EDR (Endpoint Detection & Response)

EDRの費用構造はエージェントのライセンス料（端末1台あたり年間数千円〜数万円）と、それを有効活用するための運用コストに二分されます。300名規模であれば製品ライセンスだけで年間数百万円程度になりますが、問題はその後の運用です。アラート対応・調査・封じ込めを自社でこなすには、セキュリティアナリストが最低1〜2名必要であり、人件費だけで年間1,500万〜3,000万円以上が積み上がります。

このコスト水準を正当化するには、守るべき資産の価値（顧客データ、知財、業務継続性）がそれを上回る必要があります。年間売上30億円未満・従業員300名未満の企業では、フルスペックのEDR単独導入よりも、MDR（Managed Detection & Response）サービスをバンドルした形態の方がコスト効率が高いケースがほとんどです。

逆に、エンタープライズ規模では自社SOCとEDRを組み合わせることで、インシデント対応コストの大幅な削減や保険料の低減といった間接的なROIも期待できます。規模が小さいうちはMDR付きのクラウド型EDRから始め、SOC整備が完了したタイミングで内製運用に切り替えるという段階的アプローチが現実的です。

EDRという用語は2013年にGartnerのアナリスト、アントン・チュバキン氏が「Endpoint Threat Detection & Response」として初めて提唱したものです。当時、標的型攻撃（APT）が猛威を振るい始め、既知シグネチャを照合するだけの従来型アンチウイルスでは、攻撃者がシステム内部に長期潜伏する「Living off the Land」型の手口を検知できないことが明確になりました。CrowdStrike、Carbon Black（現VMware Carbon Black）などのスタートアップが2012〜2015年にかけてこのカテゴリを牽引し、その後MicrosoftがDefender for Endpointを展開したことで市場が一気に拡大しました。

日本市場でのEDR普及は2017〜2018年頃から本格化しました。2017年のWannaCry・NotPetyaによる大規模被害が国内製造業にも深刻な影響を与えたことが転換点となり、翌2018年には経産省の「サイバーセキュリティ経営ガイドライン Ver2.0」がEDR相当の対策を示唆する内容に改訂されました。国内ではトレンドマイクロ、FFRIセキュリティ、サイバーリーズンジャパン（現Cybereason）などが早期から国内向け展開を進めており、グローバルベンダーのCrowdStrikeやSentinelOneも日本法人を通じた営業体制を強化しています。2020年以降はリモートワーク拡大に伴うエンドポイント分散化と、サプライチェーン攻撃の増加を背景に、中堅企業への導入が急速に広がっています。