を整理したうえで、5つの比較軸で両者を対比します。そのうえで、多くの組織が採用しているハイブリッド運用という現実解と、AIエージェントによる「第3の選択肢」までを解説します。SOCそのものの役割やTier体制、24時間365日運用の基本については、ピラー記事「SOCとは？役割・Tier体制・24時間365日運用の基本と限界」をあわせてご覧ください。なお、本記事では特定の事業者の料金や仕様には触れず、カテゴリとしての「従来型MSS」「MDR」を対象に、判断の枠組みを示すことを目的とします。

内製SOCの構成要素と必要人員

内製SOCは、大きく「人」「プロセス」「技術」の3つの要素で構成されます。技術面では、EDR（Endpoint Detection and Response：端末の挙動を監視して不審な活動を検知する仕組み）やSIEM（Security Information and Event Management：各種ログを集約して相関分析する基盤）、脅威インテリジェンス、チケット管理といったツール群が必要です。プロセス面では、アラートのトリアージ（優先度判定）手順、エスカレーション基準、インシデント対応の手順書（ランブック）、KPIの定義と定期的なレビューが求められます。そして最も難しく、最も費用がかかるのが「人」です。

24時間365日の席を埋めるために必要な人数

1週間は168時間です。アナリスト1人の勤務時間を週40時間とすると、1つの席を24時間365日途切れなく埋めるだけで、単純計算で約4.2人分の工数が必要になります。ここに有給休暇、病欠、研修、離職時の引き継ぎ期間を織り込むと、一般に「1席あたり最低でも5〜6名、余裕を持たせるなら8名前後」が必要と言われます。しかも実務上は、夜間帯でも判断を1人に委ねない（相互確認ができる）体制、Tier2・Tier3にあたる上位アナリスト、SIEMの検知ルールを保守するエンジニア、全体を統括するマネージャーが別途必要です。結果として、最小構成であっても10名前後、本格的な体制では数十名の専門人材を、継続的に確保し続けることになります。

この規模の専門人材を採用し、定着させることが容易でないのは、多くの担当者が実感しているところでしょう。ISC2の調査によれば、世界のサイバーセキュリティ人材は約547万人と推計される一方、必要数との差である人材ギャップは約476万人にのぼり、前年から19.1%拡大しました（ISC2 Cybersecurity Workforce Study, 2024）。同じ調査では、回答者の90%が自チームに1つ以上のスキルギャップがあると答え、人材・スキル双方のギャップの最大の要因として「予算」を挙げています。人が足りず、予算にも制約があり、育てた人材が数年で流出するリスクを常に抱えることが、内製SOCの構造的な弱点です。

夜間・休日の監視を「情報システム部門の担当者によるオンコール」で代替している企業も少なくありませんが、その体制が長続きしない理由は、別記事「夜間・休日のセキュリティ体制はなぜ回らないのか」で詳しく解説しています。

外部委託（MSS/MDR）でカバーできる範囲と限界

外部委託は、この「人」の問題を一気に解消するように見えます。従来型MSSは監視装置の運用とアラートの通知を、MDRは検知後の調査や封じ込めの支援までを、事業者側の人員とツールで提供します。自社で採用・育成・シフト管理を行う必要がなく、契約後、比較的短期間で24時間365日の監視を開始できる点は、内製では得がたい大きな利点です。

しかし、外部委託には構造的な限界があります。第一に、従来型MSSの多くは「アラートの通知」までがサービス範囲であり、通知を受けた後の調査・判断・対処は自社に残ります。深夜に「重大度：高」の通知が届いても、社内に判断できる人がいなければ、翌朝まで放置されるか、通知を受けた担当者が手探りで対応することになります。監視を委託しても、「対応」まで委託できているとは限らないのです。

第二に、自社環境の文脈（コンテキスト）が事業者側に十分に伝わらないことです。「このサーバーは基幹系である」「このアカウントは委託先の保守用である」「この通信は月次バッチの正常な挙動である」といった知識は、監視の精度を左右する最も重要な情報ですが、多数の顧客を抱える事業者が個社の事情を細部まで把握し、変化に追随し続けることは現実には難しいものです。その結果、誤検知の通知が多くなって社内の対応者が疲弊するか、逆に事業者側でノイズとして抑制されて重要な兆候が埋もれるか、いずれかの形で品質に影響が出ます。

第三に、SLA（Service Level Agreement：サービス水準の合意）の中身です。多くの契約では「通知までの時間」は定義されていても、「調査完了までの時間」や「封じ込め完了までの時間」は保証の対象外か、別途のオプションになっていることが一般的です。契約書上のSLAが、自社が本当に守りたい「被害の拡大を止めるまでの時間」と一致しているかは、必ず確認すべき点です。MSS・MDR・XDR・AI SOCといった各カテゴリのサービス範囲の違いは、「MDR・MSS・XDR・AI SOCの違いとは？セキュリティ運用サービスの選び方」で整理しています。

5つの比較軸で見る内製と外部委託

ここからは、内製と外部委託を5つの軸で比較します。いずれの軸も「どちらが常に優れているか」ではなく、「自社の状況ではどちらのリスクを引き受けるのか」という観点で読んでいただくのが有益です。

1. 費用構造：初期費用とランニングコスト

内製の場合、SIEMやEDRのライセンス、ログ保管のストレージ、チケット管理などのツール費用に加えて、前述の人員の人件費が毎年発生します。人件費は一度きりの初期費用ではなく、体制を維持する限り続く固定費であり、専門人材の市場価格は一般に上昇傾向にあると言われます。一方、MSSやMDRの費用は月額のサービス料金が中心で、初期費用は比較的抑えられますが、監視対象の台数やログ量に応じて費用が増える契約が多く、対象を広げるほどコストが積み上がります。また、「通知後の対応」を自社で担う分の人件費は、外部委託であっても消えません。SOCの費用を比較する際は、外部委託の費用に「社内に残る対応工数」を加えて評価する必要があります。

さらに、監視体制の費用だけでなく、侵害が起きた場合の損失も同じ天秤に載せるべきです。IBMの調査では、データ侵害1件あたりの世界平均コストは499万ドルで、前年から12%増加して過去最高となりました（IBM Cost of a Data Breach Report, 2026）。監視の空白が生む損失と比較したとき、どの体制が「安い」のかは、見積書の金額だけでは判断できません。中堅企業が現実的に24時間監視体制を作るための費用の考え方と手順は、「SOC構築の費用とステップ：中堅企業が24時間監視体制を作る現実的な方法」で扱っています。

2. 採用・育成：人材リスクの所在

内製では、採用・育成・定着のすべてが自社のリスクです。一人前のアナリストを育てるには時間がかかり、育った人材ほど転職市場での価値が高まります。外部委託では、この人材リスクを事業者に移転できます。ただし、事業者側も同じ人材市場で採用しているため、担当アナリストの経験にばらつきがある、担当者が頻繁に交代する、といった形でリスクが間接的に表れることがあります。加えて、外部委託を続けると社内にノウハウが蓄積されず、事業者の品質を評価したり、切り替えを判断したりする能力が失われる「ロックイン」のリスクも見逃せません。委託するとしても、委託先と対等に対話できる人材を社内に最低1名は残すことが、多くの組織で共通する教訓です。

3. 品質と説明責任

品質の面では、内製は自社環境への深い理解を、外部委託は多数の顧客を横断して得られる脅威の知見を、それぞれ強みとします。どちらが優れているかは一律には言えませんが、説明責任（アカウンタビリティ）の所在は明確です。経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」は、必要なスキルを持つ人材を確保できない場合に外部事業者を活用することを認めつつ、ビジネスパートナーや委託先を含めたサプライチェーン全体の対策と、契約における責任主体の明確化を経営者に求めています（経済産業省, 2023）。つまり、監視を外部に委託しても、インシデントの結果に対する説明責任は自社、最終的には経営者に残ります。「委託していたので分からない」は、取引先や監督官庁、株主に対する説明として通用しません。

4. 対応スピード

検知から対処までの時間は、被害の大きさを直接左右します。内製の強みは、判断と実行が同じ組織内で完結し、「端末を隔離する」「アカウントを無効化する」といった対処に承認の往復が少ないことです。外部委託では、事業者からの通知、社内での確認、事業者への指示、実行という往復が生じやすく、特に夜間・休日は社内側の確認で時間を失いがちです。MDRのように事業者側で封じ込めまで実施する契約もありますが、その場合は「どの範囲まで事前承認なしに対処してよいか」を契約時に合意しておく必要があります。いずれの形態でも、検知までの時間（MTTD）と復旧までの時間（MTTR）を計測し、定期的に確認することが、スピードを維持する前提になります。

5. 監査対応・規制要件：日本企業の実務ポイント

規制産業では、監視体制そのものが監査や検査の対象になります。金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」は、SOC等のサイバー攻撃に対する監視体制の構築を「外部のリソースの活用を含む」形で求め、対応が望ましい事項として顧客サービスの提供内容を踏まえた常時監視（24時間365日）を挙げています。同時に、サードパーティリスク管理として、契約やSLAに役割分担・責任分界、監査権限、インシデント発生時の対応および報告を明記し、リスクの重大性に応じて継続的にモニタリングすることも求めています（金融庁, 2024）。すなわち、外部委託は認められているものの、「委託先を管理し、説明できる状態」を自社側に整えることが前提です。

監査で問われるのは、「誰が、いつ、何を見て、なぜその判断をしたか」の記録です。内製であれば記録の様式を自社で統制できますが、担当者の頭の中にしか根拠が残らない属人化が起きやすい面があります。外部委託であれば定型のレポートは得られますが、個々のアラートについて「なぜ問題なしと判断したか」の根拠まで開示されるかは契約次第です。内製か外部委託かにかかわらず、調査の過程が追跡できる形で残っているかが、監査対応の鍵になります。

ハイブリッドという現実解

ここまでの比較から見えてくるのは、「内製か外部委託か」という二者択一ではなく、どの機能を自社に残し、どの機能を外部に出すかという「役割分担の設計」こそが本質だということです。IPAが公開している「サイバーセキュリティ経営ガイドライン Ver3.0 実践のためのプラクティス集」でも、自社で対応が必要な領域と事業者に委ねる領域を定義し、運用を委託した後も専門ベンダーとコミュニケーションできる水準の能力を自社に残した企業の例のほか、委託すべき範囲の明確化とその管理、契約と第三者検証による担保、CSIRT業務の属人化回避を兼ねた情報の共有・蓄積といった実践が紹介されています（IPA, 2023）。

多くの組織で採用されている現実的な分担は、次のようなものです。

24時間365日の一次監視（アラートの受付とトリアージ）は外部委託し、夜間・休日の「目」を確保する
自社環境の文脈を要する判断（重大度の最終判定、業務影響の評価、対処の承認）は社内に残す
インシデント対応の指揮（CSIRTとしての意思決定、経営層・当局・取引先への報告）は社内が担う
資産情報や検知ルールなど環境知識の整備は社内が主導し、監視側と継続的に共有する
委託先の品質（通知の精度、応答時間、レポートの質）を定期的に評価し、契約に反映する

ハイブリッドの弱点は、「境目」に問題が集中することです。一次監視の事業者が通知した後、社内の判断者に夜間は連絡がつかない、あるいは通知内容だけでは判断できず追加調査に時間がかかる、といった事態は珍しくありません。外部委託と内製の間にある「調査と判断」の工程を、誰がどれだけ速く、どれだけの精度で担えるかが、ハイブリッド運用の成否を決めます。

AIエージェントによる「第3の選択肢」

この「調査と判断」の工程を、人ではなくAIエージェントに担わせるアプローチが、近年「AI SOC」と呼ばれる第3の選択肢です。AI SOCでは、EDRやSIEMから上がるアラートをAIエージェントが受け取り、関連ログの収集、脅威インテリジェンスとの照合、影響範囲の特定、対処案の提示までを、一流アナリストの調査手法を再現する形で自律的に実行します。仕組みや従来型SOCとの違いは、ピラー記事「AI SOCとは？仕組み・従来型SOCとの違い・導入メリットをわかりやすく解説」で詳しく述べています。

本記事の比較軸に当てはめると、AI SOCの位置づけは明確です。人材の面では、24時間365日のシフト要員を採用・育成する必要がなくなり、外部委託と同様に「人の問題」から解放されます。文脈の面では、AIエージェントがコンテキストメモリで自社固有の資産・業務・過去の判断を学習し続けるため、内製SOCの強みである「自社環境への理解」を手放さずにすみます。説明責任の面でも、調査の過程と根拠が記録として残るため、監査で問われる「なぜその判断をしたか」に答えやすくなります。つまり、内製の文脈保持と外部委託の省力化を同時に実現しようとするのが、AI SOCの考え方です。

ヤグラAI SOCは、AIエージェントによるアラート調査で、内製・外部委託いずれの体制でも担当者の負担軽減を支援します。効果の規模は、自社環境での調査率、手動分析時間、対応に要する工数を導入前後で比較して確認してください。EDR・SIEM・ID管理製品など100以上のセキュリティ製品と連携できるため、既存の監視ツールを置き換えることなく導入でき、内製・外部委託いずれの現行体制からでも移行しやすい点も特徴です。より広い視点では、IBMの調査においても、セキュリティにAIと自動化を広範に活用している組織では、まったく活用していない組織と比べて平均侵害コストが193万ドル低かったと報告されています（IBM Cost of a Data Breach Report, 2026）。

ただし、AI SOCは人の関与をゼロにするものではありません。対処の最終承認、経営層や当局への報告、事業上の判断は引き続き人が担う必要があり、AIの調査結果を評価・監督できる担当者を社内に置くことが前提です。AI SOCは「調査と判断」の工程を高速化・標準化する選択肢であって、CSIRTとしての意思決定や委託先管理の責務を肩代わりするものではないと理解しておくべきでしょう。

判断のためのチェックリスト

最後に、内製・外部委託・ハイブリッド・AI SOCのいずれを選ぶにしても、意思決定の前に確認しておきたい項目を整理します。

守るべき対象と許容できる停止時間を定義しているか（基幹系、顧客向けサービス、重要データの優先順位）
24時間365日の一次監視を、誰が、何名で、どの手段で担うかが具体的に決まっているか
通知を受けた後の「調査・判断・対処」を、夜間・休日も含めて誰が何分以内に行うかが決まっているか
外部委託する場合、SLAの範囲が「通知まで」なのか「調査・封じ込めまで」なのかを契約書で確認したか
自社環境の文脈（資産台帳、正常な通信パターン、特権アカウント）を監視側に継続的に反映する仕組みがあるか
調査の過程と判断の根拠が、監査で提示できる形で記録されるか
委託先やAIの出力を評価する指標（通知精度、応答時間、誤検知率など）と、見直しの頻度を決めているか
委託先やAIの出力を評価・監督できる人材を、社内に最低1名以上確保・育成する計画があるか
3〜5年の総費用（ツール、人件費、委託費、社内に残る工数）を同じ前提で比較したか
業界ガイドラインや取引先の要求で、委託先管理や監視体制に求められる事項を確認したか

これらに明確に答えられない項目があれば、それがそのまま現在の体制の弱点です。特に3番目と6番目は、内製・外部委託いずれの形態でも見落とされやすく、インシデントの被害規模と事後の説明のしやすさを左右します。

まとめ

内製SOCは自社環境の文脈と対応スピードに強みがある一方、24時間365日の席を埋める人材の確保と定着が最大の障壁です。外部委託（MSS/MDR）は人材リスクを移転し、短期間で監視を開始できる反面、通知後の調査・判断が自社に残り、文脈の不足やSLAの範囲によって実効性が左右されます。いずれを選んでも説明責任は自社に残るため、多くの組織にとっての現実解は役割分担を設計したハイブリッド運用であり、その「境目」にある調査・判断の工程をAIエージェントに担わせるAI SOCが、文脈の保持と省力化を両立する第3の選択肢として位置づけられます。自社の状況をチェックリストに照らし、まずは「夜間に通知を受けた後、誰が何をするか」から見直すことをお勧めします。

関連サービス：EDR・SIEMのアラートをAIエージェントが24時間365日自律的に調査・対処し、内製SOCの文脈保持と外部委託の省力化を両立する「ヤグラAI SOC」の詳細はこちら。