継続的モニタリングと運用 ― 攻撃を「検知・遮断・回復」するゼロトラスト運用術｜会社のデータを守る ― 社員が知るべき情報管理の基本 第1回
サイバーレジリエンスこの記事はAIが執筆したものを筆者が監修しています。2026年5月7日時点の情報です。
継続的モニタリングと運用
― 攻撃を「検知・遮断・回復」するゼロトラスト運用術
- 第1回 継続的モニタリングと運用 ― 攻撃を「検知・遮断・回復」するゼロトラスト運用術 今回
- 第2回 テレワーク・クラウド時代の安全な働き方 ― リモートアクセスとデータ管理の基本 5/13 予定
- 第3回 サプライチェーン攻撃から組織を守る ― 取引先・外部ツールのリスク管理 5/20 予定
- 第4回 インシデント初動対応 ― 侵害を受けたとき、社員はまず何をすべきか 5/27 予定
「会社のデータを守る」シリーズ第1回は、すべての対策の前提となる「継続的モニタリング」からスタートします。どれだけ堅牢な防御を築いても、異常を検知できなければ、侵入は静かに広がります。
IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向け脅威の第1位が「ランサム攻撃による被害」（11年連続1位）、続いて「サプライチェーンや委託先を狙った攻撃」「内部不正による情報漏えい等の被害」と、いずれも「侵入後にいかに早く気づけるか」が被害規模を左右する脅威ばかりです（IPA 2026年1月公表）。
2025年、日本国内で公表されたセキュリティインシデントは559件（1日約1.5件）に達しました（トレンドマイクロ、2026年1月更新版）。今号では、規模を問わず実践できる監視体制の構築と、インシデント発生時の対応フローを解説します。
第1章：なぜ継続的モニタリングが必要か
ゼロトラストの原則は「常に確認し、決して信頼しない」です。これは単に入口を固めることではなく、ネットワーク内部でも常時監視を続けることを意味します。
IPA「情報セキュリティ10大脅威 2026」が示す組織向け脅威の上位は、ランサム攻撃（1位）、サプライチェーン攻撃（2位）、内部不正（3位）、標的型攻撃（4位）と、いずれも「侵入後の潜伏」を前提とする脅威です。境界防御だけでは検知できないため、「侵入されたあと、どれだけ早く気づくか」が現代のセキュリティの主戦場になっています。
攻撃者はシステムに侵入した後、すぐに動くわけではありません。IBMの調査では、侵害の検知までに世界平均で181日、封じ込め完了まで含めると241日を要します（IBM Cost of a Data Breach Report 2025）。継続的監視なしでは、その間ずっと「気づけない」状態が続きます。
- 第1位：ランサム攻撃による被害（11年連続1位）
- 第2位：サプライチェーンや委託先を狙った攻撃
- 第3位：内部不正による情報漏えい等の被害
- 第4位：標的型攻撃による機密情報の窃取
- 第5位：テレワーク等のニューノーマルな働き方を狙った攻撃
上位脅威の多くは「侵入してから時間をかけて潜伏・拡散する」タイプです。だからこそ、入口対策に加えて継続的モニタリングが不可欠になります（出典：IPA「情報セキュリティ10大脅威 2026」2026年1月公表）。
なぜ検知が遅れるのか ― 3つの原因
① ログが多すぎて人間が確認できない
構造的問題② 境界型セキュリティ前提の設計
設計の限界③ アラートへの対応体制がない
運用の問題第2章：SIEMとSOARの基礎 ― 監視ツール入門
継続的モニタリングの中核となるのが SIEM（Security Information and Event Management） と SOAR（Security Orchestration, Automation and Response） です。難しそうに聞こえますが、クラウド型のサービスを活用すれば、規模を問わず導入可能です。
- SIEM：各種ログを集約・分析し、異常なパターンを「検知・通知」するシステム
- SOAR：検知した脅威に対して「自動対応・封じ込め」を行うシステム
- 組み合わせ：SIEMで検知 → SOARで自動対応、が現代のスタンダード（エンタープライズの74%が統合運用・ZeroThreat.ai 2026）
主要ツール比較
| ツール | 特徴 | 価格帯 |
|---|---|---|
| Microsoft Sentinel | Microsoft 365と深く統合。AIベースの脅威検知。無料枠あり | 従量課金（分析層: 約¥730/GB〜、ログ量により大幅変動）／公式サイト参照 |
| Elastic SIEM | オープンソースベース。カスタマイズ性高。セルフホスト可 | 無料〜（クラウド版は有料） |
| Cloudflare Zero Trust | ネットワーク監視＋ZTNA。無料プランで50名まで利用可 | 無料（50ユーザーまで）／Pay-as-you-go: $7/ユーザー/月〜（Cloudflare公式） |
| MVISION EDR（Trellix） | エンドポイント特化。AIで脅威を自動分類・対応提案 | 個別見積もり（Trellix公式サイトより問い合わせ） |
すでにMicrosoft 365を使っている場合、Microsoft Defender for Business（Microsoft 365 Business Premium に含まれる）を有効化するだけで、エンドポイント監視・脅威検知・自動対応の基盤が手に入ります。追加コストゼロで始められる最初のステップです（Microsoft Defender for Business 公式）。
第3章：インシデント対応の5ステップ ― 発生から回復まで
監視ツールが異常を検知した後、何をどの順番でやるかを事前に決めておくことが重要です。「インシデント対応プレイブック」と呼ばれるこの手順書は、パニック状態でも迷わず行動するための指針です。
検知（Detect）― 異常の発見と初期評価
SIEMアラート・エンドポイント検知・ユーザー報告などで異常を把握。「本物のインシデントか誤検知か」を初期判断し、インシデント対応チームへ即時エスカレーション。
目標時間：検知から15分以内に初期判断完了
分析（Analyze）― 範囲と影響の特定
何が侵害されたか（アカウント・端末・データ）、どこから侵入したか（侵入経路）、どこまで広がっているか（横移動の有無）を調査。ログ分析とフォレンジックを並行実施。
外部専門家（MSP/MSSP）への依頼も検討
封じ込め（Contain）― 被害の拡大阻止
侵害されたアカウントの無効化、感染端末のネットワーク隔離、疑わしいプロセスの停止。この段階でのスピードが被害規模を左右します。ゼロトラストのマイクロセグメンテーションがここで機能します。
回復（Recover）― 業務の正常化
クリーンなバックアップからシステムを復元、パスワードリセット、セキュリティパッチの適用。段階的に業務を再開し、再侵害がないか監視を継続。
ランサムウェアの場合：平均復旧期間は数日〜数週間
改善（Improve）― 再発防止と体制強化
インシデントの原因分析（ポストモーテム）、対応手順の見直し、脆弱性の修正、監視ルールの更新。「なぜ防げなかったか」を正直に振り返り、プレイブックに反映することが最重要。
製造業B社は、社内にSIEMを導入していなかったため、ランサムウェア感染から気づくまでに3日間かかりました。この間に感染は主要サーバー5台に拡大し、業務停止は2週間に及びました。事後にMicrosoft Sentinel（Defender for Business）を導入し、翌年の別の攻撃試行を15分以内に検知・隔離することに成功しています。
第4章：今すぐ始める3つの監視設定
高度なツールがなくても、今日からできる監視設定があります。以下の3つは、コストをかけずに検知能力を大幅に向上させます。
✅ 設定① Microsoft 365 のサインインログ監視を有効化
Microsoft 365管理センター → セキュリティ → サインインログ。「不審なサインイン」アラートを有効化するだけで、海外IPや未知デバイスからのアクセスを即時通知できます。設定時間：約30分。
✅ 設定② Cloudflare Zero Trust の無料プランを導入
50名まで無料で利用できるCloudflare Zero TrustのDNSフィルタリングを有効化。悪意あるドメインへのアクセスを自動ブロックし、アクセスログも取得できます。フィッシング・マルウェア通信の遮断に即効性があります。
✅ 設定③ インシデント対応連絡先リストの作成
ツール以前の問題として、「異常を発見したら誰に連絡するか」を明文化します。社内IT担当 → 経営者 → 外部MSP → 警察庁サイバー犯罪相談窓口、の連絡フローを1枚の紙にまとめ、全員に共有してください。
実践チェックリスト ― 継続的モニタリング編
- Microsoft 365 / Google Workspace のサインインアラートを有効化している
- エンドポイント（PC・スマホ）にEDRまたはアンチウイルスを導入している
- ファイアウォール・ルーターのログを定期確認している
- 不審なログインや異常なデータ転送を通知するアラート設定がある
- インシデント対応プレイブック（手順書）を作成・共有している
- 連絡先リスト（社内担当・外部MSP・警察相談窓口）を整備している
- 重要データのバックアップを取得し、オフライン/オフサイト保管している
- バックアップからの復元テストを年1回以上実施している
- セキュリティインシデント後にポストモーテム（振り返り）を実施している
- OS・ソフトウェアのセキュリティパッチを1週間以内に適用している
- 年1回以上、セキュリティ設定の棚卸しと見直しを行っている
- 社員向けセキュリティ訓練（フィッシング模擬訓練等）を実施している
第1回のまとめ：継続的監視がゼロトラストの「要」
今回は「継続的モニタリングと運用」をテーマに、検知から回復まで5ステップでゼロトラストの運用実務をご紹介しました。
- 2026年の脅威環境：IPA「10大脅威 2026」組織編は、ランサム攻撃が11年連続1位。サプライチェーン攻撃・内部不正と続き、いずれも侵入後の潜伏が前提
- なぜ監視が必要か：侵害検知まで世界平均181日・封じ込め完了まで241日かかる（IBM Cost of a Data Breach Report 2025）
- SIEMとSOAR：検知（SIEM）と自動対応（SOAR）を組み合わせるのが現代標準。エンタープライズの74%が統合運用（ZeroThreat.ai 2026）
- 5ステップ対応：検知 → 分析 → 封じ込め → 回復 → 改善。プレイブックを事前に整備する
- 今日からできる3設定：M365サインインアラート / Cloudflare ZT 無料プラン / 緊急連絡先リスト
ゼロトラストは一度導入して完了するものではありません。脅威は常に進化し、組織も変化します。「常に確認し続ける文化」を育てることが、真のセキュリティ強化につながります。
参考情報
- IPA「情報セキュリティ10大脅威 2026」（組織編：ランサム攻撃が11年連続1位） https://www.ipa.go.jp/security/10threats/10threats2026.html
- IPA「情報セキュリティ10大脅威 2026 解説書（組織編）」PDF https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf
- トレンドマイクロ「2025年の国内セキュリティインシデントを振り返る」（2026年1月29日更新／通年559件） https://www.trendmicro.com/ja_jp/jp-security/25/l/securitytrend-20251211-01.html
- IBM「Cost of a Data Breach Report 2025」（平均検知181日・封じ込め含む241日） https://www.ibm.com/reports/data-breach
- Microsoft「Zero Trust（公式ページ）」（Defender for Endpoint で検知・対応時間最大50%短縮） https://www.microsoft.com/en-us/security/business/zero-trust
- ZeroThreat.ai「Key Zero Trust Statistics for Security Leaders 2026」（SIEM+SOAR 74%統合率） https://zerothreat.ai/blog/zero-trust-statistics
- NIST SP 800-207「Zero Trust Architecture」 https://csrc.nist.gov/publications/detail/sp/800-207/final
- Cloudflare Zero Trust プランと価格（無料50ユーザー／Pay-as-you-go $7/ユーザー/月〜） https://www.cloudflare.com/plans/zero-trust-services/
- Microsoft Sentinel 価格（Microsoft公式・日本語） https://www.microsoft.com/ja-jp/security/pricing/microsoft-sentinel
- NISC「内閣サイバーセキュリティセンター」公式 https://www.nisc.go.jp/
投稿者プロフィール
