SIEM日次ログ

計算式と考え方

1日のログ量は機器ごとの発生量を積み上げて求めます。サーバ1台60MB、端末1台20MB、ネットワーク機器1台500MBを目安にすると、200台・1,000台・50台で合わせて57GBです。クラウド監査ログ10GBを加えて67GBとなり、標準の収集範囲なら係数1.0でそのまま67GBになります。取り込み単価400円で年間365日なら約978万円、365日分の保管24.5TBに月4円をかけると年間約117万円で、合計は約1,096万円です。

ログ量の目安（1台1日あたり）

SIEM日次ログの詳しい解説

SIEMの費用構造は、取り込む量にほぼ比例します。この特性が設計の考え方を規定していて、何を取り込むかの判断が年間の費用を数倍単位で動かします。ログ量が最も膨らむのはネットワーク機器の通信ログとエンドポイントの詳細イベントです。前者は台数ではなく通信量に比例するため、拠点の帯域や利用者数が増えると台数を変えなくても増加します。後者はプロセスの起動、ファイルの操作、レジストリの変更といった粒度で記録すると1台あたりの量が数倍になります。実務でよく取られるのは階層を分ける方法です。相関分析と検知に必要なログだけをSIEMに取り込み、それ以外は安価なオブジェクトストレージに直接保管しておき、調査が必要になったときだけ検索するという構成にします。この場合、取り込み単価の高いSIEM側の量を抑えつつ、監査や訴訟対応に必要な保全は満たせます。ただし検索の速度と手軽さは下がるため、インシデント対応の初動でどこまでのログが即座に必要かという運用設計と表裏になります。保管期間の設定も費用に効きます。攻撃の検知から実際の侵入時点までを遡る調査では、数か月から1年前のログが必要になることがあります。標的型攻撃では侵入から発覚まで数か月かかる例が報告されており、保管期間が短いと侵入経路を特定できません。一方で、全ログを長期間ホット保管すると保管費用が取り込み費用に近づきます。直近90日はホット、それ以降1年はコールドといった階層化が現実的な折衷案になります。業界によっては法令やガイドラインで保存期間が定められている場合があり、その要件が下限になります。費用の見積りで見落とされやすいのが、SIEM本体以外のコストです。ログの転送に必要なフォワーダやコレクタの構築と運用、パーサの作成と保守、検知ルールのチューニング、誤検知の調査にかかる人的コストが加わります。特に検知ルールのチューニングは継続的な作業で、環境の変化や新しい攻撃手法に応じた見直しが必要です。導入初期は誤検知が多く、これを放置すると本当の警告が埋もれます。ツールの費用だけを比較して、運用に必要な人員を見込んでいない計画は、導入後に機能しなくなりがちです。専任者を置けない組織では、監視の運用自体を外部のサービスに委ねる選択もあり、その場合は取り込み量ではなく監視対象の数や時間帯で課金される形態が中心になります。

業界・現場での使い方

よくある間違い・注意点

• ライセンス費用だけで比較する — パーサ保守やルールのチューニングにかかる人的コストが継続して発生します。総保有コストで見てください。
• 全ログを長期間ホット保管する — 保管費用が取り込み費用に迫ります。直近のみホット、以降はコールドという階層化が現実的です。
• ピーク時の量を見込まない — 攻撃を受けた際やシステム障害時はログ量が急増します。従量課金では想定外の請求につながります。

関連する規格・法規

• NIST
• IPA

※本ツールは公的基準に基づく参考計算です。実際の設計・施工・法令適用は最新の告示・規格および所轄官庁の判断に従ってください。

よくある質問（FAQ）

関連計算ツール