MDRサービス比較21選｜代行範囲・課金単位・24時間監視の中身で選ぶ

EDRを導入したものの、日々上がってくるアラートを誰が見るのかが決まらないまま運用が止まっていませんか。夜間や休日に検知が出ても翌営業日まで誰も気づかない、アラートが本物の侵害なのか判断できず端末を隔離してよいかも決められない。こうした状態は、製品を入れたこと自体を無駄にしてしまいます。

監視と初動対応を外部に任せるMDRサービスは、この人手の問題を引き受けるための選択肢です。ただし各社が「24時間365日」「検知から対応まで」と似た言葉を使うため、どこまでを実際に代行してくれるのかは、公式サイトを眺めただけでは見分けがつきません。

本記事では、国内で契約できるMDRサービス21件を比較します。検知の通知からトリアージ、調査、封じ込め、復旧支援までのどこまでを委託先が手を動かすのかを各社ごとに整理し、あわせて監視体制が有人なのか自動通知だけなのか、費用がどの単位で決まるのかまで並べました。委託先を絞り込むための判断材料としてご活用ください。

また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

MDRサービスとは？

MDR（Managed Detection and Response／マネージド検知・対応）サービスは、企業のエンドポイントやネットワークを外部の専門事業者が継続的に監視し、脅威を検知した際の調査や対応までを代行するサービスです。買うのはソフトウェアではなく、監視する人と体制になります。

注意したいのは、MDRという語に公的な定義が置かれていない点です。経済産業省の「情報セキュリティサービス基準」が定義しているのは「セキュリティ監視・運用サービス」で、MDRという名称そのものは各社が自社の提供内容に付けた呼び名にとどまります。同じMDRを名乗っていても中身が揃わないのはこのためで、比べるときは名称ではなく、後述する工程のどこまでを引き受けるかで見ていく必要があります。

EDR・XDR・SOC・MSSとの違い

MDRの周辺には似た略語が並びます。以降の比較で使う言葉を先に揃えておきます。

用語	正体	守備範囲
EDR／XDR	製品（ソフトウェア）	端末やクラウドの挙動を記録し、脅威を検知してアラートを上げる
SOC	組織・体制	アラートを人が監視・分析する部門。自社に置くことも外部に持つこともある
MDR	サービス（運用の委託）	外部のSOCが、検知から対応までを引き受ける
MSS	サービス（運用の委託）	セキュリティ機器全般の監視・運用を請け負う総称。MDRを含むより広い概念

EDR・XDRとの違い（製品と運用の境目）

EDR（Endpoint Detection and Response）とXDR（Extended Detection and Response）は、端末やクラウド、メールなどの挙動を記録して脅威を検知する製品です。検知したことをアラートとして通知するところまでが製品の仕事で、そのアラートが本物の攻撃かどうかを判断し、端末を隔離するかどうかを決めるのは人の仕事として残ります。

MDRが引き受けるのは、この残った人の仕事です。EDRを置き換えるものではなく、EDRが上げたアラートを受け取って動く運用の側に位置します。多くのMDRは監視対象となるEDR/XDR製品を前提に成り立っているため、製品を持たずにMDRだけを契約することは基本的にできません。

そのため、まだ検知の仕組み自体を選んでいない段階であれば、先に製品を決めるほうが委託先の候補も絞りやすくなります。端末側のEDRとネットワーク側のNDRのどちらから整備するかを含めて製品を比べたい場合は、以下の記事をご覧ください。

SOCとの違い（自社で持つか、外部の体制を借りるか）

SOC（Security Operation Center）は、セキュリティ監視を担う組織や体制を指す言葉で、サービスの名前ではありません。自社にSOCを置く企業もあれば、外部事業者のSOCを使う企業もあります。

MDRは、この外部SOCを利用する形をサービスとして商品化したものです。自社でSOCを立ち上げる場合は、24時間の交代勤務を組める人員と、アラートを判断できる技能を自前で確保する必要があります。MDRを選ぶということは、その体制を作る代わりに借りるという判断になります。

MSS・MSSPとの違い（MDRを含むより広い運用委託の総称）

MSS（Managed Security Service）は、セキュリティ機器やシステムの監視・運用を請け負うサービスの総称です。経済産業省の「情報セキュリティサービス基準」では、このうち監視にあたる部分が次のように定義されています。

システムやソフトウェア等についての情報セキュリティを確保するための監視サービス及びシステムやソフトウェア等の適切な運用についての次に掲げるいずれか又は全てのサービスをいう。

ア マネージドセキュリティサービス（セキュリティインシデント又はその予兆の検知、防御を目的とするものをいう。）

イ セキュリティ監視サービス（セキュリティ製品が出力するログの分析、通知、レポート提供を継続的に提供するものをいう。）

ウ マネージドセキュリティサービスやセキュリティ監視サービスを包含する複合的なサービス

出典：情報セキュリティサービス基準適合サービスリスト（セキュリティ監視・運用サービス）｜独立行政法人情報処理推進機構（IPA）（経済産業省「情報セキュリティサービス基準」より）

MSSはファイアウォールやUTM、WAFといった境界の機器を監視するものも含む広い言葉で、MDRはその中でエンドポイントやネットワークの侵入後の検知・対応に軸足を置いたものと位置づけられます。実際、本記事で扱うサービスにも「MSS」を名乗りながらエンドポイント監視のメニューを持つものがあり、名称だけでは区別がつきません。

逆に、境界機器の稼働監視しか行わないMSSは、EDRのアラート運用の受け皿にはなりません。

MSSP（Managed Security Service Provider）は、そのMSSを提供する事業者を指す呼び方です。後述するタイプ分類では、製品ベンダーが自社製品向けに提供するMDRと区別するために、この呼び方を使います。

MDRが必要とされる背景

ここからは、監視の外部委託を検討する企業が増えている背景を、公的な統計と指針から整理します。社内で導入を説明する際の材料としてもお使いいただけます。

まず、監視を担う人材が足りていません。IPA（情報処理推進機構）の「情報セキュリティ白書2025」は、日本情報システム・ユーザー協会（JUAS）が東証一部上場企業とそれに準じる企業を対象に行った「企業IT動向調査報告書2025」の結果を、次のように紹介しています。

不足しているセキュリティ人材の職種は、「セキュリティ担当者（CSIRT担当者含む）」の割合が70.1%と最も高く、続いて「セキュリティ管理者（CSIRT管理者含む）」が55.6%と高い（図3-2-1）。

出典：情報セキュリティ白書2025（141頁）｜独立行政法人情報処理推進機構（IPA）

人を採用できない場合にどうするかについては、経済産業省とIPAの「サイバーセキュリティ経営ガイドラインVer3.0」が外部委託を選択肢として明示しています。実践のためのプラクティス集では「自社でサイバーセキュリティ人材を雇用することが困難な場合は、外部の専門ベンダの活用を検討することが望まれる」と記されており、監視の委託は消極的な代替ではなく、公的な指針が示す打ち手として位置づけられています。

もう一つの背景は、防御をすり抜けた後を前提にせざるを得なくなっていることです。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアの侵入経路について次のように述べています。

近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている。被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（15頁）｜警察庁サイバー警察局

メールの添付ファイルを開かせる手口が主流だった頃と違い、正規の入口から入られると、入口での防御は働きません。同報告書は「日々手口が変化、巧妙化するサイバー攻撃を完全に防ぐことは困難である」とも述べており、侵入された後にどれだけ早く気づいて止められるかが問われる局面に移っています。

実際、同報告書の統計編によれば、この設問に回答した89件のうち、ウイルス対策ソフトが脅威を検出できていなかったのは64件にのぼります。

侵入後に気づくにはEDRのような検知の仕組みが要り、その検知を受け取って動く人が要ります。前者を導入した企業が、後者で詰まります。

ランサムウェア対策全体で見ると、MDRが受け持つのは侵入後の検知と対応の部分です。VPN機器などの入口を塞ぐ手当てや、暗号化されてもデータを戻せるバックアップは別の層の話になります。どの層に何を置くかを含めて社内の対策を組み立てる段階であれば、以下の記事で層ごとの選択肢を確認できます。

出典・参考資料（4件）

• 出典：情報セキュリティ白書2025｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/publish/wp-security/2025.html）
• 出典：サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集 第4版｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/economics/hjuojm00000044dc-att/cms_practice_v4_1.pdf）
• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
• 出典：情報セキュリティサービス基準｜経済産業省（https://www.meti.go.jp/policy/netsecurity/secdoc/contents/secdoc_1_1_1.html）

MDRサービスはどこまで代行してくれるのか

MDRを比べるうえで最も差が出るのが、監視と対応のどこまでを委託先が手を動かすかです。ここを揃えずに各社の説明を読むと、同じ「検知から対応まで」という表現が、実際にはアラートの連絡までを指す場合と、端末の隔離を実行することまでを指す場合の両方に使われていることに気づけません。

そこでまず工程に分解して物差しを作り、その物差しのどこで各社が切れているのかを見ていきます。

MDRが引き受ける監視・対応の5工程

インシデントへの対応を工程に分ける考え方は、公的な文書でも共通しています。JPCERT/CC（JPCERTコーディネーションセンター）の「インシデントハンドリングマニュアル」は、インシデント対応を「検知／連絡受付」「トリアージ」「インシデントレスポンス」「報告／情報公開」の4業務として整理しています。

IPAの「サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集」も、検知・報告・封じ込め・復旧という流れでSOCとCSIRTの分担を示しています。

本記事では、この考え方に沿って次の5工程を物差しとして使います。各社の説明がどの工程で止まっているかを見れば、代行範囲の違いが読み取れます。

工程	そこで行われること	止まると起きること
1. 検知の通知	EDR/XDRが上げたアラートを受け取り、依頼元に知らせる	通知は届くが、判断と作業は自社に残る
2. トリアージ	本物の侵害か誤検知かを一次判断し、優先度を付ける	アラートの山が自社に届き続ける
3. 調査・分析	影響範囲や侵入経路を掘り下げる	何が起きたか分からないまま対処の判断を迫られる
4. 封じ込め・隔離	該当端末をネットワークから切り離し、拡大を止める	気づいてから止めるまでの時間が自社の稼働時間に縛られる
5. 復旧支援・報告	元の状態に戻す作業を支援し、再発防止を提案する	止めた後の後始末と説明責任が自社に残る

検知の通知（24時間365日の監視）

EDR/XDRが上げたアラートを委託先のSOCが受け取り、依頼元に知らせる工程です。すべてのMDRがここは行いますが、通知が届く経路（メール、電話、専用ポータル）と、届いた時点で人が内容を見ているかどうかはサービスによって異なります。

アラートのトリアージ（本物の侵害かどうかの一次判断）

上がってきたアラートが実際の攻撃なのか、正規の業務による誤検知なのかを判断し、優先度を付ける工程です。JPCERT/CCはこれを「インシデントのトリアージ（対応の優先順位付け）」と呼び、「得られた情報に基づいて、事実関係を確認し、CSIRT が対応すべきインシデントか否かを判断します」と説明したうえで、「システムの誤検知や通報者の勘違いは少なくありません」と述べています。

EDRを導入した企業が最初に行き詰まるのがこの工程です。通知だけを受け取っても、それが対処すべきものかを判断できなければ、結局アラートは滞留します。MDRを検討する動機の多くはここにあります。

脅威の調査・分析

侵害と判断された後、どこから入られ、どこまで広がっているかを掘り下げる工程です。同じ端末の中で止まっているのか、他の端末や資格情報にまで及んでいるのかによって、次に取るべき手当てが変わります。

この工程の深さはサービスによって幅があります。アラート単位の分析にとどまるものと、他の端末やログを横断して攻撃の全体像を追うものがあり、後者は上位プランや別サービスとして切り出されていることが少なくありません。

封じ込め・端末の隔離

該当端末をネットワークから切り離し、被害の拡大を止める工程です。MDRサービスの比較で最も差が出るのがここで、委託先が実際に隔離を実行するのか、依頼元に実行を促すだけなのかが分かれます。

隔離は業務を止める操作でもあります。生産ラインの端末や役員の端末を夜間に無断で切り離してよいかは、技術の問題ではなく取り決めの問題です。実行を委託先に任せる場合は、どの範囲まで独断で切ってよいかを事前に合意しておく必要があります。

復旧支援と報告・改善提案

止めた後、端末を元の状態に戻す作業を支援し、何が起きたかを報告して再発防止につなげる工程です。ここを標準で含むサービスは限られ、別メニューのインシデントレスポンス（IR）サービスとして提供されることも多くあります。

被害が起きた後の調査には、その時点のログが残っていることが前提になります。警察庁は被害の抑制に有効な備えとして「侵害範囲特定に不可欠なログの取得」を挙げており、ログの保管期間は復旧と説明責任の両方に効いてきます。この点は選び方で改めて扱います。

セミマネージド型（通知・助言までを代行し、隔離や復旧は自社が手を動かす）

5工程のうち、1〜3（検知の通知、トリアージ、調査）までを委託先が担い、4以降の実際の作業は依頼元が行うのがセミマネージド型です。委託先は「この端末で何が起きているので、隔離を推奨します」というところまでを届け、切る操作は自社の担当者が実施します。

自社に判断と操作の主導権が残るため、業務影響を自分たちでコントロールできます。一方で、深夜に「隔離を推奨します」という連絡を受け取る担当者を自社に置く必要があり、人手の問題が完全には解消しません。既存のセキュリティ投資を活かしながら判断力だけを借りたい場合や、業務停止の判断を外に出せない事情がある場合に向きます。

フルマネージド型（封じ込め・隔離まで委託先が実行する）

4の封じ込め・隔離までを委託先が実行するのがフルマネージド型です。夜間や休日に検知が出ても、自社の担当者を起こさずに拡大を止められます。社内にセキュリティ担当者がいない、あるいは兼任で夜間の呼び出しに応えられない企業にとっては、この型が前提になります。

ただし、フルマネージドを名乗るサービスでも復旧支援まで含むとは限りません。5工程のうち4までを代行し、5の復旧は別サービスに切り出している構成が一般的です。「フル」という言葉がどこまでを指しているかは、サービスごとに確かめる必要があります。

「24時間365日」でも、人と話せる時間帯は別に確かめる

ほぼすべてのMDRサービスが「24時間365日」を掲げています。この言葉は、アナリストが常時詰めていることを意味する場合と、システムが自動で検知して通知を飛ばす仕組みが動いていることを意味する場合の両方に使われます。

本記事で調査した21件の公式情報を突き合わせると、内訳は次のとおりでした。判定は「アナリスト」「有人」「専門家が監視」といった人の関与を示す語が公式サイトにあるかどうかで分けており、無いものは推測せず記載なしとしています。

• 有人であることを公式に明記：16件
• 「24時間365日」とは書くが、有人かどうかは公式に記載なし：4件
• 対応時間帯そのものが公式に記載なし：1件

有人と書いている会社のほうが多数派です。ただし本当に確かめるべきなのは、監視が有人かどうかよりも「夜中に人と話せるか」のほうでした。監視の体制と問い合わせ窓口の受付時間は別に設定されていることがあり、そこまで公表している会社はごくわずかです。

S&Jは監視と自動隔離を24時間365日で行う一方、電話サポートの受付は平日9時30分から18時30分です。NTT西日本も電話サポートは9時から21時、メールでの通知は24時間365日と書き分けています。受付時間帯まで明示しているのはこの2社だけです。LANSCOPEのように、時間帯ではなく「24時間365日、担当者へ直接連絡できる」という形で示す例もあります。

夜間にアラートが出たとき、通知は届くが相談先はつながらない、という状態はここで生まれます。公式サイトに書かれていないのは体制が無いという意味ではなく、単に公開していないという意味なので、候補が絞れた段階でベンダーに直接確認してください。確認の仕方は選び方で扱います。

上位プランが必ずしもフルマネージドとは限らない

プランが複数用意されている場合、上位ほど代行範囲が広いと考えたくなりますが、実際にはそう単純ではありません。

ESET PROTECT MDRがその例です。下位のMDR Liteは検知した脅威の駆除・隔離を自動で実行する構成である一方、上位のMDR Ultimateは対応の前に依頼元へ報告し、初動対応の許可やネットワーク隔離の可否を確認する流れになっています。上位プランのほうが人による調査は手厚いのですが、実行の判断は依頼元に戻ってくるわけです。

これは自動化と有人対応の性質の違いによるものです。NISTのインシデント対応ガイドライン（SP 800-61r3）も、封じ込めの手段として自動で実行されるものと担当者が手動で選ぶものの2類型を挙げており、どちらが上位という関係にはありません。業務を止めない判断を挟むほど、実行は人の手に戻ります。

プラン名や価格帯で代行範囲を推測せず、各プランが5工程のどこまでを実行するのかを個別に確かめてください。

出典・参考資料（3件）

• 出典：インシデントハンドリングマニュアル｜一般社団法人JPCERTコーディネーションセンター（https://www.jpcert.or.jp/csirt_material/files/manual_ver1.0_20211130.pdf）
• 出典：サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集 第4版｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/economics/hjuojm00000044dc-att/cms_practice_v4_1.pdf）
• 参考資料：NIST SP 800-61r3 Incident Response Recommendations and Considerations for Cybersecurity Risk Management｜National Institute of Standards and Technology（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf）

MDRサービスの3つのタイプ

代行範囲の物差しが揃ったところで、次はサービス群をどう見渡すかです。MDRは提供している事業者の立ち位置によって、対応できる製品の範囲と監視できる領域が変わります。自社がどのタイプを見ればよいかを先に決めると、候補が一気に絞れます。

導入済みのEDR/XDRメーカーが自社製品向けに提供するMDR

EDR/XDR製品の提供元が自らSOCを運営し、その製品を前提に監視と対応を引き受ける型です。開発元が直接提供する場合と、海外製品の国内総代理店が日本語の窓口と国内SOCで提供する場合があります。製品側の事情を踏まえた判断が期待でき、すでにその製品を使っていれば追加の導入作業は最小で済みます。

制約は、対象が原則としてその製品に限られることです。社内で複数のEDRが混在している場合、この型だけでは全体を一本化できません。また海外ベンダーの場合、日本語で対応できるか、国内にSOCがあるかは製品ごとに事情が異なります。

該当する主なサービスは、Falcon Complete Next-Gen MDR、TrendAI Service One、Wayfinder MDR、Defender Experts MDR、Unit 42 MDR、FFRI yarai Managed Service です。

ほかに Cybereason MDR、ESET PROTECT MDR、Sophos MDR、LANSCOPE サイバープロテクション、Check Point MDR/MPR があります。

製品を問わず監視を引き受けるMDR（MSSP型）

特定の製品ベンダーに属さない事業者が、複数のEDR/XDRやログを横断して監視を引き受ける型です。社内で製品が混在していても窓口を一本化でき、将来EDRを乗り換えても監視の委託先を変えずに済む可能性があります。ただしこの型のうちNTT西日本のプランだけは、自社のUTMとエンドポイントツールをセットで導入する形で、既存のEDRを持ち込む使い方ではありません。

国内のSIerや通信事業者が提供するものが多く、日本語での対応と国内SOCが前提になっている点は、海外ベンダーと比べたときの分かりやすい違いです。一方で、対応できる製品は事業者ごとに決まっているため、自社が使っている製品が対象に入っているかを最初に確かめる必要があります。

該当する主なサービス：NTT Security MDR、CrowdStrike Falcon x マネージドEDRサービス（NRIセキュア）、MDRサービス（日立ソリューションズ）、EDR監視サービス(MDR)（S&J）、NOZ SECURITY MSS（ソフトバンク）、EDR-MSS（BBSec）、セキュリティおまかせプラン プライム Plus（NTT西日本）

ネットワーク・OT領域まで監視するMDR

エンドポイントにソフトウェアを入れられない機器を、NDR（Network Detection and Response、通信から脅威を検知する仕組み）などでネットワーク側から監視する型です。工場の制御装置、複合機やカメラといったIoT機器、EDRを導入できない古いサーバ、私物端末などが対象になります。

EDRを入れられる端末はEDRで見て、入れられない機器はネットワーク側で見る、という併用が現実的な使い方です。エンドポイント型のMDRと置き換える関係ではなく、死角を埋めるために足す関係になります。製造業のように生産設備がネットワークにつながっている環境では、この型を検討対象に含めておく価値があります。

該当する主なサービス：Vectra AI監視サービス、Darktrace Managed Detection and Response、Unified MDR for OT Security（NTTデータ）

次の診断は、いま使っている製品・監視してほしい範囲・社内で対応できる工程の3点から候補を絞るものです。

MDRサービスの選び方

ここからは、タイプで絞った候補を1社に詰めるための確認項目を挙げます。いずれも公式サイトで判定できるとは限らないため、公開情報で確かめる場所と、書かれていないときにベンダーへ投げる質問を併せて示します。

代行範囲を契約書・SLAのどこで確かめるか

公式サイトの「検知から対応まで」という表現だけでは、封じ込めを実行するかどうかは判断できません。サービス仕様書やSLAで、隔離の実行主体がどちらに書かれているかを確認しておくことが重要です。「〜を推奨します」「〜をご案内します」と書かれていれば実行は依頼元、「〜を実施します」と書かれていれば委託先です。

書かれていない場合は、次のように具体の場面で聞くと曖昧さが残りません。「深夜2時にランサムウェアの疑いで端末が検知された場合、御社は端末の隔離を実行しますか。実行する場合、こちらの承認は必要ですか」。承認が必要なら、その承認を誰がどの経路で出すのかまで決めておく必要があります。

時間外に誰がどう動くか（エスカレーション経路と連絡手段）

監視が24時間動いていても、通知を受け取った後の流れが決まっていなければ対応は止まります。確認するのは、通知の手段（メール・電話・ポータル）、通知先を複数登録できるか、そして時間外に人と話せる窓口があるかの3点になります。

前述のとおり、監視は24時間でも電話窓口は平日日中というサービスがあります。夜間に判断を仰ぎたい場面が想定されるなら、「時間外に電話で相談できますか。できない場合、緊急時の連絡手段は何ですか」を確認しておきます。あわせて自社側も、深夜の通知を誰が受けて誰が承認するかを決めておかないと、委託した意味が薄れます。

いま使っているEDR/XDRに対応しているか（対応製品の範囲）

メーカー型を選ぶ場合は自社製品のみが対象なので迷いませんが、MSSP型では対応製品の一覧の確認が欠かせません。対応範囲は事業者ごとに決まっているためです。

• BBSecのEDR-MSS：SentinelOne Singularity Endpoint、VMware Carbon Black、Microsoft Defender for Endpoint の3製品
• ソフトバンクのMSS for EDR：Microsoft Defender for Endpoint、CrowdStrike Falcon、Trend Vision One、Cybereason EDR の4製品

対応製品名が公開されていない場合は、「当社は◯◯を利用していますが、対応可能ですか。対応可能な場合、追加費用や設定作業は発生しますか」と自社の製品名を出して聞くのが確実です。将来の乗り換えを考えているなら、対応製品が広い事業者を選んでおくと選択肢が残ります。

ログの保管期間と、後から調査できる範囲

侵害が判明した後の調査は、その時点でログが残っているかどうかに左右されます。警察庁も被害抑制に有効な備えとして「侵害範囲特定に不可欠なログの取得」を挙げていますが、同報告書の統計編によれば、この設問に回答した102件のうち、ログを全て保全できていたのは25件にとどまります。

確認したいのは標準の保管期間と、延長できるかどうかです。公開しているサービスは多くありませんが、たとえばSophos MDRは標準90日で1年への拡張オプションがあり、NTTセキュリティ・ジャパンは400日と公表しています。侵害の発覚が数か月遅れる例もあることを踏まえると、この差は事後調査の可否に直結します。

エンドポイントに載せられない機器をどう見るか（OT・IoT・サーバ・私物端末）

EDRは端末にソフトウェアを入れて動くため、入れられない機器は監視の外に置かれます。工場の制御装置、複合機やネットワークカメラ、サポートが切れた古いサーバ、BYODの私物端末などが該当します。

自社にそうした機器がどれだけあるかを棚卸しし、数や重要度が無視できない規模なら、エンドポイント型のMDRだけでは死角が残ります。ネットワーク側から通信を見る型を併用するか、対象領域が広い事業者を選ぶかの判断になります。OT環境が主な懸念なら、その領域に特化したサービスを検討対象に入れてください。

監視できる範囲は、委託先の体制だけでなく、監視の土台になる製品の対応範囲にも左右されます。エンドポイントに加えてネットワークやメール、クラウドのログまで束ねて相関分析するXDRへ広げることも選択肢になりますが、どこまで見られるか、他社製品と連携できるかは製品ごとに差があります。製品側から範囲を広げる案も比べたい場合は、以下が参考になります。

侵害が起きたあとのIR・フォレンジックまで頼めるか

封じ込めまでを代行するサービスでも、原因の究明や復旧作業、対外的な報告資料の作成まで含むとは限りません。多くはインシデントレスポンス（IR）として別メニューになっています。

ここが分かれていると、侵害が起きた当日に別途契約と見積もりの相談から始めることになります。標準で含むのか、オプションで事前に付けられるのか、別会社への取り次ぎになるのかを確認しておくと、いざというときに時間を失いません。NRIセキュアのように、フォレンジック調査を同一サービス内に持つ事業者もあります。

日本語での対応と国内SOCの有無

海外ベンダーのMDRを検討する場合、日本語で運用できるかは早めに確認すべき項目です。Microsoft Defender Experts MDRは、公式ドキュメントに「現在、このサービスは英語でのみ利用できます」と明記されています。製品自体が日本語で使えることと、MDRサービスが日本語で提供されることは別の話です。

あわせて、SOCが国内にあるかどうかも確認しておきたい点です。時差のある拠点で運用されている場合、通知は届いても込み入った相談は翌営業日になることがあります。海外の検知エンジンを国内ベンダーが日本語窓口と国内SOCで提供する形もあるため、製品の出自だけで判断しないでください。

レポートの内容と改善提案の質

監視を委託すると、日々の状況は報告書を通してしか見えなくなります。検知件数の集計だけの報告書では、社内への説明にも次の投資判断にも使えません。

サンプルレポートを提示してもらい、誤検知として処理した内容とその理由が読み取れるか、繰り返し発生している事象への改善提案が入っているかが判断材料になります。定例会の有無と頻度、そこに出てくるのが営業担当かアナリストかも、運用の実態を映します。

委託先の選定では、IPAが公開している「情報セキュリティサービス基準適合サービスリスト」で、その事業者のサービスが基準に適合しているかを確認する方法もあります。ただし登録は任意で、本記事で扱うサービスの多くは掲載されていません。載っていないことがサービスの質を示すわけではない点に注意してください。

出典・参考資料（2件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
• 参考資料：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/it-service/service_list.html）

MDRサービスの費用相場と課金単位

MDRの費用は、大半のサービスで金額が公開されていません。予算を組む段階では、金額そのものより「何を数えて課金されるのか」を押さえるほうが実用的です。ここでは費用が決まる仕組みを整理します。

費用が決まる単位（端末数課金／ID課金／ログ量課金）

MDRの課金は、主に次の単位で決まります。どれを採るかによって、同じ規模の企業でも見積もりの伸び方が変わります。

課金の単位	数えるもの	費用が膨らむ場面
端末数（エンドポイント数）	監視対象のPC・サーバの台数	拠点や従業員が増えたとき。サーバを対象に含めると台数が跳ねる
ID・ユーザー数	利用者アカウントの数	1人が複数端末を使う環境では端末課金より有利になることもある
ログ量	収集・分析するログの容量	監視対象のシステムを広げたとき。想定が外れると増額の幅が読みにくい

公開されている例を挙げると、NTTセキュリティ・ジャパンはエンドポイント数による課金で、ログ量は問わない定額と説明しています。ログ量課金は監視対象を広げる余地が大きい反面、運用中に費用が動きやすいため、上限や超過時の扱いを事前に確認しておくと安全です。

あわせて最低契約規模も確認対象になります。FFRI yarai Managed Serviceは最小70ライセンス、NRIセキュアのマネージドEDRサービスは端末100台からと公表しており、規模が小さい企業では対象外になることがあります。

初期費用・最低契約期間の考え方

初期費用は、監視を始めるための設定作業やチューニングにかかる分です。ここも公開状況はまちまちで、NTTセキュリティ・ジャパンは初期費用0円と明示しています。無償である場合もあれば、端末数に応じて数十万円規模になる場合もあるため、月額だけで比較すると初年度の総額を読み違えます。

最低契約期間も確認が必要です。運用の委託は、担当者との呼吸が合うまでに時間がかかる性質があり、短期で乗り換えると立ち上げ作業をやり直すことになります。年単位の契約が前提のサービスも多いため、試用期間や小規模での先行導入が可能かを聞いておくと判断しやすくなります。

EDR/XDRのライセンス費は含まれるのか

見積もりで食い違いが起きやすいのがこの点です。MDRの料金に監視対象となるEDR/XDR製品のライセンス費が含まれるのか、それとも別途必要なのかは、サービスによって扱いが異なります。

調査した範囲で、別売りであることを公式に明記していたのはMicrosoftだけでした。Defender Experts MDRは、対象となるMicrosoft Defenderのライセンスとは別に契約が必要であると公式ドキュメントに記されています。

逆に、料金にEDR機能を含むと明記しているのはESET PROTECT MDR（Liteの単価にEDR機能と24時間365日の監視を内包）とNTT西日本（EDRセキュリティツールをパッケージに標準装備）の2件です。残るサービスは公式サイトに記載がなく、見積もり段階での確認事項になります。

すでにEDRを導入済みの読者にとっては、いま払っているライセンス費に上乗せされる額が実質的な追加コストです。「御社のMDR料金には、監視対象のEDRライセンス費が含まれますか。含まれない場合、当社が現在契約しているライセンスをそのまま使えますか」と確認してください。

公開されている料金の例と、非公開が多い理由

本記事で調べた21件のうち、公式サイトで実額まで公開しているのは2件、課金の単位まで公開しているのは6件でした。残る15件は単位すら公開しておらず、問い合わせが前提になります。

実額が分かる2件は次のとおりです。

• ESET PROTECT MDR Lite：1ライセンスあたり年額14,300円（26〜49ライセンス）、10,920円（100〜249ライセンス）、8,430円（1,000〜1,999ライセンス）、7,560円（2,000〜4,999ライセンス）。いずれも税抜で、EDR機能と24時間365日の監視を含む価格です
• セキュリティおまかせプラン プライム Plus（NTT西日本）：ゲートウェイ機器1台あたり月額20,900円（10クライアント向け）、23,100円（50クライアント向け）、29,700円（100クライアント向け）。いずれも税込で、別途契約ごとの基本料金1,650円から3,300円（税込）が加わります

すでにEDRを導入していて監視だけを委託したい場合、参照値として近いのはESETのほうです。NTT西日本はUTMとエンドポイントツールをセットにしたパッケージで、既存のEDRを持ち込む形ではないためです。

課金の単位まで公開している6件は、ESETとNTT西日本に加えて次の4件です。金額は非公開でも、自社の台数で何が数えられるかは分かります。

• Microsoft Defender Experts MDR：ユーザー単位
• FFRI yarai Managed Service：ライセンス単位・最小70ライセンス
• NTT Security MDR：エンドポイント数課金・ログ量を問わない定額
• NRIセキュアのマネージドEDRサービス：端末数単位・最小100台

非公開が多いのは、監視対象の台数・構成・要求する対応範囲によって工数が変わり、定価を置きにくいためです。裏を返せば、自社の台数と対象範囲、求める代行工程を整理してから問い合わせるほど、比較可能な見積もりが返ってきます。

【比較表】MDRサービス比較21選

ここからは、国内で契約できるMDRサービス21件をタイプ別に比較します。代行する範囲は本記事の5工程に当てはめて整理し、公式情報で確認できなかった項目は推測で埋めず「公式に記載なし」と記載しています。

導入済みのEDR/XDRメーカーが提供するMDRの比較

製品を問わず監視を引き受けるMDR（MSSP型）の比較

ネットワーク・OT領域まで監視するMDRの比較

封じ込め・隔離を実行するのはどこか（21件の内訳）

3つの表をまたいで、工程4（封じ込め・隔離）を委託先が実行すると公式に読み取れるかどうかで並べ直すと次のようになります。本記事の表記では、工程4まで委託先が実行するものがフルマネージド型、工程3までがセミマネージド型にあたります。

公式情報からの読み取り	件数	該当サービス
委託先が実行すると明記	8件	Falcon Complete Next-Gen MDR、Sophos MDR、NTT Security MDR、CrowdStrike Falcon x マネージドEDRサービス、MDRサービス（日立ソリューションズ）、EDR監視サービス(MDR)（S&J）、NOZ SECURITY MSS、EDR-MSS（BBSec）
プランや設定、実行方式によって変わる	4件	Defender Experts MDR（アクティブモードの製品のみ）、Cybereason MDR（Completeのみ）、ESET PROTECT MDR（Liteは自動実行、Ultimateは承認を確認）、Wayfinder MDR（工程には含むが自動実行かアナリスト操作かは非公開）
自社が実行すると明記	1件	FFRI yarai Managed Service
公式情報からは読み取れない	8件	TrendAI Service One、Unit 42 MDR、LANSCOPE サイバープロテクション、Check Point MDR/MPR、セキュリティおまかせプラン プライム Plus、Vectra AI監視サービス、Darktrace Managed Detection and Response、Unified MDR for OT Security

夜間や休日に自社の担当者を動かせないという条件で絞るなら、まずは上の1段目と2段目が候補になります。2段目はプランの選び方で結果が変わるため、見積もり時にどのプランが前提かを確認してください。

4段目は「実行しない」という意味ではなく、公式サイトの記述だけでは判断できないという意味です。他の条件で有力なら候補から外さず、選び方で挙げた質問文で直接確かめるのが確実です。

タイプ別 MDRサービスの個別紹介

各サービスについて、代行する工程の境目、有人対応の時間帯、課金の単位、そして対応する製品や監視できる領域を中心に紹介します。公式に確認できなかった項目はその旨を記しています。

導入済みのEDR/XDRメーカーが提供するMDR

すでに導入している製品の開発元に運用を任せる選択肢です。追加の導入作業が少ない一方、対象は原則その製品に限られます。

1. Falcon Complete Next-Gen MDR（クラウドストライク合同会社）

Falconプラットフォームの利用企業を対象に、クラウドストライクのアナリストが監視から対応までを引き受けるメニューで、CrowdStrike Falcon Complete の名称でも案内されています。公式サービスページにはシステムの隔離と永続化の除去、既知の正常状態への復旧という記述があり、検知の通知・トリアージ・調査に加えて封じ込め・隔離、復旧支援までを実施する構成と読み取れます。

有人対応は24時間365日で、公式には「24/7 Expert Protection」と明記されています。一方、日本語での提供可否と国内SOC拠点の有無は公式サービスページに記載がありません。

課金の単位と金額は、公式の料金ページで問い合わせ扱いとなっており公開されていません。端末単位の価格を示すGo／Pro／Enterpriseの各バンドルとは別建てで、基盤となるFalcon Insight XDRのライセンス費が料金に含まれるかどうかも公式サイトに記載はありません。

対象はクラウドストライク自社エージェントのテレメトリが中心で、他社製EDR/XDRの監視まで代行する設計かどうかは公式ページからは判断できません。契約には侵害時の保証が自動で付帯し、対象端末1台あたり2,000ドル換算で、EDRのみの契約は最大100万ドル、ID脅威保護を含む契約は最大200万ドルが上限です。

2. TrendAI Service One Complete／Essentials（トレンドマイクロ株式会社）

トレンドマイクロのMDRメニューは、上位のTrendAI Service One Completeと下位のTrendAI Service One Essentialsの2階層です。公式ページはTrendAIを冠した表記ですが、Trend Service One Complete の名称で案内されることもあります。

Essentialsは公式ページでCompleteのサブセットと説明されており、Complete側にはインシデントレスポンスコンサルタントによる支援、検知・対応プロセスの設計やトレーニング、優先対応が加わります。

代行する工程は両プラン共通で、検知・調査・対応の3段階が示されています。ただし対応の記述は「脅威の封じ込め、根絶の支援」であり、封じ込めそのものをトレンドマイクロが実行するのか、自社の作業を支援するにとどまるのかは公式ページの記述からは判断できません。

有人対応は両プランとも「24時間365日体制でお客さまのIT環境を監視します」と明記され、専門家による監視が24時間365日で提供されます。公式ページは日本語で公開されていますが、国内SOC拠点の有無までは記載がありません。

監視対象はメール、エンドポイント、サーバ、クラウドワークロード、ネットワークから得られるテレメトリで、Trend Vision One上のデータが前提です。他社製EDR/XDRへの対応可否と、課金の単位・初期費用・本体ライセンス費の扱いは、いずれも公式ページに記載はありません。

3. Wayfinder MDR（SentinelOne, Inc.）

SentinelOneのマネージドサービスは、旧称のVigilance Respond系からWayfinderブランドへ刷新されています。

現行は、脅威ハンティングに絞ったWayfinder Threat Hunting、Wayfinder MDR Essentials、Wayfinder MDR Elite、侵害前の備えを支援するWayfinder Incident Readiness & Responseの4階層です。

公式サービスページが示す工程は、準備・検知・調査・封じ込め・復旧支援の5段階です。ただし封じ込めについては確認された脅威をマシン速度で封じ込めるという記述にとどまり、プラットフォーム側の自動実行なのかアナリストの操作なのかは公式ページからは判別できません。各階層の機能差を示す公式の比較表も公開されていません。

有人対応は「24/7/365 Monitoring & Triage」と明記され、監視とトリアージを24時間365日、人が担います。あわせて最大100万ドルの侵害対応保証が示されており、Windows・Linux・macOSとクラウドワークロードが対象範囲に含まれます。

対応範囲はエンドポイント・クラウド・アイデンティティに加え、対応するサードパーティ製品の統合まで含むと記載されています。課金の単位と金額、基盤となるSingularityのライセンス費が含まれるかどうかは公式サービスページに記載がなく、日本語での提供状況も同ページでは確認できません。

4. Microsoft Defender Experts MDR（日本マイクロソフト株式会社）

Microsoft Defender XDRの上に載るマネージドサービスがMicrosoft Defender Experts MDRで、旧称はDefender Experts for XDRです。

Plan 1はDefender各製品を対象とし、Plan 2はMicrosoft Sentinelに取り込んだOktaやProofpoint TAP、AWS、Palo Alto PAN-OSなどのテレメトリまで対象を広げます。

代行する範囲は、製品の展開モードによって変わります。アクティブモードは対象製品が実際に防御を担っている状態、パッシブモードは他社製品と併用して検知だけを行う状態を指します。

アクティブモードで導入した製品はマイクロソフトが調査と対応を代行する一方、パッシブモードの製品はガイド付きの助言のみで、修復の実行は行われません。またいずれのプランも侵害発生時のインシデント対応は含まず、Defender for Cloudのワークロードも対象外と明記されています。

有人対応は24時間体制と記載されています。ただし公式ドキュメントには「現在、このサービスは英語でのみ利用できます」と明記されており、日本語での運用を前提とする企業にとっては、この一点が採否を決める条件になります。

課金はユーザー（シート）単位で、サーバーもユーザーアカウント1件として数えます。MDRが既存のDefender製品とは別売りであることは公式に明記されており、Defender for Endpoint プラン2などの基盤ライセンス費は料金に含まれません。金額は非公開で、Plan 2はSentinelの利用と最低1,500ライセンス、90日間のログ保持が前提条件です。

5. Unit 42 MDR（パロアルトネットワークス株式会社）

Cortex XDRの運用を引き受けるのは、パロアルトネットワークスの脅威インテリジェンス・インシデント対応部門であるUnit 42が提供するUnit 42 MDRです。

国内では2025年10月にUnit 42のサービス提供が本格的に始まっており、パロアルトネットワークスの公式ブログはSCSKセキュリティ株式会社を「Unit 42のサービスを提供する国内唯一のオフィシャル認定パートナー」と記しています。

公式が示す機能は、24時間365日の継続的な監視と対応、能動的な脅威ハンティング、定期的な設定の点検とポリシー変更の提言の3つです。トリアージ・調査・脅威ハンティングは代行範囲に含まれますが、封じ込め・隔離を誰が実行するのかは公式ページに記載がありません。データシートには是正措置のガイドという表現もあります。

監視対象はエンドポイント・ネットワーク・クラウドの3領域です。公式はまずマネージドEDRから始めて対象範囲を段階的に広げられると説明しており、全領域を一括で契約することが前提にはなっていません。

課金の単位と金額は公式ページ・データシートとも記載がなく、問い合わせが必要です。フォレンジック調査や復旧支援はUnit 42のインシデントレスポンスサービスとして別立てで用意されており、MDR契約に標準で含まれるかどうかは公式情報からは判断できません。

6. FFRI yarai Managed Service（株式会社FFRIセキュリティ）

純国産のエンドポイントセキュリティFFRI yaraiの運用を、開発元である株式会社FFRIセキュリティ自身が引き受けるサービスです。公式ページは「アラートモニタリングやインシデント対応といった、監視・運用をセキュリティのエキスパートである当社エンジニアにお任せいただけます」と説明しています。

代行するのは、検知アラートと稼働状況のモニタリング、インシデントが疑われる場合の初動調査、そして隔離や駆除といった一次対応に関する助言までです。封じ込めの実行そのものはFFRIセキュリティ側では行わず、実施するかどうかの判断は自社に残ります。フォレンジック調査はインシデントハンドリング支援サービスという別の有償オプションです。

有人対応の時間帯は、24時間365日なのか平日日中のみなのかを含めて公式サイトに記載はありません。夜間・休日にどこまで動いてもらえるかは、問い合わせで確認する必要があります。

課金はライセンス（端末）単位で、最小契約は70ライセンスからです。金額と初期費用は公式サイトに記載がなく、販売パートナー経由の見積もりになります。本サービスはFFRI yarai本体の提供形態の一つに位置づけられており、監視対象はFFRI yaraiを導入したエンドポイントとMicrosoft Defenderの検知に限られます。

7. Cybereason MDR（サイバーリーズン合同会社）

プランはCybereason MDR EssentialsとCybereason MDR Completeの2つで、いずれもCybereason EDRおよびNGAVの利用企業が対象です。対応する製品は自社製品に限られており、他社のEDR/XDRへの対応は公式ページでは確認できません。

トリアージと調査はグローバルSOCのアナリストが両プランで実施します。分かれるのは封じ込めで、Essentialsは抑止制御の推奨策を提示するところまで、Completeは依頼元に代わって抑止制御を代行します。駆除や端末復旧そのものを代行するという記載は、公式ページには見当たりません。

有人対応は24時間365日です。グローバルSOCを日本・ボストン・テルアビブの3拠点に置き、日本語と英語で提供されます。レポートは都度・月次・四半期の3種類が用意されています。

課金の単位・金額・初期費用は公式ページに記載がなく、いずれも問い合わせが必要です。EDRやNGAVのライセンス費がMDR料金に含まれるかどうか、ログを何日間保管するかについても、公式サイトに記載はありません。

8. ESET PROTECT MDR（キヤノンマーケティングジャパン株式会社）

ESET製品の防御と検知に、24時間365日の監視・運用を組み合わせたサービスです。国内ではキヤノンマーケティングジャパンが提供し、プランは最小26ライセンスからのMDR Liteと、最小100ライセンスからのMDR Ultimateの2区分に分かれます。

上位プランほど代行範囲が広いとは限らない例がここにあります。MDR Liteは駆除とネットワーク隔離まで自動で実施する一方、MDR Ultimateは依頼元へ報告して初動対応の許可を確認し、業務への影響からネットワーク隔離の可否を判断する流れです。公式の比較表でも、Liteの対応区分は「自動対応」、Ultimateは「調査・対応」と書き分けられています。

有人対応は24時間365日で、公式ページはセキュリティエンジニアがAIを活用しながらリアルタイムで対応し、深夜・休日も被害拡大を防ぐと説明しています。問い合わせ窓口はキヤノンMJグループの国内エンジニアが日本語で対応します。

課金はライセンス数単位で、MDR Liteは26〜49ライセンスで1ライセンスあたり年額14,300円、100〜249ライセンスで10,920円（いずれも税抜）と公開されています。EDR機能と24時間365日の監視を含んだ価格で、MDR Ultimateの単価は個別見積もりです。ログの保管期間は公式ページに記載がありません。

9. Sophos MDR（ソフォス株式会社）

東京のデータセンターを使った日本語版のマネージドサービスとして提供されています。現行の販売階層はSophos MDR EssentialsとSophos MDR Completeの2つで、旧階層のThreat Advisorは2023年6月2日付で新規販売を終了しています。既存契約の扱いは公式に確認できません。

Essentialsについて、公式ドキュメントは「MDR運用チームが脅威の封じ込めと応答を行います」とする一方、「脅威の無効化はガイダンスに従ってお客様が実行します」とも記しています。封じ込めまでは代行し、無効化と復旧は自社が手を動かす切り分けです。

上位プランには、時間の上限を設けないインシデント対応と専任の担当者が付き、重大な調査の90%に60分以内で応答するSLAと、年間最大100万米ドルの侵害保護保証が示されています。ただしこれは英語版のサービス説明文書でMDR Plusと表記された階層の条件で、日本語表記のCompleteとの対応関係は公式に明示されていません。

有人対応は24時間365日です。対応範囲は自社製品に加え、APIやログ連携によるサードパーティのエンドポイント、ID・クラウド・メール・ファイアウォールにも及び、公式は350超のツールや製品と連携できるとしています。ログの標準保管は90日で、1年に延長するアドオンがあります。課金の単位と金額は公式サイトに記載がありません。

10. LANSCOPE サイバープロテクション（エムオーテックス株式会社）

エムオーテックスが海外ベンダーの検知エンジンを国内向けにパッケージ化したサービスで、MDRにあたるメニューがAurora Managed Endpoint Defense（旧称 CylanceMDR）で、LANSCOPE サイバープロテクション powered by Aurora Managed Endpoint Defense として案内されることもあります。

AIアンチウイルスのAurora ProtectとEDRのAurora Focusを導入していることが前提になります。

公式に確認できる代行範囲は、対応が必要なアラートだけを絞り込むトリアージと、緊急時のサイバー攻撃対応の一部代行です。封じ込めの操作をエムオーテックス側が実行するのか自社が行うのか、復旧作業をどこまで含むのかは公式ページに記載がありません。

有人対応は24時間365日で、公式ページには担当者へ直接連絡できること、平均9分で応答することが記載されています。夜間に人と話せる窓口があるかを重視する場合の判断材料になります。

対応する製品はAurora ProtectとAurora Focusに限られ、他社のEDR/XDRへの対応は公式ページでは確認できません。MDRの課金単位と金額は記載がなく問い合わせが必要で、製品側はAurora Protect単体が月額500円／台、Aurora Focusとのセットが月額700円／台と公開されています。ログの保管期間は記載がありません。

11. Check Point MDR/MPR（チェック・ポイント・ソフトウェア・テクノロジーズ株式会社）

マネージド検知・対応（MDR）とマネージド予防・対応（MPR）を一体で提供するサービスです。監視対象はネットワーク、エンドポイント、電子メール、クラウド、IoTデバイスに及び、エンドポイント専業のサービスとは対象とする範囲が異なります。

公式ページの説明は、脅威インテリジェンスとAIによる分析ツールを用いて監視・検知・調査・ハンティング・対応・修復を行うというものです。トリアージや封じ込めという工程名は公式ページに現れず、どこまでを実行するかの線引きは記載がありません。MDRとMPRの機能差についても公式の説明はありません。

有人対応は24時間365日で、日本語ページには「優れたエキスパートによる24時間365日のサービス」と記載されています。英語ページにはチャット・メール・電話・カスタマーポータルの4経路が示されていますが、日本語での対応可否と対応時間帯は公式情報に記載がありません。

課金の単位・料金体系は公式サイトに記載がなく、料金ページへのリンクも置かれていません。他社のEDR/XDRとの連携可否も公式ページでは確認できず、自社製品群を前提とした構成と読み取れます。ログの保管期間も公開されていません。

製品を問わず監視を引き受けるMDR（MSSP型）

製品ベンダーに属さない事業者が、複数のEDR/XDRを横断して監視を引き受けます。社内で製品が混在している場合の受け皿になります。

12. NTT Security MDR（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTT SecurityのMDRサービスは、検知の通知で止めず、封じ込め・隔離の実行までをSOCが担うことを公式に明言しているサービスです。公式ページには「検知後の隔離・遮断までSOCが能動的に実施し、被害の拡大を物理的に防ぎます」と記載されています。アラートのトリアージも独自AIとアナリストが行うとされる一方、復旧支援をどこまで担うかは公式サイトに記載がありません。

監視は有人での24時間365日体制で、公式ページに「24時間365日セキュリティアナリストが貴社の専任チームとして機能」と記されています。日本とスウェーデンの2拠点にSOCを置き、ログは標準で400日間保存されます。

費用は初期費用0円・エンドポイント数課金で、ログ量を問わない定額と公式に示されています。ただし具体的な金額とEDRライセンス費の扱いは公式サイトに記載がなく、対応する製品名の列挙もありません（既存のEDR環境を活かせるとの記載にとどまります）。

13. CrowdStrike Falcon x マネージドEDRサービス（ＮＲＩセキュアテクノロジーズ株式会社）

2018年に、米国CrowdStrike社の製品を取り扱う日本初のマネージドセキュリティサービスプロバイダとして提供が始まりました。対象製品はCrowdStrike Falconに限られる代わりに、検知の通知からトリアージ、調査、端末隔離、復旧支援までを自社で一気通貫に引き受けます。

復旧支援を同一サービス内に持つ数少ない構成で、改ざん痕跡からのファイル削除やレジストリ修復を「ファスト・フォレンジック®」として自社アナリストが代行し、図解を用いた報告書まで提供します。

監視は24時間365日とされていますが、深夜・休日が有人かどうかの区別は公式サイトに記載がありません。課金は端末数単位で、公式ページには端末100台からと記され、金額は応相談です。初期費用とCrowdStrike Falconのライセンス費の扱いも記載がありません。

14. MDRサービス（株式会社日立ソリューションズ）

監視、初動対応、復旧支援、調査という4つの運用フェーズで構成され、必要なものを選んで組み合わせる形をとっています。封じ込め・隔離にあたる初動対応では、端末のネットワーク隔離やプロセス停止、ファイル削除までを同社の技術者が実施します。

対応するEDR/XDR製品として公式ページに6製品が列挙されており、CrowdStrike、Trend Micro Apex One、FortiEDR、VMware Carbon Blackなどが含まれます。製品ごとに個別のメニューが用意されているため、対応範囲やSLAは製品によって異なる場合があります。

24時間365日体制と記載されていますが、深夜・休日が有人かどうかの区別は公式サイトにありません。課金単位・初期費用・ライセンス費の扱いも記載がなく、いずれも問い合わせが必要です。ディスクフォレンジックやマルウェア解析といった詳細な調査は、別サービスのインシデントレスポンスサービスとして個別見積りで提供されます。

15. SOCアウトソーシング（EDR監視）（S&J株式会社）

アラートを脅威レベル1〜4で判定し、レベルごとに対応を変えるトリアージの設計を公表しています。トレンドマイクロのApexOne向けメニューでは、レベル3と判断した場合は隔離を実施し、アナリストが判断したレベル2〜4はメールでエスカレーション通知を行うと明記されています。

監視と自動隔離は24時間365日で、自社開発EDRのKeepEye®のページには、経験豊富なアナリストが24時間365日監視・分析するとの記載があります。一方、電話の受付は平日9時30分から18時30分に限られます。

対応製品はKeepEye®のほか、CrowdStrike、Microsoft Defender for Endpoint、Apex One、Trellixです。KeepEye®向けでは過検知対応やファイル復旧といった復旧支援も引き受けますが、課金の単位・初期費用・ライセンス費の扱いは公式サイトに記載がなく、個別見積りとなります。

16. NOZ SECURITY MSS（ソフトバンク株式会社）

ソフトバンク株式会社が提供する監視サービス群の総称で、エンドポイントを対象とするメニューが「MSS for EDR」です。公式ページはこの監視サービス群について「豊富な知識と経験をもつセキュリティ専門アナリストによる24時間365日の有人監視サービスです」と説明しており、有人であることを明記しています。

ただしこの記述は監視サービス群全体を指すもので、MSS for EDR の個別ページに同じ表記はありません。

MSS for EDRは複数のEDR製品に対応するとされ、対応製品としてMicrosoft Defender for Endpoint、CrowdStrike Falcon、Trend Vision One、Cybereason EDRが挙げられています。海外拠点向けには、英語での監視・問い合わせ対応も用意されています。

Microsoft Defender for Endpoint向けのページには、アラート監視から通知、判定、その後の封じ込めまでを自動化すると記載されています。ただし復旧支援の範囲、時間外の電話受付、課金の単位、EDRライセンス費の扱いは、いずれも公式サイトに記載がありません。

17. エンドポイントセキュリティ EDR-MSS（株式会社ブロードバンドセキュリティ）

公式ページに、セキュリティアナリストが端末隔離などの初動対応を24時間365日体制で実施すると明記されており、検知の通知からトリアージ、封じ込め・隔離の実行までを人が引き受ける構成です。アラート精査によるチューニングやホワイトリスト対応も対応範囲に含まれます。

対応するEDRは、SentinelOne Singularity Endpoint、VMware Carbon Black、Microsoft Defender for Endpointの3製品で、製品別に個別のページが用意されています。同社にはネットワーク境界機器を対象とする別のマネージドセキュリティサービスもありますが、そちらはエンドポイントを含みません。

標準の対応範囲は初動対応までで、復旧作業そのものについての記載はありません。重大なインシデント後の追加調査やデジタルフォレンジックには、連携して対応できるとされています。課金の単位・初期費用・EDRライセンス費の扱いは公式サイトに記載がなく、問い合わせが必要です。

18. セキュリティおまかせプラン プライム Plus（西日本電信電話株式会社）

月額料金を公式に開示している点が、他の多くのサービスと異なります。ゲートウェイ機器1台あたりの月額で、その機器が収容するクライアント数によって10台向け20,900円、50台向け23,100円、100台向け29,700円（いずれも税込）の3区分です。これに契約ごとの基本料金1,650円から3,300円（税込）が加わります（2026年8月時点）。

ただし、これはUTM「Biz Box UTM Cloud Edge」とエンドポイント向けツールをセットにしたパッケージで、すでに使っているEDRを持ち込んで監視だけを任せる形ではありません。初期費用として状況診断費と装置の設置・設定費がかかり、金額は問い合わせが必要です。

サポートは電話が9時から21時、メールでの通知が24時間365日と書き分けられています。異常を検知するとサポートセンターから連絡が入り、遠隔での対処と報告書の提出までを行いますが、封じ込め・隔離をどちらが実行するかは公式サイトから読み取れず、夜間帯に人が対応するかどうかも記載がありません。

ネットワーク・OT領域まで監視するMDR

エンドポイントに載せられない機器を、ネットワーク側の通信から監視します。EDR型と併用して死角を埋める使い方が中心です。

19. Vectra AI監視サービス（マクニカ株式会社）

ネットワークの通信を分析して脅威を検知するNDR製品「Vectra AI」のアラート監視を、国内一次代理店のマクニカ株式会社が関係会社のS&J株式会社とともに引き受けるサービスです。2022年12月に提供が始まりました。製品を開発している米Vectra AI, Inc.が国内で直接監視を提供しているわけではない点は、問い合わせ先を確認するうえで押さえておきたいところです。

マクニカの発表では「24時間365日、Vectra AIが発行する検知（アラート）に対応して、セキュリティ分析に優れたアナリストが脅威分析、顧客対応、対策報告書を提供します」と説明されています。通知の受け取りからトリアージ・調査にあたる脅威分析、報告書の作成までが対象で、封じ込めや隔離をマクニカ側が実行するかどうかは公式サイトに記載はありません。遮断の判断と実行は自社に残る前提で検討する範囲です。

有人対応の時間帯は24時間365日です。監視対象は「Vectra AIが収集した重要なネットワークメタデータ」とされており、ネットワーク領域が中心になります。マクニカが国内で扱うAWS・Microsoft Entra ID・Microsoft 365向けの検知製品が監視サービスの対象に含まれるかは、公式サイトに記載はありません。

課金の単位は、製品ライセンス費と監視サービス費が別立てかどうかも含めて公式サイトに記載はなく、問い合わせが必要です（2026年8月時点）。トライアルの相談窓口もマクニカが務めます。

20. Darktrace Managed Detection and Response（Darktrace Limited）

英国のDarktrace Limitedが、自社のグローバルSOCで運営しているMDRサービスです。組織固有の正常な挙動を学習する自己学習型AIが検知した異常を、100名を超えるアナリストが引き取って対応します。代理店ではなく製品を開発したベンダー本体が監視主体となる形です。

公式サイトには「They triage, investigate and escalate response actions on potentially severe incidents」と記載があり、トリアージと調査までを代行することは読み取れます。

ただし「escalate response actions」が対処の実行までを指すのか、顧客への引き継ぎに留まるのかは公式サイトからは判別できません。契約前に隔離の実行主体を確かめる必要があります。

有人対応は24時間365日で、英国・米国・シンガポールの拠点が時間帯を引き継ぐ体制と明記されています。監視対象はネットワーク・クラウド・SaaS・OTを横断する範囲です。エンドポイントについては、製品ラインにDarktrace/ENDPOINTがあるものの、MDRの監視対象として個別に明記した記述は確認できませんでした。

課金の単位は公式サイトに記載はありません（2026年8月時点）。国内でDarktrace本体が直接契約を受けるのか、認定パートナー経由が中心になるのかも公式サイトからは確認できないため、窓口の確認から始めることになります。

21. Unified MDR® for OT Security（株式会社NTTデータ）

監視の対象を、工場をはじめとする制御システム（OT）に絞ったサービスです。株式会社NTTデータが、リスクのアセスメントとロードマップ策定を行うコンサルティング、対策製品の導入、そして検知・対応・復旧を担うマネジメントサービスまでを段階的に提供します。約200名規模のグローバルOTセキュリティチームが監視にあたるとされています。

代行範囲は、マネジメントサービスの枠組みで「脅威の検知・対応・復旧」までを実施すると公式サイトに記載があります。ただし隔離などの作業をNTTデータ側が実行するのか、顧客への対処指示に留まるのかまでは公式サイトに記載はありません。フォレンジック調査を行うかどうかについても記載は確認できませんでした。

監視は「脆弱性・通信の24時間365日監視」とされ、専門家チームによる兆候の検知・対応が挙げられていますが、24時間365日が有人体制かどうかは公式サイトに記載はありません。監視対象はOT環境で、IT領域の監視は別サービスのUnified MDR® for Cyber Resilienceが担います。両方を見たい場合はシリーズの組み合わせが前提になります。

多様なOTプロトコルに対応するとの記載はありますが、対応プロトコル名や対応するOT-IDS製品の具体名は公式サイトに記載はありません。課金の単位も同様に記載がなく、問い合わせが必要です（2026年8月時点）。

MDRサービスを導入するメリット

ここからは、候補が絞れた読者が社内で導入を説明するときに使える観点を整理します。

夜間・休日を含む監視体制を、採用なしで持てる

24時間の監視を自社で組むには、交代勤務を回せる人数と、アラートを判断できる技能の両方が要ります。前述のとおりセキュリティ担当者は多くの企業で不足しており、採用で埋める前提の計画は時間がかかります。

MDRは、この体制を契約で用意する手段です。経済産業省とIPAのガイドラインも、人材を自社で雇用することが困難な場合に外部の専門ベンダーの活用を検討することが望ましいとしており、社内説明では「採用が難しいので諦める」ではなく「公的な指針が示す代替手段を採る」という説明が立ちます。

アラートの一次判断から解放され、担当者が本来の業務に戻れる

EDRのアラートには、正規の業務による誤検知が一定量含まれます。JPCERT/CCも「システムの誤検知や通報者の勘違いは少なくありません」と述べており、届いたものを一つずつ仕分ける作業が発生します。

この仕分けを外に出すと、社内に届くのは対処が必要と判断されたものだけになります。兼任の担当者が本来の業務を中断される回数が減り、届いた案件に集中できるようになります。導入効果を社内で示す際は、月あたりのアラート件数と、そのうち実際に対処が必要だった件数を並べると、削減される工数が具体的に伝わります。

復旧費用1,000万円超が5割、1か月以上が5割弱——止めるまでの時間を短くできる

侵入から気づくまでの時間が延びるほど、攻撃者が動ける範囲は広がります。翌営業日まで検知が放置される運用では、その間に横展開が進む余地を与えることになります。

いざ被害が起きたときの負担も見過ごせません。警察庁は令和7年のランサムウェア被害について次のように報告しています。

令和７年にランサムウェア被害に遭った企業・団体等に対して実施したアンケートの結果によると、令和６年に引き続き、ランサムウェア被害に関する調査費用、復旧費用が高額化しており、復旧に総額 1,000 万円以上を要した組織の割合は全体の５割を超えている。また、復旧に要した期間については、１か月未満で復旧した組織の割合は全体の５割強に留まるなど、被害が長期化する傾向にある

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（14頁）｜警察庁サイバー警察局

これは被害が成立した場合の数字であり、MDRを導入すればこの金額が下がると示すものではありません。ただ、復旧に1,000万円以上を要した組織が5割を超え、1か月以上かかった組織も5割近くに及ぶのであれば、検知から封じ込めまでの時間を短くする投資をどう見積もるかの材料にはなります。フルマネージド型を選ぶ判断は、夜間や休日に自社が動けない時間を埋めるという意味を持ちます。

出典・参考資料（2件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
• 出典：インシデントハンドリングマニュアル｜一般社団法人JPCERTコーディネーションセンター（https://www.jpcert.or.jp/csirt_material/files/manual_ver1.0_20211130.pdf）

MDR導入・運用で注意すべきこと

委託しても自社の仕事がゼロになるわけではありません。契約前に決めておかないと運用が止まる論点を挙げます。

委託しても自社に残る作業（隔離判断の承認、業務影響の判断、資産情報の提供）

監視と一次対応を任せても、その端末が何に使われていて、止めたときに誰の業務が滞るのかを知っているのは自社だけです。委託先は技術的な脅威度は判断できますが、業務上の重要度は判断できません。

IPAのプラクティス集も、EDRの管理やセキュリティ監視を外部委託の対象として挙げつつ、自社対応と外部委託の切り分けを明確にすることを求めています。実務上は、監視対象の資産台帳を提供し、更新があれば伝える作業、隔離の承認、業務影響の判断が自社に残ります。これらを誰が担うかを決めないまま契約すると、通知が来ても動けません。

責任分界点を決めておかないと、夜間に誰も動けない

外部への監視委託では、どちらがどこまで責任を持つかを明文化しておく必要があります。NISTのインシデント対応ガイドラインは、外部への委託を責任共有モデルとして捉え、委託先が単独で判断してよい範囲に制限がかかることを指摘しています。

実務で詰まりやすいのは、深夜に検知が出たときの承認経路です。「委託先は隔離を実行できるが、実行前に依頼元の承認が必要」という取り決めにした場合、その承認を誰がどの手段で出すのかまで決めておかないと、承認待ちで時間が過ぎます。逆に委託先の独断で切れる範囲を広げるなら、どの端末群までを対象にしてよいかの事前の線引きが求められます。

委託の内容に個人データの取扱いが含まれる場合は、個人情報保護法上の委託先の監督義務も併せて確認してください。

運用がブラックボックス化しないための報告と定例の設計

監視を任せると、自社にはセキュリティ運用の知見が蓄積されにくくなります。委託先が変わったときや、社内で説明を求められたときに、何も答えられない状態は避けたいところです。

対策は、契約時に報告の粒度と定例の頻度を決めておくことです。検知件数だけでなく、誤検知として処理した理由や、繰り返し起きている事象への改善提案が報告に含まれるようにします。委託先を狙った攻撃も組織にとっての脅威として認識されており、IPAの「情報セキュリティ10大脅威 2026［組織編］」では2位に挙げられています。委託先の管理という観点からも、定期的に運用状況を確認する場は必要です。

出典・参考資料（4件）

• 参考資料：NIST SP 800-61r3 Incident Response Recommendations and Considerations for Cybersecurity Risk Management｜National Institute of Standards and Technology（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf）
• 出典：サイバーセキュリティ経営ガイドラインVer3.0実践のためのプラクティス集 第4版｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/economics/hjuojm00000044dc-att/cms_practice_v4_1.pdf）
• 出典：情報セキュリティ10大脅威 2026［組織編］解説書｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2026.html）
• 参考資料：個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）

導入までの流れと期間・自社工数の目安

導入を決める前に「いつから監視が始まるのか」「自社は何をするのか」を見積もっておくと、社内調整がしやすくなります。

EDR導入済みの場合の流れ

すでにEDRが稼働していれば、作業は監視の受け渡しが中心になります。対応製品であることの確認、監視用の権限付与、通知先とエスカレーション経路の設定、初期のチューニングという順に進みます。

自社側の工数が集中するのは、監視対象の資産情報を渡す段階と、初期チューニングで誤検知の傾向を擦り合わせる段階です。既存の運用ルールを整理して渡せるかどうかで、立ち上がりの早さが変わります。

EDRから合わせて導入する場合の流れ

EDRを持っていない場合は、製品の選定と全端末への配布が先に入ります。メーカー型のMDRを選べば製品と運用をまとめて契約でき、窓口が一本化される利点があります。

この場合、端末への配布と既存のセキュリティ製品との共存確認に時間がかかります。監視が始まるのは配布が一巡した後になるため、導入スケジュールを引く際は、製品導入の期間を別に見込んでおく必要があります。

期間を左右する要素（端末台数、拠点数、既存ログの連携）

立ち上げに要する期間は、監視対象の端末台数、拠点の数、そしてEDR以外のログを連携させるかどうかで変わります。拠点ごとにネットワーク構成が違えば、その分だけ確認と調整が増えます。

公的な目安が示されている領域ではないため、期間は各社への見積もり依頼時に確認してください。その際、端末台数・サーバ台数・拠点数・導入済み製品名・連携したいログの種類を揃えて提示すると、各社の回答を比較できる形で受け取れます。

まとめ

MDRサービスを比べるときの軸は、名称でも「24時間365日」という表記でもなく、監視と対応のどこまでを委託先が手を動かすかです。検知の通知、トリアージ、調査、封じ込め・隔離、復旧支援という5つの工程に当てはめると、各社の説明がどこで止まっているかが読み取れます。

夜間に自社の担当者を起こせない事情があるなら、封じ込めまで実行するフルマネージド型が前提になります。業務停止の判断を外に出せないなら、トリアージまでを任せるセミマネージド型を選び、承認の経路を自社で設計します。社内で複数のEDRが混在しているなら製品を問わないMSSP型、工場の制御装置や古いサーバに死角があるならネットワーク側から見る型を組み合わせます。

費用は多くが非公開ですが、課金の単位と最低契約規模、EDRライセンス費が含まれるかどうかは問い合わせ前に整理できます。監視対象の台数と拠点数、導入済み製品名、夜間にどこまで任せたいかをまとめてから各社に当たると、条件を揃えた見積もりが返ってきます。

MCB FinTechカタログでは、これらのMDRサービスの資料を無料で請求できます。ぜひ各社の資料をご覧になって、自社に合う委託先の比較検討を進めてください。

よくある質問（FAQ）

Q. MDRサービスとは何ですか？

A. MDRサービスとは、企業のエンドポイントやネットワークを外部の専門事業者が継続的に監視し、脅威を検知した際の調査や対応までを代行するサービスです。買うのはソフトウェアではなく、監視する人と体制になります。

MDRという名称には公的な定義が置かれていません。経済産業省の「情報セキュリティサービス基準」が定義しているのは「セキュリティ監視・運用サービス」で、MDRは各社が自社の提供内容に付けた呼び名にとどまります。同じMDRを名乗っていても中身が揃わないため、検知の通知・トリアージ・調査・封じ込め・復旧支援という工程のどこまでを引き受けるかで比べる必要があります。

出典・参考資料（1件）

• 出典：情報セキュリティサービス基準｜経済産業省

Q. MDRサービスとSOC・MSSPは何が違いますか？

A. MDRサービスは運用の委託を商品化したサービスの名前で、これに対しSOCは監視を担う組織・体制、MSSPはその監視・運用を請け負う事業者を指す言葉です。指しているものの種類が違うため、並べて優劣を比べる関係にはありません。

SOCは自社に置くことも外部に持つこともできますが、自前で構えるなら24時間の交代勤務を組める人員と、アラートを判断できる技能を確保する必要があります。MDRは、その外部SOCを利用する形をサービスにしたものです。MSS（マネージドセキュリティサービス）はセキュリティ機器全般の監視・運用を請け負う総称で、MDRを含むより広い概念にあたります。

ただし、境界機器の稼働監視しか行わないMSSはEDRのアラート運用の受け皿にならないため、名称ではなく監視対象で確かめてください。

Q. EDRを導入していなくてもMDRサービスだけを契約できますか？

A. MDRサービスは監視対象となるEDR/XDR製品を前提に成り立っているため、製品を持たずに監視だけを契約することは基本的にできません。

EDRが未導入の場合は、製品の開発元が提供するメーカー型のMDRを選べば、製品と運用をまとめて契約でき窓口が一本化されます。ただし全端末への配布と既存のセキュリティ製品との共存確認が先に入り、監視が始まるのは配布が一巡した後です。社内説明のスケジュールを引く際は、製品導入の期間を別に見込んでおいてください。

Q. MDRサービスは端末数が少ない企業でも契約できますか？

A. MDRサービスには最小契約規模を設けているものがあり、監視対象の台数によっては契約の対象外になることがあります。

公表されている例では、FFRI yarai Managed Serviceが最小70ライセンス、NRIセキュアのマネージドEDRサービスが端末100台からと記されています。Microsoft Defender Experts MDRのPlan 2は、Microsoft Sentinelの利用と最低1,500ライセンスが前提条件です。

下限を公表していないサービスも多いため、自社の端末数とサーバ台数を先に伝えて、契約可能かを確認するのが確実です。

Q. MDRサービスの費用はどのくらいかかりますか？

A. MDRサービスは金額を公表しているサービスが限られ、相場として示せる公的なデータはありません。予算を組む段階では、金額そのものより何を数えて課金されるのか（端末数／ID・ユーザー数／ログ量）を押さえるほうが実用的です。

金額まで公開している数少ない例が、NTT西日本の「セキュリティおまかせプラン プライム Plus」です。ゲートウェイ機器1台あたりの月額を、収容クライアント数の区分ごとに10台向け20,900円、50台向け23,100円、100台向け29,700円（いずれも税込）と公表しており、これに契約ごとの基本料金1,650円から3,300円（税込）が加わります（2026年8月時点）。

ただしこれはUTMとエンドポイント向けツールをセットにしたパッケージで、すでに使っているEDRを持ち込んで監視だけを任せる形ではありません。

各社に見積もりを依頼する際は、課金の単位に加えて、初期費用の有無、最低契約期間、監視対象のEDR/XDRライセンス費が料金に含まれるかどうかを揃えて聞くと、条件をそろえた比較ができます。

Q. MDRサービスは契約してからどのくらいで監視が始まりますか？

A. MDRサービスの立ち上げ期間に公的な目安は示されておらず、監視対象の端末台数・拠点数・EDR以外のログを連携させるかどうかで変わります。

EDRがすでに稼働していれば、作業は監視の受け渡しが中心です。対応製品であることの確認、監視用の権限付与、通知先とエスカレーション経路の設定、初期のチューニングという順に進み、自社の工数が集中するのは資産情報を渡す段階と誤検知の傾向を擦り合わせる段階になります。EDRから導入する場合は、製品の選定と全端末への配布の期間が別に必要です。

期間を確認する際は、端末台数・サーバ台数・拠点数・導入済み製品名・連携したいログの種類を揃えて提示すると、各社の回答を比較できる形で受け取れます。

Q. MDRサービスの契約後にEDRを乗り換えると、委託先も変える必要がありますか？

A. メーカー型のMDRは対象が原則その製品に限られるため、EDRを乗り換えると委託先も変わります。一方、製品を問わないMSSP型は、乗り換え先が対応製品に含まれていれば委託先を変えずに済みます。

ただしMSSP型でも、対応できる製品は事業者ごとに決まっています。ブロードバンドセキュリティのEDR-MSSは3製品、ソフトバンクのMSS for EDRは4製品というように範囲が定められています。

将来の乗り換えを視野に入れているなら、選定の時点で対応製品の広さを確認しておくと選択肢が残ります。

Q. MDRサービスに端末の隔離を任せると、夜間に業務が止まってしまいませんか？

A. 隔離は業務を止める操作でもあるため、委託先が独断で切ってよい端末の範囲と、実行前に自社の承認を取るかどうかを契約時に取り決めておくことになります。技術の問題ではなく取り決めの問題です。

実際の設計はサービスによって異なります。S&Jの EDR監視サービス(MDR) は脅威レベルを1〜4で判定し、レベル3以上で隔離を実施すると公表しています。ESET PROTECT MDRでは、下位のMDR Liteが検知した脅威の駆除・隔離を自動で実行する一方、上位のMDR Ultimateは対応の前に依頼元へ報告してネットワーク隔離の可否を確認する流れです。

承認を挟む設計にする場合は、深夜の通知を誰が受けてどの手段で承認を出すのかまで決めておかないと、承認待ちで時間が過ぎます。逆に委託先の判断で切れる範囲を広げるなら、生産ラインの端末や役員の端末を含めてよいかを事前に線引きしておいてください。

Q. 海外ベンダーのMDRサービスは日本語で利用できますか？

A. 製品自体が日本語で使えることとMDRサービスが日本語で提供されることは別の話で、サービスが英語のみの提供になっている例があります。

Microsoft Defender Experts MDRは、公式ドキュメントに「現在、このサービスは英語でのみ利用できます」と明記されています。あわせてSOCが国内にあるかどうかも確認しておきたい点で、時差のある拠点で運用されている場合、通知は届いても込み入った相談は翌営業日になることがあります。

海外の検知エンジンを国内ベンダーが日本語窓口と国内SOCで提供する形もあるため、製品の出自だけで判断しないでください。

Q. MDRサービスの事業者を公的な情報で確かめる方法はありますか？

A. IPA（情報処理推進機構）が公開している「情報セキュリティサービス基準適合サービスリスト」で、その事業者のサービスが国の定める基準に適合しているかを確認できます。ただし登録は任意で、掲載されていないことがサービスの質を示すわけではありません。

実際、本記事で扱っているサービスの多くはこのリストに掲載されていません。公的な登録の有無だけで絞り込むのではなく、サンプルレポートを提示してもらい、誤検知として処理した内容とその理由が読み取れるか、繰り返し発生している事象への改善提案が入っているかを見るほうが、運用の実態を判断しやすくなります。定例会の有無と頻度、そこに出てくるのが営業担当かアナリストかも判断材料になります。

出典・参考資料（1件）

• 参考資料：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）

MDRサービスの料金・手数料を一括チェック

MCB FinTechカタログでは、MDRサービスをはじめとするセキュリティ監視・運用サービスの最新資料をまとめて請求できます。代行範囲や監視体制、課金の単位は各社の資料で比較できますので、候補を絞り込む際にご活用ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。