マネージドサービスプロバイダー（MSP）とは？

著者: Brian Tr · 更新日: 2026年10月5日

マネージドサービスプロバイダーとは、他社の業務の一部（多くはIT）に継続的な責任を負い、それを稼働させ続ける対価として定額の料金を受け取る企業のことです。顧客が買うのは、単発のプロジェクトやソフトウェアのパッケージではありません。「ノートPCのパッチ適用が済んでいる」「メールが使える」「午前2時でも誰かが電話に出る」といった成果です。そして、その成果を届ける責任を事業者が負います。

だからこそMSPは、独自のパートナータイプとなります。ソフトウェアベンダーがMSPを口説くのは、1社との関係から小規模な顧客を一度に何十社も獲得できる可能性があるからです。買い手がMSPを雇うのは、その機能を自社で人員を抱えて運営したくないからです。さらにMSPは顧客のシステムに深くアクセスできるため、各国政府はMSPに特化したセキュリティガイダンスを公表するまでになっています。

本記事では、MSPの定義、MSPが一般的に管理する範囲、継続課金（リカーリングレベニュー）モデルの仕組みを説明し、MSPとMSSP、リセラー、コンサルティングパートナーの違いを整理します。続いて、ベンダーがMSPプログラムを構築する理由、MSPの評価方法、このモデルに伴うセキュリティリスクを取り上げます。

マネージドサービスプロバイダーとは

MSPは、通常はリモートで、定義されたサービスを顧客に提供します。契約では、対象範囲、事業者の応答速度、顧客が毎月支払う金額が定められます。他のサービス会社と区別する特徴は3つあります。

• 継続的な責任。 事業者は、終わりのあるプロジェクトだけでなく、サービスを日々にわたって担います。
• 継続課金の契約。 料金は月額または年額で、多くはユーザー数、デバイス数、サービスのバンドルに連動します。
• サービスレベルアグリーメント（SLA）。 契約に応答・解決の目標が明記されるため、顧客は事業者が役割を果たしているかを判断できます。

米国、英国、カナダ、オーストラリア、ニュージーランドのサイバー関連機関による、MSPセキュリティに関する共同勧告は、このモデルを平易に説明しています。それによると、MSPは通常、顧客のネットワーク環境内にあるサービスや機能を、顧客の施設内、またはMSPのデータセンターでホスティングする形で管理します（CISA advisory AA22-131A）。「MSP」という言葉はゆるやかにも使われます。人事・給与、印刷機器の群、マーケティング業務をマネージド型で運用する会社もありますが、この言葉が生まれたのはITの領域であり、多くのパートナープログラムが対象とするのもITです。

MSPが一般的に管理する範囲

範囲は事業者によって異なります。以下は、特定の1つのデータセットではなく業界の一般的な慣行に基づく、最もよくバンドルされるサービスラインです。

多くのMSPは基本のバンドルを販売し、時間をかけてサービスを追加していきます。この拡大の部分に、双方にとっての関係の価値の多くが宿ります。

継続課金（リカーリングレベニュー）モデル

商業面での決定的な違いは、お金の入り方です。次の3つのモデルを区別しておく必要があります。

ブレイクフィックスでは、事業者と問題の利害が一致してしまいます。マネージドサービスはそれを逆転させます。料金が固定のため、障害はすべて事業者のコストになります。これがSLAの狙いです。毎月の収益が読めることで、小規模なMSPも人を雇い、ツールに投資できます。ただし、事業者は対象範囲を慎重に値付けしなければなりません。顧客のニーズが契約より速く膨らむと、定額では採算が合わなくなるおそれがあるからです。

こうした仕組みの背後にあるマージンの計算については粗利益率を、プロフェッショナルファームで継続的なサービス契約がどう組み立てられるかについてはコンサルティング契約モデルをご覧ください。

重要なポイント：マネージドサービスプロバイダー

• 政府のセキュリティ機関は、MSPを、顧客のネットワーク内のサービスや機能を、顧客の施設内またはMSPのデータセンターで通常は管理する事業者と説明しています（CISA, AA22-131A）。
• 2022年5月の共同勧告は、米国（CISA、NSA、FBI）、英国（NCSC-UK）、オーストラリア（ACSC）、カナダ（CCCS）、ニュージーランド（NCSC-NZ）の各機関が発表しました（CISA, AA22-131A）。
• 同勧告は、脅威アクターが脆弱なMSPを足掛かりに複数の被害者のネットワークへ侵入でき、その影響が世界規模で連鎖しうると警告しています（CISA, AA22-131A）。
• 顧客に対しては、最も重要なログを少なくとも6か月間保管すること、契約でICTセキュリティの役割と責任の所在を明確にすることを推奨しています（CISA, AA22-131A）。
• MicrosoftのCloud Solution Providerプログラムは、CSPパートナーはマネージドサービスに対する顧客の需要に応えるうえで有利な立場にあるとしています（Microsoft Learn）。

MSPとMSSP、リセラー、コンサルティングパートナーの違い

これらのパートナータイプは実務上重なり合い、1社が複数の役割を兼ねることもよくあります。最も明快な区別の仕方は、販売後に何に責任を負うかです。

MSSPは、本質的にはセキュリティに特化したMSPです。多くのMSPがセキュリティサービスを追加しており、線引きはあいまいになっています。どの事業者にも、セキュリティ機能のどこを自社で担い、どこを外部に委託しているかを尋ねてください。

ベンダーが最も取り違えやすいのが、リセラーとの区別です。リセラーは製品をうまく売っても、その後は何も管理しないことがあります。MSPは製品を、自社が運用するサービスの中に組み込みます。多くのパートナーは両方を行い、ライセンスを再販したうえで管理もします。ベンダー側から見た再販の仕組みはディストリビューターとリセラーの違いを、プロジェクト型のパートナーについてはコンサルティングパートナーと導入コンサルティングをご覧ください。

ソフトウェアベンダーがMSPパートナープログラムを構築する理由

MSPは増幅装置です。MSPを1社契約できれば、そのMSPが抱えるすべての顧客にベンダーの製品を届けられ、導入支援や一次サポートもMSPが担います。直販体制を正当化できない中小企業向けに販売するベンダーにとって、これは自力ではなかなか築けない流通チャネルです。この考え方は、チャネル販売モデルとパートナー主導の成長の論理にも通じます。

MSPに対応するには、直接の顧客には不要なものをベンダーが用意することが多くなります。

• マルチテナント管理。 MSPが何度もログイン・ログアウトせずに、多数の顧客アカウントを管理できる1つのコンソール。
• 制限付きの委任アクセス。 顧客は、包括的な管理者権限ではなく、特定の権限だけをMSPに付与します。
• 統合または集約された請求。 MSPは請求書を1通受け取り、自社の顧客には自社の条件で請求します。
• サービスプロバイダー向けに設計されたライセンス。 月単位の再販や顧客ごとの変更に合う柔軟な条件。

MicrosoftのCloud Solution Providerプログラムは、文書化された現行の例です。同社のPartner Centerのドキュメントは、2つの販売モデルを説明しています。1つは間接モデルで、リセラーが認定ディストリビューターから購入し、そのディストリビューターがマーケティング、顧客サポート、請求で協力できます。もう1つはダイレクトビルモデルで、パートナーがMicrosoftから購入し、顧客への販売、請求、管理、サポートを自律的に行わなければなりません（Microsoft Learn）。どちらもMicrosoft AI Cloud Partner Programへの有効な加入が必要です。ダイレクトビルのパートナーはさらに、マネージドサービス、IPサービス、顧客向けソリューションアプリケーションのうち少なくとも1つを実証し、直近12か月は間接リセラーとして取引していることが求められます（Microsoft Learn）。

Microsoftは、MSPとの関係に対するセキュリティ制御も用意しました。Granular delegated admin privileges（GDAP）により、パートナーは顧客のワークロードに対してきめ細かく期限付きのアクセスを設定でき、顧客はその最小権限のアクセスを明示的に付与する必要があります（Microsoft Learn）。この機能は、後述するリスクのベンダー側の姿を示しています。MSPのアクセスが強力だからこそ、こうした仕組みが存在するのです。

プログラム名や要件は頻繁に変わります。前提に据える前に、必ずベンダー自身のパートナーページで最新の条件を確認してください。ベンダーとパートナーの間の案件の帰属の仕組みについてはディールレジストレーションで、プログラム設計の全体像についてはチャネルパートナープログラムで解説しています。

MSPパートナーの評価方法

MSPを選ぶ顧客でも、どのMSPを勧誘するかを決めるベンダーでも、問うべきことは同じです。

1. 範囲の明確さ。 何が含まれ、何が別料金で、境界線上のものはどう扱われますか。範囲があいまいなことは、紛争の最も多い原因です。
2. SLAの現実性。 応答と解決の目標、その測定方法、未達の場合の救済措置を確認します。
3. セキュリティ対策。 MSPが自社のアカウント、特に顧客環境へのアクセスに使うアカウントをどう守っているかを尋ねます。勧告には、顧客環境にアクセスするMSPアカウントへの多要素認証の強制、使われなくなったアカウントの無効化が挙げられています（CISA, AA22-131A）。
4. 契約上の責任。 同じ勧告は、顧客に対し、契約に自社の要件に合ったサイバーセキュリティ対策が含まれていること、セキュリティの役割が明確に割り当てられていることを確認するよう述べています（CISA, AA22-131A）。
5. サプライヤー保証。 英国のNCSCは、Cyber Essentialsの認証が、サプライヤーが基本的な技術的統制を実施しているという保証を得る手段になると述べています（NCSC）。認証は最低ラインであり、保証ではありません。
6. 終了条件。 契約を終える場合に、データ、ドキュメント、認証情報をどう取り戻せるかを尋ねます。
7. ベンダーの場合：自社製品を販売・サポートできる能力。 トレーニングを受けた人員、自社プラットフォームを使う既存の顧客、そしてMSPが単なるマージンではなく自社製品を土台にしたサービスラインを求めているかを確認します。

セキュリティとサプライチェーンのリスク

MSPを有用にしているアクセスの強さが、そのままMSPを標的にもします。2022年の共同勧告は、各機関がMSPを狙う悪意ある活動は今後も続くと見ていること、そして攻撃者が脆弱なMSPを複数の被害者ネットワークへの最初の侵入経路にできることを述べています（CISA, AA22-131A）。これがサプライチェーン問題を一言で言い表したものです。自社のセキュリティは、一部が提供事業者のセキュリティに依存しているのです。

勧告が事業者と顧客の双方に推奨する事項には、次のものが含まれます。

• 顧客環境にアクセスするMSPアカウントに、MFAを強制する。
• ネットワークを分離し、最小権限のアクセスを適用する。
• 監視とログ取得を続け、最も重要なログを少なくとも6か月間保管して、発見が遅れた侵入も調査できるようにする。
• オフラインの暗号化バックアップと、テスト済みのインシデント対応計画を維持する。
• セキュリティ上の責任の所在を書面で定める。

これは、MSPを避けるべきだという意味ではありません。自社にセキュリティ担当者がいない小さな会社は、自力で対応するよりも、規律のある事業者に任せたほうが安全な場合もあります。要は、MSPを特権を持つサプライヤーとして扱うことです。到達できる範囲を限定し、そのアクセスをどう守っているかを尋ね、共有する責任を契約に書き込みます。

よくある間違い

• MSPをリセラーのように扱う。 価格だけで選ぶと、対価として支払っているもの、つまりサービスの質を見落とします。
• SLAの詳細を飛ばす。 測定方法も救済措置もない目標は、約束ではあっても確約ではありません。
• 広範な管理者権限を恒久的に付与する。 プラットフォームが対応していれば、範囲を絞った期限付きのアクセスを選びましょう。
• セキュリティはMSPが担っていると思い込む。 責任分担を書面で定めないと、双方が相手が対応していると思い込むおそれがあります。
• プログラムなしでMSPを勧誘する。 MSPと契約しても、マルチテナントのツールや請求面の支援を用意しないベンダーが得るのは、ロゴだけで、販売量ではありません。

関連記事

• コンサルティングパートナー
• ディストリビューターとリセラーの違い
• 独立系ソフトウェアベンダー（ISV）
• チャネル販売モデル
• パートナー主導の成長
• チャネルパートナープログラム
• ディールレジストレーション