SIEMとは【図解でわかりやすく】

最終更新日：2026年7月16日

30秒でわかる結論

SIEM（Security Information and Event Management）は組織内の機器ログを一元収集・相関分析して脅威を検知する仕組み。試験では「①ログを統合・相関分析することで単体では見えない攻撃が見えるという本質」「②SOC（監視チーム）の中核ツールとして使われること」「③リアルタイム検知と可視化」が頻出です。

組織内の機器のログを一元収集・相関分析し、単体では見えない攻撃の兆候を検知する仕組み。

ファイアウォールもサーバーも端末も、それぞれログを出しています。でも1台ずつ見ても、攻撃の全体像は見えません。

図解

解説

SIEM（Security Information and Event Management、シーム）は、組織内の様々な機器——ファイアウォール、サーバー、端末、プロキシなど——のログを一元的に収集し、突き合わせて分析（相関分析）することで、セキュリティ上の脅威をリアルタイムに検知・可視化する仕組みです。

ポイントは「相関分析」にあります。例えば「ある端末で不審なプログラムが起動した」というログと、「同じ時刻にその端末から海外のサーバーへ通信があった」というログは、単体ではただの記録です。しかし突き合わせると「マルウェア感染とC&C通信の疑い」という攻撃のストーリーが浮かび上がります。

SIEMは、セキュリティ監視の専門部隊であるSOC（Security Operation Center）の中核ツールとして使われ、膨大なログの海から脅威の兆候を釣り上げる役割を担います。

試験では「ログは取るだけでなく、統合・分析して初めて価値になる」という文脈と、SOCとの関係で出題されます。

具体例

①相関分析の例：「端末Aで不審プログラム起動」×「同時刻に端末Aから海外サーバーへ通信」→マルウェア感染+C&C通信と判定（単体では見えない攻撃が統合で見える）。②SOCでの活用：SIEMが1日数百万件のログから脅威の兆候を自動検知→SOCのアナリストが優先的に調査。③ログ保存：SIEMで90日分のログを保存・検索できる体制を整え、インシデント後の調査（フォレンジック）に活用。

間違えやすい類似用語

SIEM vs SOC：SIEMはログ収集・分析のツール（システム）。SOC（Security Operation Center）はそのSIEMを使ってセキュリティを24時間監視する専門チーム（組織）。ツールと運用チームの違い。
SIEM vs EDR：EDRはエンドポイント（端末）に特化した挙動監視ツール。SIEMはファイアウォール・サーバー・端末など組織内の全機器のログを横断的に分析する仕組み。EDRのアラートをSIEMに統合して全体像を把握することが多い。

覚え方

バラバラのログを突き合わせて、攻撃の物語を読む（SIEM）

試験での問われ方

情報セキュリティマネジメント試験では「①SIEMの定義（ログを一元収集・相関分析して脅威を検知）」「②相関分析のポイント（単体では見えない攻撃が統合で見える）」「③SOCとの関係（SIEMが道具、SOCが運用組織）」が頻出。問題文に「ログを統合して分析」「単体では見えない攻撃の兆候を検知」が出たらSIEMと判断しましょう。