フリーランスのリモート案件の面談で「Splunkの経験があります」と伝えると、「取り込みのほうですか、検知のほうですか」と聞き返されました。答えに詰まったのは、Splunkを触ってきた年数は話せても、ログのどの工程を自分が担ったのかを分けて話したことがなかったからです。Splunkの経験は、ログのどの工程を担ったかで数えます。この記事では、国の資料を物差しにして、その数え方を組み立てます。

1. Splunkの経験が一言で伝わりにくい理由

同じ名前で呼ばれる別々の仕事

Splunkは、機器やアプリケーションが出すログを集めて検索し、画面に見せ、異常を知らせる仕組みを組める製品です。使う場面はログ基盤の入口から出口まで広く、同じ「Splunkの経験」と書かれていても、実際に手を動かした範囲は人によって違います。

たとえば、機器ごとのログをどう取り込むかを設計してきた人と、検知のルールを作って閾値を調整してきた人とでは、日々の作業も、成果物として残るものも別物です。面談で聞き返されるのは、相手が知りたいのが製品名ではなく、どの工程を任せられるかだからです。

そのため、製品名と年数だけで経験を伝えると、相手は自分の案件に合うかどうかを判断できません。工程で言い分けておけば、聞き返される前に答えが出せます。

ログが流れる5つの工程

この記事では、ログが集まってから人の対応につながるまでを、5つの工程に分けて考えます。取り込み、検索と可視化、検知の設定、定期的な点検と分析、対応への受け渡しです。この分け方は、棚卸しのためにこの記事が置いた見立てで、製品の公式な区分ではありません。

図の作成：Remogu編集部。棚卸しのために工程を分けた見立てで、製品の公式な区分や統計データではありません

担った工程が違えば、棚卸しに書く中身も、受けられる仕事も変わります。たとえば取り込みの設計に強い人は、検知ルールの見直しを含む案件に向き合うとき、どこまでを任されるのかを先に確かめたほうが話が早く進みます。

セキュリティエンジニア全体の役割の分け方は、セキュリティエンジニアの案件の切り出し方で扱っています。この記事は、SIEMの経験を工程で数える部分に絞ります。次は、この工程の分け方に近い考え方が国際的な文書にも現れている点を見ます。

2. SIEMの国際ガイダンスと日本の共同署名

共同署名の中身

内閣サイバーセキュリティセンターは2025年5月27日、豪州サイバーセキュリティセンターが策定した、SIEMとSOARのプラットフォームに関するガイダンスに共同署名しました¹。協力機関として組織名が並んだ国は、日本を含む9か国です。

同じガイダンスには、実務者向けの優先ログガイダンスが含まれます。報道資料は、実務者が収集するログのデータソースを優先順位に沿って分類した内容だと説明しています¹。具体的な順位やログの名前は報道資料の概要に載っていないため、この記事では扱いません。

報道資料の概要で確かめられる項目

報道資料の概要で確かめられるのは、公表日、策定した機関、共同署名した国の範囲、優先ログガイダンスの位置づけの4点です。ガイダンス本体の記述は概要に出てこないので、中身の細部には踏み込まず、共同署名があった事実と、優先順位を付けた分類があることだけを押さえます。

項目	内容
公表日	2025年5月27日
策定した機関	豪州サイバーセキュリティセンター
共同署名した国	日本を含む9か国（協力機関として組織名が並んだ国）
実務者向け優先ログガイダンス	収集するログのデータソースを優先順位に沿って分類

取り込みの経験を語る物差し

どのログから取り込むかに優先順位を付ける考え方は、国際的な文書に整理されています。この記事では、これを取り込みの経験を語るときの物差しとして借ります。どのログを、どの順で取り込んだか。この問いに答えられると、「取り込みのほうです」と言ったあとの説明が具体的になります。

ただし、ガイダンスの優先順位をSplunkの設定に当てはめた記述は、報道資料にはありません。当てはめはこの記事の見立てです。次は、同じガイダンスが実装の課題として何を挙げているかを見ます。

3. 設定とスキルが挙がっている課題

ガイダンスが挙げる実装の課題

報道資料の概要によると、同ガイダンスはSIEMやSOARを実装するときの課題を3つ挙げています¹。うち2つは、効果的なログ分析のためにSIEMを組織固有のIT環境に合わせて設定する必要があること、SOARの設定に専門的なスキルを持つ一定のスタッフが必要なことです。残る1つは継続的なコストです。

出典：内閣サイバーセキュリティセンター報道資料（2025年5月27日）をもとに作成。課題は3つで、残る1つは継続的なコストです

設定した経験が棚卸しの中身になる

製品を入れただけでは、ログは分析になりません。ガイダンスが組織固有のIT環境への設定を課題に挙げている以上、自分の担当した環境に合わせて設定した経験そのものが、棚卸しに書く中身になります。どの環境のどのログを、どう扱えるようにしたかを書き出す作業です。

SOARの設定に専門的なスキルを持つスタッフが必要だと挙げられている点から、検知のあとの手順を設計した経験は、取り込みや検知とは別の工程として書き分けられます。

一方で、この資料は人手の状況や外部の力の必要性を述べているわけではありません。外の人の出番を読み取るのは、この記事の見立てにとどまります。次は、国内の基準がログの扱いをどう分けているかを見ます。

4. 統一基準が分ける「定めること」と「点検すること」

統一基準の遵守事項

国家サイバー統括室が2025年6月27日に決定した政府機関等の統一基準（令和7年度版）は、ログの管理について遵守事項を置いています。情報システムセキュリティ責任者には、ログを取得する目的を設定したうえで、取得する対象の機器等、取得する情報項目、保存期間、要保護情報の観点での取扱方法などを定め、適切に管理することが求められています²。

同じ統一基準は、取得したログを定期的に点検又は分析する機能を設け、不正侵入や不正操作の有無について点検又は分析を実施することも、遵守事項としています²。定めることと、点検することが、別の項目として並んでいます。

対象は国の行政機関等で、主体は情報システムセキュリティ責任者です。民間企業やフリーランスに課された義務ではありません。この記事では、ログの管理を「何を定めるか」と「どう点検するか」に分ける考え方だけを、棚卸しの物差しとして借ります。

統一基準の要素をSplunkの作業に置き換える

表の右の列は、統一基準の言葉をSplunkで行う作業に置き換えた例です。統一基準がSplunkを指定しているわけではなく、置き換えはこの記事の見立てです。ログを取得する目的の設定を「何を見るためのログか」、取得する情報項目を「フィールドの定義」と読めば、自分が担ってきた作業を統一基準の言葉と同じ粒度で並べられます。

統一基準の遵守事項の要素	Splunkの作業に置き換えた例（見立て）
ログを取得する目的の設定	何を見るためのログかを決める
取得する対象の機器等	取り込むデータソースを決める
取得する情報項目	フィールドを定義する
ログの保存期間	保持の設定を決める
要保護情報の観点での取扱方法	マスキングや閲覧権限を設定する
定期的な点検又は分析	定期サーチやレポートを組む

表の最後の行が示すのは、取り込んで終わりではなく、取ったログを見返す仕事が別にあることです。取り込みを担った人と、点検や分析を担った人とでは、棚卸しに書く成果物が変わります。

保存期間をどう決めるかの考え方は、ログ設計と保存期間の記事で扱っています。この記事では、保存期間の年数には触れません。次は、これらの物差しを使って、自分の経験を工程ごとに棚卸しします。

5. 経験を工程と成果物で棚卸しする

工程ごとに残る成果物を書き出す

棚卸しは、担った工程を選ぶところから始めます。取り込み、検知の設定、点検と分析、対応への受け渡しの4つについて、それぞれ手元に何が残っているかを書き出します。製品の機能名を並べるより、残った成果物を並べたほうが、相手は自分の案件との距離を測りやすくなります。

たとえば取り込みなら、取り込んだデータソースの一覧と、その取り込み設定です。検知なら、検知ルールと閾値の記録が残ります。点検と分析なら、定期的に出していたレポートやダッシュボードです。受け渡しなら、アラートが鳴ったあとに誰へどう連絡するかを書いた手順です。

図の作成：Remogu編集部。棚卸しのために置いた見立てで、統計データではありません

募集内容と突き合わせる

成果物で経験を言えるようになると、案件の募集内容と突き合わせる作業が楽になります。募集に「検知ルールの見直し」とあれば、検知ルールと閾値の記録を担った経験を前に出せます。「ログ基盤の構築」とあれば、データソースの一覧と取り込み設定が答えになります。

逆に、募集の文面が「Splunkの運用経験者」としか書いていないときは、どの工程を指すのかが読み取れません。そのときは、棚卸しで書き出した工程のうち、どれを担う前提なのかを先に尋ねる材料になります。

ただし、成果物の名前は現場ごとに呼び方が違います。自分の現場での呼び方と、募集の文面で使われている言葉が一致しない場合もあるので、成果物の中身を一言で添えておくと誤解が減ります。次は、案件を受ける前にどこまで確かめておくかを整理します。

6. 受ける前に確かめる項目

必要性の判断と委託仕様は自社で行うよう勧められている

IPAの中小企業向けガイドライン関連資料は、専門性が求められるセキュリティサービスや技術的対策を導入・運用するとき、必要性の判断と委託仕様の策定を自社で行い、外部委託を活用することを勧めています³。これは中小企業に向けた推奨で、現場の実態を述べたものではありません。

この推奨を、受ける側の立場から読み直してみます。委託仕様を決めるのが依頼元の役割だとすれば、仕様のどの工程を自分が担うのかは、受ける前に仕様の側から読み取るか、尋ねて確かめる対象です。ここは資料にない見立てで、案件ごとに運用は違います。

受ける前に尋ねる7つの項目

表の7項目は、棚卸しした工程と案件の仕様を突き合わせるための質問例です。資料が定めた項目ではなく、この記事の見立てとして並べています。最初の「担う工程の範囲」が決まると、残りの項目は、その工程で何が必要になるかから逆算して尋ねられます。

確かめる項目	尋ねる内容の例
担う工程の範囲	取り込み、検知、点検と分析、受け渡しのうち、どこまでを任されるか
要保護情報の有無	対象のログに、要保護情報が含まれるか
接続の方法と権限	どの経路で接続し、どの範囲の操作を許されるか
連絡先と時間帯	アラートのあとに連絡する相手と、連絡が必要な時間帯
成果物の形	設定の記録やレポートを、どの形式で納めるか
環境とライセンス	製品の環境とライセンスを、どちらが用意するか
秘密保持の範囲	見聞きしたログの内容を、どこまで秘密として扱うか

要保護情報の有無は、統一基準が「要保護情報の観点でのログ情報の取扱方法」を定める項目に挙げていた点とつながります。国の基準を民間の案件に当てはめるわけではありませんが、ログに何が含まれるかを先に聞く理由を説明するときの手がかりになります。

7項目すべてを最初の打ち合わせで聞き切る必要はありません。優先して確かめたいのは、担う工程の範囲と、連絡先と時間帯の2つです。この2つで、成果物の区切り方や、リモートで受けられるかどうかの見通しが立ちます。次は、そのリモートでの区切り方です。

7. リモートで受けるときの区切り方

当番を伴う仕事と、成果物で区切れる仕事

ログ基盤の仕事には、アラートに常時対応する当番を伴うものと、成果物で区切れるものがあります。取り込みの設計や、検知ルールの見直しのように、期限と成果物を決めて進められる仕事は、リモートで受けやすい形です。これは資料にある事実ではなく、この記事の見立てです。

一方で、アラートへの対応が時間帯を問わず求められる仕事は、連絡の取り方や稼働の時間帯が条件の中心になります。リモートで受けられるかどうかは案件によって異なるので、連絡先と時間帯の項目を先に確かめておくと、後から条件が食い違いにくくなります。

受け方の順番

案件を受けるときの順番は、棚卸しから契約まで5つに分けられます。担った工程を棚卸しし、成果物の区切りを決め、ログとアクセスの扱いをそろえ、連絡と時間帯を確かめ、最後に契約の範囲に落とし込みます。順番を逆にすると、契約を結んだあとで工程の範囲が食い違うことになります。

図の作成：Remogu編集部。受け方の順番を整理した見立てで、統計データではありません

Splunkの経験を数え直す

面談で「取り込みのほうですか、検知のほうですか」と聞かれたとき、詰まらずに答えられる状態は、棚卸しで作れます。Splunkの経験は、ログのどの工程を担ったかで数えます。担った工程を決め、残った成果物を添え、受ける前に確かめる項目を持っていけば、相手との会話は製品名の確認から仕事の中身の相談に移ります。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。まずは登録して、棚卸しした工程に近い案件でどんな条件が示されているかを見てみてください。自分の工程の言葉が、募集の言葉とどこで重なるかが分かります。

8. よくある質問

Splunk以外のSIEMの経験も同じ考え方で数えられますか

数えられます。この記事の5つの工程は、特定の製品に結びつけた分け方ではなく、ログを集めてから対応につなぐまでの流れを分けたものです。製品が変わっても、取り込み、検知、点検と分析、受け渡しのどれを担ったかを書き出す点は同じです。

夜間の監視当番を伴わない案件はありますか

成果物で区切れる工程の仕事は、当番を伴わない場合があります。ただし、案件ごとに条件は違います。連絡先と時間帯の項目を、受ける前に確かめてください。

検知ルールの経験がまだ少ない場合、どの工程から受けるとよいですか

これまで担ってきた工程から受けるのが自然です。取り込みの設計を担ってきたなら、データソースの一覧と取り込み設定を成果物として示し、その延長で検知の工程に触れる形が考えられます。工程ごとに成果物が示せると、まだ経験の少ない部分も具体的に伝えやすくなります。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 内閣サイバーセキュリティセンター「国際文書「SIEM 及び SOAR プラットフォームに関するガイダンス」への共同署名について」（2025年5月27日・2026年10月確認）
＊2 国家サイバー統括室「政府機関等のサイバーセキュリティ対策のための統一基準（令和７年度版）」（2025年6月27日・2026年10月確認）
＊3 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン」（2026年9月30日・2026年10月確認）