SOC（Security Operation Center）とは？主な業務内容や運用形態、構築する際のポイントを徹底解説

CSIRTとの違い

CSIRT（Computer Security Incident Response Team）は、セキュリティインシデントに対応する部門です。読み方は「シーサート」です。

セキュリティにおけるインシデントとは、マルウェア感染や機密情報の流出をはじめとする脅威のことを指し、これに対処する部門と覚えておけば良いでしょう。

SOCと混同されがちですが、CSIRTは実際に被害が起きた後に対応するのに対し、SOCはインシデントが発生していないかを監視する立場という違いがあります。

どちらも重要な立場ではあるものの、未然にサイバー攻撃を防ぐという意味でSOCの需要が高まっているのです。

CSIRTも重要なポジションであることに変わりはなく、優劣関係にあるわけではありません。

【関連記事】CSIRTとは？主な役割や種類、導入時の重要ポイントを徹底解説

MDRとの違い

MDR（Managed Detection and Response）は、SOCやCSIRTの役割を代行するサービスやベンダーを指します。

企業内部でセキュリティ部門が結成できない場合、MDRにその役割を一任することができます。

人材登用や育成が難しいため、契約と同時にサイバーセキュリティを担当する機関ができるのがメリットです。

その反面、MDRに頼りきりになることで社内人材の育成の意識が薄くなってしまうデメリットもあります。

MDRで代行を依頼しつつ、同時進行で自社のセキュリティ部門結成に向けた人材育成・採用をすすめるのがベストです。

【関連記事】MDRとは？2種類のサービスタイプと主なサービス内容を解説

アラート監視

SOCはシステムからのアラートをリアルタイムで監視し、疑わしい活動を迅速に検出します。

ファイアウォールやIDSなどのセキュリティ機器から送られてくる膨大なアラートの中から、「本当に対応が必要なもの」を見極めます。

実際に不正アクセスの兆候が見られた場合、ただちに関係部署に連絡し、適切な対処を指示するのも役割の1つです。

日々の地道な監視活動が、セキュリティ事故の防止に繋がります。

分析・調査

アラートの原因を特定するために、SOCでは詳細な分析と調査を行います。

このプロセスには、利用可能な全てのデータソースからの情報収集が含まれます。

例えば、ログデータやパケットデータ、マルウェアサンプルなど、あらゆる角度から分析を行い、脅威の全容を明らかにするのです。

また、新たな脅威への対策を立案するために、不正なプロセスの有無、不正なレジストリ情報の有無なども収集・分析します。

それに加えて、外部機関から最新の脅威情報の提供を受けた時にも、SOCが中心になって分析や調査を行います。

インシデント管理・定期報告

インシデントが確認された場合、SOCは対応計画に従って迅速に行動を起こします。

通常、インシデントへの対応はCSIRTが担当するケースが多いですが、SOCが率先して携わる場合もあります。

これらの一連のプロセスを管理するのがSOCの重要な役割です。

また、定期的な報告を通じて、組織のセキュリティ状況を管理層へ報告します。

報告内容には、インシデントの発生日や事象、影響、対応方針などが含まれます。

【関連記事】セキュリティインシデントとは｜主な種類や最新事例・企業がとるべき対策

監視体制維持・SIEMの機能維持管理

SOCが効果的に機能するには、監視体制を常に最適な状態に保つ必要があります。

そのために、システムとプロセスの維持管理や、監視メンバーによるローテーション管理なども欠かせない業務となります。

特にSIEMはSOCの中核をなすツールの1つです。

SIEMの機能を十分に活用するためにも、ルールの作成や調整、継続的なチューニングが欠かせません。

ログ収集センサー

ログ収集センサーは、ネットワークやデバイスからのログデータを収集し、異常がないかを監視するツールです。

エンドポイント、サーバー、ネットワーク機器など、あらゆるシステムから生成されるログを一元的に管理することで、包括的な可視化を実現します。

このように、さまざまなものがログ収集センサーとなり得ます。

収集したログはセキュリティ事件の検出と分析の基盤となるため、その重要性は極めて高いといえるでしょう。

分析ツール

分析ツールは、収集したログを用いて詳細な分析を行うためのツールです。

大量のログから脅威を正確に見つけ出すには、高度な相関分析が欠かせません。分析のための具体的なツールには、以下のようなものがあります。

SOCでは、これらの分析ツールを駆使して、サイバー攻撃の予兆を早期に発見し、被害を未然に防ぐことが求められます。　

【関連記事】SIEMとは？主な機能と導入するメリット・デメリットを徹底解説

【関連記事】SOARとは？3つの構成要素と導入するメリット・デメリット

【関連記事】XDRとは？EDR・NDRとの違い、必要とされている理由について解説

内部SOC

内部SOCは、自社の従業員とリソースを使用して内部で運用するSOCです。

組織内に完全に統合され、カスタマイズが可能であるというメリットがあります。

また、自社のセキュリティポリシーに合わせて、きめ細かな監視・対応ルールを設定することも可能です。

一方で、内部SOCの構築には高額な初期投資と維持費用が必要であり、専門知識を持つセキュリティ人材の確保が必須となります。

セキュリティ人材の不足が叫ばれる中、人材の採用・育成には多大な労力を要するのが現状です。

さらに、最新の脅威情報や分析ツールへのアクセスが限られるという課題もあります。

外部SOC

外部SOCは、専門的なサービス提供事業者が運用するSOCです。

自社でSOCを運用する場合に比べて、コストを抑えられるメリットがあります。

また、人材確保や設備投資が不要であり、初期コストを大幅に削減できるのも利点の1つです。

セキュリティベンダーの豊富な経験と高度な技術力を活かすことで、高品質な監視・対応サービスを受けられるでしょう。

ただし、自社に応じたカスタマイズが難しいほか、組織の内部情報を外部に依存するためのセキュリティ懸念が伴います。

機密データの取り扱いについては、十分な契約上の取り決めが必要となります。

IT資産・情報資産の監視システム導入

IT資産とは物理的・システム的なITに関わるものを、情報資産は電子データを指します。これらを安全に管理するためには、監視システムの導入が必要です。

先述の通り、監視は24時間365日休みなく実施しなければなりません。

また、遠隔から一元管理できる体制も求められており、人海戦術でどうにかなる問題ではないでしょう。

これらの課題を解決するため、監視システムを導入しなければならないのです。監視する範囲は各種デバイスのほか、以下のものが該当します。

上記がいつどこで、誰がどのように何をしたのかを把握できるシステムを導入しなければなりません。

これらの要素が監視できないと、SOCを構築した意味がなくなってしまいます。

セキュリティ人材の採用・育成

「MDRとの違い」でも解説した通り、一時的にMDRを契約して体制を整えたとしても、自社でセキュリティ人材を採用・育成する流れも整えておかなければなりません。

セキュリティ部門を創設するには相応の費用などが必要になるため、総合的な判断と決定が求められます。

また、企業がセキュリティのために人材を募集しても反応が薄い可能性があります。

セキュリティに対する基本理解が低い企業では、採用しても戦力にならないのではないかと思われてしまうでしょう。

採用と人材教育と同時に、企業内にサイバーセキュリティに対する危機感と重要性の共有が必要です。

【関連記事】セキュリティ人材とは？人材不足の原因や育成方法を詳しく解説

業務の手順・ルールの見直し

SOCを構築すると、従来の業務やルールを見直したり、新たに策定し直したりする必要が出てきます。具体的には、以下のようなものがあります。

上記以外にも、多くの業務やルールの見直しが必要です。同時にこれらを違反した場合の処罰規定も作成しておくと良いでしょう。

SOCを構築するだけではなく、全従業員に対してセキュリティリテラシーを意識させることが大切です。

認定セキュリティエンジニアの有無

SOCサービスを選ぶ際は、認定を受けたセキュリティエンジニアがサービスを提供するかどうかを確認すべきです。

セキュリティ分野には、「CEH（認定ホワイトハッカー）」や「CND（認定ネットワークディフェンダー）」など、さまざまな専門資格が存在します。

これらの認定を保有するエンジニアは、高度な知識と技術を備えているといえるでしょう。

高い専門性と認定はサービスの質を左右する重要な指標となるため、エンジニアの資格保有状況を確認することが重要です。

情報セキュリティサービス審査登録

経済産業省では「情報セキュリティサービス審査登録制度」が運用されており、この登録状況を確認するのもポイントの1つです。

この制度では、サービス提供者が情報セキュリティに関する基準を満たしているかどうかを確認できます。

審査登録を受けたベンダーからのサービスは信頼性が高いといえるため、サービス選定時には必ず確認するようにしましょう。

登録状況については、「情報セキュリティサービス台帳」から確認できます。

セキュリティ標準規格の認定

提供されるSOCサービスが、セキュリティ標準規格の認定を受けているかどうかも重要なポイントです。

各業界によって認定の種類が異なり、具体的には「PCI DSS」や「FedRAMP」などが挙げられます。

「PCI DSS」は、クレジットカード業界におけるセキュリティ基準であり、カード情報を扱うシステムに適用されます。

一方、「FedRAMP」はクラウドサービスに求められるセキュリティ標準です。

自社のビジネス領域に適した規格の認定を受けているかどうかを確認し、サービスの適合性を見極めることが大切です。

SOCサービスベンダーのセキュリティ

より強固なセキュリティ環境を整えたいなら、SOCサービスベンダー自身のセキュリティを確認しましょう。

ベンダーがサイバー攻撃を受けてしまっては、委託したSOCサービスの運用にも支障をきたしかねません。

ベンダー自体のセキュリティが確保されていない場合、顧客情報の漏洩や不正アクセスに繋がるリスクがあります。

主に以下のような項目を確認すると良いでしょう。

また、第三者による監査の実施状況や、セキュリティ関連の認証取得状況なども重要な判断材料となります。