SIEM（セキュリティ情報イベント管理）とは
SIEM（Security Information and Event Management）は、企業内のさまざまなシステム（PC、サーバー、ネットワーク機器、ファイアウォールなど）から出力される膨大なログ（利用履歴）を1か所に集約し、リアルタイムで自動的に監視・分析するシステムです。それぞれの機器のログを単体で見るだけでは気づけないような、複雑に絡み合った不審な動きやサイバー攻撃の兆候を、複数のログの関連付け分析（相関分析）によっていち早く発見することができます。
具体例
たとえば、「夜間, 普段使われないアカウントでサーバーへログインが成功した（通常のログイン履歴）」というログと、「その直後に, 社外の怪しいIPアドレスへ大量のデータ送信が行われた（通常の通信履歴）」というログが別々に発生したとします。SIEMはこれらを結びつけ、「外部への情報漏洩の疑いがある」として即座に管理者に警告（アラート）を発信します。
【SIEMの動作イメージ】\n1. ログ収集: ファイアウォール、ADサーバー、データベースなどからログを集約\n2. 相関分析: 「ID/PWの複数回試行」＋「直後の特権昇格」＋「外部送信」を検知\n3. アラート: 管理者へ「不正侵入の可能性あり」と即時通知もう少し詳しく
SIEMは、セキュリティ情報管理（SIM：Security Information Management）による「過去ログの長期保存とレポーティング機能」と、セキュリティイベント管理（SEM：Security Event Management）による「ログのリアルタイム分析機能」を融合させたシステムです。最大の特徴は「相関分析（コレーション分析）」にあります。相関分析とは、個々のイベントログ単体では「通常の挙動」に見えるものであっても、タイムスタンプや同一ユーザーID、同一IPアドレスなどの属性に基づいて関連付け、特定のパターンや時系列の推移（例：深夜の複数回にわたる失敗ログイン ➔ 権限昇格 ➔ 大容量の外部データ送信）を検出するルールベースの分析手法です。近年では、機械学習を活用して通常時の挙動（ベースライン）を学習し、そこから逸脱したアノマリー（異常）を検知するユーザー行動分析（UEBA：User and Entity Behavior Analytics）機能を搭載した高度なSIEMも普及しています。これにより、あらかじめ定義されたルール（シグネチャ）では検知できない未知の脅威や、内部不正による意図的なデータ持ち出しを高い精度で検出できるようになっています。
試験でのポイント
応用情報技術者試験では、セキュリティ運用管理やインシデント対策の文脈でSIEMの目的や特徴が問われます。「複数機器のログを一元的に収集・相関分析（関連性分析）することで、単体では検知困難な複合的なサイバー攻撃や予兆をリアルタイムに検知するシステム」という定義を正確に覚えておきましょう。特に「相関分析」というキーワードは、SIEMの機能を示す正解選択肢として非常によく選ばれます。また、SIEMはログを収集するだけでなく、インシデントレスポンス（事後対応）の迅速化に貢献する点もポイントです。インシデント発生時に、過去のログを横断検索して攻撃の侵入経路や影響範囲を特定する「フォレンジック調査」の効率を上げる役割も担っています。セキュリティオペレーションセンター（SOC）の運用基盤として、SIEMが組織全体のセキュリティ状況の可視化と迅速なトリアージ（優先度判定）に不可欠である点を結びつけて学習しておくと、記述式問題を含めて論理的な理解が進みます。
関連する用語
社内のセキュリティ運用を専門に行うセキュリティオペレーションセンター（SOC）、セキュリティ管理やログ解析を行うSIMおよびSEM、またインシデント発生時の原因究明を行うコンピュータフォレンジック（デジタルフォレンジック）があります。これらとSIEMの関係性を理解することで、組織的なセキュリティ管理体制の構造を体系的に把握できます。