サイバーセキュリティにおける継続的モニタリングとは、資産の可視化、テレメトリの収集、設定情報の追跡、および証拠の自動生成を組み合わせた、継続的な運用モデルです。これにより、セキュリティ担当者は、定期的なスキャンや特定の時点での評価に依存することなく、セキュリティ態勢や脅威の状況について継続的に把握することができます。定期的なスキャンや評価では、チェックの合間に悪用されうる脆弱性が生じかねないからです。
主なポイント
- 継続的モニタリングは、製品ではなく運用モデルです。複数の ツールがこのプログラムに情報を提供しており、ベースライン、責任の所在、ダッシュボード、および是正ワークフローによって、その機能が適切に発揮されるかどうかが決まります。
- 定期的なスキャンでは、攻撃者に悪用される脆弱性が残されてしまいます。 IBMの「2025年データ侵害コスト報告書」によると 、侵害の検知までに要する平均日数は207日です。継続的なテレメトリは、まさにこのギャップを埋めるために設計されています。
- 監視の範囲は、クラウドやエンタープライズネットワークだけにとどまってはなりません。OT 、ICS、およびエアギャップ環境には、専用のサポートなしではクラウドネイティブツールでは対処できない監視上の制約があります。
- SIEM、EDR、およびXDRは、継続的監視プログラムを構成する各層であり、その代替となるものではありません。 運用モデルによって 、環境全体においてこれらのツールがどのように設定、統合され、それに基づいてどのような対応が行われるかが規定されます。
- My OPSWAT™Central Management は、MetaDefender の導入環境全体（ネットワークから切り離されたサイトやエアギャップ環境を含む）にわたる継続的な監視をサポートします。可視化 、ポリシーの適用、およびコンプライアンスレポート機能は、サイトがネットワークに接続されているか、あるいは隔離されているかに関わらず、同じように機能します。
サイバーセキュリティにおける「継続的モニタリング」とは、実際には何を意味するのか
サイバーセキュリティにおける継続的な監視とは、単一の製品カテゴリーやベンダーの機能一覧のことではありません。これは、資産の棚卸し、脅威の検知、ポリシーの適用、および自動化された是正措置を、一連の予定されたイベントではなく、継続的なプログラムとして統合したセキュリティ運用モデルです。
米国連邦政府の文脈において、このモデルの正式名称は「情報セキュリティ継続的監視（ISCM）」である。NIST SP 800-137では、ISCMを「組織のリスク管理上の意思決定を支援するため、情報セキュリティ、脆弱性、および脅威に関する継続的な認識を維持すること」と定義している。このフレームワークは連邦政府機関以外にも適用され、あらゆるセキュリティ責任者に対し、監視プログラムがどのような成果を生み出すべきか、またそれをどのようにガバナンスすべきかについて、体系的な考え方を提示している。
NIST SP 800-137における情報セキュリティの継続的監視に関する記述
NIST SP 800-137では、ISCMを「戦略の定義」、「統制の選定」、「実施」、「収集・分析・報告」、「調査結果への対応」という6つの構成要素に分類しています。各構成要素は前の要素を基盤としており、政策決定と運用上の証拠との間に閉ループを形成しています。
CISOにとって、SP 800-137の実用的な価値は、ガバナンスの明確化にあります。この規格は、プログラムの構造（誰が戦略を策定するか、誰が調査結果に基づいて対応するか、さまざまな資産の評価頻度など）と、データ収集に用いられるツールを明確に区別しています。この区別により、モニタリングが、責任の所在や説明責任を伴う運用モデルではなく、単なるツールの導入として扱われてしまうという、よくある失敗パターンを未然に防ぐことができます。
継続的モニタリングが、単なる単発のツールではなく、運用モデルである理由
継続的な監視プログラムには、複数のツールが活用されています。具体的には、ログの相関分析を行うSIEM、エンドポイントのテレメトリを収集するEDR、脆弱性スキャナー、設定評価ツール、そしてOT専用のデータ収集ツールなどです。このプログラムは、単一のツールだけで構成されているわけではありません。その運用モデルは、これらのツールを統制する要素、すなわちベースライン、ポリシー、ダッシュボード、エスカレーション手順、および是正措置のワークフローによって定義されます。
継続的な監視を実現することを期待してツールを導入した組織は、たいてい、テレメトリデータは得られても、具体的な運用体制が整っていないことに気づきます。ツールがその真価を発揮するには、責任の所在の明確化、承認済みのセキュリティ状態のベースライン、インシデント対応ワークフロー、そして経営層への報告体制といった運用体制が整っている必要があります。
「取締役会に提出可能な定義」とはどのようなものか
経営陣や取締役会にとって、継続的なモニタリングがもたらす成果は、以下の3つに集約されます。すなわち、セキュリティ環境に変化が生じたことを把握すること、その変化が発生してから組織がそれを認識するまでの時間を短縮すること、そして継続的なセキュリティ監視に関する説得力のある証拠を維持することです。
この捉え方が重要なのは、継続的なモニタリングに関する取締役会レベルでの議論において、運用モデルと製品の購入がしばしば混同されがちだからです。モニタリングを単なる予算項目ではなく、運用上の能力として説明できるセキュリティ責任者であれば、プログラムへの投資を正当化し、組織的なリスクの観点から不足点を説明する上で、より有利な立場に立つことができます。
定期的な評価よりも継続的なモニタリングが重要な理由
定期的なセキュリティ評価には、四半期ごとの脆弱性スキャン、年1回の侵入テスト、月次設定レビューという3つの一般的な形態があります。それぞれが「その時点の状況」を把握するものです。これらの「状況把握」の合間に、攻撃が発生したり、設定ミスが発見されなかったり、パッチ未適用のリスクが蓄積されたりするのです。
定期的なスキャンでは、評価の間に悪用可能な隙間が生じてしまう理由
四半期ごとの脆弱性スキャンでは、スキャンを実行した当日のセキュリティリスクの状況が把握できます。スキャンから3日後に新たに導入されたサーバー、変更されたファイアウォールルール、あるいは起動されたクラウドワークロードなどは、次回のチェックが行われるまで検出されません。クラウドインフラ、リモートエンドポイント、分散型OTサイトなど、急速に変化する環境においては、定期的な評価だけではアーキテクチャ的に不十分です。
構成のドリフトが問題をさらに深刻化させます。前回のスキャン時点で正しく構成されていたサーバーでも、パッチの適用、ソフトウェアの更新、あるいは管理者の変更から数時間以内に、承認済みのベースラインから逸脱してしまう可能性があります。継続的な構成監視により、次回の定期的なレビューを待たずに、ほぼリアルタイムでそのドリフトを検知することができます。
継続的なテレメトリが攻撃者の滞在時間をどのように短縮するか
によると IBMの「2025年データ侵害コスト報告書」によると、セキュリティ侵害を特定するまでの平均期間は207日である。この「潜伏期間」の大部分は、検知ツールの能力不足によるものではなく、テレメトリデータが断片化されていること、責任の所在が不明確であること、そしてアラートが適切な対応チームに転送されていないことが原因である。
継続的な監視は、データ収集とワークフローの責任の明確化を組み合わせることで、処理時間を短縮します。テレメトリデータが一元化されたビューに集約され、ベースラインと照合され、定義された対応責任者に振り分けられることで、検知から封じ込めまでのプロセスが短縮されます。多くの組織におけるボトルネックは、検知技術そのものではありません。検知と対応を結びつけるプログラムが存在しないことこそが問題なのです。
CISOがリスクベースの意思決定に継続的モニタリングを活用する理由
一元化された継続的な可視性は、セキュリティ責任者が優先順位を決定する方法に変化をもたらします。環境全体にわたる資産の状態、脆弱性の経過時間、パッチ適用状況、およびポリシー遵守状況をリアルタイムで把握できることで、CISOは、最新のアラートへの対応から、リスクが最も高い脆弱性への対処へと重点を移すことができます。
リスクに基づく優先順位付けには、最新のデータが必要です。月次レポートや四半期ごとのダッシュボードに依存している組織では、先週是正された重大度の高い問題と、6か月間未解決のままの問題とを区別することはできません。継続的なモニタリングを行うことで、それが情報漏洩や監査上の指摘事項となる前に、その区別を可視化し、適切な対応を講じることが可能になります。
継続的モニタリングプログラムでカバーすべき事項
包括的な継続的監視プログラムは、ネットワークトラフィックやエンドポイントのアラートだけにとどまりません。セキュリティインシデントが発生しうるあらゆる資産タイプ、セキュリティドメイン、環境を網羅し、それぞれの固有の制約に対応しています。
どの資産およびセキュリティドメインを継続的に監視する必要があるか
継続的な監視の対象範囲には、エンドポイント、サーバー、仮想マシン、クラウドワークロード、ネットワークインフラストラクチャ、ID、アプリケーション、データ転送ポイント、リムーバブルメディア、および導入済みのセキュリティ対策が含まれます。各資産クラスからは、監視プログラムの対象となるテレメトリデータが生成されます。
継続的な監視プログラムにおける死角は、多くの場合、管理対象外の資産や不完全な資産台帳に起因しています。資産台帳に登録されていない資産は監視対象外であり、つまり、組織のセキュリティ態勢の全体像に反映されていないことを意味します。正確かつ常に最新の状態に維持された資産台帳は、テレメトリの選定、ベースラインの設定、および監視範囲の測定の基盤となります。
どのテレメトリデータを一元管理すべきか、またその頻度はどの程度か
継続的な監視プログラムにおいて一元管理すべきテレメトリのカテゴリには、脆弱性データ、構成状態、認証イベント、マルウェアスキャン結果、ネットワークフローデータ、セキュリティ制御の健全性状態、およびポリシー遵守状況などが含まれます。すべてのテレメトリについて、同じ収集間隔が必要というわけではありません。
収集の頻度は、資産の重要度に応じて調整すべきである。最重要資産（生産管理システム、IDインフラ、データ転送ゲートウェイ）については、より高頻度の収集とより厳格なベースラインを設定する必要がある。重要度の低い資産については、重大な監視の死角を生じさせることなく、より低い頻度で監視を行うことができる。すべてのテレメトリデータを同じ頻度で処理すると、検出成果の向上にはつながらず、処理上のノイズが増加するだけである。
OT環境やエアギャップ環境を監視すると、何が変化するのか
OT環境やエアギャップ環境では、クラウドネイティブやエンタープライズ向けのツールでは対応できないような監視上の制約が生じます。接続性は制限されているか、あるいは存在しません。変更管理プロセスは、その設計上、時間がかかります。安全要件により、運用システムにデプロイできるものが制限されます。OTネットワークとITネットワーク間のデータパスは、意図的に制御されています。
こうした制約によって、一元的な監視の必要性がなくなるわけではありません。むしろ、データの収集方法や是正措置の実施方法が変わるのです。OT環境における監視は、通常、継続的なストリーミングではなく、受動的なデータ収集、ポーリングエージェント、またはスケジュールされたデータ転送に依存しています。エアギャップ化されたサイトでは、クラウドベースの更新パイプラインではなく、ネットワークから切り離された管理ツールを介したパッチの適用など、オフラインでの是正措置が必要となります。
継続的モニタリングと、SIEM、EDR、XDR、および継続的制御モニタリングとの違い
セキュリティ情報およびイベント管理（SIEM）、Endpoint 検知・対応（EDR）、拡張型検知・対応（XDR）、および継続的制御モニタリング（CCM）は、しばしば「継続的モニタリング」と混同されたり、その代替案として提案されたりすることがあります。これらはそれぞれ、モニタリングプログラムに組み込まれる独立した機能であり、モニタリングプログラムに取って代わるものではありません。
ツール / カテゴリ | 主要機能 | 主要機能 | 継続的モニタリングプログラムにおける役割 |
継続的モニタリングプログラム | 継続的なセキュリティ意識向上のための運用モデル | すべてのドメインにわたる資産インベントリ、ベースライン、テレメトリ、およびインシデント対応の責任の所在を管理する | プログラムそのものです。他のすべてのツールは、このプログラムにデータを供給します。 |
SIEM | ログの集約、相関分析、およびアラート通知 | 複数のソースからのイベントを正規化し、検知ルールを適用し、アラートを通知する | ログおよびイベント層。アラートのルーティングと調査ワークフローを処理する |
EDR | Endpoint 検知と対応 | 詳細なエンドポイントテレメトリ、行動検知、隔離および是正措置 | Endpoint テレメトリのソース。管理対象のエンドポイントのみを対象とします。 |
XDR | ドメイン横断的な検知と対応 | エンドポイント、ネットワーク、クラウドのテレメトリを連携させ、統合的な検知を実現します | 検出範囲が広いが、OT環境やエアギャップ環境は対象外である |
継続的制御監視（CCM） | セキュリティ対策が適切に機能していることを継続的に検証すること | コンプライアンスのための証拠の自動生成；ポリシー準拠状況の追跡 | コンプライアンスおよびガバナンスの証拠層。監査文書に関してはCMと重複する部分がある |
継続的監視プログラムにおけるこれらのツールの位置づけ
SIEMは、本プログラムにおいてログの集約、相関分析、およびアラート発報を行う層として機能します。イベントの正規化、検知ルール、およびアナリストによる調査ワークフローを処理します。SIEMは、資産インベントリ、構成ベースライン、または是正措置を管理するものではありません。
EDRおよびXDRは、エンドポイントおよびネットワークの検知と対応を扱います。これらは、対象とする資産に対して詳細なテレメトリ機能と対応機能を提供しますが、OTシステム、エアギャップ環境、リムーバブルメディア、あるいは監視プログラムがカバーすべきあらゆる資産には及んでいません。
CCMは、セキュリティ対策が適切に機能していること、およびポリシーが遵守されていることを検証します。ガバナンスおよびコンプライアンスの証拠を対象としており、監査報告における継続的モニタリングと一部重複する部分もありますが、脅威の検知、滞留時間の短縮、あるいは追跡対象外の対策に関する是正措置については扱いません。
OPSWATの集中型セキュリティ管理が、分散環境全体にわたる継続的な監視をどのように支えているか
継続的な監視が機能するのは、セキュリティチームが、インターネットに接続することのないものを含め、すべてのデプロイメントを一目で把握できる場合に限られます。分散型のIT環境、OT環境、およびエアギャップ環境は、それぞれ独自のスキャン結果、健全性指標、ポリシー状態を生成しますが、これらを集約する単一のコンソールがなければ、セキュリティ責任者は「現在、何かリスクにさらされているものはあるか？」という1つの疑問に答えるためだけに、複数のシステムを確認し続けなければなりません。
My OPSWAT™Central Management は、OPSWAT が提供する集中型セキュリティ管理プラットフォームであり、IT、OT、オンプレミス、およびエアギャップ環境における「MetaDefender 」の導入環境全体に対して、統一された可視性、集中管理、および効率的な是正措置を提供するように設計されています。
デバイスや環境を横断した資産のリアルタイム可視化
継続的な監視は、環境内に何が存在しているかを正確に把握することから始まります。My OPSWAT Central Management は、クラウド、オンプレミス、エアギャップ環境に展開されているすべての登録済みMetaDefender インスタンスの一元的なインベントリを提供します。
単一の信頼できる情報源があれば、チームは保護対象の資産や管理対象外の資産を迅速に特定し、報告を停止したデバイスを検知し、手動での追跡が現実的でないことが多い分散型またはセグメント化されたネットワーク全体でのカバレッジを正確に測定することができます。
Endpoint の統合セキュリティ体制
My OPSWAT Central Management これにより、管理者は組織全体のエンドポイントセキュリティ状況をひと目で把握できます。単一のダッシュボードから、チームはコンソールを切り替えることなく、エンドポイントの状態を確認したり、スキャン結果にアクセスしたり、コンプライアンスの状況を追跡したりすることができます。
組み込みの監視機能により、セキュリティ上の脆弱性や設定の逸脱が明らかになり、確立されたセキュリティ基準から外れたデバイスを特定しやすくなり、問題が深刻化する前に是正措置を講じることが可能になります。
脆弱性の監視とリスクの優先順位付け
管理対象のデバイスやアプリケーション全体の脆弱性に関する、継続的に更新される状況を把握できます。セキュリティチームは、影響を受けるエンドポイントを迅速に特定し、どのアプリケーションがリスクにさらされているかを把握し、経時的なリスクの傾向を監視することができます。検出結果は深刻度別に分類されるため、チームは最も大きな効果が見込める箇所を優先して是正措置を講じ、攻撃対象領域の変化に合わせて進捗状況を追跡することができます。
規制対象環境において、監査対応可能なコンプライアンスを維持する
規制要件の下で運営されている組織にとって、コンプライアンスの維持と同様に、その遵守状況を証明することも同様に重要です。My OPSWAT Central Management は、組織のポリシーに基づいてデバイスを継続的に評価し、結果を一元化されたログに記録するとともに、NIST、CISA、GDPR などのフレームワークに準拠したレポートを生成します。セキュリティデータが一箇所に集約されるため、監査に必要な証拠を即座に提示できるほか、ポリシーから逸脱したデバイスを速やかに特定し、対応することができます。
脅威の分析結果を、具体的な行動につながる知見に集約する
分散環境全体で継続的な監視を機能させるためには、セキュリティチームは、すべてのセキュリティイベントを一か所に集約する一元的なセキュリティ管理体制を構築する必要があります。
My OPSWAT Central Management 組織全体から収集したマルウェアの検出情報、ブロックされたファイル、隔離イベント、その他の調査結果を、一元化されたビューに集約します。
拠点や導入形態ごとのアクティビティを分析することで、チームは繰り返し見られるパターンを明らかにし、新たな脅威を特定し、問題が孤立したものなのか、それともより広範なリスクの兆候なのかを判断することができます。
重大な事象に対する事前アラート
セキュリティチームは、最新情報を把握するためにダッシュボードを常に監視し続ける必要はありません。My OPSWAT Central Management は、重大なセキュリティインシデント、マルウェアの検出、システムの健全性に関する問題、およびその他の注意が必要な状況について、タイムリーなアラートを提供します。
重要な変更が発生した際に適切な担当者に通知することで、このプラットフォームは対応の迅速化、業務への支障の軽減、そして些細な問題がより大きなセキュリティやコンプライアンス上のインシデントに発展するのを防ぐのに役立ちます。
OPSWAT にご相談いただくか、「My OPSWAT Central Management ページをご覧いただき、一元管理がセキュリティ運用をどのように向上させるかをご確認ください。
よくある質問
継続的な監視と定期的なスキャンにはどのような違いがありますか？
定期的なスキャンでは、特定の時点における評価結果が得られます。つまり、スキャンが実行された当日のエクスポージャー状況を「スナップショット」として捉えるものです。一方、継続的なモニタリングでは、それらのスナップショットの間においても、資産の状態、構成のずれ、脆弱性の状況、および脅威の活動を常に把握し続けます。両者の決定的な違いは「時間」にあります。前回のスキャンから3日後に発生した設定ミスは、定期的なスキャンモデルでは検出されませんが、継続的なモニタリングモデルでは数時間以内に検出されます。
効果的な継続的監視を行うために、どのようなテレメトリを一元管理すべきか？
テレメトリの主要なカテゴリには、脆弱性データ、構成状態、認証イベント、マルウェアスキャン結果、ネットワークフローデータ、セキュリティ制御の健全性、およびポリシー遵守状況があります。OT環境の場合は、これに加え、運用システムの資産インベントリ、プロトコルアクティビティ、およびパッチ適用状況も対象となります。データ収集の頻度は、すべてのテレメトリを同じ頻度で扱うのではなく、資産の重要度に合わせて設定する必要があります。
アラート疲労を引き起こすことなく、継続的なモニタリングを既存のSIEM、SOAR、XDRとどのように統合すればよいでしょうか？
統合に先立ち、各プラットフォームの役割を明確に定義します。SIEMはログの相関分析とアラート処理を担当し、SOARは対応のオーケストレーションを担当し、XDRはエンドポイントおよびネットワークの検知を担当します。継続的モニタリングは、これらを上位に位置するガバナンス層です。継続的モニタリングは、各プラットフォームに流入するデータを管理し、アラート発動の基準となるベースラインを設定し、検知結果を適切な対応担当者に転送します。統合層での重複排除、リスクベースのアラート閾値、および明確な重大度モデルにより、アラートの乱立を防ぎます。
エアギャップ環境やOT環境において、継続的な監視は機能するのでしょうか？
はい、ただし、データ収集および是正措置の方法は、接続された企業ネットワークとは異なります。エアギャップ環境では、継続的なストリーミングではなく、パッシブなデータ収集、ポーリングエージェント、またはスケジュールされたデータ転送が必要となります。是正措置（パッチ適用、ポリシーの更新、設定変更）は、クラウドベースのパイプラインではなく、オフライン対応の管理ツールを通じて実施する必要があります。エアギャップ環境での登録およびオフラインでのパッチ適用を明示的にサポートするセキュリティ管理プラットフォームは、こうした環境へ継続的な監視を拡張するための前提条件となります。
継続的なモニタリングによって、NIST 800-53、NIST 800-137、およびFedRAMP向けの監査対応可能な証拠をどのように生成できるのでしょうか？
継続的なモニタリングでは、構成の変更、スキャン結果、制御の状態、およびポリシーに基づくアクションを、タイムスタンプ、役割の割り当て、および改ざん防止機能を備えたログへの保存とともに記録することで、監査に耐えうる証拠を生み出します。NIST 800-53 では、制御の有効性に関する継続的な評価が求められています。 継続的モニタリングは、手動による証明や特定の時点でのスクリーンショットに代わる、自動化された証拠を提供します。FedRAMPの継続的モニタリング要件では、評価の最低頻度と証拠の保存期間が規定されています。これらの要件に基づいて設計されたプログラムは、通常の運用過程において、準拠した文書を副産物として生成します。
継続的なモニタリングプログラムの失敗につながる、よくある課題にはどのようなものがあるか？
最も一般的な失敗要因としては、資産インベントリの不完全さ（追跡されていないため監視対象外となっている資産）、対応責任の不明確さ（アラートが発生しても対応が行われない）、およびベースラインの欠如（正常状態の基準となる参照点がないままテレメトリデータが収集されている）が挙げられます。 最も迅速な改善策は、以下の順序で実施されます。資産インベントリを監査して管理対象外の資産のギャップを解消し、エスカレーションのタイムラインを明確に定めた対応責任者を指名し、リスクが最も高い資産クラスについて承認済みのセキュリティ状態の基準値を文書化することです。これら3つのステップを実施することで、新たなツールを導入する前に、測定可能な改善効果が得られます。
