EDRを入れた後、誰が通知を見る？運用の役割を決める

通知を受ける人、影響を判断する人、対応の結果を確認する人をつなぐ。

導入できたことと、対応できることを分ける

EDRは、端末の活動を捉え、検知や対応を支援する仕組みです。MicrosoftのDefender for Business資料も、自動で行われる対応と承認を待つ対応、その履歴を区別しています。SONAEは、製品を入れる際、確認、判断、実施、業務への連絡を役割として整理する方法を提案します。自動化の有無や範囲は製品と設定によります。導入済みという一行だけで、夜間の通知や業務停止の判断まで引き受ける人がいるとは考えないようにしましょう。

通知が届く先と、勤務時間を照合する

管理画面や通知の宛先が、退職者や普段見ないアドレスのままになっていないかを確認します。平日の確認者、休日の連絡先、担当不在の代替を決めます。社外へ委託している場合も、どこまで監視し、どの条件で連絡し、誰が返事をする契約かを確認します。二十四時間対応を契約していないのに、いつでも誰かが見ていると社内へ案内しません。時間の条件と未対応になる範囲を明らかにし、会社の業務に合わせて判断します。

端末を止める権限と、業務の判断をつなげる

隔離や停止が必要になった場合、実施できる担当と承認の条件を確認します。営業のパソコンと、店舗の受付で使う端末では、業務影響が違う場合があります。緊急時に誰が判断するか、事前に認める範囲、実施後の連絡を決めます。すべての対応を毎回一人の経営者へ待たせる方法だけでは、迅速さに課題が出るかもしれません。反対に、広い操作を無条件で委ねるのでもなく、範囲と記録を伴う運用として合意しましょう。

対応の状態を、通知の件数だけで見ない

検知、調査中、承認待ち、対応実施、結果確認など、製品に対応した状態を整理します。自動操作が成功しても、影響した範囲や業務の再開判断が残る場合があります。架空の端末通知では、担当が内容を確認し、必要な業務影響を責任者へ伝え、操作の結果を別に記録する表を作ります。通知を既読にしたことや、管理画面で閉じたことだけを、問題の解決と扱わないようにします。製品の用語と会社の完了条件の対応を残しておくことが大切です。

無害な机上の通知で、連絡を確かめる

演習には、実在の検体や攻撃を使わず、架空の検知文面と端末台帳を用意します。担当者が対象を特定し、決めた窓口へ連絡し、承認と記録の担当を説明できるかを確認します。ツールの検知性能を測った試験とは区別します。この制作では実端末へエージェントを入れたり、隔離したりしていません。未回答の連絡先や不明な契約範囲が見つかれば、担当と次の確認を付けます。実操作を行わなくても、運用上の抜けは整理できます。

毎月の確認を、未完了の改善へ向ける

管理対象から外れた端末、更新が止まった端末、繰り返す通知、未完了の対応を担当が見直す計画にします。完了の目安は、対象と通知、時間の条件、操作の承認、結果、業務再開を引き受ける人がつながることです。検知数が少ないことだけを、安全の証明にはしません。何を見て、何を判断し、どこまで対応できるかを残します。社員へも報告先と必要な情報を案内し、ツールと人の作業が離れない運用へ整えましょう。

相談前の確認表

• 通知と確認時間の担当を決めた
• 操作権限と業務判断をつないだ
• 既読と対応完了を区別した
• 架空通知で連絡と承認を確認する

参考資料（確認日：2026年10月23日）：Microsoft Learn：Review remediation actions ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。