ログイン

トップ

アウェアネス

PhishAI

AI SOC

サービス一覧

会社概要

記事

ホワイトペーパー

セミナー

用語集

ニュース

インシデント速報

お問い合わせ

資料ダウンロード

Insight

2026/09/11

SOCとは？役割・Tier体制・24時間365日運用の基本と限界

迎健太

SOC（Security Operations Center）とは、サイバー攻撃の監視・分析・対応を担う専門組織です。主な業務、Tier1〜3の体制、使われるツール、24時間365日運用の現実と限界、そしてAI SOCという新しい選択肢まで、セキュリティ運用の基本を整理します。

EDRやSIEMを導入したものの、日々のアラートを誰がどこまで確認するのか決まっていない。夜間や休日に重大なアラートが上がっても、翌営業日まで気づけない。情報システム部門からこうした声を聞くことは珍しくありません。その解決策として名前が挙がるのが「SOC（Security Operations Center）」ですが、この言葉は専門組織を指す場合も、外部サービスやツール群を指す場合もあり、実態がつかみにくいのが実情です。

本記事では、SOCの定義と目的、主な業務、Tier1〜Tier3の体制、使用するツール、内製・外部委託・ハイブリッドという運用形態を整理したうえで、従来型SOCの構造的な限界と、その先にあるAI SOCという選択肢までを解説します。

SOC（Security Operations Center）とは何か――定義と目的

SOCとは、組織の情報システムやネットワークを継続的に監視し、サイバー攻撃の兆候を検知・分析し、インシデントに対応する専門組織（またはその機能）を指します。「センター」という名称から物理的な監視ルームを想像されがちですが、本質は場所ではなく、人（アナリスト）、プロセス（監視・対応の手順）、テクノロジー（SIEMやEDRなどのツール）を組み合わせて、セキュリティ運用を途切れなく回す仕組みそのものです。基本用語は用語集の「SOC（Security Operations Center）」にもまとめています。

役割を理解するうえで押さえておきたいのが、「イベント」と「インシデント」の区別です。米国NIST（国立標準技術研究所）のインシデント対応ガイドラインSP 800-61 Rev.3（2025年4月公開）は、イベントを「コンピューティング資産に関わる観察可能なあらゆる事象」、インシデントを「情報または情報システムの完全性・機密性・可用性を、実際に、あるいは差し迫って危うくする事象」と整理しています（NIST SP 800-61 Rev.3, 2025）。ログインやソフトウェア更新も含めれば、組織内では膨大なイベントが毎日発生します。その中から本当に対処が必要なインシデントを見つけ出し、被害が広がる前に手を打つことがSOCの中心的な役割です。

同ガイドラインは、インシデント対応をNISTサイバーセキュリティフレームワーク（CSF）2.0の6機能に対応づけ、統治・識別・防御が主にインシデントの予防を、検知・対応・復旧がインシデントの発見・管理・封じ込め・根絶・復旧を担うと説明しています（NIST SP 800-61 Rev.3, 2025）。この枠組みで見ると、SOCは検知と対応を継続的に担い、そこで得た教訓を識別や防御の改善へ還元する機能と位置づけられます。

SOCとCSIRTの違い

一般に、CSIRT（Computer Security Incident Response Team）はインシデント発生時の意思決定や社内外との調整・報告を担う司令塔であり、SOCは日常的な監視・検知と一次対応を担う実働部隊として区別されます。多くの日本企業では、SOCが検知したインシデントをCSIRTにエスカレーションし、CSIRTが経営層や関係部門、監督官庁との調整を行う分担が採られています。両者を兼務する組織もありますが、「監視・検知」と「対応の意思決定」の両機能が必要である点は共通です。

なぜ今、SOCが求められるのか

背景には脅威の深刻化があります。IPA（情報処理推進機構）が2026年1月に公開した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、「ランサム攻撃による被害」が11年連続の選出で1位、「サプライチェーンや委託先を狙った攻撃」が2位、初選出の「AIの利用をめぐるサイバーリスク」が3位となりました（IPA, 2026）。警察庁の報告でも、令和7年のランサムウェア被害報告件数は226件と依然として高水準で、侵入経路はVPN機器が6割以上を占め、被害組織の約6割は中小企業です。復旧に総額1,000万円以上を要した組織が5割を超え、1か月未満で復旧できた組織は5割強にとどまります（警察庁, 2026）。

攻撃のスピードも上がっています。Mandiantの「M-Trends 2026」は、2025年の50万時間を超えるインシデント調査に基づき、ランサムウェア攻撃に関わる犯罪者パートナー間の引き渡しに要する時間がわずか数秒にまで短縮したと指摘しています（Mandiant M-Trends, 2026）。侵入から本格的な被害までの時間が短くなるほど、「翌営業日に確認する」運用では間に合いません。攻撃を完全に防ぐことが難しい以上、侵入をいち早く検知して被害を最小限に抑える継続的な機能、すなわちSOCが、企業規模を問わず必要になっているのです。

SOCの主な業務――監視からレポートまでの6つの機能

SOCの業務は大きく6つに整理できます。監視で拾ったアラートをトリアージし、必要なものを分析し、インシデントと判断すれば対応し、結果をレポートと改善に還元する、という一連の流れです。

1. 監視（モニタリング）

ファイアウォール、EDR、認証基盤、クラウドサービス、サーバーなどからログやアラートを収集し、24時間365日途切れなく監視します。NIST SP 800-61 Rev.3も、不正な活動や想定外の挙動、セキュリティ態勢の変化を継続的に監視し、SOCやインシデント対応者に向けてアラートを生成することを検知機能の要素として挙げています（NIST SP 800-61 Rev.3, 2025）。監視対象の広さとログの網羅性が、後続の全工程の品質を左右します。

2. トリアージ（一次判定）

アラートが本当に脅威か（真陽性）、誤検知か（偽陽性）を判定し、緊急度と影響度で優先順位を付ける工程です。NIST SP 800-61 Rev.3は、潜在的に有害なイベントの量は一般に非常に多いため、大量のイベントデータを絞り込む技術的な仕組みに頼るべきだと述べています（NIST SP 800-61 Rev.3, 2025）。SOCの中で最も件数が多く人手を消費する工程であり、後述する「アラート疲れ」の発生源でもあります。

3. 分析・調査

疑わしいアラートについて関連ログを横断的に突き合わせ、何が起きたのか、影響範囲はどこまでか、攻撃はどの段階にあるのかを明らかにします。単体のアラートでは見えない攻撃の全体像をつかむには、端末・認証・ネットワークのログをつなぐログの相関分析が欠かせません。結果を攻撃者の戦術・技術の知識ベースであるMITRE ATT&CKに対応づけると、攻撃の進行段階や次に起こり得る行動を整理しやすくなります。

4. インシデント対応

端末のネットワーク隔離、アカウントの無効化、悪性ファイルの削除、通信先のブロックといった封じ込め・根絶の措置を実施または指示します。復旧はシステム部門やCSIRTと分担することが多く、「誰が、どこまでの権限で対処するか」を事前に取り決めておくことが求められます。

5. 脅威ハンティング

アラートを待つのではなく、「自社環境に侵入者が潜んでいるのではないか」という仮説を立てて能動的に痕跡を探す活動です。既存の検知ルールをすり抜ける攻撃を見つけるため、SIEMやEDRに蓄積されたデータを横断的に分析します（用語集「脅威ハンティング」）。

6. レポートと継続的な改善

日次・月次のレポートで検知件数や対応状況を可視化し、経営層への報告や監査対応に活かします。同時に、誤検知の多いルールのチューニング、新たな脅威への検知ルール追加、対応手順（ランブック）の更新を続けます。NIST SP 800-61 Rev.3も、教訓を改善へ還元する継続的改善の必要性がますます高まっていると強調しています（NIST SP 800-61 Rev.3, 2025）。

SOCの体制――Tier1〜Tier3の役割分担と運用形態

Tier1・Tier2・Tier3の役割

多くのSOCでは、業務を難易度と専門性に応じて階層（Tier）に分けて担当します。標準規格ではなく業界慣行として広まった区分ですが、人員計画や外部委託の範囲を考える際の共通言語になっています。

Tier1（一次対応アナリスト）：アラートの監視とトリアージを担当し、プレイブックに沿って真偽を判定し、対処が必要なものをTier2へエスカレーションします。人数が最も多く、24時間365日の交代勤務を支える層です。
Tier2（インシデント対応アナリスト）：エスカレーションされた事案を深く調査し、影響範囲の特定、封じ込めの判断・実施、CSIRTや関係部門との連携を行います。
Tier3（上級アナリスト／脅威ハンター）：マルウェア解析やフォレンジック、脅威ハンティング、検知ルールの開発、脅威インテリジェンスの活用を担い、SOC全体の検知能力を底上げします。
SOCマネージャー／SOCエンジニア：運営・KPI管理・報告を担うマネージャーと、SIEMやEDRなどの基盤を構築・維持するエンジニアが、アナリストを支えます。

この体制を自社で24時間365日維持する難しさは、Tier1の座席を1つ埋めるだけでも見えてきます。交代勤務、休暇、研修、退職リスクを考慮すると1つの座席にも複数名が必要になり、Tier2・Tier3や管理者を含めた総人数は、中堅企業のセキュリティ部門の規模を大きく超えることが少なくありません。人数と費用の目安は「SOC構築の費用とステップ」で解説しています。なお、SOCの体制や課題の実態は、SANS Instituteが毎年実施するSOC Survey（最新は2025年版）でも継続的に調査・公表されています（SANS, 2025）。

内製・外部委託・ハイブリッド

内製SOCは、自社の要員で監視から対応までを担う形態です。自社の業務やシステム構成を深く理解したうえで判断でき、対処の権限も社内で完結するため、スピードと統制の面で優れています。一方、24時間365日の人員確保、教育、離職への備え、ツールの構築・運用コストが大きな負担になります。

外部委託（MSS／MDR）は、監視・検知・一次対応を専門事業者に委ねる形態で、NIST SP 800-61 Rev.3もSOCをマネージドセキュリティサービス事業者に委託する形態を選択肢の一つとして挙げています（NIST SP 800-61 Rev.3, 2025）。夜間休日を含む体制を短期間で整えられる反面、事業者は自社環境の文脈を完全には把握していないため、「通知は来るが、対処は結局自社で夜間に行う」状態に陥ることがあります。委託範囲と対処権限をあらかじめ設計しておくことが重要です。

ハイブリッドSOCは、日中は内製・夜間休日は外部といった時間帯での分担や、Tier1の一次監視を外部やAIに委ねてTier2以降を内製とする階層での分担など、両者を組み合わせる形態です。費用・人材・品質・スピードの比較は「SOCの内製と外部委託（MSS/MDR）を徹底比較」で詳しく解説しています。

SOCが使う主なツール――SIEM・EDR・SOAR・脅威インテリジェンス

SIEM（Security Information and Event Management）は、機器やシステムのログを一元的に収集し、相関分析で脅威の兆候を検知・アラート化するプラットフォームで、SOCの「監視」と「分析」の基盤です。たとえばMicrosoft Sentinelの公式ドキュメントは、その中核機能を、ユーザー・デバイス・アプリケーション・インフラを横断したデータ収集、分析と脅威インテリジェンスによる検知、AIを用いた調査とハンティング、プレイブックによる対応の自動化、の4つに整理しています（Microsoft Learn, 2026）。詳細は用語集「SIEM」をご参照ください。

EDR（Endpoint Detection and Response）は、PCやサーバー上のプロセスや通信の挙動を記録・監視し、不審な動きを検知して端末の隔離などを可能にする製品です。ランサムウェアや標的型攻撃の多くは最終的に端末上で実行されるため、「検知」と「封じ込め」の主要な手段です。

SOAR（Security Orchestration, Automation and Response）は、定義済みのプレイブックに沿って、アラートの情報収集、通知、チケット作成、端末隔離などの定型作業を自動実行し、複数ツールを連携させる仕組みです。定型部分を省力化し、アナリストの時間を判断が必要な業務に振り向けることを狙います。

脅威インテリジェンスは、攻撃者のインフラ、マルウェアの特徴、攻撃手法（TTPs）に関する情報で、検知ルールの精度向上や分析時の判断材料になります。その共通言語が、実世界の観測に基づく攻撃者の戦術・技術のナレッジベースであるMITRE ATT&CKで、誰でも無償で利用できます（MITRE ATT&CK, 2026年閲覧）。このほか、事案の記録・進捗管理を行うケース管理ツールやナレッジベースもSOCの品質を左右します。

従来型SOCの限界――アラート量・人材不足・属人化・夜間休日

ここまでのSOCの仕組みは、人がアラートを一つひとつ確認することを前提に組み立てられています。この前提が、現在では構造的な限界に直面しています。

アラート量と「アラート疲れ」

監視対象が広がるほどアラートは増え続け、Tier1が1件ずつ確認できる件数には上限があるため、多くのSOCでは優先度の低いアラートを調査しきれない状態が常態化しています。セキュリティ実務者900名を対象としたTinesの調査では、63%が何らかのバーンアウトを感じ、81%が過去1年で仕事量がこれまでで最多だったと回答し、最もフラストレーションを感じる業務として53%が手作業を挙げました。半数超が1年以内に転職する可能性があると答えている点も見過ごせません（Tines Voice of the SOC, 2023）。詳しくは「SOCアナリスト不足と「アラート疲れ」」で取り上げています。

人材不足と採用難

ISC2の「2024 Cybersecurity Workforce Study」では、世界のサイバーセキュリティ人材が約547万人と前年からほぼ横ばいなのに対し、不足数は約476万人と前年から19.1%増え、その増加はアジア太平洋と欧州で最も大きいとされています。回答者の90%が自チームに何らかのスキルギャップがあると答え、その主因は予算不足だと分析されています（ISC2, 2024）。経験のあるTier2・Tier3の採用は特に難しく、育成にも時間がかかるため、体制を計画どおりに埋められない組織が多いのが実情です。

属人化とナレッジの消失

調査品質は、環境を熟知した少数の熟練アナリストに依存しがちです。「このサーバーのこの通信は正常」といった自社固有の知識が個人の頭の中にとどまり、その人が離職すると検知の精度も対応のスピードも落ちます。ランブックを整備しても、更新が追いつかず陳腐化するケースは少なくありません。

夜間・休日の空白

攻撃者は組織の営業時間を選びません。攻撃の進行が高速化するなか、金曜の夜に始まった侵入が月曜の朝には暗号化まで進んでいる事態は現実的なリスクです。人に依存した夜間休日体制がなぜ構造的に手薄になるのかは「夜間・休日のセキュリティ体制はなぜ回らないのか」で分析しています。

これらを放置した代償は小さくありません。IBMの「Cost of a Data Breach Report 2026」によれば、データ侵害の世界平均コストは499万ドルと前年比12%増でした。同報告書は、セキュリティにAIと自動化を広範に活用する組織は、まったく活用しない組織より侵害コストが193万ドル低かったとも報告しています（IBM, 2026）。人手の限界を前提に、運用そのものを設計し直す必要があるといえます。

AI SOCという選択肢――一次調査をAIエージェントに任せる

こうした限界への新しいアプローチがAI SOCです。従来のSOARが「人が定義したプレイブックを自動実行する」仕組みであったのに対し、AI SOCではAIエージェントが熟練アナリストの調査手法を再現し、EDRやSIEMのアラートに対して、関連ログの収集、相関付け、真偽の判定、影響範囲の特定、対処の提案・実行までを自律的に行います。人が担ってきたTier1と、Tier2の調査の大部分を、AIが24時間365日休みなく担う構図です。

ヤグラAI SOCは、AIによるアラートの一次調査を通じて、担当者の負担軽減と対応判断の支援を目指します。調査率や手動分析時間、対処完了までの時間がどの程度変わるかは、自社のアラートと運用手順を使って検証することが重要です。EDR・SIEM・ID管理製品など100以上のセキュリティ製品と連携でき、コンテキストメモリで自社環境固有の知識を学習して調査精度が向上していく点は、前述した属人化の課題への一つの回答でもあります。

重要なのは、AI SOCが人のアナリストを不要にするものではないことです。AIが全アラートの一次・二次調査を済ませることで、人は最終判断、経営層や関係部門との調整、脅威ハンティングや検知ルールの改善といったTier3的な業務に集中できます。前述のTinesの調査でも、回答者の93%が「自動化が進めば仕事と生活のバランスが改善する」と答えています（Tines Voice of the SOC, 2023）。仕組みや従来型SOCとの違いは「AI SOCとは？仕組み・従来型SOCとの違い・導入メリット」で詳しく解説しています。

よくある質問

Q. SOCは何人いれば運用できますか？

監視範囲、対応時間帯、自社で対処まで行うかで大きく異なります。24時間365日を人だけで維持する場合、交代勤務と休暇を考慮すると1つの座席にも複数名が必要で、Tier2以上や管理者を含めると相応の人数になります。中堅企業では、一次監視を外部サービスやAIに任せ、判断と対処を少人数の内製チームで担う構成が現実的です。

Q. SIEMやEDRを導入すればSOCになりますか？

なりません。SIEMやEDRはアラートを出すツールであり、それを見て判断し対処する体制（人またはAI）とプロセスがなければ、検知は放置されたままです。誰がいつアラートを確認し、どこまで対処するのかを決めることがSOCの出発点です。

Q. 中堅・中小企業にもSOCは必要ですか？

必要性は高まっています。警察庁の報告では、令和7年のランサムウェア被害組織の約6割を中小企業が占めています（警察庁, 2026）。ただし大企業と同じ体制を持つ必要はなく、監視範囲を絞ったうえで外部委託やAI SOCを活用し、自社では判断と対処に集中する形が現実的です。

まとめ

SOCとは、人・プロセス・テクノロジーを組み合わせ、膨大なイベントの中からインシデントを検知し対応する継続的な機能です。監視、トリアージ、分析、インシデント対応、脅威ハンティング、レポートという業務を、Tier1〜Tier3の体制とSIEM・EDR・SOAR・脅威インテリジェンスで支え、内製・外部委託・ハイブリッドのいずれかの形で運用します。

一方で、人がアラートを一つひとつ確認する前提の従来型SOCは、増え続けるアラート、人材不足、属人化、夜間休日の空白という限界に直面しています。一次調査をAIエージェントに委ね、人は判断と改善に集中するAI SOCは、「早く見つけて、早く対処する」というSOC本来の目的を限られた人員で実現する現実的な選択肢です。これからSOCを作る場合も既存の体制を見直す場合も、まず「誰が、いつ、どこまで対処するか」を明確にすることから始めてみてください。

関連サービス：EDR・SIEMのアラートをAIエージェントが24時間365日自律的に調査・対処する「ヤグラAI SOC」の詳細はこちら。