IDS・IPSとSIEMとは？あいでぃーえす・あいぴーえすとしーむ
IDS・IPSとSIEMとは、不正アクセスの兆候を検知して通知するのがIDS、通信経路上に置いて検知した通信をその場で遮断するのがIPS、複数機器のログを集約して相関分析するのがSIEMである。監査人から見ると前の二つは統制そのもの、SIEMは統制の運用を跡づける証拠源であり、ITGCの運用管理を検証する際の主要な突合先になる。
最終更新：2026-10-06
システム監査技術者を最短で暗記・合格する →背景
機器ごとにログが散らばっていた時代は、攻撃の全体像を組み立てるのに担当者の記憶と手作業の突き合わせが要り、事後の説明が属人的にならざるを得なかった。時刻を合わせた記録を一箇所へ集めることで、誰が見ても同じ結論に至る状態をつくるのがSIEMの狙いである。監査証拠としては、機械が自動生成し被監査部門が改変しにくい記録が最も扱いやすく、この領域は証明力の高い証拠を安定して採れる数少ない場所になる。
具体例
Splunk や Microsoft Sentinel といったSIEM製品は、検知ルールの変更履歴と担当者の対応記録を製品側に残す。監査人は被監査部門が提出した対応一覧の写しで済ませず、この製品側の記録を自ら画面から出力し、検知から起票、クローズまでの時刻が情報セキュリティ規程の定める対応時限に収まっているかを確かめる。
試験での引っ掛け
IDSは通知するだけで遮断しない。止めるのは「防止」と名のつくIPSで、経路の外側でコピーを見るのがIDS、経路上に割り込むのがIPSである。既知パターンと照合するシグネチャ型は未知の攻撃を検知できず、平常時との差を見るアノマリ型は誤検知が増える。SIEMを導入した事実は検知が有効に働いた証拠にはならず、ルールの妥当性と対応の実績まで見て初めて運用状況を結論づけられる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。