EDRとは｜ウイルス対策ソフトとの違いと、入れる前に確かめる3つ

2026年9月8日 20:27

「ウイルス対策ソフトは入れています」。
セキュリティの話をすると、まずこの答えが返ってきます。
実際、入れてある会社は多いと思います。

ではそのソフトは、いま何も言ってきていないでしょうか。
言ってこない状態は、安全だという意味でしょうか。
それとも、気づけていないだけでしょうか。

先に答えを書きます。
EDRを検討するときに確かめる価値があるのは、製品の比較表ではありませんでした。
いま入っている製品にEDRの機能が含まれているか。
契約でログを何日さかのぼれるか。
端末をネットワークから切り離す操作を、誰が実行できるか。
この3つです。
買い足す判断は、そのあとで足ります。

そこにたどり着くまでに、EDRの定義そのものも確かめました。
日本語でEDRの定義を探すと、まずIPAが2021年に公開した文書に行き当たります。
ところがIPA自身が2023年に「有効期限が過ぎております」という注記を付けていました。
いま最も新しい公的な定義は2026年7月に出ており、2021年の定義になかった語がいくつか入っています。

この記事は、内閣官房・警察庁・IPA・JPCERT/CC・デジタル・フォレンジック研究会とメーカー公式資料をもとに、2026年9月時点の内容にしています。

ウイルス対策ソフトが黙っている状態を、どう読むか

侵入経路の6割以上は、メールでも怪しいサイトでもない

数字から入ります。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年（2025年）のランサムウェアの被害報告件数は226件で、依然として高水準で推移しているとされています。
被害企業を組織の規模別に見ると、前年と同様に中小企業が約6割を占めています。

そして侵入経路です。
同じ資料は「侵入経路はVPN（Virtual Private Network）機器が6割以上を占める状況である」と書いています。
具体的な数値は令和8年版警察白書のほうに載っており、被害企業へのアンケートの有効回答92件のうち、VPN機器を利用されて侵入された事例は61件（66.3パーセント）、リモートデスクトップサービスが利用されて侵入された事例は19件（20.7パーセント）でした。

この2つで87パーセントです。

意味を確かめておきます。
VPN機器を利用されて侵入されたということは、社員がメールの添付ファイルを開いたわけでも、怪しいサイトを踏んだわけでもないということです。
警察庁の資料は「利用されて侵入された」としか書いていないので、脆弱性を突かれたのか認証情報を使われたのかの内訳までは、この資料からは分かりません。
分かるのは、入口が社員の操作ではなかった、というところまでです。

社員のパソコンにウイルス対策ソフトが入っていても、この経路では、その時点では何も検知されないことがあります。
入口を固めることと、入られないことは、同じではないということです。

入ったあと、しばらく何も起きない

もう1つ、押さえておきたい性質があります。

JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」は、被害状況を把握する場面で「ネットワーク内部での不審な探索、横展開や権限昇格、ファイルを外部へ送信する不審な通信などは、情報窃取目的の標的型サイバー攻撃など別の攻撃でも見られる特徴」だと書いています。

言葉を補います。
横展開とは、入り込んだ1台から社内の他の端末やサーバーへ移っていくこと。
権限昇格とは、より強い権限を持つアカウントを奪うことです。

この一文は、ランサムウェア特有の動きを列挙したものではありません。
むしろ逆で、ほかの攻撃でも同じ動きが見られる、という文脈です。
だからこそ、この3つが見えたときには、何の攻撃であれ、すでに内部で活動が始まっていると考える材料になります。

そして、この期間はファイルが壊れていません。
画面にも何も出ません。
利用者から見れば、いつもどおりの業務が続いています。

ここに気づけるかどうかが、被害の大きさを分けます。

最初の問いに戻ります。
ウイルス対策ソフトが何も言ってこない状態は、安全だという証明にはなりません。
その製品が見ている範囲で異常が出ていない、という意味しかないためです。
範囲の外で起きていることは、そもそも報告されません。

EDRの定義は、いま国のどこに書いてあるのか

よく引かれる定義には、IPAが注記を付けている

EDRを調べると、次の一文にぶつかります。

エンドポイント（パソコン・サーバ・スマートデバイス等）の操作や動作の監視を行い、サイバー攻撃を受けたことを発見し次第対処するソリューションである。

IPA産業サイバーセキュリティセンターが2021年6月に公開した「ゼロトラスト導入指南書」の一節です。
日本語でEDRの定義を探すと、まずここに行き当たります。

ただ、この文書の掲載ページには、IPA自身の注記が付いています。

本書は作成から2年が経過しており、有効期限が過ぎております。よって、本書はあくまで参考資料としてご活用ください。

更新履歴を見ると、この注記は2023年8月23日の更新で追加されています。
公開から2年あまりで、IPAは参考資料の扱いに切り替えていました。

内容が誤りだと言っているわけではありません。
ただ、いま現在の公的な定義として引くには、注記の存在を知っておいたほうがいいと思います。

いま最も新しい定義は、2026年7月に出ている

では、有効期限の注記が付いていない定義はどこにあるか。

2026年7月31日、サイバーセキュリティ戦略本部が「脅威ハンティングの普及促進・実施等に係る基本方針」を決定しました。
その脚注に、次の定義があります。

EDR（Endpoint Detection and Response）とは、端末やサーバ装置（エンドポイント）における活動を可視化し、不正プログラムの検知や記録、攻撃遮断などの対処といった機能を提供する製品をいう。

2021年の定義と並べると、違いが見えます。

2021年：操作や動作の監視を行い、攻撃を受けたことを発見し次第対処する
2026年：活動を可視化し、検知や記録、攻撃遮断などの対処といった機能を提供する

「可視化」「記録」「遮断」の3つが、新しく入った語です。
しかも「可視化」は定義の冒頭に置かれています。
発見して対処するだけの道具ではなく、何が起きたかを残して見えるようにする道具だ、という書き方に変わっています。

なお、この文書は「脅威ハンティング」を扱ったものです。
攻撃を受けたという通知を待つのではなく、すでに入り込んでいる前提で自分から痕跡を探しにいく活動を指します。
ログを残しておくことが前提になる活動なので、定義に「記録」が入ったのは、この文脈と揃っています。

この違いは、あとの章で扱うログの保存期間の話に直結します。
記録が機能の一部なら、その記録が何日残るのかは、性能の一部だということになるからです。

政府調達の場面では、もう1つの定義があります。
内閣官房国家サイバー統括室の「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」の付録D（2025年7月1日）は、「EDRソフトウェア」を「端末やサーバ装置（エンドポイント）の活動を監視し、不正プログラム等の検知や対処を行うなど、不正プログラム等に感染した後の対処を行うソフトウェアのこと」と説明しています。

3つとも、感染を未然に防ぐことを目的とする、とは書いていません。
2026年の定義には「攻撃遮断」が入りますが、これは異常を検知したあとに通信や実行を止める対処であって、入られること自体を防ぐ機能ではありません。
ここが出発点です。

EPPとEDRは、守っている時点が違う

「ウイルス対策ソフト」はEPPという分類に入る

用語を揃えます。

先ほどのIPAの指南書は、EPP（Endpoint Protection Platform）について「アンチウイルスソフトとも呼ばれている」と説明しています。
つまり、多くの会社が「ウイルス対策ソフト」と呼んでいるものが、この分類でいうEPPです。

新しく買うべき別の製品の名前ではありません。
すでに入っているものを、対策全体の中で位置づけ直すための呼び名です。

同じ指南書は、両者の関係を1文で整理しています。

マルウェアに感染しないようにするEPPに対し、EDRはマルウェア侵入を許してしまった後の被害を抑えることを主目的としたセキュリティ対策である。

比べているのは性能の高さではありません。
どの時点を守るのか、という目的の置き場所です。

EPP：感染しないようにする
EDR：侵入を許してしまった後の被害を抑える

「EDRのほうが優れている」という言い方を見かけたら、この点を思い出してください。
守っている時点が違うので、優劣を比べる関係になっていないということです。

（この整理も、有効期限の注記が付いた文書からの引用です。
EPPとEDRを対にして説明した現行の公的資料はありません。
ただしEDRについての部分は、2026年の定義とも矛盾しません。
2021年の定義も2026年の定義も、感染を未然に防ぐことを目的とするとは書いていないためです。）

片方だけでは足りない理由

EPPだけでは足りない理由は、最初に見た数字に表れています。

侵入経路の6割以上はVPN機器です。
この経路では、端末にマルウェアのファイルが届く前に、正規の認証情報として社内に入られていることがあります。
そこから先の活動は、プログラムの実行や通信であって、ウイルスそのもののファイルではありません。
EPPが検知の対象にしているものが、そもそも出てこない場合があるということです。

一方で、EDRだけでも足りません。
EDRは感染を防ぐことを目的にしていないからです。
防げるものを防がずに、すべてを検知と対処で受け止めるのは、単純に手間が増えます。

役割分担としては、EPPで防げるものは防ぎ、防げなかったものをEDRで見つける、という整理になります。
2つは競合ではなく、担当する時間帯が違う道具です。

ただし、だからEDRを入れるべきだ、という話にはここでは進みません。
入れるかどうかの判断材料は、このあとの章でそろえます。

買い足す前に、いま入っているものを確認する

近年の製品は、EPPの機能とEDRの機能を1つにまとめて提供している場合があります。
その場合、新しく別の製品を導入するのではなく、いま契約している製品の上位プランで機能が使えることがあります。

検討の最初にやることは、製品を比べることではありません。
いま入っている製品に何が含まれているかを確認することです。
聞くべきことは、記事の最後にまとめて並べます。

国は、中小企業にEDRを求めているのか

中小企業向けのガイドラインには、対策として書かれていない

ここは確かめておく価値があると思ったので、公的資料を横断して見ました。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、2026年3月27日に第4.0版が公開されています。
中小企業向けの対策を体系的にまとめた、現行の資料です。

この第4.0版で、EDRという語が出てくるのは1か所だけでした。
事例の中の一文です。

その後、EDRやバックアップ製品、監視サービスの導入などの技術的な対策を強化し、再発防止を図っている。

被害に遭った会社が再発防止のために導入した、という記述であって、講じるべき対策として挙げられているわけではありません。
定義も説明もありません。

「情報セキュリティ10大脅威 2026」の解説書にも、EDRという語は出てきません。
IPAの資料でEDRを説明しているものは、2025年2月の「セキュリティ対策の基本と共通対策」まで戻る必要がありました。

政府機関向けでも「追加」の「検討」にとどまる

では、政府機関向けの基準ではどう扱われているか。

「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」の不正プログラム対策の節に、EDRの条文があります。
項番は7.2.2(1)-7です。

【追加セキュリティ対策】情報システムセキュリティ責任者は、EDRソフトウェア等を利用し、端末やサーバ装置（エンドポイント）の活動を監視し、感染したおそれのある装置を早期にネットワークから切り離す機能の導入を検討すること。

2点、読み方に注意が要ります。

1つ目、文頭の【追加セキュリティ対策】は、全システムに求める基本セキュリティ対策とは別の区分です。
高度な情報セキュリティ対策が要求されると分類された情報システムに対して求められるものです。

2つ目、文末は「導入を検討すること」です。
導入することではありません。

政府機関向けの基準ですら、この位置づけです。

民間を対象にした方針もあるが、範囲は限られている

先ほど定義を引いた「脅威ハンティングの普及促進・実施等に係る基本方針」は、政府機関だけを対象にした文書ではありません。
ただし、対象組織の範囲がはっきり書かれています。

具体的には、政府機関、独立行政法人、指定法人、重要インフラ事業者等、基幹インフラ事業者及びその他重要情報の漏えい等が我が国に深刻・致命的な影響を生じさせるおそれがある民間事業者等が対象組織に該当する。

民間事業者は含まれますが、「重要情報の漏えい等が我が国に深刻・致命的な影響を生じさせるおそれがある」という条件が付いています。
一般の中小企業を名指しした記述はありません。

確かめた範囲での結論

国が中小企業にEDRの導入を義務づけたり、対策として推奨したりしている資料はありません。

これは「入れなくていい」という意味ではありません。
判断が自社に委ねられている、という意味です。
義務でないぶん、入れるかどうかは、後述する運用の条件がそろうかどうかで決めることになります。

営業の場面で「国が推奨しています」「ガイドラインで求められています」と言われたら、どの資料の何ページかを聞いてみてください。
境界に置く機器の記事で扱った「UTM義務化」と同じ構図です。

検知したあと、何が起きるのか

検知は、EDRからだけ来るとは限らない

見落とされやすい点から入ります。

JPCERT/CCの「インシデントハンドリングマニュアル」（2021年11月30日版）は、インシデントを検知する方法として2つを挙げています。
1つは、保守作業の最中に発見したり、あらかじめ用意したシステムが異常を検知したりといった、自組織内で検知する方法。
もう1つは、外部からの通報によって検知する方法です。

同マニュアルは、外部からの通報に備えて次のように求めています。

インシデント報告用の窓口（電子メールアドレス、電話番号、ファックス番号など）を用意し、自組織のWebサイトに掲載するなどして公開しておきます。

たとえば、取引先から「おたくのアドレスから変なメールが来ている」と連絡が入る形や、警察や公的機関から連絡が来る形です。
どちらがどれくらいの割合かを示す公的な統計はありません。

EDRを入れると、その管理画面だけを見ていればよいと思いがちですが、そうではありません。
外から来た一報を受け取る口を用意しておくことも、同じ検知の一部です。

トリアージは、優先順位付けだけの作業ではない

検知の次がトリアージです。
医療の現場から来た言葉なので、優先順位をつける作業だと理解されがちですが、それだけではありません。

同じマニュアルは、こう書いています。

例えば、インシデントと思われたものが実はインシデントではなかったという可能性もあります

自組織が全く関係のないインシデントであるにもかかわらず、報告者が誤って対応を依頼してくる可能性もあります。いずれの場合でも、トリアージで必要なのは「冷静な判断」です。

最初にやることは「本物かどうか」の見極めだ、ということです。

EDRのアラートも、その時点では不審な挙動の候補にすぎません。
業務で使っている正規のツールが、たまたま攻撃者の常套手段と似た動きをしただけ、ということも起こります。

そして事実関係の整理について、マニュアルはこう書いています。

「いつ(when)」「どこで(where)」「何が(what)」「どのように(how)」起こったのか、また当事者および関係者は「誰か(who)」といった点を整理するとよいでしょう

記録するのは、いつ、どこで、何が、どのように、誰が、の5つです。

この整理は、あとで効いてきます。
個人情報の漏えいが疑われる事案では、報告の期限が「事態を知った日」から数えられるためです。
いつ知ったのかを記録していない会社は、期限を計算できません。
期限そのものの日数と根拠は、この連載の別の記事で扱っています（末尾の「関連する記事」を見てください）。

隔離は、電源を切ることではない

インシデントだと判断されたら、被害の拡大を止める段階に移ります。
EDRの多くは、管理画面から遠隔で、該当の端末だけをネットワークから切り離す機能を持っています。

ここで、やってはいけない操作があります。
電源を落とすことです。

警察庁の「ランサムウェア被害防止対策」は、次の2つを並べて書いています。

感染したパソコン等のＬＡＮケーブルを抜く・無線をオフにするなどして、ランサムウェアに感染したパソコン等をネットワークから隔離してください。

感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。

機械は動かしたまま、通信だけを断つ。
EDRの隔離機能は、この操作を遠隔で行うものだと考えると分かりやすいと思います。

慌てて電源ボタンを長押しする、という反応は起きやすいものです。
だからこそ、平時に「切るのは通信であって電源ではない」と共有しておく価値があります。

調査でたどるもの

切り離した端末について、EDRが記録していたログをたどります。
どのプログラムが起動し、どのファイルを操作し、どこと通信していたのか。

確かめることは2つです。

1つ目、被害がその1台にとどまっているのか。
JPCERT/CCが挙げていた横展開や権限昇格が起きていれば、1台で見つかった異常は、すでに他の端末やサーバーにも及んでいることになります。
とどまっている前提で調べ始めないほうが安全です。

2つ目、どこから入られたのか。
侵入経路の6割以上はVPN機器でした。
端末で見つかった異常の出発点が、実はネットワーク機器の設定にあった、ということが起こり得ます。
端末だけを見て終わりにすると、入口が開いたままになります。

なお、社内で機器の中身に触る操作を続けると、証拠が失われることがあります。
証拠保全と呼ばれる分野で、デジタル・フォレンジック研究会が「証拠保全ガイドライン」を公開しています。
現行は2025年3月15日付の第10版で、「インシデント発生前の準備」と「インシデント発生直後の対応」がそれぞれ独立した章として置かれています。
起きてからの手順だけでなく、起きる前に決めておくことが、同じ重さで扱われているということです。

決めておくことの1つが、どこまでを社内でやるかです。
調査を外部に依頼する可能性があるなら、社内で触ってよい範囲を先に決めておかないと、依頼した時点で必要な記録が消えていることがあります。

復旧は、思ったより長くかかる

原因が特定できたら、初期化やバックアップからの復元を行い、業務を戻していきます。
順序が逆になり、原因をふさがないまま端末を戻すと、同じ経路から再び入られます。

そして、この工程は思ったより長くかかります。

警察庁の令和7年（2025年）の資料は、復旧に要した期間について「1か月未満で復旧した組織の割合は全体の5割強に留まる」と書いています。
裏返すと、5割近い組織は1か月以上かかっているということです。
そして「復旧に総額1,000万円以上を要した組織の割合は全体の5割を超えている」ともしています。

気づくのが早いほど調べる範囲は狭くなる、という理屈にはなります。
ただし、EDRを入れたことで復旧の期間や費用が縮んだことを示す公的な統計はありません。

決めておくのは、道具ではなく人と範囲

EDRが自動でできるのは、最初のほうだけ

IPAの「中小企業のためのセキュリティインシデント対応の手引き」（Version 1.2、2026年6月）は、インシデント対応の基本ステップを次の順で説明しています。

検知と連絡受付、対応体制の立ち上げ、初動対応、対応・調査、証拠保全、復旧、再発防止策。
そのあとに公表・報告が続きます。

このうちEDRが自動でやれるのは、検知と、初動対応のうち端末を切り離すところまでです。

そこから先は人の作業になります。
対応体制を立ち上げるのも、証拠を保全するのも、復旧の判断も、報告の文面を決めるのも人です。
EDRが残したログは、対応・調査の工程で材料になりますが、読むのも、そこから何を結論づけるかを決めるのも人です。

EDRを入れれば事故対応が要らなくなる、という理解は正確ではありません。
気づくのが早くなり、あとから追う材料が残る。
そこまでが道具の担当で、その先は人の担当です。
前の章に書いたとおり、導入によって復旧の期間や費用が縮んだことを示す公的な統計はありません。

平時に決めておく4つ

EDRの導入は、道具を買う話であると同時に、警告を受け取る役割を決める話でもあります。
だからこそ、その役割を決めないまま導入すると、警告が溜まるだけの状態になります。
製品の問題ではなく、運用設計の問題です。

この記事の最後に並べる確認項目のうち、いちばん答えに詰まりやすいのが、警告を誰が見るのかという問いだと思います。
詰まるのは、それが製品の設定ではなく、社内で決めることだからです。

平時に決めておくことは、次の4つです。

誰がアラートの一次判断をするのか
端末を隔離する権限を、誰が持つのか
誰に、どの順番で連絡するのか
記録しておく事項は何か（いつ、どこで、何が、どのように、誰が）

2つ目は、時間帯まで含めて決めておく必要があります。
権限を持つ人が1人で、その人が不在の夜間に検知されたら、朝まで何も起きません。

4つ目は、先ほどのトリアージで挙げた5つと、報告の期限の話につながります。

監視の対象は、パソコンだけではない

エンドポイントという言葉から、社員のパソコンだけを想像しがちです。
ここまで引いた定義は、いずれも「端末やサーバ装置」あるいは「パソコン・サーバ・スマートデバイス等」を対象としています。

実務上、忘れられやすいのがサーバーです。
ファイルサーバー、業務システムのサーバー、そして仮想環境のホスト。
社員のパソコンが1台使えなくなっても業務は回りますが、共有のファイルサーバーや業務システムが暗号化されると、その業務は止まります。

社員のパソコンにだけ入れて、サーバーは対象外という構成にすると、いちばん見たい場所が見えません。
台数を数える前に、どの機器を対象にするのかを決めてください。

ログは、何日さかのぼれるのか

JPCERT/CCが参考値として示す水準は「1年」

ここが、契約時にいちばん見落とされる項目だと思います。

定義の章で書いた予告を回収します。
2026年の定義には「記録」が入っていました。
記録が機能の一部なら、その記録が何日残るのかは、性能の一部だということになります。

JPCERT/CCの「高度サイバー攻撃への対処におけるログの活用と分析方法」（1.0版、2015年11月17日）は、ログの保存期間について次のように書いています。

JPCERT/CCでは、インシデント対応支援や高度サイバー攻撃の調査等の結果から、ひとつの参考値として１年分のログを保存することを推奨している。

同じ資料は「ログ保存期間は１年以上にすることが望ましい」ともしています。

なぜ1年なのか。
根拠として挙げられているのは、攻撃が続く期間の長さです。
同資料はMandiant社のAPT1レポートを引いて「標的型攻撃は平均で1年程度、最長では4年10ヶ月継続している」とし、IPAの報告からは「攻撃者が31ヶ月にわたり国内の9組織に攻撃を行っていた例」を挙げています。

コストとの兼ね合いについても書かれており、直近3か月をオンラインで保存し、3か月を経過したらオフライン保存に変える方法が示されています。
全期間を高いストレージに置け、という話ではありません。

2015年の資料であることは断っておきます。
ログの保存期間について日数を示した、これより新しい公的資料はありません。

既定の期間と、延ばすときの条件

では実際の製品はどうなっているか。
メーカー自身の公式ドキュメントで確認しました（いずれも2026年9月8日に確認）。

Microsoft Defender for Endpointは、公式のドキュメントで「Microsoft Defender for Endpointからのデータは180日間保持され、ポータル全体で表示されます」としつつ、「高度なハンティング調査エクスペリエンスでは、クエリを使用して30日間アクセスできます」と書いています。
表示できる期間と、自分で条件を指定して追跡調査できる期間が違います。

トレンドマイクロのTrend Vision Oneは、公式ドキュメントで、検索と攻撃手法の観測に使うデータの保持が既定で30日間、ライセンスの購入により90日、180日、1年に延長できるとしています。

Sophosは、公式ドキュメントで、Sophos Data Lakeの保存期間をXDR契約で最大90日、EDR契約で最大30日とし、追加パックの購入で1年に延長できるとしています。
XDRは、端末だけでなくネットワークやメールなど複数の情報源をまとめて見る上位の形態を指します。

3社に共通しているのは、自分で条件を指定して調べられる期間が、既定では30日から始まっている点です。
Microsoftは表示できる180日とは別に、追跡調査は30日と書かれています。

延長については、公式ドキュメントに書き方の差があります。
トレンドマイクロとSophosは、上位プランや追加ライセンスで延ばせると明記しています。
Microsoftの当該ページには、延長の可否についての記載がありませんでした。
延ばせるかどうかは、契約している窓口に確かめてください。

1年と30日のあいだにある差

先ほどの2つの数字を並べます。
JPCERT/CCが参考値として示した水準は1年。
その根拠になった攻撃の継続期間は、平均で1年程度、最長で4年10か月。
一方、製品の既定でさかのぼれる期間は、多くが30日程度から始まります。

この差が、契約前に確認する項目になります。

ログの保持期間が30日の契約で、それより前に入られていた場合、端末で異常が出た事実は分かっても、いつから、どこから、どこまで広がっていたのかがたどれません。
そして、その情報が要るのは、取引先への説明と、報告の場面です。

高い契約に変えるべきだと言いたいのではありません。
自社に必要な期間は業種や取引先の要求で変わりますし、延長には費用がかかります。
ただ、いまの契約が何日なのかを知らないまま入れると、必要になった日に初めて分かります。
契約前に聞けば済む話です。

自社で見られないときの選択肢

お助け隊サービスは、役割ごと外に出す設計になっている

ここまでの条件を自社だけでそろえるのは、専任のセキュリティ担当者がいない会社では難しいと思います。
その場合の選択肢が、監視と対応を外部に任せる形です。

公的な制度としては、IPAが2021年春より開始した「サイバーセキュリティお助け隊」制度があります。
中小企業に対するサイバー攻撃への対処に必要なサービスをワンパッケージにまとめたものを対象に、基準を満たしたサービスへマークを付与し、一覧を公開する制度です。

現行の基準は2.1版（令和7年9月8日）です。
1類サービスの要件として、相談窓口、異常の監視、緊急時の対応支援、導入・運用の簡単さ、簡易サイバー保険、ワンパッケージ提供、中小企業向けの価格などが並んでいます。
簡易サイバー保険とは、事故が起きたときに突発的にかかる費用を補償するもので、サービスに付いてくる形になっています。

異常の監視と緊急時の対応支援が、要件として並んでいる点が重要です。
自社で警告を見る人を置けないなら、その役割ごとサービスに含める、という設計になっています。

なお、2024年3月15日に公開された基準2.0版で、監視機能の強化や定期的なコンサルティングの実施等を要件とした2類が新設されています。
1類で足りない場合の上位の選択肢がある、と理解しておけば十分だと思います。

サービスを提供している事業者は46社です（事業者一覧の更新日は2026年8月20日）。
地域から探す一覧と、監視の種別から比較する一覧が用意されています。

基準は、ログの保持を求めていない

ここは、確かめて意外だった点です。

基準（2.1版、令和7年9月8日）を全文で確認しましたが、ログの取得や保存、保持期間についての要件はありませんでした。
「ログ」という語自体が出てきません。

異常の監視について、基準が求めているのは次の水準です。

【端末監視の場合】ユーザーの端末（PCやサーバ）を２４時間見守り、攻撃を検知・通知する仕組み（EDR等のツールと異常監視サービスから構成）

24時間見守り、検知して通知するところまでです。
あとから何日さかのぼれるかは、基準の外にあります。

前の章で見たログの日数は、この基準では担保されないということです。
お助け隊サービスのマークが付いているからさかのぼれる、とは言えません。
そこは個別の契約で確認する項目になります。

基準が定めているのは価格そのものではなく、上限

基準は価格についても定めを置いています。
ただし定めているのは上限であって、実際にいくら請求されるかではありません。
ここは分けて読む必要があります。

初期導入費用の上限：ネットワーク監視は50万円（税抜き）。端末監視は端末数によらず50万円（税抜き）。両者を併用する場合は100万円（税抜き）
月額価格の上限：ネットワーク監視は月額1万円（税抜き）。端末監視は端末1台あたり月額2,000円（税抜き）

初期費用は端末数によらず定額、月額だけが1台あたりの単価で決まっています。
境界に置く機器の記事で扱ったネットワーク監視は1拠点いくらの考え方でしたが、端末監視は台数で変わるということです。

実際の価格は各サービス次第です。
上限の範囲でどう値付けするかは事業者が決めます。
したがって、どの機器を対象にするかを決めてから、台数を添えて見積もりを取ることになります。

通知と駆けつけの条件は、括弧書きまで読む

基準の書き方で、読み落としやすい箇所が2つあります。

1つ目、通知の時間です。

検知した異常に応じて、セキュリティ上重大なインシデントの場合は即時（６０分以内を目標）、また、防御機能により十分な対策を行ったインシデント、あるいはインシデント対応が不要なアラートについては、後日のレポート（週１回）等により、各々、ユーザーに通知すること。

基準が求めているのは「即時」で、60分はその目標値として括弧に入っています。
「60分以内に必ず通知される」と読むと、少し強すぎます。

2つ目、駆けつけの費用です。

なお、異常監視の仕組み導入時の初期対応を除き、サービス契約に基づく駆付け支援は少なくとも年１回（簡易サイバー保険を活用する場合を含む。）、ユーザーの費用（駆付け支援の実施に必要又は相当と認める諸経費を除く。）負担無しに提供されるものとする。

読み違えやすいのは「少なくとも年1回」です。
これは上限ではなく下限で、年1回は費用負担なしで来てもらえることが保証されている、という意味になります。
2回目以降が無償かどうかは、基準の外です。
そして、無償なのは駆けつけそのもので、実施に必要な諸経費は除かれています。

いずれも制度の欠点ではありません。
基準は下限と上限を定めたものなので、そこを超える条件は個別のサービス次第だ、というだけです。
だからこそ、比べるときはこの水準を土台にして、上乗せの部分を見ることになります。
2回目以降の駆けつけがいくらになるか、月額が上限のいくらなのか。
そこがサービスごとの違いになります。

費用は、補助金の対象になり得る

費用面では、公的な支援制度を確認しておく価値があります。

「デジタル化・AI導入補助金2026」に、セキュリティ対策推進枠が設けられています。
従来のIT導入補助金から名称が変わっている点に注意してください。

対象になるのは、IPAが公表する「サイバーセキュリティお助け隊サービスリスト」に掲載されており、かつIT導入支援事業者によりITツール登録されたサービスです。
IT導入支援事業者とは、この補助金に登録して申請を手伝う事業者のことで、自社で勝手に申請する形ではありません。
使いたいサービスがこの登録を受けているかどうかは、その事業者に聞くのが早いと思います。

補助率は小規模事業者が3分の2以内、中小企業が2分の1以内。
補助額は5万円から150万円で、補助の対象になるのはサービス利用料の最大2年分です。
税の扱いは公募要領で確認してください。

2026年9月8日時点で公募は受付中で、5次締切は2026年9月29日17時とされています。
条件と締切は必ず公式の公募要領で確認してください。

自力で全額を負担する前提で諦めてしまう前に、対象になるかどうかを見ておく価値はあると思います。

では、今日何を確かめるか

管理画面と契約書があれば分かるもの、保守を委託している業者に聞けば分かるものだけを並べます。
製品を比べる作業は含まれていません。

いま入っている製品について

EPPだけの契約か。EDRの機能も含む契約か
EDRの機能が含まれているなら、有効になっているか。契約に含まれていても、設定で無効のままのことがある
対象になっているのは、社員のパソコンだけか。サーバーも入っているか

ログについて

ログを何日さかのぼれる契約か
その日数は、表示できる期間か、自分で条件を指定して調べられる期間か。製品によって別々に定められている
延長できるプランがあるか。あるなら差額はいくらか

人と権限について

警告は、いま誰のメールボックスに届いているか
端末をネットワークから切り離す操作を、実行できる人は誰か
その人が不在の夜間・休日に検知されたとき、どうなるか

外に任せる場合

見てもらえるのは何時から何時までか
連絡は誰に、どの手段で来るのか
費用負担なしの駆けつけは年1回が下限として保証されている。2回目以降はいくらになるか。諸経費はどこまで自己負担か

買い足す判断は、このあとで足ります。
順番はこちらが先です。

ここで挙げた平時の決めごとを書面にするなら、書式があります。
事前準備チェックリストと緊急連絡先シートを含む、5点をまとめています。

まとめ

令和7年のランサムウェアの被害報告件数は226件で、被害企業の約6割が中小企業。侵入経路はVPN機器が6割以上を占める。令和8年版警察白書の数値では、有効回答92件のうちVPN機器61件（66.3パーセント）、リモートデスクトップ19件（20.7パーセント）で、この2つで87パーセントになる
EDRの定義としてよく引かれるIPA「ゼロトラスト導入指南書」（2021年6月）には、IPA自身が2023年8月23日に「有効期限が過ぎております」という注記を付けている。内容が誤りだという意味ではないが、現行の定義として引くなら注記の存在は知っておいたほうがいい
いま最も新しい公的な定義は、2026年7月31日のサイバーセキュリティ戦略本部決定「脅威ハンティングの普及促進・実施等に係る基本方針」の脚注にある。2021年の定義になかった「可視化」「記録」「遮断」が入り、何が起きたかを残す道具だという書き方に変わっている
3つの公的な定義は、いずれも感染を未然に防ぐことを目的とするとは書いていない。2026年の定義に入った「攻撃遮断」は、検知したあとに止める対処であって予防ではない。EPPは感染しないようにするもの、EDRは侵入を許してしまった後の被害を抑えるもので、守っている時点が違うため優劣を比べる関係にない
国が中小企業にEDRを義務づけたり推奨したりしている資料はない。IPAの中小企業向けガイドライン第4.0版でEDRが出てくるのは事例の1行だけ。政府機関向けの統一基準群でも【追加セキュリティ対策】の区分で「導入を検討すること」にとどまる
検知は、EDRからだけ来るとは限らない。JPCERT/CCのマニュアルは、外部からの通報に備えて報告用の窓口を用意し公開しておくよう求めている
隔離は電源を切ることではない。警察庁は、LANケーブルを抜く・無線をオフにするなどして隔離する一方、感染原因等の調査に必要なログ等が消失する場合もあるので電源は落とさないよう明記している
復旧に1か月未満で戻れた組織は全体の5割強にとどまる。裏返すと5割近くは1か月以上かかっている。総額1,000万円以上を要した組織は全体の5割を超える
ログの保存期間について、JPCERT/CCはひとつの参考値として1年分を推奨し、1年以上が望ましいとしている。根拠は攻撃が続く期間の長さで、同資料はMandiant社のレポートから「平均で1年程度、最長では4年10ヶ月」、IPAの報告から「31ヶ月にわたり国内の9組織に攻撃」の例を挙げている。一方、お助け隊サービス基準にはログの保持に関する要件がなく、「ログ」という語自体が出てこない
メーカー公式の既定はばらつくが、追跡調査できる期間はいずれも30日から始まる。Microsoft Defender for Endpointは表示180日・追跡調査30日、Trend Vision Oneは既定30日、SophosはEDR契約30日・XDR契約90日。延長の可否は、トレンドマイクロとSophosは公式に明記、Microsoftの当該ページには記載がない（2026年9月8日確認）
お助け隊サービスの提供事業者は46社（事業者一覧の更新日は2026年8月20日）。1類について基準が定めているのは価格の上限で、初期導入費用はネットワーク監視・端末監視とも50万円（税抜き。端末監視は端末数によらない。併用時は100万円）、月額の上限はネットワーク監視1万円（税抜き）、端末監視は端末1台あたり2,000円（税抜き）。実際の価格は各サービス次第
基準の括弧書きは読む価値がある。通知は「60分以内」ではなく「即時（60分以内を目標）」。費用負担なしの駆けつけは「少なくとも年1回」で、これは上限ではなく下限。ただし実施に必要な諸経費は除かれている
「デジタル化・AI導入補助金2026」にセキュリティ対策推進枠がある。従来のIT導入補助金から名称が変わっている。補助率は小規模事業者3分の2以内・中小企業2分の1以内、補助額5万円から150万円、対象はサービス利用料の最大2年分。5次締切は2026年9月29日17時（2026年9月8日時点）

皆さんの会社では、端末をネットワークから切り離す操作を、誰が実行できることになっていますか。

参考・引用元

法令・行政（一次資料）

サイバーセキュリティ戦略本部「脅威ハンティングの普及促進・実施等に係る基本方針」（令和8年7月31日。EDRの定義は脚注7） https://www.cyber.go.jp/pdf/policy/kihon-s/260731decision5.pdf
内閣官房国家サイバー統括室「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル付録D 用語解説」（2025年7月1日） https://www.cyber.go.jp/pdf/policy/general/SBD_manual_annex_d.pdf
内閣官房国家サイバー統括室「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」（令和8年6月12日一部改定） https://www.cyber.go.jp/pdf/policy/general/guider8_6_02.pdf
内閣官房国家サイバー統括室「統一基準群学習資料」（令和7年7月。7.2.2(1)-7の条文を掲載） https://www.cyber.go.jp/pdf/policy/general/R0707-kijyun-study.pdf
内閣官房国家サイバー統括室「政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）」 https://www.cyber.go.jp/pdf/policy/general/kijyunr7.pdf
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
警察庁「令和8年版警察白書」第3章（感染経路の内訳） https://www.npa.go.jp/publications/whitepaper/r08/pdf/06_dai3sho.pdf
警察庁「ランサムウェア被害防止対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」（2026年3月27日公開） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf
IPA「中小企業のためのセキュリティインシデント対応の手引き」（Version 1.2、2026年6月） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/security-incident.pdf
IPA 産業サイバーセキュリティセンター「ゼロトラスト導入指南書」（2021年6月。掲載ページに有効期限に関する注記あり） https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2021/zero-trust.html
同本体PDF https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2021/ngi93u0000002klo-att/000092243.pdf
IPA「サイバーセキュリティお助け隊サービス制度」 https://www.ipa.go.jp/security/sme/otasuketai/index.html
IPA「サイバーセキュリティお助け隊サービス基準」2.1版（令和7年9月8日） https://www.ipa.go.jp/security/sme/otasuketai/nq6ept000000faii-att/000092713.pdf
IPA「サイバーセキュリティお助け隊サービス2類について」 https://www.ipa.go.jp/security/sme/otasuketai/service2.html
IPA「サイバーセキュリティお助け隊サービス」サービス提供事業者一覧 https://www.ipa.go.jp/security/otasuketai-pr/hikaku/vender-list.html
IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
IPA「情報セキュリティ10大脅威 2025 セキュリティ対策の基本と共通対策」（2025年2月。IPAの資料でEDRを説明しているもの） https://www.ipa.go.jp/security/10threats/eid2eo0000005231-att/kihontokyoutsuu_2025.pdf
個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告の期限の根拠） https://www.ppc.go.jp/personalinfo/legal/leakAction/
デジタル化・AI導入補助金2026「セキュリティ対策推進枠」（中小企業庁監督、独立行政法人中小企業基盤整備機構） https://it-shien.smrj.go.jp/applicant/subsidy/security/

専門機関の資料

JPCERT/CC「インシデントハンドリングマニュアル」（2021年11月30日版） https://www.jpcert.or.jp/csirt_material/files/manual_ver1.0_20211130.pdf
JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」 https://www.jpcert.or.jp/magazine/security/ransom-faq.html
JPCERT/CC「高度サイバー攻撃への対処におけるログの活用と分析方法」（1.0版、2015年11月17日） https://www.jpcert.or.jp/research/APT-loganalysis_Report_20151117.pdf
特定非営利活動法人デジタル・フォレンジック研究会「証拠保全ガイドライン第10版」（2025年3月15日付。Web公開は2025年4月） https://digitalforensic.jp/home/act/products/df-guideline-10th/

メーカー公式のドキュメント

Microsoft「Microsoft Defender for Endpoint のデータストレージとプライバシー」 https://learn.microsoft.com/ja-jp/defender-endpoint/data-storage-privacy
トレンドマイクロ「Trend Vision One XDR data retention」 https://docs.trendmicro.com/en-us/documentation/article/trend-vision-one-xdr-data-retention
Sophos「Data Lake storage limits」 https://docs.sophos.com/central/customer/help/en-us/ManageYourProducts/ThreatAnalysisCenter/LiveDiscover/DataLakeStorageLimits/index.html

書籍

技術評論社「ITセキュリティ・ゼロトラスト概論 ―本質を理解し現代的なITインフラを理解するために」（齊藤愼仁著／2025年6月10日／304ページ／2,970円税込） https://gihyo.jp/book/2025/978-4-297-14970-3

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40