「セキュリティを強化しなければ」と思って調べると、必ず出てくる言葉があります。SIEM（シーム）。
SIEMは強力なツールです。ただ、導入を検討するうちに「これ、うちの規模に合っているのか？」という疑問が出てくることも多いのではないでしょうか。
この記事では、SIEMとは何か、どんな組織に向いているのか、そして中小企業が現実的に取れる選択肢を整理します。
SIEMとは何か
SIEM（Security Information and Event Management）とは、社内のあらゆるシステムから出るログを一か所に集め、不審な動きを自動で検知するセキュリティ監視システムです。
たとえば、こんな相関分析ができます。
- 「同じアカウントが30秒に1回パスワードを試している → ブルートフォース攻撃の疑い」
- 「マルウェアが検知された端末が、10分後に社外の不審なIPへ通信している → C2通信の疑い」
- 「深夜2時にアメリカからログイン → 普段は東京から昼間だけ利用するユーザー」
EDR単体やファイアウォール単体では見えない「攻撃の流れ」を可視化できるのがSIEMの強みです。
SIEMが想定している運用体制
SIEMは非常に強力ですが、その力を引き出すには相応の体制が必要です。
専任エンジニアとSOCチーム
SIEMは「入れたら終わり」ではなく、継続的な運用が前提の製品です。
- ログソースの設計・設定・チューニング
- アラートのしきい値調整（誤検知・見逃しの削減）
- 日々のアラートトリアージ（優先度の判断）
- ルールの更新・メンテナンス
大手企業ではSOC（Security Operations Center）チームがこれを担います。SIEMはそのSOCを支える基盤として設計されています。
導入・運用コスト
主要なSIEM製品（Splunk・Microsoft Sentinel・IBM QRadar等）の初期構築費用は数十万〜数百万円が一般的で、クラウド型でもログ量に応じた従量課金が積み上がります。SOCチームの人件費も含めると、相応の投資規模になります。
これは大企業においては合理的な投資ですが、セキュリティ専任者がいない・予算が限られている組織では、導入後の継続運用がボトルネックになりやすいです。
中小企業が最低限カバーしたい3つのゴール
規模や体制が異なる中小企業が、まず押さえておきたいゴールはシンプルです。
- 重大インシデントをいち早く知る（ランサムウェア感染、不正ログイン等）
- 何が起きたかを後から確認できる（ログの記録・保全）
- IPAや取引先から「ちゃんとやっている」と証明できる（証跡の整備）
これらのゴールに対して、どのアプローチが自社の体制と合っているかで選択肢が変わります。
選択肢の比較
| フルSIEM | マネージドSIEM/MDR | AI分析特化型 | |
|---|---|---|---|
| 月額コスト | 数十〜数百万円 | 中〜高（運用込み） | 低〜中 |
| 専任エンジニア | 必要 | 不要 | 不要 |
| 導入期間 | 数ヶ月〜1年 | 数週間〜 | 数日 |
| 向いている規模 | 300名〜 | 100名〜 | 30〜300名 |
| カスタマイズ性 | 高 | 中 | 限定的 |
マネージドSIEM/MDRは専任エンジニアが不要という点で中小企業にも選択肢になりますが、コストはSIEM本体＋運用代行で高めになりやすいです。
AI分析特化型のアプローチと最小構成
専任エンジニアを置かずに「3つのゴール」をカバーする現実的なアプローチとして、AI分析特化型があります。
各ベンダー（EDR・IDaaS・SASE等）のAPIからログを収集し、AIが自動解析して重大インシデントだけを通知する構成です。
CrowdStrike / Entra ID / Okta / Zscaler
↓ API収集（Lambda / EventBridge）
Bronze層 各ベンダーから元ログをそのまま保存（改ざん不可の原本）
↓ 正規化
Silver層 ベンダー固有のログ表記を整える（相関分析の土台）
↓ PIIハッシュ化（Sanitizer）
Gold層 SanitizerがPIIをハッシュ化して保存（通知時に実名を復元する唯一の出口）
↓ AI分析（Claude Haiku / Amazon Bedrock）
Platinum層 Claude Haikuが重大度・影響・対応策を日本語で生成
↓
Teams / Slack 通知 ＋ ダッシュボード
ポイントは PII（個人情報）をログ内でハッシュ化し、AIには匿名化済みデータのみを渡す設計です。顧客のAWSアカウント内にデータを閉じたまま、コンプライアンスを維持できます。
ルール定義もしきい値設定も不要で、専任エンジニアがいない環境でも24時間365日の監視が動きます。フルSIEMほどの柔軟性はありませんが、中小企業が必要とする基本的な検知・通知・記録はカバーできます。
SCS評価制度（経産省）との関係
2026年以降、**経済産業省のサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）**が広がりつつあります。大企業が取引先に「セキュリティ対策の証明」を求めるケースが増えており、中小企業も対応を求められる場面が増えています。
SCS★4の技術要件の多くは、AI分析型の軽量監視サービスでもカバーできます。
| SCS★4 要件 | AI分析型での対応例 |
|---|---|
| 24時間の異常監視 | Lambda常時稼働で対応 |
| 60分以内の重大インシデント通知 | 検知から数分以内にTeams/Slack通知 |
| 定期的なセキュリティレポート | 週次・月次レポートをAIが自動生成 |
| ログの取得・定期レビュー | S3にBronze〜Platinum層で蓄積 |
まとめ
- SIEMは大規模なSOC体制を持つ組織に向けた強力なツール
- 中小企業では導入後の継続運用がボトルネックになりやすい
- 「重大インシデントの検知・ログ保全・証跡整備」という目的に絞るなら、AI分析特化型が現実的な選択肢のひとつ
- SCS評価制度の広がりで、何らかの監視体制の整備は今後の取引条件に関わってくる
どのアプローチが合っているかは組織の規模・体制・予算によって異なります。「フルSIEMは大げさだが、何もしないままでは困る」という状況であれば、まず目的を絞って最小構成から始めることをおすすめします。
中小企業向けにこの構成を実装したサービスが BonaBase BBSAC です。CrowdStrike・Entra ID・Okta・Zscaler等のログをAI（Claude Haiku）が自動解析し、重大インシデントをTeams/Slackに日本語で通知します。