最初に、いちばん混乱しやすい点を片付けます。SOCは、モニターがずらりと並んだ部屋のことではありません。あの写真はイメージ画像であって、定義ではありません。1人が兼務で担っていても、外部の事業者に委託していても、監視という役割が実行されていればSOCです。

日本での一般的な区分を、ISOG-Jの資料は次のように整理しています。

つまりSOC＝見つける側、CSIRT＝対応する側というのが、日本での標準的な使い分けです。ただし同資料は、この境界が近年多様化しており「ここまではCSIRTの役割」と画一的に線を引くのは難しくなっている、とも述べています。

「SOCを作らないと」と考える前に

X.1060では、SOCもCSIRTもCDC（Cyber Defence Centre／サイバーディフェンスセンター）という、より大きな枠に含まれるものとして定義されています。

この考え方の実務的に重要な点は、ISOG-Jが同じ節で明言している次の一文です。

「うちにはSOCがない」と言うとき、実際には「監視というサービスが、誰にも割り当てられていない」のが正確な表現であることが多いのです。この違いは、次の章以降で効いてきます。

第1章 おわり — 次は第2章

「アラート疲れ」という言葉があります。精神論のように聞こえますが、母数を見ると単なる算数だと分かります。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』図表13・図表14および本文。NICTERの数値は同資料が「NICTER観測レポート2025」から引用したもの。

1行目を読み替えます。インターネットに出ているIPアドレス1つあたり、1日およそ9,600件。1時間あたり400件、1分あたり6〜7件が、常に叩かれ続けている計算です。これはまだ「探索」の段階であって、攻撃そのものではありません。

そして4行目が重要です。半数以上は特定の誰かを狙ったものではなく、無差別です。警察庁はこの状況を次のように表現しています。

「うちは小さいから狙われない」が成立しないのは、この無差別性が理由です。探索している側は、相手が誰かを知らないまま叩いています。

道具はあった。それでも7割で検出されなかった

では、製品を入れれば解決するのか。同じ警察庁資料に、ランサムウェア被害を受けた組織への調査結果があります。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月公表）。母数は設問ごとに異なります。

被害組織のおよそ9割が、対策ソフトを導入していました。それでも検出できなかったほうが、できたほうの2倍以上です。

この数字が示しているのは、製品が無意味だということではありません。「入れる」と「見る」は別の作業だということです。SOCという言葉が指しているのは、後者のほうです。

第2章 おわり — 次は第3章

「SOCの仕事」と言われても輪郭がつかみにくいのは、組織ごとにやっていることがバラバラだからです。ISOG-Jの資料も「一口にSOCやCSIRTと言っても、何をしているかは組織ごとにバラバラである」と率直に書いています。

だからこそ国際標準では、組織名ではなくサービス（業務）の単位で整理されています。X.1060／JT-X1060では、セキュリティ対応組織が担う仕事が9つのカテゴリー・64のサービスに分解されています。

出典：ITU-T勧告X.1060／TTC標準JT-X1060のカテゴリーおよびサービス（ISOG-J教科書 第3.2.1版 表6・表7）。「狭義のSOC」の欄は、同資料6.1節が狭義のSOCをB・Cのカテゴリーに限定していることにもとづく筆者の整理です。

この表の使い方は1つです。自社では、この64のうちどれを、誰がやっているかを書き込んでみることです。ISOG-Jは、見直しの出発点としてまずこのマッピングを行うことを推奨しています。

アラート1件が処理されるまで

もう少し現場に近い形で見てみます。1件のアラートが鳴ってから終わるまでの流れと、そこで詰まる場所です。

流れの整理は筆者によるものです。段階の名称はISOG-Jの役割区分（一次対応・二次対応）に合わせています。

注目してほしいのは2番と5番です。どちらも技術ではなく人員配置と手順の問題です。高価な製品を入れても、この2つが空いていれば結果は変わりません。

第3章 おわり — 次は第4章

MSSP・MDRは業界で広く使われる呼称ですが、公的に定義された用語ではなく、事業者によって範囲が異なります。契約時は名称ではなく作業範囲の記載を確認してください。

この表でいちばん大事なのはMSSPとMDRの行です。「SOCサービス」という名前で提案されるものが、実際にはどちらなのかで、自社に残る仕事の量がまったく変わります。

よくある3つの誤解

第4章 おわり — 次は第5章

「内製か外注か」は感覚で議論されがちですが、ISOG-Jはこれを要員数のシミュレーションとして公開しています。同資料は、その判断のためには「必要人員の算出シミュレーションを避けては通れない」と述べています。

出典：JNSA／ISOG-J『セキュリティ対応組織（SOC/CSIRT）の教科書 第3.2.1版』表11「セキュリティ専門性の高い役割の要員モデル」より、一次対応・二次対応・合計を抜粋。合計にはインシデント対応・脆弱性管理・診断・解析・フォレンジック・システム運用等の役割が含まれます。

ここに、この記事でいちばん覚えて帰ってほしい数字があります。

各レベルが何を意味するかは、同資料に説明があります。

出典：同資料6.6節。カギ括弧内は同資料からの引用です。人数はいずれも「最低限のベース」として示されたモデルケースであり、監視対象の規模や就業規則によってはさらに増えると同資料に明記されています。

では、標準ではどう分けろと言っているのか

X.1060では、各サービスをインソース（自社）／アウトソース（外部）／併用／未割り当ての4タイプに割り当てます。そのうえで、「取り扱う情報の性質」と「セキュリティ専門スキルの必要性」の2軸で、サービスを4つの領域に分類しています。

出典：同資料6.2〜6.4節および図19。サービスの割り振りは同資料の一例であり、各組織の判断で変わり得ます。

最下行を見てください。リアルタイム監視・通知・警告——つまり狭義のSOCの中核業務は、標準的な整理では「領域IV＝専門組織を中心に」に置かれています。内製が正解だとは、標準は言っていません。

組織の形も4パターンに整理されています。最も一般的とされるのは「パターン2：ハイブリッド」——自社に最低限の知見を持ち、専門領域は外部に頼る形です。そして同資料には、こう脚注が付いています。

「自社でやるべきだ」という思い込みが、かえって危険だと明言されているわけです。12名を用意できないなら、外に頼るのが標準的な選択です。

第5章 おわり — 次は第6章

前章で「外に頼むのが標準的」と書きました。ただし外注してもゼロにはならない領域があります。それがX.1060の領域I——「外部の組織に頼ることが困難な領域」です。

ここに何が入っているかを見ると、外注の限界がはっきりします。

左列はX.1060／JT-X1060の「領域I. 自組織で実施すべき領域」に分類されたサービス（同資料 図19）から抜粋。中央・右列は筆者による補足です。

この表は、監視サービスを契約するときのチェックリストとして使えます。7行のうち、いま自社に担当者がいるのは何行でしょうか。

とくに1行目の資産棚卸は、順番として監視より先に来ます。何を監視するかを決められるのは、何があるかを知っている人だけだからです。契約したのに肝心のサーバが監視対象に入っていなかった、という事故は、ここが空いていると起きます。

この「未割り当て」という選択肢は、X.1060で新しく加わった考え方です。「やっていない」と「担当が決まっていない」を区別することで、抜けが可視化されます。第3章の9カテゴリー表に自社の担当を書き込んでみると、空欄が答えになります。

第6章 おわり — 次は第7章

監視サービスを契約しているのに被害に気づけなかった——という相談は、原因がいくつかに集中します。上から順に確認してください。

実務上の一般的な整理です。個別の環境によって原因は異なります。

5番については、実際のデータがあります。ランサムウェア被害を受けた組織のログの保全状況です。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月公表）。

完全に揃っていた組織は4分の1以下です。監視の質は、最終的にログが残っているかどうかで決まります。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ