「EDRを導入したので、うちのセキュリティ対策はもう大丈夫です」
そうお話しされる経営者の方は少なくありません。ただ、EDRは導入しただけで自動的に会社を守ってくれる仕組みかというと、実はそうとも限りません。設定の内容によっては、「異常に気づいてはいたけれど、止まらなかった」という結果になり得るからです。
この記事では、専門部署を持たない中小企業の経営者や、情報システムを兼任されている担当者の方に向けて、EDR導入の際に見落とされやすい「検知した後どうなるのか」という論点を、なるべく専門用語を使わずに整理します。
EDRとは、社内を見回る警備員のようなものです
EDRは「Endpoint Detection and Response」の略で、日本語にすると「端末での検知と対応」です。端末とは、社員が使うパソコンやサーバーのことを指します。
従来のウイルス対策ソフトとの違いは、守る場所です。
- ウイルス対策ソフト：入口に立つ門番。既知の不審なファイルが入ってこないよう、入口で止めます。
- EDR：社内を見回る警備員。入られた後を前提に、端末の中の「おかしな動き」を見つけます。
近年の攻撃は、そもそも入口を突破することを前提に設計されています。正規のIDとパスワードで堂々とログインされたり、パソコンに最初から入っている標準機能を悪用されたりすると、門番は「怪しいファイル」を見つけられません。だからこそ、中に入られた後を見張るEDRが必要になる、というのが導入の背景です。
ここまでは、多くの導入検討でも説明される内容です。問題は、その次にあります。
EDRには「止める」と「知らせる」の2つの動き方があります
EDRが不審な動きを見つけたあと、どう振る舞うか。ここには大きく2つの設定があります。
1. 自動で止めるモード
怪しい動きを検知した瞬間に、その処理を強制的に停止したり、その端末をネットワークから切り離したりします。人の判断を待たずに動くので、被害の広がりを短時間で抑えられます。
2. 知らせるだけのモード
検知するとアラート（警告通知）を出しますが、実際に止めるかどうかは人が判断します。管理画面やメールに「こういう動きがありました」と表示され、担当者が内容を見て、隔離するかどうかを決めます。
なぜ後者のような設定が用意されているかというと、誤検知があるからです。業務で使っている正規のソフトが「怪しい動き」と判定されてしまうことは珍しくありません。生産管理システムや会計ソフトが突然停止すれば、業務が止まります。その混乱を避けるため、あえて「まず知らせる」設定にしておく、という判断には合理性があります。
ただし、この設定には裏側があります。人が「止める」と判断するまで、不審な動きは続いているということです。
火災報知器は鳴っているのに、消火は手動で、しかもボタンを押す担当者が出張中。そんな状態になり得るのが、このモードのリスクです。
攻撃者は、担当者が見ていない時間を選びます
攻撃は営業時間内に起きるとは限りません。むしろ、金曜の夜や連休の初日など、対応が遅れやすい時間帯が狙われやすいと言われています。
「知らせるだけ」の設定では、次のような連鎖が起こり得ます。
- 深夜、不審な動きをEDRが正しく検知する
- アラートが管理画面とメールに届く
- 誰も見ていない
- その間に、他の端末やファイルサーバーへ被害が広がる
- 翌朝、業務が動かないことで初めて気づく
この流れの中で、EDRは一度も故障していません。仕様どおりに動いています。ただ、その通知を受け取って判断する人が、その場にいなかっただけです。
たとえば、ある中小企業で考えてみます
具体的にイメージするために、仮想の会社で考えてみます。
従業員80名の製造業A社。情報システムの担当は総務部の方が兼任で1名です。取引先からセキュリティ対策の状況を確認されたことをきっかけに、EDRを全パソコンに導入しました。
導入直後、生産管理ソフトの一部機能が「不審な動作」と判定され、自動的に停止してしまいます。現場から問い合わせが相次ぎ、担当者は復旧に半日を費やしました。この経験から、EDRの設定を「まず通知、停止は人が判断」へ変更します。ここまでは、現場としてはごく自然な判断です。
数か月後の金曜の夜。1台のパソコンで、あるプログラムが社内の他の端末を次々と探し始めます。EDRはこれを検知し、アラートを出しました。担当者のメールにも届いています。
ただ、その日は定時で退社しており、土日は休みです。月曜の朝、出社した担当者が見たのは、大量のアラートと、開けなくなった共有ファイルの山でした。
この例で確認したいのは、A社に落ち度があったかどうかではありません。製品は正しく検知していた。設定と体制が、検知を対応につなげる形になっていなかったという点です。そして、この構造はどの会社にも起こり得ます。
「SOCに任せているから安心」も、確認が必要です
自社で24時間見張るのは難しいため、SOC（セキュリティ・オペレーション・センター）と呼ばれる外部の監視サービスを使う会社もあります。専門家が代わりに監視してくれる仕組みです。
ここでも、確認すべき点があります。「見張ってくれる」と「止めてくれる」は別のサービスであることが多い、ということです。
契約前に、次の点を具体的に確認しておくと安心です。
- 監視は24時間365日か、それとも平日日中のみか
- 異常を見つけたとき、連絡までなのか、端末の隔離まで実施してくれるのか
- 隔離まで頼む場合、その判断は誰がするのか（自社の承認が必要か）
- 連絡はどこに、どの手段で来るのか。深夜に届いたメールは誰が見るのか
- 検知から連絡までの目標時間は定められているか
「監視サービスに入っているので大丈夫です」という説明を受けたときに、この5つを聞けるかどうかで、実際の守られ方はかなり変わります。
導入前・導入後に確認したい7つの質問
すでに導入済みの場合でも、今日確認できる項目です。専門知識がなくても、担当者やベンダーに質問する形で確認できます。
- いま、うちのEDRはどのモードで動いていますか（自動で止める／知らせるだけ）
- 自動で止める設定にしている端末は、どこまでですか
- アラートは誰に、どの手段で届きますか
- 夜間・休日にアラートが出たら、誰が見て、誰が判断しますか
- 誤検知だった場合、業務を元に戻す手順は決まっていますか
- 端末のログは何日分残りますか（後から調べられますか）
- 導入対象から漏れている端末やサーバーはありませんか
特に4番は、機械ではなく体制の話です。ここが空欄のままだと、どれだけ高性能な製品を入れても、検知は「記録」で終わってしまいます。
誤検知が怖い、を乗り越える進め方
「では全部自動で止める設定にすればいい」と結論づけるのは、少し急ぎすぎです。業務が頻繁に止まる状態が続けば、現場の信頼を失い、最終的にはEDRそのものが無効化されかねません。
現実的な進め方としては、次のような段階を踏む方法があります。
- 第1段階：まずは通知のみで一定期間運用し、どのような誤検知が出るかを把握する
- 第2段階：業務上問題のない動きを除外設定に登録し、アラートの数を減らす
- 第3段階：止まっても影響が限定的な端末から、自動で止める設定に切り替える
- 第4段階：ファイルサーバーなど、被害が大きくなる箇所へ広げる
あわせて、担当者が不在のときの代理者を決めておくこと、年に一度は設定を見直すことも重要です。人事異動でアラートの宛先が退職者のままになっている、という事態は避けたいところです。
経営者が決めるべきは、設定値ではなく方針です
細かい設定は担当者やベンダーの領域です。ただ、その手前にある判断は経営の領域だと考えられます。
具体的には、「業務を止めるリスク」と「被害が広がるリスク」のどちらを優先するかという判断です。
これを現場だけに委ねると、多くの場合は「業務を止めない」側に寄ります。業務を止めれば、その場で責任を問われるからです。一方、被害が広がるリスクは、起きるかどうかわからない将来の話です。人はどうしても、目の前の叱責を避ける方向に判断が傾きます。
だからこそ、経営として「この条件に当てはまるなら、業務が止まっても構わないので隔離してよい」と、あらかじめ言葉にしておくことに意味があります。判断の責任を組織として引き受けておく、ということです。
まとめ
- EDRは、社内に入られた後の不審な動きを見つける仕組みです
- 検知した後の動き方には「自動で止める」と「知らせるだけ」があります
- 「知らせるだけ」の場合、人が判断するまで被害は進み続けます
- アラートの宛先と、夜間・休日の対応者を決めておくことが要になります
- SOCを利用する場合も、連絡までか隔離までかを契約時に確認してください
- 止めるか止めないかの方針を決めるのは、担当者ではなく経営の役割です
まず今日できることは、契約書と管理画面を開いて、いまどのモードで動いているのか、アラートは誰に届いているのかを確認することです。それだけでも、自社の守られ方の解像度は大きく上がります。
なお、独立行政法人情報処理推進機構（IPA）は2026年9月、実際に被害を受けた組織へのヒアリングをもとにしたランサムウェア被害から学ぶ教訓集（経営者のためのランサムウェア対策ハンドブック）を公開しており、その中でも「EDR導入と定期ログ監査」が独立した項目として取り上げられています。導入済みの企業ほど、一度目を通しておく価値のある資料です。
参考情報
ミタスサポート事務所代表。富山県で中小企業向けに経営とIT支援を行っています。
中小企業診断士／ITストラテジスト／情報処理安全確保支援士。
確かな知識と実務経験を元に、役立つ情報を随時発信中。
小さな事業者向けに小回りの利くITサービスやサイバーセキュリティ対策に力を注いでいます。
