ウイルス対策ソフトがあってもEDRは必要？社員30人の会社で考える

ウイルス対策ソフトだけで防げるリスクはどこまでか

リアルタイム検知とシグネチャベースの限界

ウイルス対策ソフトが何を検知できるかは、製品、契約、設定で異なります。既知の不正なファイルの特徴だけで判断するものと決めつけず、現在利用している製品がどのような検知と通知に対応しているかを確認してください。導入済みでも更新が止まっていたり、会社の一部の端末に入っていなかったりする場合は、その不足も整理します。

提供会社には、対象OS、保護の適用状況、通知を確認する画面と担当、疑いが見つかった後にできる操作を示してもらいます。製品名の比較に入る前に、現行の契約と実際の設定を照合することが大切です。資料に機能が載っていることと、自社のすべての端末でその機能を使えていることは別なので、台帳や管理画面で確認した結果を残しましょう。

標的型攻撃やランサムウェアの回避手法

メール、外部からの接続、利用中の機器など、侵入につながる経路は一つではありません。端末を保護するソフトだけで対策を完結させず、認証、更新、権限、バックアップ、社内報告を組み合わせて確認します。EDRを入れたからメールや接続の管理を省ける、とも考えないでください。

経営者が担当者に聞きたいのは「不審な動きを見つけたら、誰が何を止める判断をするか」です。通知が出ても業務への影響が分からなければ対応が進まないため、重要な端末とつながる仕事を整理します。ランサムウェアへの備えでは、別に保管したバックアップと復元の検証も確認してください。検知、影響の拡大防止、元の業務へ戻す作業は別の役割として準備します。

社内での感染拡大シナリオと影響

社員が30人でも、必要な端末対策は人数だけでは決まりません。共有フォルダ、社外からの接続、管理者権限を持つ端末など、業務上のつながりを調べます。ある端末で異常が見つかった場合に、ほかの端末や共有データへの影響を誰が確認するかを先に決めてください。導入予定の製品がどこまで検知・制限できるかは、その接続関係と対象OSを基に提供側へ確認します。

実際に感染が拡大すると、業務停止や顧客情報流出のリスクが高まります。対策としては、感染端末の即時切断や不審なプロセスの自動停止が必要です。導入候補の製品でどの制限が可能か、必要な承認と業務への影響を提供側へ確認します。製品で対応できる範囲と専門家の調査が必要な範囲は分けて考えます。

EDRが提供する検知と自動対応の違い

行動分析と異常検知の仕組み

EDRは、端末の動きや記録を使って、異常の検知と調査・対応を助ける仕組みです。ただし、取得する情報、対応する端末、検知後に行える操作は製品ごとに異なります。既存のウイルス対策との違いは名称だけで決めず、自社が確認したい事象に対して何が分かるようになるかを提供側に質問します。

例えば、どの端末で何が見つかったか、関係する記録を調査へ渡せるか、対象端末への対応を誰が承認・実行できるかを試用の確認項目にします。検知結果が増えると確認作業も増えるため、通知を受けた後の担当と、判断できない場合の相談先も必要です。実際の攻撃を起こすのではなく、提供元が案内する安全な方法で通知と調査の流れを確認してください。

自動化された隔離・復旧プロセス

端末の通信や不審な動きを制限する機能があっても、自動で何を行うかは設定と契約によって異なります。対象端末を止めると業務も止まる場合があるため、提供側に実行条件、対象外、誤検知時に戻す方法を説明してもらいます。社内の誰が承認し、時間外にどう判断するかも確認してください。

隔離や不正なファイルへの対処と、失われたデータを戻して業務を再開することは同じではありません。EDRの導入だけでバックアップから自動復旧できるとは考えず、復元先、必要なデータ、作業担当、業務側の確認を別に計画します。試用では、許可された対象で操作と解除を確かめ、業務への影響を記録します。

導入後も設定や対象機器が変わった場合に見直せる手順を受け取ってください。

管理者へのアラートと調査支援

アラートには、検知した対象、時刻、内容、確認するための記録がどこまで含まれるかを確認します。通知を受ける管理者が、その情報で次の判断をできるかが重要です。分からない内容を調べるための資料や相談先、担当者が不在の場合の連絡方法も、導入時に決めておきましょう。

提供側へ調査を依頼する場合は、どの情報をどの経路で渡し、どこからが追加の作業になるかを確認します。社内では、通知が来たこと、確認したこと、判断した内容を分けて記録します。通知の件数だけを導入効果とせず、必要な事象が確認できたか、誤検知の対応に無理がないか、対象機器の管理漏れがないかを振り返ると、運用を継続する条件が見えやすくなります。

自社のリソースと運用体制で選ぶべき形態

社内でのインシデント対応体制の有無

社内で異常の通知を受ける人、業務への影響を判断する人、技術的な調査を行う人を整理します。社員数からIT担当者の人数や能力は推測できないため、現在の兼務状況と対応に割ける時間を確認してください。担当者不在時に連絡が止まらないか、端末を隔離するとどの仕事が止まるかも確認します。会社として判断する役割は、製品や外注を導入しても残ります。

もし社内に専門知識が不足している場合、EDR単体での運用は困難です。その場合は、外部のMDR（マネージド検知・対応）サービスやSOC（セキュリティオペレーションセンター）への委託を検討します。委託先が提供するレポートやアラートの受け取り方を事前に確認し、社内フローに組み込めるかを判断材料にします。

外部委託（MDR/ SOC）との比較ポイント

製品を導入することと、人が通知を確認して調査・対応することは別の作業です。監視や対応を外注する場合は、対象端末、受付時間、通知後の調査、隔離の権限、復旧作業をそれぞれ確認します。製品のライセンスに有人の監視・対応まで含まれると決めつけないでください。見積もりでは、社内に残る担当と追加費用が発生する条件も揃えて比べることが重要です。

具体的には、委託先がインシデント発生時にどの程度自動化された対応を行うか、または担当者にエスカレーションするかを確認します。自社での対応が難しい時間帯（深夜や休日）のカバー範囲も重要です。まずは数社に見積もりを依頼し、サービスレベルを比較表にまとめると判断しやすくなります。

端末数とライセンスコストの目安

利用者一人が複数の機器を使う場合や、共用PCがある場合は、社員数と管理対象の台数が一致しません。機器の一覧から、会社所有か私物か、OS、利用者、現在の対策を確認し、提案の対象台数と照合してください。既存契約に端末の検知・対応に関する機能が含まれている場合も、その対象と運用条件を確認します。追加製品の前に、重複と不足を整理すると見積もりの前提が揃います。

ライセンス費用は、ユーザー単価と機能範囲で大きく変わります。まずは現在の端末一覧を作成し、必要な機能（検知・自動隔離・ログ保管期間）を洗い出します。その上で、Microsoft 365のプランと別途EDRベンダーの価格を比較し、総所有コスト（TCO）を算出すると、予算感覚が掴めます。

導入判断のチェックリストと次のアクション

現行AVの機能とギャップの確認

導入前に、現在使用しているウイルス対策ソフトが提供している機能一覧を作成します。まず現行の契約と設定を照合し、検知後の通知と対応を誰が担うかを確認します。Microsoft 365 Business PremiumのDefenderは、既存AVと併用できる点が特徴ですが、重複機能があると管理コストが増える可能性があります。

チェックリスト例：①リアルタイム検知の有無 ②未知脅威への対応 ③管理コンソールの可視化 ④自動隔離機能の有無。これらを自社の要件と照らし合わせ、足りない部分がEDRで補えるかを評価します。

EDR導入の効果測定項目

導入後に効果を測る指標として、以下が考えられます。①検知件数と検知速度（秒単位） ②自動隔離率 ③インシデント対応に要した時間 ④業務停止時間の削減率。IPAのインシデント対応手引きでも、定量的な指標で効果を評価することが推奨されています。

Microsoft 365 Business Premiumはダッシュボードで一部指標を提供しますが、詳細は別途レポート作成が必要です。

導入前の状態と比べる項目を決めておきます。通知を確認する負担、誤検知への対応、対象端末の管理漏れ、業務への影響など、実際に確認できる変化を記録してください。見直す時点は試用期間や契約更新、構成変更に合わせて相談します。

ベンダー選定と試験運用の進め方

複数の提案を同じ対象端末と対応範囲で比較します。試用では通知が出るかだけでなく、社内への連絡、許可された範囲での隔離試験、設定を戻す手順まで確認してください。実際の感染を起こして試すのではなく、提供元が案内する安全な検証方法を使います。未対応の機器と業務上の制約を記録し、本格導入の前に残る課題を責任者へ戻します。

ベンダー選定では、機能だけでなくサポート体制やアップデート頻度も重要です。Microsoft 365 Business PremiumはMicrosoftのサポートが利用できますが、他ベンダーの場合は日本語対応の有無や障害時の対応時間を確認します。提案は同じ対象端末と対応範囲で比較し、限定した試用で運用の条件を確かめます。

まずは無料トライアルやパイロット導入で、実際の検知結果や管理画面の使い勝手を評価します。テスト期間は2週間程度が目安で、少なくとも5台の端末でシナリオテスト（フィッシングメール、ランサムウェア疑似攻撃）を実施します。結果を踏まえて、正式導入の可否と予算配分を最終決定します。