SIEM（シーム）とは各所のログを一か所に集め、つなげて分析し、異常を知らせる組織向けの仕組み。SOC・EDR・XDR・SOARとの違い、使う人、生成AIとの関係をIPA・NIST・ASD・CISAの原文で【2026年10月版】

2026年10月13日・日本時間時点の情報です。 SIEM（シーム。Security Information and Event Management の略）とは、ネットワークやシステムの各所が出すログ（機器やソフトが残す動作の記録）を一か所に集め、つなげて分析し、普段と違う動きを知らせる、組織向けのソフトウェアまたは機器の仕組みです（豪州ASDと米国CISAなどの共同ガイダンス、IPAの解説書による）。主に組織が専門の人員をつけて運用するもので、個人が自分のパソコンに入れる種類の話は、本記事が開いた公的機関の個人向け資料には出てきませんでした。筆者は2026年10月13日に、このMacが1分間に出すログを4回数え、27,895〜31,096件でした。

3行まとめ

1. SIEMは、各所のログを一か所に集め、つなげて分析し、異常を知らせる仕組み。ASDとCISAなどの共同ガイダンス（2025年5月27日）は「software platform or appliance」、IPA（2026年3月）は「相関関係を踏まえた分析を可能にする」もの、NISTのSP 800-128は「a single interface」で見せるアプリケーションと書く。
2. SOCは人と体制、EDRはサーバーやPC内の不審な振る舞いを検知する製品、SOARは対応の自動化。XDRは本記事が確認した範囲で公的機関の定義が見つからず、MicrosoftとIBMが、複数の領域のシグナルやツールを束ねるものと説明する。
3. 主に組織向けで、ASDとCISAなどは「set and forget」の道具ではないと書く。生成AIの組み込みは、Microsoft・Google・Splunkなどが自社製品の公式ページに書いている（筆者は性能を確かめていない）。筆者のMacは1分間に27,895〜31,096件のログを出した（2026年10月13日2時57分と3時11分）。

SIEM（シーム）とは何か。ASDとCISA、IPA、NISTの説明を並べる

SIEMは Security Information and Event Management の頭文字です。読みは、Splunkの日本語ページが「SIEMは一般的に「シーム」と読みます。」と書き、「シム」と読むこともあると添えています。NTTドコモビジネスの用語集も「SIEM（シーム・Security Information and Event Management）」と表記しています。本記事が取得した公的機関の資料（IPA・総務省・年次報告・警察庁）には、読み仮名はありませんでした。日本語の名前も会社で表記が違い、Microsoftのページは「セキュリティ情報イベント管理 (SIEM)」、IBMの日本語ページは「セキュリティー情報およびイベント管理」と書いています。

ASDとCISAの共同ガイダンス（2025年5月27日）

豪州通信電子局（ASD）の豪州サイバーセキュリティセンター（ACSC）のページ「Implementing SIEM and SOAR platforms: Practitioner guidance」は、2025年5月27日の公開で、SIEMを次のように定義しています。米国のサイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）も同じ日付のページで、ASDのACSCなどと共同でこのガイダンスを出したと書き、日本のサイバーセキュリティ戦略本部の年次報告は、ACSCが「わが国を含む９か国の機関とともに」公表したと書いています。

「A SIEM is a type of software platform or appliance that collects, centralises, and analyses log data from sources within a network or system for the purpose of cyber security.」

（訳：SIEMは、サイバーセキュリティの目的で、ネットワークやシステム内の各所から出るログのデータを集め、一か所にまとめ、分析する、ソフトウェアのプラットフォームまたは機器の一種である。）

同じページは、適切に設定されたSIEMは、普段のネットワークの動き（business-as-usual network activity）の基準とルール、フィルターを当ててログを分析し、つなげて見ることで、事件にあたるかもしれない普段と違う動きを見つけられる、と続けます。

筆者が2026年10月13日2時58分に、画面を出さない設定のブラウザで開いて撮影したASDのページ（1280×800）。

IPAの解説書（2026年3月）

IPAの「情報セキュリティ10大脅威 2026」解説書［組織編］（表紙は2026年3月。筆者が取得したのは2026年4月11日の四版）は、「共通対策」の「セキュリティ製品を導入する」の項（48ページ）で、SIEMを次のように書いています。

「アンチウイルスや EDR 等から出力されるログやイベント情報を一か所に集約し、相関関係を踏まえた分析を可能にする。情報を統合的に可視化することで、インシデントの調査を効率化でき、運用コストや手間の低減が期待できる。」

IPAのPDFを筆者が2026年10月13日2時47分に取得し、48ページを画像にして、SIEMの段落だけを切り出した。

同じ一覧には、EDR・NDR・DLP・IDS・IPS・UTM・WAFなども並んでいます。

NIST（米国国立標準技術研究所）の用語集

NISTのCSRC用語集に「Security Information and Event Management (SIEM) Tool」の項があり、出どころはSP 800-128（2011年8月。2019年10月10日までの更新を含む）です。

「Application that provides the ability to gather security data from information system components and present that data as actionable information via a single interface.」

（訳：情報システムの構成要素からセキュリティのデータを集め、そのデータを、実行に移せる情報として、1つの画面（インターフェース）で示す機能を持つアプリケーション。）

筆者の整理では、3つの説明は、ログなどのデータを集めることで共通します。ASDとIPAは分析や、相関関係を踏まえた分析まで書き、NISTは1つの画面で示すことに重心があります。

SIEMは何をするのか。集める・つなげる・知らせるの3段階

集める。 ASDは、SIEMが集める出どころの例に、ファイアウォール、侵入検知・防止システム（IDS/IPS）、エンドポイント、アプリケーションを挙げ、出どころごとに形式が違うため、同じ意味の項目名（例として src_ip と sourceAddress）をそろえる作業が要る、と書いています。エンドポイントは、MicrosoftのXDRのページが「ノート PC、サーバー、モバイル デバイスなど」と書く端末のことです。IPAの「ランサムウェア被害から学ぶ教訓集」（2026年9月8日公開・9月10日のVer.1.1）も、被害の調査には「Firewall やサーバのシステムログ」からウイルス対策ログ、操作ログ、通信ログまで様々な記録が使われると書いています（27ページ）。

つなげる。 Microsoftのページ（日本語）は、単独では無害に見える動きも、ほかの動きと組み合わせると侵害の兆候になりうるとして、次の場面を挙げています。

「たとえば、アカウントが侵害された証拠があり、異常なトラフィックもある場合、SIEM は、これら 2 つのイベントが関連していることを特定し、セキュリティ チームにさらなる調査を促すアラートを生成することがあります。」

IPAの「相関関係を踏まえた分析」もこの働きを指すと筆者は読みました（IPAは例を書いていません）。普段の動きの基準づくりには時間がかかります。ASDは「Baselines are not built in a day.」（訳：基準は1日では作れない）と書き、組織の複雑さによるが、少なくとも数週間、ログを集めて問い合わせ（クエリ）を作り、アラートを絞り込んで調整する、と続けます。

知らせる。 ASDは、結果は「dashboards, reports, or alerts」（ダッシュボード、レポート、アラート）の形で返ると書いています。ただし、知らせても、見る人がいなければ意味がありません。IPAの教訓集には、暗号化を検知したアラートメールが管理者宛てに出ていたのに、週末の深夜だったためタイムリーに受け取れていなかった事例があり、「検知だけでなく、アラートに常時対応できる監視・運用体制が必要である。」と書かれています（31ページ）。

筆者のMacは1分間に約3万件のログを出した。2026年10月13日の実測

SIEMが集めるログの量を、このMacで数えました。使ったのは、macOSのログを表示する読むだけのコマンド log show です。設定は変えていません。ログの中身（プログラム名やメッセージ）は、画面にも保存した記録にも出さず、件数と種類の数だけを数えました。

/usr/bin/log show --last 1m --style compact | wc -l
/usr/bin/log show --last 5m --style compact | wc -l
/usr/bin/log show --last 1m --style ndjson   （件数と種類の数だけを数える）

筆者のシェル（zsh）では log とだけ打つとシェル内蔵の別の機能が動いて「too many arguments」で失敗したため、フルパスの /usr/bin/log で実行しました。log show は、オプションを付けないと情報（info）とデバッグ（debug）の段階のメッセージを表示しません（man log の説明）。数えたのはこの既定の表示の件数で、Macが記録したすべてではありません。また、筆者が資料を取得したり読んだりしていた最中のMacの数字で、何もしていないMacの標準値でもありません。compact の行数と ndjson の件数が違う理由は確かめていません。

この数字から言えるのは、1台のMacでも1分の間に100を超えるプログラムがログを出し、数万件の記録が並ぶ、というところまでです。ASDは、ほとんどのSIEMの料金体系は取り込むログの量に基づくと書き、取り込むログに優先順位をつけた別の文書（Priority logs for SIEM ingestion）も同じセットで出しています。

SIEM・SOC・EDR・XDR・SOARはどう違うのか。同じ観点に並べた表

5つの略語は、記事や製品のページで並んで出てきます。何か・見る範囲・主な働きを同じ観点で並べます。出典の列は、公的機関の文書（公的）と会社の説明（会社）を分けました。XDRは、本記事が確かめた範囲では公的機関の定義が見つからず、会社の説明だけです。

表に入りきらない原文を足します。

SOC（Security Operation Center）。サイバーセキュリティ戦略本部の年次報告「サイバーセキュリティ 2025」（令和7年6月27日）の「別添4 用語解説」は「セキュリティ・サービス及びセキュリティ監視を提供するセンター。」と書き、IPAの教訓集もこの文を脚注に引いています。IBMは、社内または外部委託のITセキュリティ専門家のチームと書きます。

XDR（Extended Detection and Response）。Microsoftのページは、「エンドポイント、ネットワーク、クラウド、メール、SaaS アプリ、ID からのシグナルを統合プラットフォームにまとめることで」、脅威への応答に必要な可視性、分析、自動化を提供すると書き、XDRはSIEMを「補完」するとしています。IBMは、ユーザー、エンドポイント、メール、アプリケーション、ネットワーク、クラウドのワークロード、データの各層にわたってセキュリティツールを統合する「open cybersecurity architecture」と書きます。2社の書き方は同じではありません。NISTの用語集はXDRの略語の展開を載せるだけで定義文は表示されず、本記事が取得した日本の公的機関の資料（IPA・総務省・年次報告・警察庁）にも、XDRという語は見つかりませんでした。

SOAR（Security Orchestration, Automation and Response）。ASDの文書は次のように書きます。

「A SOAR is a software platform that automates the response to anomalous activity detected on a network.」

（訳：SOARは、ネットワーク上で検知された異常な動きへの対応を自動化するソフトウェアのプラットフォームである。）

続けてASDは、あらかじめ決めた「playbooks」（プレイブック）で対応を自動化するが、人のインシデント対応担当者の代わりにはならないと書き、Microsoftのページも、SOARは「人による監視を排除することはありません。」と書きます。

取り違えやすいもの。SOCには3通り、XDRには2通りの意味がある

NISTの用語集で「SOC」を引くと、略語の展開として Security Operations Center、Service Organization Control、System on a Chip が並びます。「XDR」は Extended Detection and Response と External Data Representation、「EDR」は Endpoint Detection and Response と Enhanced Data Rate が並びます（2026年10月13日2時52分〜53分に開いた画面）。

SIEMとほかの道具の取り違えにも注意が要ります。

• SIEMは、ログの置き場ではありません。 ASDは、SIEMを主にログを集めて置く場所として使うと大量のログが入りやすいとして、「A SIEM should not be used for this purpose.」（訳：SIEMをこの目的で使うべきではない）と書き、規則や基準への準拠（コンプライアンス）や監査のためのログ集めには、ほかの道具もあるとしています。
• SIEMは、ファイアウォールの代わりではありません。 総務省の用語集はファイアウォールを「外部からの不正な侵入を防ぐことができるシステムのこと。」と書き、ASDは、ファイアウォールをSIEMが集めるログの出どころの1つに挙げています。仕組みはファイアウォールとはに書きました。
• EDRは、ウイルス対策ソフトと同じではありません。 IPAの教訓集は、ウイルス対策ソフトだけですべてを検知し防ぐのは難しいとして、EDRを補完策に挙げています。被害と対策はランサムウェアとはにまとめました。

誰が使うものか。個人のパソコンに入れる種類のものか

SIEMを運用するのは、主に組織です。公的機関の文書から3つ確かめます。

1. 文書の想定する読者が組織です。 ASDの実務者向けガイダンスは、主に政府と重要インフラの組織の実務者向けで、SIEMやSOARに関心がある、または使っているどの組織の実務者も使える、と書いています。

2. 運用に人と費用が要ります。 ASDは次のように書いています。

「Neither platform is a ‘set and forget’ tool.」

（訳：どちらのプラットフォームも、設定したら忘れてよい道具ではない。）

専門の人員が継続して保守して初めて、見える化・検知・対応の能力が上がる、という趣旨です。費用として、ライセンスやデータの使用料、特殊な技能を持つ人員の採用と維持、教育、保守が挙がっています。ASDは、SOARよりもSIEMの導入とログ分析を先にするほうが一般に優先度が高い、とも書いています。

3. 取引先から導入を求められる例があります。 IPAの教訓集は、ヒアリングした組織の中に、取引先から、メールやEDIを再開するならEDRやSOCを導入するよう強い要望があった組織が複数あった、と書いています（31ページ）。

個人には関係があるのか

本記事が確認した範囲では、公的機関の個人向けの資料に、SIEMを個人が入れる話は出てきません。IPAの「情報セキュリティ10大脅威 2026」個人編ハンドブック（32ページ）の全文を筆者が検索すると、SIEM・EDR・SOC・XDR・SOARの語は0件でした。総務省の「国民のためのサイバーセキュリティサイト」の用語集（あ行からわ行の10ページと英字のページ）にも、これらの語の項目は見つかりませんでした（GSOC、アクセスログ、IDS、IPSの項目はあります）。

個人編ハンドブックが「早期検知」として挙げているのは、被害に遭っていないかを確認することで、ログインアラート機能の利用、ログイン履歴の確認、クレジットカード利用明細の定期的な確認です（4ページ）。個人に関係があるのは、勤務先や取引先、使っているサービスの会社がこうした仕組みを運用している場合だとも整理しましたが、特定の会社が使っているかどうかは確かめていません。

生成AIを組み込んだSIEMの動き。各社が自社製品について書いていること

2026年10月13日2時58分から3時1分にかけて各社の公式ページを開くと、SIEMの周りに生成AIやAIエージェントを組み込むという記述が並んでいました。以下は各社が自社の製品について書いた説明です。筆者は製品を導入も試用もしておらず、性能や効果は確かめていません。

• Microsoft（日本語）。Microsoft Learnの「Microsoft Security Copilot とは」は、Security Copilotを「生成的な AI を利用したセキュリティ ソリューション」と説明し、SIEMのMicrosoft Sentinelなどの製品と統合されると書きます。
• Google Cloud（日本語）。Google Security Operationsのページは、「Gemini in Security Operations」が自然言語、インタラクティブな調査アシスタント、要約、推奨される対応アクションなどを提供すると書きます。
• Splunk（英語）。Splunk Enterprise Securityのページは、同製品を、agentic AI（エージェント型AI）、SOAR、UEBA、SIEMと統合した、脅威の検出・調査・対応（TDIR）のプラットフォームと書きます。
• CrowdStrike・Elastic・Palo Alto Networks（英語）。各社のSIEMや関連製品のページは、「agentic SOC」（エージェント型SOC）という語を掲げています。

一方、ASDの実務者向けと経営層向けの2つの文書（2025年5月公開）は、本記事が取得した全文に generative・artificial・AI の語がなく、machine learning（機械学習）がSOARの行動分析に関する1か所に出るだけで、生成AIを組み込んだSIEMには触れていません。

AIを使った防御の発表は、CrowdStrikeとNVIDIA「SafeMind」とGoogle「Agent Anomaly Detection」の記事に書いています。

製品の性能・料金・国内の導入状況は、この記事では確かめていない

• 製品の性能と費用。 筆者は製品の導入、アカウント作成、ログインをしておらず、各社の管理画面は見ていません。検知の精度、誤検知の多さ、料金の金額は確かめていません。ASDの実務者向け文書にも、個別の製品の金額は書かれていません。
• 国内の導入状況。 本記事が取得した日本の公的機関の資料（IPA・総務省・年次報告・警察庁）のうち、SIEMの語があったのは、IPAの解説書［組織編］（1か所）と、年次報告のASDガイダンスを紹介する1か所だけで、国内の導入率の数字は見つかりませんでした。
• Windowsなどのログ。 筆者が数えたのはMacの1台分で、時間帯は2回です。ほかのOSの量は見ていません。

開いたページと取得した資料、その時刻（2026年10月13日）

画面を撮影したのは、NIST CSRC用語集・CISA・ASD・Microsoft（SIEM・XDR・Security Copilot）・Googleのページ（2時47分〜3時6分）です。そのほかのページとIPA・NIST・年次報告のPDFは、2時47分〜3時22分に取得して原文を読みました。各ページのURLと時刻は、出典の欄にあります。