「SOAR」の概要

セキュリティの警告が出たときの定型的な対応作業を自動化し、複数のセキュリティ製品を連携させるためのシステムです。読み方は「ソア」です。

SOCには毎日大量の警告が届くため、人手だけですべてを調べるのは困難です。SOARを使うと、例えば「不審な通信元を自動で遮断する」「関連する情報を自動で集める」といった作業を、決められた手順に沿って自動で実行できます。技術的な作業の効率化が目的で、経営判断や国への報告などの組織対応は対象外です。

要点

• 警告の情報収集や、端末の隔離などの定型作業を自動化します。
• 主にSOCが、大量の警告を処理するために使います。
• 経営判断や法令上の報告など、組織としての対応は対象外です。

主な機能

機能	例
オーケストレーション	SIEM、EDR、ファイアウォールなどを連携させる
自動化	不審なIPアドレスの遮断、端末の隔離を自動で行う
対応管理	警告ごとの対応状況を記録する

CIRMとの違い

SOARは、技術的な対応を速く正確に行うためのツールです。CIRMは、検知後に、経営層、法務、広報などが関わる組織としての対応を管理します。対象とする利用者と作業が異なります。

実務のポイント

• 自動化する作業と、人が判断する作業を分けます。
• 自動化の結果を、誰がいつ確認するかを決めます。
• 組織対応へのエスカレーションの基準を決めます。

GuardPlanとの違い

SOARは技術的な対応を自動化する製品です。GuardPlanは、技術的な対応と並行して進む、経営層、法務、広報などが関わる組織の対応を支援します。

関連用語

• SIEM（シーム）
• EDR
• CIRM（サイバーインシデント対応管理）
• SOC（セキュリティオペレーションセンター）

参考資料

• NIST SP 800-61 Rev. 3「Incident Response Recommendations and Considerations for Cybersecurity Risk Management」

執筆：GuardPlan編集部　最終更新日：2026年11月4日

← 用語集トップへ戻る