SOARとは？そあー
SOARとは、複数のセキュリティ製品をAPIで連携させ、インシデント対応の定型作業（情報収集、切り分け、端末の隔離、チケット起票）をプレイブックとして自動実行する仕組み。Security Orchestration, Automation and Responseの略で、SOCの対応時間の短縮と品質の均一化を狙う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
検知の仕組みを増やすほど警報の数は増えるが、対応する人は増えない。担当者は毎回同じ調査手順を手で繰り返し、疲弊と属人化から見落としが生まれた。検知の後段にある決まりきった手続きを機械へ渡し、人は判断だけを担うという分業に寄せたのがSOARで、EDRやSIEMを入れた後に必ず来る運用負荷への答えにあたる。
具体例
フィッシング報告のたびに、ヘッダ解析、URLの評価、同じメールを受け取った利用者の抽出、メールボックスからの一括削除を手作業で行っていた工程をプレイブック化する。ServiceNowへの起票まで自動で行い、業務影響のある端末隔離だけ承認を挟む。
試験での引っ掛け
検知と分析の基盤がSIEM、その後の対応手順の自動実行がSOARで、役割が逆に覚えられやすい。SOARはログの収集・長期保管の基盤ではない。導入しても判断そのものが不要になるわけではなく、遮断や隔離のような影響の大きい操作は承認を挟む設計が前提になる。
関連用語
出た過去問
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
SOAR(Security Orchestration, Automation and Response)の説明はどれか。
正解：脅威インテリジェンスの活用,セキュリティ運用の自動化及びインシデント対応の効率化を行う技術
要点：SOARは製品連携と自動化でインシデント対応を効率化する
SOARは、脅威インテリジェンスを取り込みつつ、複数のセキュリティ製品の操作をプレイブック（対応手順を定めた台本）として連携(オーケストレーション)・自動化し、インシデント対応を効率化する技術・製品群である。よってアが正しい。ログの集約と相関分析を担うのはSIEMで、SOARはその先の対応工程まで自動化する点が異なる。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。