マネージドセキュリティサービス届出

この届出・登録は何のためのものか

「マネージドセキュリティサービス届出」は、SOC（セキュリティオペレーションセンター）運用やセキュリティ監視・運用サービス（MSS）を外部に提供する事業者が、その品質を公的な基準に照らして示すための仕組みを指します。日本では、情報処理の促進に関する法律（情報処理促進法）を背景に、経済産業省が定める「情報セキュリティサービス基準」に基づく適合性審査と、IPA（情報処理推進機構）が公開する「情報セキュリティサービス基準適合サービスリスト」への掲載が、実務上この役割を担っています。

注意すべき点として、これは飲食業の営業許可のような「取得しなければ営業できない」性質の許可ではありません。監視・運用サービスを提供すること自体に法的な事前許可は原則不要で、適合リストへの登録は任意です。ただし官公庁・金融機関の調達では適合サービスであることが要件化される例が増えており、受注機会の確保という観点で実質的に重要度が高まっています。

対象となる事業者・サービス

• 24時間体制でログ・通信を監視するSOC運用、インシデント検知・通知を行う事業者
• ファイアウォールやEDRの設定・運用を代行するマネージドサービス事業者
• 監視と併せて初動対応・運用支援を提供する事業者

脆弱性診断やデジタルフォレンジックは別カテゴリの基準が用意されており、提供サービスごとに該当区分を確認する必要があります。

取得（登録）の主な要件

経済産業省の基準では、おおむね次の観点が審査されます。

• サービス提供体制：監視を担う技術者の確保、教育・力量管理の仕組み
• サービス品質：手順書の整備、検知から報告までのプロセスの文書化
• 情報管理：顧客情報・ログの取扱いに関する管理体制（ISMS等の取得が評価されやすい）
• 中立性・継続性：サービスを継続提供できる事業基盤

資格要件として情報処理安全確保支援士などが直接の必須条件かどうかは審査区分・審査機関により異なるため、最新の基準書と審査機関の案内で確認してください。

申請の流れと費用

1. 経済産業省の基準書で自社サービスの該当区分を特定 2. 体制・手順・記録など必要文書を整備 3. 登録審査機関へ申請し、書面・運用実態の審査を受審 4. 適合と判定されればIPAの適合サービスリストに掲載

費用の目安は10万〜50万円程度とされますが、審査機関・サービス区分・事業規模によって幅があります。これに加えて、文書整備や体制構築の社内コストが実務上の負担になります。

よくあるつまずき・更新時の注意

• 監視「ツールの提供」と「監視・運用サービス」の区分混同による申請区分の誤り
• 手順書はあるが記録（検知・報告ログ）が残っておらず実態を示せない
• 個人情報・ログ管理体制の文書化不足

適合リストの掲載には有効期間があり、定期的な更新審査が必要です。サービス内容・体制を変更した際は、次回更新を待たず変更内容を審査機関へ届け出る必要があるか確認してください。ISMS（ISO/IEC 27001）の取得は審査を有利に進めやすく、関連して検討する価値があります。