主要なマネージドセキュリティサービスの内容を表に示した。ファイアウォールなどのセキュリティ製品の運用・監視やコンサルティング、脆弱性診断などを提供するマネージドセキュリティサービスを取り上げた。メール／Webフィルタリング機能などをSaaS（Software as a Service）として提供するサービス、セキュリティ製品のオプションなどで提供されている運用・監視サービスは除いた。

　マネージドセキュリティサービスは一般的に、複数のサービスを組み合わせたサービス群として提供されている。そうした現状を踏まえ、表の各項目に該当するサービス名を明記した。

セキュリティ製品監視：サービス内容や対応製品に違い

　表で取り上げたマネージドセキュリティサービスは全て、ファイアウォールや侵入検知システム（IDS）、侵入防御システム（IPS）の監視を提供している。監視だけでなく、導入や運用まで提供するケースが多い。インテックの「ネットワークセキュリティソリューション」やNTTコミュニケーションズの「マネージドセキュリティサービス」は、導入・運用と監視を別サービスとして提供する。

　対応製品の種類や数はサービスによって異なる。対応製品数が多いのはラックの「セキュリティ監視・診断サービス」で、マカフィーや日本アイ・ビー・エム（以下日本IBM）、チェック・ポイント・ソフトウェア・テクノロジーズなど、ファイアウォール製品8種、IDS／IPS製品6種、統合脅威管理（UTM）製品1種、Webアプリケーションファイアウォール1種の導入や運用、監視を実施する。

　ユーザー企業の要望に応じて、対応製品でなくても一部のサービスを提供するケースもあるようだ。ただし、導入支援だけなどサービス内容が限定されるケースが一般的である。可能な限り、自社導入済み、もしくは導入予定の製品に対応したマネージドセキュリティサービスを選択すべきだろう。

脆弱性診断：診断対象の多様化が進む

　サイバー攻撃が相次いで明るみに出る中、ユーザー企業の関心が急速に高まっているのが脆弱性診断だ。一般的なのはWebアプリケーション向けの脆弱性診断だが、各社はOSやネットワーク機器などに診断対象を広げている。

　インターネットイニシアティブの「マネージドセキュリティ」やラックのセキュリティ監視・診断サービスなどは、データベースの脆弱性診断を提供する。データベースの設定や運用状況に関するヒアリングなどからデータベースのセキュリティリスクを洗い出す。日立システムズの「SHIELD」はアプリケーションのソースコードレベルで脆弱性を診断する。

　ネットワーク機器の脆弱性診断は日立システムズの「SHIELD」、富士通エフ・アイ・ピーの「SafePort」、三菱電機情報ネットワークの「マネージドセキュリティサービス」などが提供。OSの脆弱性診断はNRIセキュアテクノロジーズの「ファイアウォールネットワークセンター」、ラックのセキュリティ監視・診断サービスなどが提供する。

監査／コンサルティング：セキュリティポリシーや認証取得が充実

　脆弱性診断と並んでユーザー企業からのニーズが高まっているのが監査やコンサルティングだ。セキュリティ製品の監視サービスを中心とするマネージドセキュリティサービスを提供する事業者の中にも、監査やコンサルティングを関連サービスとして用意する事業者もある。

　セキュリティポリシーの策定支援は、三菱電機情報ネットワークのマネージドセキュリティサービスなど多くのサービスが提供。ラックの「コンサルティングサービス」はセキュリティに関する従業員教育や研修を実施する。セコムトラストシステムズの「セキュリティサービス／マネージドサービス」など、プライバシーマークなどの各種認証の取得を支援するマネージドセキュリティサービスもある。

サービスの選定の注意点：SLAの有無や内容を確認

　マネージドセキュリティサービスの事業者によっては、ユーザー企業とサービス品質保証（SLA）を締結する場合がある。SLAの内容はさまざまだが、例えば分析スタッフがサイバー攻撃を検知してからユーザー企業に通知するまでの時間を保証し、違反した場合にはサービス料金を一部返金したりする。事業者やユーザー企業のシステム環境によって内容や条件は変わるので、契約時にSLAの内容を問い合わせておくことが必要だ。