セキュリティ運用は外注できる？任せられる範囲と費用相場・依頼先の選び方を解説

UTM（複数のセキュリティ機能を集約した機器）やアンチウイルス、EDR（端末上で脅威を検知・対応する仕組み）は導入したものの、アラートが鳴っても夜間や休日は見きれません。通知が本当に危険なものか判断できる人が社内にいない——。そんな状態で「セキュリティ運用を外に任せられないか」と考える企業が増えています。背景には、中小企業にまで広がるランサムウェア被害があります。

ただ、いざ外注を検討すると「何を・どこまで任せられるのか」「丸投げできるのか」「結局いくらかかるのか」が分かりにくく、MSS・SOC・MDRといった言葉の違いも整理がつかないまま止まってしまいがちです。

本記事では、セキュリティ運用の外注で「任せられる業務」と「自社に残る判断・責任」の線引きを整理します。あわせて、MSS・SOC・MDR・SOCaaSの違いと悩み別の選び分け、業務別・監視範囲別の月額費用の目安、依頼先の選び方と見積もり・契約で確認すべき点までを解説します。自社の規模と残っている体制に合う外注の範囲を見極める材料としてご活用ください。

セキュリティ運用の外注とは？なぜ外注・運用代行が増えているのか

セキュリティ運用の外注とは、ログやアラートの監視、通知内容の切り分け、インシデント発生時の初動、脆弱性の管理といった「導入後に回し続ける業務」を、専門の事業者に委託することを指します。セキュリティ製品は導入して終わりではなく、鳴ったアラートを誰かが見て、危険かどうかを判断し、必要なら対処する体制があって初めて機能します。

この運用を担う人材や時間が社内で確保できないことが、外注を検討する出発点になります。

運用代行のニーズが高まっている背景には、攻撃の増加があります。警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、同上半期のランサムウェアの被害報告件数は123件で、半期の件数としては統計開始（令和2年下半期）以降で最多となりました。被害企業を規模別で見ると中小企業が約6割、業種別では製造業が約3割を占めています。

復旧に総額1,000万円以上を要した組織が全体の6割にのぼり、1か月未満で復旧できた組織は5割弱にとどまるなど、被害の長期化・高額化も見てとれます。

出典・参考資料（1件）

• 出典：令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」でも、組織向けの第1位は「ランサム攻撃による被害」で、10年連続10回目の選出となっています。経営層から「自社は大丈夫か」と問われる機会が増え、専任のセキュリティ担当者を置きにくい企業ほど、24時間の監視や侵入後の対応を自社だけで完結させることが難しくなっています。

同じ被害報告では侵入経路としてVPN機器が約5割を占めており、UTMやEDRを導入していても、すり抜けや設定不備を突かれると侵入後の対応が追いつかない実態もうかがえます。こうした状況が、運用の一部または全部を外部に任せる動きにつながっています。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2025｜IPA（独立行政法人情報処理推進機構）

セキュリティ運用は何を・どこまで外注できる？任せられる範囲と自社に残る判断

結論から言うと、監視や分析、初動対応といった実務の多くは外注できますが、事業への影響を踏まえた意思決定と、法令で事業者に課された義務は自社に残ります。運用を外に出しても丸投げにはならず、最後の判断と責任は社内に残り続けると考えておくのが現実的です。次の表は、運用業務ごとに外注先に任せられるものと、自社に残るものを対で整理したものです。

※上記は一般的な運用業務の整理です。実際に任せられる範囲は各社のサービス内容・契約形態によって異なります。

特に注意したいのが、個人情報の漏えいが起きたときの報告義務です。個人情報保護法第26条は、一定の漏えい等が生じた場合に個人情報保護委員会への報告を事業者に義務づけています。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

出典：個人情報の保護に関する法律 第26条｜e-Gov法令検索

同条のただし書では、個人データの取扱いの委託を受けた事業者（＝外注先）が委託元に通知したときは、その外注先は報告を免除されると定めています。裏を返すと、委員会への報告義務と本人への通知義務は委託元である自社に残るということです。

報告が必要になるのは、要配慮個人情報を含む漏えい、不正利用により財産的被害が生じるおそれがある漏えい、不正の目的によるおそれがある漏えい、本人の数が1,000人を超える漏えいなどの場合です。期限は、速報が発覚後速やかに（目安として3〜5日以内）、確報が30日以内（不正の目的によるおそれがある場合は60日以内）とされています。

出典・参考資料（1件）

• 出典：漏えい等の対応とお役立ち情報｜個人情報保護委員会

さらに、個人情報保護法第25条は委託元に対し、委託先への「必要かつ適切な監督」を義務づけています。運用を外注しても委託先を監督する責任は残るため、「任せたら自社は何もしなくてよい」という意味での丸投げはできません。外注を検討する際は、こうした自社に残る判断・義務を前提に、どこまでを任せるかを設計することが出発点になります。

外注後も自社に残るこの報告・通知が、実際に漏えいが起きたときにどんな順で動くものなのかは、あらかじめ押さえておくと安心です。以下の記事で、初動対応から事実調査、個人情報保護委員会への報告・本人への通知、再発防止までの流れを、報告義務の対象類型や期限とあわせて順を追って解説しています。

MSS・SOC・MDR・SOCaaS は何が違う？「何を任せる契約か」で選び分ける

セキュリティ運用の外注を調べると、MSS・SOC・MDR・SOCaaSといった言葉が次々に出てきます。これらは厳密に区切られた規格ではなく、業界で一般に使われている呼び方ですが、「何を任せる契約か」という視点で捉えると選び分けがしやすくなります。ポイントは、監視して通知するところまでなのか、検知後の対処まで含むのか、そして機器の運用まで任せられるのか、という点です。

MSS・SOC・MDR・SOCaaS の違い

次の表は、4つの類型を「主に任せる範囲」「機器の運用・設定変更」「監視ツールの提供」「向く企業像」で整理したものです。サービス名ではなく契約の性格の違いとして捉えてください。

※用語は業界で一般に使われている意味での整理です。各社のサービス名と提供範囲は名称だけで判断せず、契約内容で確認してください。

自社の悩み別・どれを選ぶか

類型の違いは、自社の悩みに引き寄せると選びやすくなります。夜間・休日のアラートを見きれないことが主な課題で、通知を受けたら対応は自社でできるなら、監視と通知を担うSOCサービスやSOCaaSが起点になります。一方、通知を受け取っても危険度を判断し対処できる人がいないのであれば、検知から封じ込め・初動対応まで踏み込むMDRが候補になります。

UTMやファイアウォールの運用も含めてまとめて任せたいなら、機器運用を含むMSSが合います。

重要なのは、「通知まで」で止まる契約か、「対処まで」踏み込む契約かを最初に確認することです。監視だけを委託した場合、通知を受けた後に誰が・何を・どこまでやるかは自社に残ります。前の章で見たとおり、システムの隔離やサービス停止の判断は外注先に委ねられないため、対処まで含む契約でも最終判断は社内に残る点は押さえておきましょう。

セキュリティ運用の外注費用はいくら？業務別・監視範囲別の月額の目安

「月30万円くらいかかると聞いたが本当か」という疑問は、外注を検討する多くの担当者が持ちます。費用は委託する業務の範囲と監視対象によって大きく変わるため一概には言えませんが、各社が公表している月額の目安を突き合わせると、おおよその相場観はつかめます。

次の表は、業務・監視範囲別に公表値を整理した目安です。権威ある公的な相場統計があるわけではなく、金額は監視対象の端末数・ログ量・監視時間・対象範囲によって大きく変動します。あくまで出発点として捉え、実際の費用は各社の見積もりで確認してください。

※各社が公表する料金の目安を整理したもので、特定のサービスの価格ではありません。実際の費用は対象範囲・監視時間・端末数により変わるため、見積もりで確認してください。

「月30万円」という相場観は、24時間のSOC監視やフルマネージドのように監視範囲が広い契約の目安に近い数字です。逆に、守る対象を絞ってログ監視やEDR運用だけを委託すれば、月額5万〜25万円程度から始められる場合もあります。

表では24時間SOC監視の上限（80万円）がフルマネージド（50万円）より高くなっています。これは監視対象やログ量が増えるほどSOC監視の費用が上振れしやすく、フルマネージドの目安には対象範囲を絞った中小向けパッケージの価格帯が含まれるためです。範囲や前提がそろわないと単純な高い・安いの比較にはならないため、同じ条件で見積もりを取って比べることが大切です。

まずはリスクの高い領域に範囲を絞り、必要に応じて広げていく進め方が、費用を抑えつつ運用を外に出す現実的な方法です。

IT導入補助金などの制度が使えるケースもありますが、対象や要件は制度ごとに異なるため、利用を前提にせず費用を見積もるのが無難です。

費用を考えるうえで見落としがちなのが、被害が起きた後のコストです。前述の警察庁の調査では、復旧に総額1,000万円以上を要した組織が6割を占めています。事前の運用投資と、被害発生時の復旧コストを並べて考えると、運用の外注はコストというより損失を抑えるための投資として捉えられます。

自社で運用するのと外注、どちらが現実的か（人件費・自前SOCと外注の比較）

運用を外注せず、自社で抱える選択肢もあります。ただし、中小〜中堅企業にとっては現実的なハードルがいくつかあります。

第一に、専任人材の確保です。セキュリティ運用を担える人材は採用競争が激しく、正社員で採用する場合の人件費は年600万〜1,000万円程度が一つの目安とされます（経験や地域によって変わります）。しかも1人では24時間365日の監視をカバーできず、交代制で体制を組むには複数名が必要なため、人件費は継続的な固定費としてかさみます。

第二に、自前でSOC（監視・分析の体制）を構築する場合、監視基盤の整備や分析ツールの導入に初期で数百万円規模以上の投資がかかることもあり、運用に乗せた後も人材の人件費が発生し続けます。専門性の高い業務ゆえに属人化しやすく、担当者の離職が運用の穴に直結するリスクもあります。

こうした自社運用のコストを、前の章で見た外注費用と並べて考えてみます。守る対象を絞れば月額5万〜25万円程度、24時間監視を含む契約なら月額30万〜80万円程度が外注費の目安です。必要な範囲によっては、外注のほうが費用を抑えつつ専門性を確保できる場合があります。いずれも幅のある目安なので、自社の監視対象と残せる体制をもとに見積もりで突き合わせて判断してください。

ただし外注でも、通知後の判断や委託先の監督は自社に残るため、外注すれば人件費がゼロになるわけではありません。現実的な落としどころとして、日中は自社で対応し夜間・休日だけ監視を外注する、あるいは監視は外部に任せて対応判断は社内に残すといった、業務を分けて組み合わせる進め方もあります。

自社に残せる体制と、外に出したい時間帯・業務を切り分けて考えると、過不足のない形が見えてきます。

依頼先の選び方と、見積もり・契約で確認すべき点

任せる範囲と費用感が固まったら、依頼先の比較に進みます。ここでは、選定時に見る観点、見積もりの読み方、発注前のチェックリストの順に整理します。

依頼先を選ぶときの観点

まず確認したいのは、対応範囲が自社の課題と合っているかです。前半で整理した「通知まで」か「対処まで」かを、サービス名ではなく契約内容のレベルで突き合わせます。次に、自社の環境（使っている機器・EDR・クラウド）に対応できるかを確認します。既存のツールをそのまま活かせるのか、指定の製品に揃える必要があるのかで、導入の手間とコストが変わります。

さらに、インシデント対応の実績や、自社と同程度の規模・業種での導入経験があるかも判断材料になります。小規模でも受けてもらえるか、導入時にどこまで支援してくれるかは、専任担当者がいない企業ほど重要です。安さや「丸投げできる」という訴求だけで選ぶと、いざというときに想定外の追加費用や対応範囲のずれが表面化しやすいため、範囲と実績を軸に比較することをおすすめします。

見積もりの読み方とSLA・契約で確認すべき点

見積もりは総額だけでなく、内訳と「含まれていないもの」を確認します。月額の監視費用が安く見えても、インシデント発生時の対応が都度課金になっていると、有事に費用がふくらむ構造になっていることがあります。初期費用、監視対象を追加した場合の費用、レポート作成の費用などが別料金になっていないかを、同じ前提条件で各社に見積もりを依頼して比較すると、数字が揃えやすくなります。

合わせて、サービス品質の取り決め（SLA）として、通知までの時間や対応の範囲がどう定められているかを確認します。委託では自社の機密データを外部が扱う場面も生じるため、監視対象とするデータの範囲、保管場所、再委託の可否、秘密保持契約（NDA）の内容は契約前に確認しておきたい項目です。

前述のとおり委託先を監督する責任は自社に残るため、再委託やデータの取扱いの条件を契約前に把握しておくことは、法令上の監督責任を果たすうえでも欠かせません。

発注前チェックリスト

発注前に、次の項目を確認しておくと、契約後のずれや稟議での説明に役立ちます。

• 任せる業務の範囲は「通知まで」か「対処まで」か、契約内容で明確になっているか
• インシデント対応は月額に含まれるか、都度課金か
• 初期費用・監視対象の追加費用・レポート費用など、別料金になる項目はないか
• 監視対象とするデータの範囲・保管場所・再委託の可否・NDAの内容を確認したか
• 自社の規模でも受けてもらえるか、導入支援はどこまであるか
• 外注後も自社に残る判断（隔離・停止の判断、個人情報保護委員会への報告、委託先の監督）を、社内の誰が担うか決めているか

これらを押さえておくと、「どの業務を、どの範囲まで、月額いくらで外注し、どの判断は自社に残すか」を一枚に整理でき、経営層や上長への説明もしやすくなります。

セキュリティ運用を外注するメリット・デメリットと、よくある失敗

外注するメリット

最大のメリットは、自社だけでは組みにくい夜間・休日を含む監視体制や、インシデント時の対応体制を、月額の費用で確保できる点です。自社で採用・育成しづらい専門知識を必要なときに利用でき、結果として、情報システム担当者が本来注力すべき業務に時間を割きやすくなります。

デメリット・注意点

一方で、外注しても自社に残る責任があります。システムの隔離・停止の判断、個人情報保護委員会への報告、委託先の監督は自社の役割として残り続けます。また、運用を外部に委ねると、どの程度のことが行われているかが社内から見えにくくなりがちです。月次レポートの確認や定例の打ち合わせで、委託先の対応状況を把握し続ける運用が必要になります。

契約範囲の外にある業務は対応されないため、「任せたつもりが対象外だった」という認識のずれにも注意が必要です。

よくある失敗パターン

よくある失敗の一つは、「丸投げできる」と考えて契約し、通知を受けても社内で誰も判断できず対応が止まってしまうケースです。外注先が通知や助言をしても、隔離や停止の判断は自社に残るため、受け手となる担当者を社内で決めておかないと運用が機能しません。

もう一つは、月額の安さだけで選んでしまうケースです。前章で触れた見積もりの内訳を確かめずに月額の数字だけで決めると、対応範囲が自社の課題に足りなかったり、有事の対応が別料金で想定より高くついたりします。安さではなく、自社の課題を解決できる範囲かで選ぶことが、こうした失敗を避ける近道です。

セキュリティ運用の外注・支援に使えるサービス

セキュリティ運用の依頼先は、大きく2つの方向があります。1つは、24時間365日の監視から検知・対処までをまるごと任せるMSS・MDRの事業者です。もう1つは、現状の対策が機能しているかを客観的に診断し、対策を自社で進められるよう伴走してもらう運用支援型のサービスです。

監視をまるごと任せる前者の依頼先を具体的に比べたい場合は、以下の記事で代行範囲・監視体制・課金単位ごとに整理しています。「24時間365日」をうたう各社が実際にどこまで手を動かすのかを見比べられるので、依頼先の絞り込みに使えます。

ここからは、もう一方の運用支援型として、専任のセキュリティ担当者を置きにくい企業でも使えるサービスを紹介します。監視を丸ごと代行するタイプとは役割が異なる点に注意しながら、自社に合う使い方を検討してください。

KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

株式会社SYNCHROが提供するKATABAMIは、サイバー攻撃対策を「予防・復旧・補償」の3本柱で束ねた国産の対策パッケージです。24時間の監視を代行するMSSやMDRとは性格が異なり、月次の脆弱性診断と対策の伴走支援を軸に、専任担当者がいない企業でも運用を回せるように支えるタイプのサービスです。

• 予防（脆弱性診断）：ネットワークの内部から月次（年12回）で脆弱性を検出し、改善策を提示します。複合機の初期パスワードの放置や、管理者権限の設定不備など、内部に入られたときに悪用されやすい弱点を定期的に洗い出す「定期検診」の位置づけです。
• 復旧（隔離バックアップ）：隔離された経路を通じてデータを自動バックアップし、万一ランサムウェア被害を受けた際の復旧に備えます。
• 補償（サイバー保険）：あいおいニッセイ同和損害保険のサイバー保険を自動付帯したパッケージを提供しています。

診断結果をもとにした相談会を原則毎月（事情に応じて2か月に1回などへ調整可）行い、パスワードの変更や権限設定の見直しといった対策の進め方まで説明します。ただし、対策の実行そのものは利用企業が主体で進める伴走型で、自社が自走できる状態に近づけることを狙いとしている点が特徴です。

料金は診断する端末（ノード）数と診断頻度で変わり、公式サイトによると1台あたり月額1,250円から（2026年時点）とされています。

導入にあたっては無料のヒアリングが用意されているため、自社の規模での費用感はミーティングで相談できます。

対策の実行を利用企業に委ねる伴走型をとる理由について、提供元はインタビューで次のように述べています。

まとめ

セキュリティ運用の外注では、監視・分析・初動対応といった実務の多くを任せられますが、システムの隔離・停止の判断、個人情報保護委員会への報告、委託先の監督は自社に残ります。「丸投げ」ではなく、どの業務をどこまで任せ、どの判断を社内に残すかを設計することが出発点です。

MSS・SOC・MDR・SOCaaSは「何を任せる契約か」で選び分け、費用は業務・監視範囲によって月額5万円台から数十万円までと幅があります。まずはリスクの高い領域に範囲を絞り、見積もりの内訳と「含まれないもの」を揃えて比較することで、過不足のない外注の形が見えてきます。

自社の規模や守るべき対象に合わせて、監視や運用支援、対策パッケージといった選択肢を比較し、必要な範囲から外部の力を取り入れることを検討してください。

運用の外注とあわせて「自社は何を・どう守るべきか」から全体像を捉え直したい場合は、以下の記事が役立ちます。守る対象（端末・ネットワーク・認証・データなど）ごとにソリューションのタイプと代表的なサービス・選び方を整理しているので、外注する範囲を決める前の土台づくりに活用できます。

よくある質問（FAQ）

Q. セキュリティ運用の外注とは何ですか？

A. セキュリティ運用の外注とは、ログやアラートの監視、通知の切り分け、インシデント発生時の初動対応、脆弱性管理といった「製品の導入後に回し続ける業務」を、専門の事業者に委託することです。セキュリティ製品は導入して終わりではなく、鳴ったアラートを誰かが見て危険かどうかを判断し、必要なら対処する体制があって初めて機能します。

この運用を担う人材や時間を社内で確保できない企業が、業務の一部または全部を外部に任せる選択肢です。

Q. セキュリティ運用は外注すれば丸投げできますか？

A. セキュリティ運用を外注しても、監視・分析・初動対応の実務は任せられますが、システムの隔離・停止の判断や、個人情報保護法上の報告義務、委託先の監督は自社に残るため、完全な丸投げにはなりません。特に、個人情報の漏えい等が起きた際の個人情報保護委員会への報告・本人への通知は委託元の義務として残り、委託先への「必要かつ適切な監督」も個人情報保護法第25条で求められます。

通知を受けたときに誰が判断するかを社内で決めておくことが、外注を機能させる前提になります。

出典・参考資料（1件）

• 出典：個人情報の保護に関する法律（第25条・第26条）｜e-Gov法令検索

Q. 社員数十名の小規模な会社でもセキュリティ運用の外注は頼めますか？

A. 社員数十名規模の小規模な企業でも、守る対象を絞ってログ監視やEDR運用から始めれば、セキュリティ運用は外注できます。外注の要否は企業規模よりも、扱う情報の重要性で判断するのが実務的です。端末単位で契約できるパッケージ型のサービスもあり、リスクの高い領域に範囲を絞れば月額を抑えて始められます。

専任担当者がいない場合は、緊急連絡を受ける担当者を社内に1名決めておくことと、導入支援がどこまで付くかを確認しておくと、運用に乗せやすくなります。

Q. セキュリティ運用の外注は「通知まで」と「対処まで」のどちらを選べばいいですか？

A. 夜間・休日のアラートを見きれないことが課題で通知後は自社で対応できるなら「通知まで」、通知を受けても危険度の判断や対処ができる人が社内にいないなら「対処まで」を含む契約が向きます。監視だけを委託した場合、通知を受けた後に「誰が・何を・どこまでやるか」は自社に残ります。機器の運用も含めてまとめて任せたいならMSS、侵入時の検知から封じ込め・初動対応まで任せたいならMDRが候補です。

いずれの場合も、システムの隔離やサービス停止の最終判断は自社に残る点は共通します。

Q. セキュリティ運用を外注すると、自社の機密情報は委託先に見られてしまいますか？

A. 監視の対象になるのは通信ログやアラートなどの技術的な情報が中心で、どこまでのデータを委託先が扱うかは契約で定められます。委託では自社のデータを外部が扱う場面が生じるため、監視対象とするデータの範囲・保管場所・再委託の可否・秘密保持契約（NDA）の内容を、契約前に確認しておくことが重要です。

個人情報保護法第25条は委託元に委託先の「必要かつ適切な監督」を義務づけているため、これらの条件を把握しておくことは、法令上の監督責任を果たすうえでも欠かせません。

Q. セキュリティ運用の外注で結ぶ準委任契約と請負契約は何が違いますか？

A. 準委任契約は業務を遂行すること自体を、請負契約は成果物を完成させることを目的とする契約で、継続的なセキュリティ運用の監視・対応には準委任契約が用いられることが多いです。監視やトリアージのように「決まった成果物」を定義しにくい継続業務は準委任が適し、脆弱性診断やペネトレーションテストのように報告書という成果物が明確なスポット業務は、請負で発注されることがあります。

契約形態によって委託先に求められる責任の範囲が変わるため、見積もり時にどちらの契約なのかを確認しておくとよいでしょう。

Q. セキュリティ運用の外注費用は月30万円が相場というのは本当ですか？

A. 「月30万円」は24時間365日のSOC監視やフルマネージドのように監視範囲が広い契約の目安に近い数字で、守る対象を絞ればログ監視やEDR運用は月額5万〜25万円程度から始められる場合もあります。費用は監視対象の端末数・ログ量・監視時間・対象範囲によって大きく変わり、公的な相場統計があるわけではありません。

各社が公表する目安はあくまで出発点と捉え、同じ前提条件で複数社に見積もりを依頼して確認するのが確実です。

Q. セキュリティ運用の外注の見積もりが各社バラバラで比較できないときはどうすればいいですか？

A. 守る対象・監視時間・インシデント対応を月額に含むかといった前提条件（スコープ）を先に自社で揃え、同じ条件で各社に見積もりを依頼すると比較しやすくなります。見積もりは総額だけでなく、初期費用・監視対象を追加した場合の費用・レポート作成費用・インシデント対応が都度課金かどうかといった「含まれていないもの」まで確認します。

監視費用が安く見えても、有事に費用がふくらむ構造になっていることがあるため、内訳を揃えて見比べることが大切です。

社内セキュリティソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、セキュリティ運用の外注・支援に使える法人向けサービスの最新資料を無料で一括請求できます。対応範囲・料金・サポート体制を見比べて、自社に合う依頼先を効率的に探せます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。