セキュリティ運用の外部委託｜費用相場と選定基準・見積もりの読み方【2026年版】

結論から先に。 セキュリティ運用の外部委託で失敗する会社は、費用の高い/安いで委託先を選び、丸ごと投げてしまう。うまくいく会社は「何を外注し、何を社内に残すか」を先に線引きし、SLA（対応時間・報告頻度・責任範囲）と見積もりの内訳を読み解いてから発注する。外注できるのは監視・検知・分析・初動提案までで、システム停止や取引先への報告といった経営判断は社内に残る。この記事は、監視・SOC・MDR・脆弱性診断の費用相場（各社公表値・二次情報）、内製と外注の線引き、見積もりの読み方、丸投げの失敗パターン、発注前チェックリストを、社内にセキュリティ専任がいない中小企業の経営者・実務決裁者向けにまとめたものだ。

この記事の要点を先にまとめる。

• 費用は「作業単位」ではなく「守る範囲×稼働時間×資産量」で決まる。 同じ「SOC監視」でも平日日中と24/365で数倍違う。
• 外注の主流は3形態。 スポット（診断・テストを都度）、月額の運用伴走（準委任）、SOC/MDRを含む包括委託。中小企業はまず「一番リスクの高い領域だけ」から始めるのが定石。
• 見積もりは総額ではなく内訳と除外事項を読む。 インシデント対応が「含む」か「別途」か、ログ量超過・端末追加の従量課金があるか、初期費用（オンボーディング）が何か月ぶんに乗っているかで実質コストは大きく動く。
• 丸投げは必ず失敗する。 監視はしているが誰も対応判断をしていない、アラートが溜まるだけ、という状態が最も多い落とし穴。

この記事を読むべき人

• セキュリティ担当が兼任（兼任情シス・ひとり情シス）で、毎日の脆弱性情報を追いきれていない経営者・IT責任者
• 取引先や親会社からセキュリティ体制の整備を求められ、短期間で形にする必要がある担当者
• 「月額◯◯万円」の見積もりを受け取ったが、それが高いのか安いのか、何が含まれているのか判断できない決裁者
• SOC・MDR・MSS・脆弱性診断という言葉の違いが曖昧なまま、ベンダー比較を始めようとしている人
• PoCや導入前に、身内以外の第三者の目で現状を棚卸ししたい人

目次

1. まず用語を整理する：MSS・SOC・MDR・SOCaaSの違い
2. 何を外注し、何を社内に残すか（線引きの設計）
3. 費用相場と契約形態
4. 見積もりの読み方：総額より内訳と除外事項
5. ベンダー選定の判断軸とSLAの見方
6. 丸投げの失敗パターン
7. 発注前チェックリスト
8. 第三者検証という選択肢
9. FAQ
10. GXOに相談すべきタイミング

まず用語を整理する：MSS・SOC・MDR・SOCaaSの違い

見積もりを比較する前に、言葉の定義を揃えておかないと同じ土俵で比べられない。ベンダーによって同じ名前で違うものを、違う名前で同じものを売っていることがあるからだ。

まず**SOC（Security Operation Center）**は「機能・体制」を指す言葉で、サービス名ではない。ネットワークや端末を監視し、攻撃の予兆検知・分析・初動対応を行う組織のことだ。NTTセキュリティ・ジャパンの解説でも、SOCは「監視・分析・初動対応を行う専門組織や拠点」と整理されている（NTTセキュリティ・ジャパン「MSSとSOCの違い」、参照日2026年7月・二次情報）。このSOC機能を自社で持つのが内製SOC、外部に委託するのが次のMSSやMDRだ。

**MSS（Managed Security Service）**は、ファイアウォールやUTMなどセキュリティ機器の運用・監視を外部ベンダーが代行するアウトソーシング形態を指す。機器のログを監視し、異常があれば通知する、という「機器運用の代行」が中核にある。

**MDR（Managed Detection and Response）**は、EDR（端末の検知・対応ツール）やSIEM（ログ統合分析基盤）を使い、検知だけでなく脅威ハンティングや初動対応の提案までを含めて提供する形態だ。ランサムウェアや高度な攻撃への対応を前提とし、監視ツールまで込みで提供されることが多い。ツールをこれから入れる会社に向く。

**SOCaaS（SOC as a Service）**は、クラウド上のSIEMを使ってログ集約・分析・対応をサービスとして提供する形態で、自社にSIEMがない会社が使いやすい。

区別のコツは2つだけだ。ひとつは「監視ツール（EDR/SIEM）をすでに持っているか」。持っているなら運用の代行（MSS寄り）から始められる。持っていないなら基盤ごと提供するMDR/SOCaaSが現実的だ。もうひとつは「求めるカバー範囲」。機器のログ監視だけでいいのか、端末・クラウドまで含めた検知と初動対応まで欲しいのか。この2軸で、自社に必要なのがどれかは自ずと絞れる。

「うちに必要なのはどれか」を決めきれないまま相見積もりを取ると、各社が別々の前提で出してきた金額を並べることになり、比較にならない。用語の整理は、費用の話の前提工事だと考えてほしい。

何を外注し、何を社内に残すか（線引きの設計）

外部委託の成否は、契約前のこの線引きでほぼ決まる。丸ごと投げるのでも、全部抱えるのでもなく、「作業」と「判断」を分けるのが原則だ。

外部の専門ベンダーに任せられるのは、おおむね次の作業レイヤーである。

• ログの収集・集約・保管
• アラートのトリアージ（重要度の仕分け）と誤検知の除去
• 侵入の痕跡を探す脅威ハンティング
• 検知した事象の分析と、初動対応の「提案」
• 月次のセキュリティレポート作成

一方、外に出せない（出すべきでない）のは「判断」と「責任」のレイヤーだ。

• 事業影響を伴う決定（システムの隔離・サービス停止をやるかどうか）
• 法的義務の履行（個人情報保護法に基づく報告など、自社が主体の義務）
• 機微データの取り扱い方針、経営・法務との調整
• 最終的なリスク受容の判断（どのリスクを許容し、どこに投資するか）

ラシック社の解説も、「検知・分析・初動提案はベンダー、承認・実行は社内」という役割分担をプレイブックとSLAで文書化することを出発点に置いている（ラシック「SOCによるセキュリティ監視運用を外注する進め方」、参照日2026年7月・二次情報）。この考え方は実務的に妥当だ。監視ベンダーは「隔離した方がいい」とは提案できるが、その業務システムを止めて売上や取引にどれだけ影響が出るかを引き受けることはできない。だから「誰が承認ボタンを押すのか」を社内に必ず一人置く必要がある。

GXOの見立て： 中小企業がつまずくのは、技術の線引きより「承認者の不在」だ。検知・分析まで外注できても、深夜にアラートが上がったとき「これは本当にサービスを止めるべきか」を即断できる人が社内にいなければ、外注は宝の持ち腐れになる。線引きを設計するときは、作業の割り振りと同じ熱量で「意思決定者と連絡経路（エスカレーション先）」を先に決めてほしい。

費用相場と契約形態

費用は「作業の数」ではなく「守る範囲 × 稼働時間 × 資産量（端末数・ログ量・診断対象数）」で動く。だから同じサービス名でも金額に幅が出る。以下は各セキュリティベンダーが公表する料金目安を整理したもので、いずれも二次情報（2026年時点）である点に注意してほしい。実際の金額は、端末数・ログ量・監視時間（平日日中か24/365か）・対象システム規模で大きく変わる。

（出典：情シス365「セキュリティ対策の外注費用相場」、AEVUS「SOC外部委託vs内製」、ラシック各記事の公表目安を整理。いずれも二次情報・2026年時点）

契約形態は大きく3つだ。

• スポット契約：脆弱性診断・ペネトレーションテスト・インシデント対応などを都度発注する。年1回の診断で足りる会社や、まず現状把握だけしたい会社に向く。継続監視はカバーしない。
• 月額の運用伴走（準委任契約）：脆弱性情報の収集・影響判断・パッチ管理・ログ監視などを、契約で定めた範囲で継続的に任せる。中小企業が「専任がいない穴」を埋めるのに最も現実的な形態だ。
• SOC/MDRを含む包括委託：24/365の監視と初動対応まで含めて任せる。規制業種や、夜間・休日の攻撃を現実的なリスクとして抱える会社に向く。

内製と外注、どちらが安いか

セキュリティ人材を正社員で雇う場合の年収は600万〜1,000万円が相場とされる（各社公表・二次情報）。加えて採用・教育コスト、離職リスク、24時間はカバーできないという構造的な限界がある。経済産業省の推計では2030年にIT人材が最大約79万人不足するとされ（経済産業省「IT人材需給に関する調査」2019年3月・一次情報）、なかでもセキュリティ人材は採用競争が激しい。1名を採って抱え込むより、必要な範囲だけをチームに月額で任せる方が、費用とスピードの両面で合理的になるケースが増えているのはこのためだ。

ただし「外注の方が安い」と一般化するのは危険だ。守る範囲を広く取れば外注でも年数百万円〜になる。 安さは「守る範囲を絞る」ことからしか生まれない。中小企業がまずやるべきは、一番リスクの高い領域（外部公開Webアプリ、メール、認証基盤など）に絞って始め、効果を見ながら広げることだ。最初からフルスコープの包括委託を契約すると、使いこなせないまま費用だけが出ていく。

こうした「今の体制のどこに穴があり、どこから手当てすべきか」を含めて設計から相談したい場合は、GXOのセキュリティ体制の再構築のように、ツール販売ではなく現状のリスク・ログ・権限・運用体制の棚卸しから入る支援を起点にすると、過不足のないスコープを引きやすい。

見積もりの読み方：総額より内訳と除外事項

ここがこの記事の核心だ。相見積もりで見るべきは総額ではない。総額が同じでも、中身が違えば実質コストはまるで違う。GXOが見積もりを読むときに必ず確認する観点を、そのまま共有する。

1. インシデント対応は「含む」か「別途」か。 月額に監視は含まれていても、いざ事故が起きたときの調査・フォレンジック・復旧支援が別料金（1件数十万〜数百万円）というパターンは非常に多い。「監視だけ安く見せて、有事は都度課金」の構造になっていないか。含む場合も、月何時間まで・年何件までという上限があるかを確認する。

2. 従量課金の有無。 ログ量が閾値を超えたら追加、監視端末を増やしたら1台いくら、という従量部分が見積書の脚注に隠れていることがある。事業が伸びれば端末もログも増える。1年後の実額を想像して読む。

3. 初期費用（オンボーディング）の中身。 エージェント導入・SIEM設定・プレイブック作成などの初期費用が、何か月ぶんの月額に相当するか。初期費用が高いほど乗り換えコストが上がり、実質的なロックインになる。

4. 「監視」と「対応」の境界。 見積書に「24/365監視」と書いてあっても、それが「アラートを検知して通知するまで」なのか「初動対応の提案・実行支援まで」なのかで価値がまるで違う。通知だけなら、結局その先を判断・実行する人が社内に要る。

5. レポートの中身。 月次レポートが「アラート件数の羅列」なのか「リスク評価と改善提案」なのか。前者は読んでも次の一手につながらない。サンプルレポートを必ずもらって中身を見る。

6. 除外事項（スコープ外）の明記。 良い見積書は「やること」と同じくらい「やらないこと」が明確だ。クラウド設定監査は範囲外、SaaSのログは対象外、といった除外が曖昧なまま契約すると、事故のときに「それは範囲外です」で終わる。

見積もりの読み方チェックリスト（そのままベンダーに質問してよい）：

• インシデント対応は月額に含むか、含むなら年何件・月何時間までか
• ログ量・端末数の増加で発生する従量課金はあるか、単価はいくらか
• 初期費用は月額の何か月ぶんに相当するか、その内訳は何か
• 「監視」は通知までか、初動対応の提案・実行支援まで含むか
• 月次レポートに改善提案は含むか（サンプルを確認したか）
• スコープ外（除外事項）が明記されているか
• 契約期間・中途解約条件・解約時のデータ返却/廃棄手順は明確か

ベンダー選定の判断軸とSLAの見方

費用と見積もりを読めるようになったら、次は「その金額を払うに値するベンダーか」を見極める。競合各社の選定基準を横断すると、要点はおおむね次に集約される。

SLA（サービスレベル合意）の具体性が最重要だ。 「重大インシデント検知から15分以内に連絡、30分以内にエスカレーション」のように、測定可能な数値で書かれているか。「迅速に対応します」という定性的な表現しかないSLAは、いざというとき役に立たない。ラシック・AEVUS両社とも「15分以内に連絡」水準の応答SLAを明示できるかを選定の要点に挙げている（二次情報）。

そのうえで、次を確認する。

• 既存ツールとの互換性：自社のEDR・ファイアウォール・クラウドと連携できるか。連携できないと監視の穴になる。
• データの保管場所（データレジデンシー）：機微な情報を含むログを国内保管できるか。個人情報の取り扱い上、契約前に必ず確認する。
• アナリストの体制と力量：1名アサインではなくチーム体制か。24/365をうたうなら実際に何名でシフトを回すのか。資格（CISSP等）の保有状況。
• インシデント対応の範囲：調査・フォレンジック・テイクダウンまでカバーするか、検知通知で終わるか。
• ベンダー自身のセキュリティ：ISO27001やSOC2などの第三者認証を持っているか。委託先が漏えい元になる本末転倒を避ける。
• 契約終了・データ返却条件：解約予告期間、データ返却手順、違約金。乗り換えの自由が確保されているか。
• 日本語・国内規制への対応：国内の法規制・ガイドラインの知見があるか。

これらは「安いから選ぶ」を戒めるためのリストだ。費用より先に、SLAの数値・データ保管場所・解約条件の3点を契約前に固めるだけで、後々の運用リスクは大きく下がる。

継続的な運用まで任せたい場合は、GXOの月額のセキュリティ運用伴走（顧問・リテイナー）のように、棚卸し・優先順位付け・パッチ実施・（プランにより）24/365監視までをプラン単位で選べる形だと、スコープを段階的に広げやすい。いきなりフルスコープを買わずに、Aプラン相当の棚卸しから始めて必要に応じて上げていくのが、中小企業の失敗しない入り方だ。

丸投げの失敗パターン

外部委託は「丸投げ」ではない。ここで挙げるのは、GXOが現場でよく見る（そして経営者が事前に気づきにくい）落とし穴だ。当てはまるものがあれば、契約前に手を打ってほしい。

パターン1：監視はしているが、誰も対応していない。 最も多い。アラートは上がっているのに、社内に受け手（承認者）がいないため、通知が溜まるだけになる。「監視契約を結んだ＝守られている」という誤解が根にある。監視は入口で、判断と実行が伴って初めて防御になる。

パターン2：承認者・エスカレーション先が決まっていない。 深夜にランサムの兆候が出たとき、「サービスを止めるか」を即断できる人が不在。結果、初動が翌営業日にずれて被害が広がる。

パターン3：スコープの穴に気づかない。 監視対象がオンプレのサーバだけで、クラウドやSaaSのログは範囲外だった、というケース。攻撃は範囲の外から来る。除外事項を読んでいないと、この穴は事故が起きるまで見えない。

パターン4：レポートを読む文化がない。 毎月レポートは届くが、誰も読まず、改善提案も放置される。委託先は「報告した」で責任を果たし、社内は「読んでいない」ので改善が回らない。

パターン5：社内にノウハウが一切残らない。 すべてを外に出した結果、数年後に契約を見直そうとしても、自社の状態を誰も説明できず、ベンダーロックインから抜けられない。

パターン6：安さで選び、有事に後悔する。 月額を下げるために監視だけの契約にしたら、実際に事故が起きたとき対応が別料金・別ベンダーで、初動に何日もかかった。

これらに共通するのは、「技術の問題ではなく、社内の運用設計と責任分担の問題」だという点だ。委託先が優秀でも、受け手の設計がなければ機能しない。だから外注後も、①セキュリティ責任者（窓口）の一本化、②従業員教育の継続、③委託先の四半期評価、の3点は社内に残す。人が起因するインシデント（フィッシング等）は技術委託では防げず、IPA「情報セキュリティ10大脅威 2025」でも組織向け脅威に不注意による情報漏えいが継続してランクインしている（IPA、2025年1月・一次情報）。

発注前チェックリスト

契約書にサインする前に、この12項目を自分の言葉で答えられるかを確認してほしい。ひとつでも「わからない」があれば、そこがリスクだ。

• 守りたい対象（資産・システム・データ）と、その優先順位を書き出したか
• 何を外注し、何を社内に残すか（作業と判断の線引き）を決めたか
• 社内の承認者・エスカレーション先を氏名レベルで決めたか
• 必要なのはMSS/MDR/SOCaaS/スポットのどれか、根拠を言えるか
• 監視時間は平日日中で足りるか、24/365が要るかを判断したか
• 見積もりの内訳（対応込み/別途、従量、初期費用）を読み解いたか
• SLAが数値（応答時間・エスカレーション時間）で書かれているか
• スコープ外（除外事項）を確認し、そこに重要資産がないか点検したか
• 月次レポートのサンプルを見て、改善提案が含まれるか確認したか
• 委託先自身のセキュリティ認証（ISO27001等）を確認したか
• 中途解約条件・データ返却/廃棄手順が契約に明記されているか
• まず狭い範囲で始め、効果を見て広げる段階設計になっているか

このチェックリストは、費用の安い高いを判断するためのものではない。「自社が何を守りたくて、どこを任せ、誰が判断するのか」を発注前に言語化するためのものだ。ここが固まっていれば、どのベンダーの見積もりも同じ土俵で読める。

第三者検証という選択肢

もうひとつ、中小企業に勧めたい選択肢がある。発注前に、売り手ではない第三者の目で現状を棚卸しすることだ。

セキュリティベンダーの提案は、当然ながらそのベンダーが提供できるサービスに寄る。監視サービスを売る会社は監視を、診断を売る会社は診断を勧める。それ自体は悪いことではないが、「自社にとって本当に優先すべき手当て」と「ベンダーが売りたいもの」が一致するとは限らない。相見積もりを並べても、そもそも前提スコープが各社バラバラなら、比較にすらならない。

だからこそ、発注や契約の前に、利害関係のない第三者に現状の棚卸し・リスクの優先順位付け・必要スコープの整理をしてもらう価値がある。この考え方は、AI導入で高額なPoCに入る前に第三者アセスメントで可否と要件を固める発想と同じだ。GXOでは発注前の第三者アセスメントの枠組みで、投資に踏み切る前に「そもそもやるべきか・どの順で・どこが失敗要因か」を整理する支援を行っている。セキュリティでも、この「発注前に一度、身内以外の目を通す」プロセスが、過剰投資と抜け漏れの両方を防ぐ。

第三者検証で確認すべき観点は次のとおりだ。

• 守るべき資産の棚卸しは網羅的か（オンプレ・クラウド・SaaS・持ち出し端末）
• 提案されたスコープに、優先度の高い領域が漏れていないか
• 提案の前提（端末数・ログ量・監視時間）が自社の実態と合っているか
• SLAと見積もりが、事業影響に見合った水準か（過剰でも過少でもないか）
• ベンダーの主張（実績・体制・認証）を裏付ける資料を確認できるか

FAQ

Q1. まず何から外注すればいいですか？

一番リスクの高い領域から絞って始めるのが定石だ。外部公開しているWebアプリ、メール（フィッシングの入口）、認証基盤（ID/パスワード漏えい）あたりが優先度の高い候補になる。いきなりフルスコープの包括委託を契約せず、スポットの脆弱性診断で現状を把握し、そのうえで継続監視の範囲を決めると失敗が少ない。

Q2. 月額の相場はいくらですか？

各社公表の目安（二次情報）では、機器のログ監視で月5万〜15万円、EDR運用で月10万〜25万円、運用伴走の準委任で月50万〜300万円、24/365のSOC監視で月30万〜80万円超と幅がある。金額は端末数・ログ量・監視時間・対象範囲で大きく変わるため、相場をそのまま鵜呑みにせず、自社のスコープに対する見積もりの内訳で判断してほしい。

Q3. 準委任契約と請負契約の違いは？

準委任は「業務の遂行」に対する契約、請負は「成果物の完成」に対する契約だ。セキュリティ運用は監視・分析・対応という継続的な業務で、特定の成果物を納品するものではないため、準委任が適する。準委任では稼働範囲と対応時間をSLAで定義し、月次レポートで実績を確認する形になる。

Q4. 小規模（社員50名以下）でも外注は必要ですか？

規模より「何を扱っているか」で決まる。個人情報や取引先の機密を扱っていれば検討の価値がある。小規模なら、フルスコープではなく最もリスクの高い領域に絞ったライトな範囲（脆弱性管理＋定期診断など）から始めるのが効率的だ。

Q5. 外部委託先が漏えい元になるリスクは？

NDA締結を前提に、(1)委託先が自社データにアクセスする範囲の最小化、(2)再委託の禁止または事前承認制、(3)契約終了時のデータ廃棄証明の取得、を契約・運用で担保する。加えて、委託先自身のセキュリティ体制（ISO27001等の認証）を年1回は評価する。

Q6. 見積もりが各社バラバラで比較できません。

前提スコープが揃っていないのが原因だ。「守る対象・監視時間・インシデント対応の扱い・従量課金の有無・除外事項」を自社側で先に定義し、同じ条件で見積もりを依頼すると比較できるようになる。これが難しい場合は、発注前に第三者に前提を整理してもらうのが早い。

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、契約を進める前に一度整理することを勧める。

• 見積もりを受け取ったが、内訳や除外事項が読み解けず、高いのか安いのか判断できない
• 相見積もりを取ったが、各社の前提がバラバラで比較にならない
• 監視だけは契約したが、社内に承認者・対応の受け手がいない
• 取引先・親会社からセキュリティ体制の整備を短期間で求められている
• 何を外注し、何を社内に残すかの線引きが、自社だけでは決めきれない

GXOは、ツールやサービスを売ることを起点にせず、現状のリスク・ログ・権限・運用体制の棚卸しから入り、過不足のないスコープを設計する。単発の診断で終わらせず、セキュリティ体制の再構築から、月額のセキュリティ運用伴走（顧問・リテイナー）、そして投資前に第三者の目を通す発注前の第三者アセスメントまで、判断と実行を接続する形で支援する。「監視はしているが対応していない」「見積もりが読めない」という状態のまま契約に進む前に、まず現状の棚卸しから始めてほしい。

---

参考資料（一次情報・二次情報の別を明記）

• 経済産業省「IT人材需給に関する調査」2019年3月（一次情報・IT人材不足の推計）
• IPA（情報処理推進機構）「情報セキュリティ10大脅威 2025」2025年1月（一次情報）
• 個人情報保護委員会「改正個人情報保護法（令和2年改正）」2022年4月施行（一次情報・漏えい報告義務化）
• NTTセキュリティ・ジャパン「5分でわかるMSSとSOCの違い」（二次情報・用語整理、参照日2026年7月）
• 情シス365「セキュリティ対策の外注費用相場」（二次情報・費用目安、参照日2026年7月）
• ラシック「SOCによるセキュリティ監視運用を外注する進め方」（二次情報・線引き/SLA、参照日2026年7月）
• AEVUS「SOC外部委託vs内製」（二次情報・費用/選定、参照日2026年7月）

※ 費用相場は各ベンダー公表値を整理した目安であり、実額は端末数・ログ量・監視時間・対象範囲で変動する。制度・価格・脆弱性・法務に関する判断は、公開時点の公式情報と一次情報を確認したうえで行うこと。