㊹セキュリティ運用を再設計する：EDR運用は“検知”ではなく“判断”の仕事だ（終章）

KPIが改善しても現場は楽にならない ― SOC運用と負荷設計

ダッシュボードによって運用が見えるようになると、新しい発見が生まれる。

KPIは改善している。

アラート件数も減っている。

MTTRも短くなっている。

それなのに、現場は以前ほど楽になっていない。

むしろ改善が進んだSOCほど忙しそうに見えることがある。

これは珍しい話ではない。

SOC運用では、改善が進むほど新しい課題が見えてくる。

その一つが「負荷」である。

ここで重要になるのが負荷設計という考え方だ。

これはメンタルヘルスの話ではない。

運用を長く継続するための設計の話である。

第1章：改善すると新しい仕事が生まれる

SOCの初期段階では、とにかくアラートを処理することが優先される。

しかし運用が成熟してくると状況は変わる。

アラートを処理するだけではなく、

• チューニングする

• KPIを分析する

• レビューする

• 改善を企画する

• IT運用と調整する

といった仕事が増えていく。

つまり、

運用する組織から、改善する組織へ変わる。

ここで発生するのが改善負荷である。

改善活動そのものは正しい。

しかし改善活動もまた運用の一部であり、誰かが担わなければならない。

第2章：疲弊を生むのは件数ではなく判断回数

SOCが疲れる原因をアラート件数だと思われがちである。

しかし実際には少し違う。

本当に負荷になるのは判断である。

例えば、

• これは本当に危険か

• どこまで調査するか

• エスカレーションすべきか

• 改善対象にするべきか

こうした判断が積み重なる。

さらに改善活動が始まると、

• どの課題を優先するか

• どの自動化を進めるか

• どのKPIを見るか

といった新しい判断も増える。

つまり成熟したSOCほど、判断量は増える。

ここを理解せずに運用すると、

件数は減ったのに疲弊は減らない

という状況が起きる。

第3章：ベテランが改善活動を抱え込む

改善活動でよく起きることがある。

改善案件が特定の人に集中する。

最初は合理的に見える。

経験者の方が全体を理解しているからだ。

しかし長期的には危険である。

ベテランは、

• 難しい調査

• レビュー

• 教育

• チューニング

• 自動化

• 改善企画

まで担当するようになる。

すると現場は回っていても、一部の人だけが忙しくなる。

これは個人の問題ではない。

運用設計の問題である。

第4章：改善を個人の仕事にしない

成熟したSOCほど、

改善活動そのものを仕組みに組み込む。

例えば、

• レビュー担当を持ち回りにする

• 改善テーマをチームで管理する

• KPIレビューを定例化する

• 改善案件を複数人で担当する

目的は効率化ではない。

継続可能にすることである。

改善は一度やって終わるものではない。

運用と同じく、続いていく活動である。

だからこそ特定の人に依存してはいけない。

第5章：良い運用は頑張らなくても改善できる

運用改善が進むと、考え方も変わる。

以前は、

「もっと頑張る」

だった。

しかし成熟したSOCは違う。

「頑張らなくても改善が続く」

状態を目指す。

• 判断基準を揃える

• 標準化する

• 自動化する

• 可視化する

• 負荷を分散する

ここまで来ると、

人が運用を支えるのではなく、

仕組みが運用を支える状態になる。

まとめ

SOCの疲弊は気合で解決できない。

件数だけの問題でもない。

本質は運用設計にある。

• 改善活動も運用の一部として考える

• 判断負荷を管理する

• 特定の人へ集中させない

• 改善を仕組みに組み込む

これらができたとき、SOCは持続可能な運用に近づいていく。

シリーズの終わりに

このシリーズの最初の記事のタイトルは、

「セキュリティ運用を再設計する：EDR運用は“検知”ではなく“判断”の仕事だ」

だった。

当時はEDR運用の話として書き始めた。

しかし振り返ってみると、このシリーズで書いてきた内容はEDRだけの話ではなかったように思う。

判断設計。

標準化。

自動化。

改善。

可視化。

負荷設計。

テーマは変わっているように見えて、実はすべて同じ方向を向いていた。

運用を人に依存させるのではなく、組織として再現可能にすること。

つまり、

「判断を仕組みに移すこと」

である。

EDRは検知ツールである。

しかし運用は検知だけでは成立しない。

何を調査するか。

どこまで対応するか。

何を優先するか。

誰が判断するか。

運用の本質は、最初から最後まで判断だった。

そして、その判断を個人の経験や勘に任せるのではなく、組織として扱える状態にすること。

それが、このシリーズを通して考えてきたことだった。

結局のところ、

最初の記事で書いた

「EDR運用は“検知”ではなく“判断”の仕事だ」

という言葉に戻ってくる。

数か月かけて遠回りしたようにも見える。

しかし今は、最初に書いた時よりも少しだけ具体的に、その意味を説明できる気がしている。

このシリーズは今回で一区切りとしたい。

次からは少し視点を変えて、

セキュリティ運用の現場で感じたこと。

実際のプロジェクトでうまくいったことや失敗したこと。

現場と経営、セキュリティとIT運用、その間で考えたこと。

そんなテーマについて書いてみようと思う。

技術解説というよりは、現場で起きている出来事や、その裏側にある考え方に近い内容になるかもしれない。

そして、このEDR運用シリーズはしばらくお休み。

また新しい経験や気づきが積み上がった頃に、続編として戻ってこようと思う。

そのときは今回とは少し違う視点で、

「セキュリティ運用を再設計する」

というテーマを見つめ直してみたい。

#創作大賞2026
#ビジネス部門
#セキュリティ
#SOC
#EDR
#セキュリティ運用