EDR開発の完全ガイド

EDRとは、パソコンやサーバーなどのエンドポイントの挙動を継続的に記録し、侵入後に起きる不審な活動の検知、調査、封じ込め、復旧を支援するセキュリティ基盤です。

ウイルス対策ソフトを導入していても、認証情報の窃取や正規ツールの悪用、ランサムウェアの横展開まで完全に防ぐことは困難です。本記事では、EDRの仕組みと種類、EPP・XDR・MDRとの違い、要件定義からPoC、全社展開、運用定着までの進め方、2026年時点の費用相場、開発会社・ベンダーの選び方、FAQをまとめて解説します。

▼関連記事一覧
・EDR開発の進め方/やり方/流れや方法/手法/工程/手順
・EDR開発でおすすめの開発会社/ベンダー6選と選び方
・EDR開発の見積相場や費用/コスト/値段について
・EDR開発の発注/外注/依頼/委託方法について

EDRとは何ですか？

EDRはEndpoint Detection and Responseの略称で、日本語ではエンドポイントにおける検知と対応を意味します。端末にエージェントを配置し、プロセスの起動、ファイルの作成、通信先、ログイン、権限変更などの情報を収集して、攻撃の兆候を時系列で確認できるようにします。直後の回答として、EDRは「未知の攻撃をすべて防ぐ製品」ではなく、「侵入を前提に、異常の発見から被害の封じ込めまでを速くする仕組み」と理解することが重要です。

EDRの役割は、大きく「可視化」「検知」「調査」「対応」の4つに分けられます。可視化では、端末上でどのユーザーがどのプロセスを起動し、どのファイルを操作し、どの外部アドレスと通信したかを記録します。検知では、既知の不正ファイルだけでなく、通常とは異なる親子プロセス、認証情報を読み取る動作、大量のファイル暗号化、管理者権限への変更などを、ふるまいとして捉えます。

調査では、単発のアラートを個別に見るのではなく、最初の侵入経路、権限の取得、横展開、情報の持ち出し、暗号化といった攻撃の流れをタイムラインで確認します。対応では、対象端末のネットワーク隔離、プロセス停止、ファイル隔離、アカウント停止などを実行します。ただし、自動対応を強くしすぎると業務サーバーや重要端末を誤って停止するおそれがあるため、重大度、承認者、例外条件を事前に設計します。

EPPはEndpoint Protection Platformの略称で、既知のマルウェアや不正なファイルを侵入前にブロックする予防防御が中心です。EDRは、EPPをすり抜けた攻撃や正規ツールを悪用した活動を、端末の挙動から検出し、侵害後の調査と対応を支援します。そのため、EDRはEPPの代替ではなく、EPPと組み合わせて防御の前後を補完する関係です。

XDRは、エンドポイントだけでなく、メール、ネットワーク、クラウド、IDなど複数のレイヤーを横断して相関分析する考え方です。MDRはManaged Detection and Responseの略称で、EDRなどの監視、アラートの一次分析、脅威ハンティング、緊急連絡を専門組織へ委託するサービスです。ログを長期保管して検索・分析する基盤が必要な場合はSIEMも候補になります。名称よりも、誰がアラートを受け、何分以内に、どこまで対応するかで比較します。

攻撃者は、単純な不正ファイルだけでなく、正規のリモート管理ツール、スクリプト、認証情報、クラウド設定の変更を組み合わせます。ファイルを検査するだけでは判断しにくい攻撃ほど、プロセスと通信の履歴を結び付ける仕組みが有効です。IPAが公表した「情報セキュリティ10大脅威 2026［組織編］」も、順位をそのまま対策優先度にせず、自組織の環境と脅威を踏まえて基本対策を実践するよう示しています（出典: IPA「情報セキュリティ10大脅威 2026［組織編］」、2026年）。

また、NISTのインシデント対応指針は、検知・対応・復旧を単独の担当者だけの活動にせず、サイバーリスク管理全体へ組み込む考え方を示しています（出典: NIST SP 800-61 Revision 3、2025年4月）。EDRの導入効果を高めるには、製品を入れるだけでなく、資産管理、脆弱性管理、多要素認証、最小権限、バックアップ、従業員訓練、インシデント対応計画を同じ運用設計の中でつなげます。

EDRの種類と選び方

EDRは、検知エンジンの性能だけで選ぶと、導入後にアラートを処理できない、対象外の端末が残る、既存の防御製品と競合するといった問題が起きます。端末数、OS、サーバーや工場設備の制約、社内の監視要員、求める復旧時間を先に整理し、運用方法とセットで種類を絞ります。

クラウド管理型は、端末エージェントがテレメトリを管理コンソールへ送信し、検知ルール、脅威情報、管理画面をサービス提供側が更新する方式です。複数拠点や在宅勤務端末を短期間でまとめやすく、設備を自社で持つ負担を抑えられます。インターネット接続が制限される環境では、プロキシ、閉域接続、オフライン時の記録、データ保管場所を確認します。

選定時は、対応OS、端末のCPU・メモリ負荷、エージェント停止の防止、管理者の多要素認証、API、ログの保管期間、データの輸出方法を確認します。クラウド型でも、管理コンソールを見ない限り検知は対応につながりません。通知先と当番を設計し、管理画面へ到達できない時間帯の緊急連絡手段も決めます。

既存のエンドポイント防御、ID管理、メール防御、クラウド監視と同じ管理基盤へ統合できるタイプは、契約や管理画面をまとめやすい点が特徴です。すでに統合型の業務ライセンスを保有している企業は、追加購入の前に、EDR相当の機能が含まれる契約範囲、対象ユーザー、サーバーの扱いを確認します。契約があるから自動的に有効になるとは限らず、ライセンス割り当て、端末登録、ポリシー設定が必要な場合があります。

一体型を選ぶときは、機能が多いことよりも、既存の認証、端末管理、ログ分析、チケット管理とつながるかを見ます。複数ツールを別々に導入すると、同じアラートが重複して担当者の負担が増えるため、検知の重複、対応権限、ログの保管先を整理してから契約範囲を決めます。

工場、医療、重要インフラ、機密情報を扱う拠点では、端末が常時インターネットへ接続できないことがあります。この場合は、オンプレミスの管理サーバー、閉域網経由の更新、オフライン時のログ蓄積、USBなどを使う更新手順、設備停止を避ける例外設計が必要です。一般的なオフィス端末向けのクラウド型と同じ前提で比較してはいけません。

特にOT環境では、エージェントを入れること自体が設備の可用性へ影響する可能性があります。2026年4月に公開された自動車産業向けの工場領域ガイドラインでも、製造設備・システムにはOA環境とは異なるパッチ適用やインシデント対応の要件があるとされています（出典: 自工会・部工会「サイバーセキュリティガイドライン工場領域版 v1.0」、2026年）。対象端末、監視方法、隔離方法を設備管理者と合意してからPoCへ進みます。

専任のSOC担当者がいない場合は、EDRのライセンスにMDRを組み合わせると、24時間365日の監視、アラートの絞り込み、緊急連絡、脅威ハンティングまで委託できます。重要なのは「監視あり」という言葉ではなく、監視時間、一次分析の範囲、端末隔離を誰が承認するか、重大インシデント時に何分で連絡するか、追加の調査費用が発生する条件を契約書で確認することです。

一方、社内にセキュリティ担当者がいて、業務システムの停止判断や利用者への連絡を自社で行える場合は、監視の一部だけを委託する方法もあります。外部へ任せる範囲と社内に残す責任を曖昧にすると、緊急時に判断が止まります。運用分担表と連絡網をPoCの段階で作成します。

EDR導入の進め方

EDR導入は、製品を購入してエージェントを配布すれば終わるプロジェクトではありません。現状把握、要件定義、候補比較、PoC、段階展開、運用定着の順に進め、各段階で成果物と判断基準を残します。小規模な検証を飛ばして全社配布すると、業務アプリとの競合や誤検知が一斉に発生し、現場の信頼を失うため注意が必要です。

最初に、PC、サーバー、仮想デスクトップ、クラウド上のワークロード、在宅勤務端末、工場や店舗の設備を一覧化します。端末数だけでなく、OSの種類とバージョン、既存のウイルス対策、資産管理、MDM、ネットワーク経路、インターネット接続、管理者権限、バックアップ、端末の重要度を記録します。台帳にない端末はEDRの対象にもならず、攻撃者の侵入口になりやすいためです。

この工程では、端末の所有者と業務影響も確認します。営業用のノートPC、認証基盤、ファイルサーバー、製造設備では、同じ隔離操作でも許容できる停止時間が異なります。資産を「通常端末」「重要サーバー」「停止が難しい端末」「対象外または代替監視」と分類すると、後のポリシーと見積もりが具体化します。

次に、何を検知するかだけでなく、検知後に誰が何をするかを決めます。具体的には、対象OSとサーバー、ログの保存期間、検知の重大度、通知先、一次切り分けの時間、端末隔離の権限、証拠保全の方法、復旧の責任者、経営層への報告条件を要件にします。インシデント対応の目標として、検知から連絡までの時間、隔離までの時間、復旧開始までの時間を数値で置くと、運用サービスと比較しやすくなります。

既存の防御製品を残すのか、EDRへ集約するのかもこの段階で決めます。二重導入を行う場合は、リアルタイムスキャン、ふるまい検知、ファイル隔離、通信遮断のどこが重複するかを確認し、除外設定を最小限にします。除外を広げすぎると、業務影響は減っても検知範囲が狭くなります。例外申請の期限と見直し日をルール化します。

PoCでは、情報システム部門の端末だけでなく、代表的な業務アプリを使う端末、開発端末、共有端末、重要サーバーの一部を組み合わせます。確認項目は、CPU・メモリ使用量、起動時間、ネットワーク量、バッテリー、業務アプリとの競合、誤検知、検知から通知までの時間、タイムラインの読みやすさ、隔離と復旧の操作性です。測定前に合格基準を決め、感覚だけで評価しないようにします。

検知テストでは、無害なテスト用ファイルや攻撃シミュレーションを使い、実際の対応手順を試します。アラートが出ることだけを合格にせず、担当者が原因を説明できるか、必要な端末を正しく隔離できるか、証跡を残せるかまで確認します。MDRを使う場合は、夜間・休日の連絡、追加調査の依頼、誤検知のフィードバックも検証に含めます。

PoCで得た例外と手順を整理したら、部門や拠点を分けて段階展開します。最初に情報システム部門と協力的な部門、次に一般部門、最後に工場や重要サーバーなど制約が多い領域へ広げる方法が現実的です。端末配布ツールや資産管理と連携し、未導入端末、エージェント停止端末、古いバージョンの端末を毎日確認できる状態にします。

利用者には、端末を隔離する可能性、問い合わせ先、再起動の依頼、業務停止時の代替手段を説明します。突然の隔離が起きた際に利用者がエージェントを削除したり、端末を初期化したりすると、調査に必要な証拠が失われます。導入案内、FAQ、緊急連絡先、例外申請の窓口を用意して、セキュリティ対策を現場の負担だけにしないことが大切です。

全社展開後は、アラート件数、重大アラートの対応時間、誤検知率、未導入端末数、隔離から復旧までの時間を月次で確認します。検知ルールの更新や脅威ハンティングを行い、インシデントがない月も運用を改善します。月次レポートには件数だけでなく、重要な傾向、未解決のリスク、経営判断が必要な事項、次月の改善策を記載します。

ランサムウェア対応では、感染端末の即時隔離、影響範囲の特定、バックアップの安全確認、証拠保全、復旧優先順位、関係者への連絡が連続して発生します。CISAのランサムウェア対応ガイドも、検知・分析時に影響システムを特定し、直ちに隔離する手順や、バックアップ・ID・ネットワーク設定の変更を監視する考え方を示しています（出典: CISA「#StopRansomware Guide」、2023年）。EDRのボタン操作だけでなく、復旧計画と訓練まで含めて定着させます。

EDRの費用相場とコストの内訳

EDRの費用は、ライセンスだけでなく、設計、既存環境との調整、エージェント配布、教育、監視、インシデント対応を含む総保有コストで考えます。以下の金額は、2025〜2026年に確認できる公開料金と、一般的なセキュリティ導入の人月単価をもとにした比較用の目安です。契約単位、対象OS、サーバー数、ログ量、監視時間によって変わるため、見積もりの代替ではありません。

公開料金の比較では、EPPとEDRを含む端末向けサービスに、1端末あたり年4,000円台からの例があります。100台なら年間約42万円、300台なら年間約126万円が単純計算の目安です。一方、メール、ID、クラウド、エンドポイントを統合したスイート型では、1ユーザー月額8,000円台の国内公式価格例もあり、100ユーザーなら年間約102万円、300ユーザーなら年間約307万円となります（出典: 国内向け公式価格表の比較、2026年）。

ただし、端末課金とユーザー課金は同じ条件ではありません。1ユーザーが複数端末を使える契約でも、サーバーは別ライセンス、工場端末は別プランという場合があります。既存契約の中に機能が含まれている場合も、対象ユーザー、対象端末、利用可能な管理機能を確認してから差額を計算します。単価に台数を掛けるだけでなく、契約年数、最低購入数、更新時の価格、為替や契約条件の変更も見ます。

小規模にクラウド型EDRを導入し、既存の防御製品を整理して基本ポリシーを設定する場合、初期費用は50万〜150万円、期間は2〜6週間が目安です。100〜500台、複数拠点、サーバー、資産管理やSIEMとの連携、PoCを含む中規模では、初期費用150万〜500万円、期間2〜4か月を見込みます。端末配布の難しさ、例外の多さ、部門間の承認、閉域網の有無で期間は変動します。

500台を超える大規模環境、OTや閉域網、監査レポート、24時間365日のMDR、インシデント対応契約を含める場合は、初期500万〜2,000万円超、4〜12か月になることがあります。要件定義、資産棚卸し、テナント設計、例外登録、配布、教育、手順書、引き継ぎを見積書の項目として分けてもらうと、安いが作業が抜けた見積もりを見分けやすくなります。

自社運用では、管理者の工数、当番、脅威ハンティング、ルール更新、月次報告、訓練、エージェント更新の費用が発生します。MDRを付ける場合は、監視時間、対象端末数、アラート分析、封じ込め、調査、復旧支援、脅威情報、レポートの範囲で料金が変わります。公開一律価格が少ない領域のため、100〜300端末のMDR付き運用は、比較の初期レンジとして年間150万〜800万円程度を置き、要件確認後に再見積もりします。これは市場統計ではなく、公開料金と一般的なエンジニア月額単価からの推定です。

初年度の総額を比較するなら、ライセンス、初期設計、PoC、展開、教育、MDR、ログ保管、追加のインシデント対応を分けます。例えば100台で年間42万円のライセンスでも、初期設計100万円、配布・教育80万円、運用150万円が加われば、初年度は約372万円です。逆に、既存契約にEDR機能が含まれていても、監視担当者の人件費と運用設計費は消えません。

EDRエンジンをゼロから開発することは、一般的な業務システム開発とは別の難易度です。OSごとのエージェント、カーネルやプロセスの監視、クラウド基盤、検知ルール、脅威情報、アップデート、誤検知の改善、24時間対応まで必要になるため、安易に数百万円と見積もれません。開発会社へ依頼する場合も、EDR本体を新規開発するのではなく、既存EDR、SIEM、チケット、資産管理をつなぐ運用ポータルや独自レポートに限定する方が現実的です。

既存基盤に独自の承認フロー、業界固有の報告書、拠点別のダッシュボード、資産情報との突合を追加する場合は、300万〜1,500万円程度を類似システムの比較レンジとして置けます。ただし、対象API、画面数、権限、ログ量、保守、脅威ルールの責任範囲で大きく変わります。契約時には、データ所有権、API利用、ログのエクスポート、設計書、移行支援、終了時のデータ返却を明記します。

EDR開発会社/ベンダーの選び方

EDRの選定では、製品を提供するベンダーと、設計・導入・監視・復旧支援を担う開発会社やSIerを分けて評価します。製品の検知性能が高くても、対象資産を漏れなく登録できず、アラートを処理する体制がなければ効果は限定的です。RFPには、機能一覧だけでなく、導入後の責任分担と対応時間を記載します。

実績は、導入社数の多さよりも、自社に近い条件を確認します。端末数、拠点数、OS、サーバー、閉域網、工場設備、在宅勤務、既存の防御製品、求める監視時間が似ている事例を見ます。事例紹介では、検知率のような一つの数字だけでなく、PoCの期間、対象端末の増やし方、既存環境との競合、運用開始後の連絡体制まで質問します。

製品メーカーの販売窓口と、導入・運用を担うパートナーの役割も確認します。見積もりに含まれる範囲がライセンスだけなのか、要件定義、設計、配布、教育、監視、インシデント対応まで含むのかで比較結果は変わります。製造業や医療など停止が難しい現場では、業務側とセキュリティ側を調整した経験があるかを重視します。

PoCを無償にするかどうかより、検証計画を具体的に出せるかが重要です。代表端末、業務アプリ、サーバー、ネットワーク制約を踏まえたテスト項目、合格基準、実施者、評価レポート、失敗時の改善方法が提示されているかを確認します。PoCで見つかった除外設定をそのまま本番へ持ち込まず、リスク承認者と期限を記録してから段階展開します。

移行支援では、既存エージェントの削除、競合設定、再起動、端末の未接続、失敗時のロールバックを確認します。全社配布後に未導入端末が残った場合の追跡方法、エージェントが壊れた場合の再導入方法、契約終了時のアンインストールとログ返却も、導入前に質問しておきます。

MDRやSOCを付ける場合は、サービス時間、通知の方法、重大度ごとのSLA、一次分析の範囲、脅威ハンティング、端末隔離、アカウント停止、フォレンジック、復旧支援、月次報告を分けて確認します。「異常を検知したら連絡する」だけでは、夜間に誰が判断し、誰が業務影響を承認するのかが不明なままです。緊急連絡先を複数登録し、休日の訓練も行います。

追加料金が発生する条件も重要です。重大インシデントの調査時間、現地対応、証拠保全、復旧作業、ログの追加保管、端末数超過、サーバー追加の費用を確認します。契約終了時のデータ返却、ログのエクスポート、設定情報の引き継ぎ、他の運用会社へ移行する場合の支援も、ベンダーロックインを避ける観点から質問します。

相見積もりでは、同じ前提条件を渡して比較します。端末とサーバーの台数、対象OS、拠点、既存防御製品、監視時間、ログ保存期間、PoCの範囲、全社展開の期限、教育の回数、年間の予算上限を揃えます。候補には「本番開始までの作業分解」「自社が担当する作業」「前提となるネットワーク設定」「追加費用の条件」を一枚にまとめてもらいます。

比較の最後は、機能点数ではなく、重大インシデントが起きた夜に運用できるかで判断します。担当者の経験だけに依存せず、手順書、連絡網、権限、証跡、訓練、引き継ぎが揃う候補を選びます。なお、具体的な候補の役割別比較や問い合わせ前に確認すべき項目は、次の記事で詳しく整理しています。

▶ 詳細はこちら：EDR開発でおすすめの開発会社/ベンダー6選と選び方

▶ 詳細はこちら：EDR開発の発注/外注/依頼/委託方法について

EDR導入後に失敗しない運用のポイント

EDRは、導入直後に大量のアラートが出ることがあります。すべてを無視すると重大な兆候を見落とし、すべてを手作業で調査すると担当者が疲弊します。アラートの重大度、対象資産、攻撃の連鎖、利用者の業務影響で優先順位を付け、運用を定期的に見直します。

重大度の高いアラートは、対象端末の隔離、利用者への確認、認証情報の無効化、関連端末の検索を行う手順に接続します。中程度のアラートは、業務影響を確認しながら原因を調査し、低いアラートはルール改善や傾向分析に使います。一次対応者、承認者、業務部門、経営層、外部専門家の役割をRACIなどで明確にすると、緊急時の判断が速くなります。

EDRだけでは、盗まれた認証情報による正規ログイン、未修正の脆弱性、バックアップの破壊、メールからの初期侵入をすべて防げません。多要素認証、パッチ適用、公開資産の把握、最小権限、メール防御、ネットワーク分離、バックアップのイミュータブル化、復旧訓練を組み合わせます。EDRが検知した後に、アカウントを止められる権限や、正常なバックアップから復旧できる手順が必要です。

四半期に一度は、無害なテストシナリオで検知、連絡、隔離、証拠保全、復旧を訓練します。担当者が不在のときの代替要員、業務サーバーを止める判断、取引先や関係機関への連絡、広報の承認者も確認します。訓練後は、検知から連絡までの時間、誤った隔離、手順書の不足、権限不足を記録し、翌月の改善課題にします。

業界の要求事項がある場合は、EDRの導入有無だけでなく、ログ、インシデント対応、脆弱性管理、アクセス制御、自己評価の証跡を確認します。自動車産業向けガイドラインは2025年9月にV2.3が公開され、2026年4月には工場領域版も公開されています（出典: 自工会・部工会「サイバーセキュリティガイドライン」、2025〜2026年）。業界要件を満たすためにEDRが役立つ場合でも、規程と証跡の整備は別途必要です。

よくある質問（FAQ）

EDRの導入前によく寄せられる疑問を、運用の判断に使える形で回答します。自社の端末数だけでなく、監視体制、既存契約、業界要件、復旧目標を当てはめて検討してください。

EDRを導入しても、ウイルス感染や不正アクセスを完全に防げるわけではありません。EDRは侵入前の防御を担うEPPなどと組み合わせ、侵入後の異常を検知して被害を限定し、原因を調査するための仕組みです。多要素認証、脆弱性管理、バックアップ、訓練も必要です。

運用できますが、監視と対応を社内だけで担うのか、MDRやSOCへ委託するのかを先に決める必要があります。専任者が少ない場合は、24時間監視、一次分析、重大度判定、緊急連絡を外部へ委託し、業務停止や復旧の最終判断は自社に残す分担が現実的です。契約前に夜間休日の連絡方法とSLAを確認します。

ライセンスだけなら、公開価格の例で1台あたり年4,000円台からのサービスがありますが、EDRの総額を1台単価だけで判断することはできません。初期設計、PoC、配布、既存製品との調整、教育、監視、ログ保管、インシデント対応を含めると、100台規模でも初年度は数百万円になることがあります。見積書では、ライセンスと作業費、年間運用費を分けて確認してください。

一律に削除するのではなく、検知と防御の重複、製品同士の競合、対象OS、契約条件をPoCで確認して決めます。併用する場合はリアルタイムスキャンやふるまい検知の重複を整理し、除外設定を必要最小限にします。削除する場合も、切り替え期間に防御が空白にならない移行計画を作成します。

導入できる場合はありますが、一般的なオフィス端末より要件確認が必要です。閉域網やオフライン時のログ保存、更新方法、エージェントの負荷、設備停止を避ける隔離方法、代替監視、復旧手順を確認します。製造設備では、IT担当者だけで判断せず、設備管理者と安全性・可用性を合意してから限定的なPoCを実施します。

まとめ

EDRは、エンドポイントの挙動を記録し、侵入後の不審な活動を検知、調査、封じ込め、復旧するための基盤です。EPPの予防防御を置き換えるものではなく、XDRやSIEM、MDRと役割を分けながら、自社の監視体制と対応手順へ組み込みます。

導入では、まず端末・サーバー・工場設備を棚卸しし、対象資産、ログ保存、通知、隔離、復旧の要件を定めます。PoCでは、検知できるかだけでなく、端末負荷、誤検知、既存製品との競合、担当者の判断、夜間連絡、証跡まで検証します。費用はライセンスだけでなく、初期設計、展開、教育、MDR、ログ、インシデント対応を含む初年度総額で比較します。

2026年時点では、ランサムウェアや認証情報の悪用に備え、EDR単体ではなく、多要素認証、脆弱性・パッチ管理、最小権限、バックアップ、メール対策、訓練、インシデント対応計画を一体で整えることが求められます。製品の機能名ではなく、「誰が、いつ、どの端末を、どこまで守り、何分以内に対応するか」を基準に選ぶことが、導入効果を高める近道です。

第一に、EDRを導入する前に対象資産と対応責任を決めます。第二に、ライセンス単価ではなく、初期設計、PoC、展開、教育、監視、復旧支援を含む総額で比較します。第三に、EPP、多要素認証、脆弱性管理、バックアップ、訓練を組み合わせ、検知後に実際の封じ込めと復旧まで進められる状態を作ります。

まずは端末・サーバー・工場設備の台帳を確認し、未管理資産と重要資産を分けます。そのうえで、検知から連絡、隔離、調査、復旧までの担当者と目標時間を一枚にまとめ、同じ前提で複数の候補へPoCと見積もりを依頼します。導入後の運用を先に設計しておくことが、EDRを継続的に役立てるための出発点です。

▼関連記事一覧
・EDR開発の進め方/やり方/流れや方法/手法/工程/手順
・EDR開発でおすすめの開発会社/ベンダー6選と選び方
・EDR開発の見積相場や費用/コスト/値段について
・EDR開発の発注/外注/依頼/委託方法について