AI時代、「完全自律型SOC」は幻想か？ガートナーが語る“限界”と次の一手

ツール導入で進化を続けるSOC、次の“切り札”はAIか

　サイバー攻撃の被害リスクが高まり続ける中、脅威をいち早く検知し、侵入時の封じ込め役を担うのが、組織内に配置されたセキュリティ・オペレーション・センター（SOC）だ。その動向について、ガートナー シニア ディレクター, アナリストのケビン・シュミット氏は次のように説明する。

「サイバー攻撃の凶悪化を受け、SOCは各種ツールの新規導入やSOCスタッフのスキルアップ・再教育を通じて、新たな能力獲得を続けています」（シュミット氏）

　ガートナーの調査によれば、SOCはアプリケーションやクラウド・セキュリティなど異なる専門知識を持つ1～5名ほどの常勤スタッフで構成されるケースが多い。各スタッフは、それぞれが精通する検知・対応ツールを駆使し、チームでオペレーションにあたっている。

「SOCは検知力や対応力などの向上のために、絶えず多くのツールを求めています。それが新たな能力獲得のモチベーションになっています」（シュミット氏）

　ツールや技術の獲得は「社内開発」あるいは「アウトソーシング」によって行われる。社内開発は高コストな反面、柔軟性が高く、アウトソーシングは低コストながら硬直的といった具合にそれぞれ一長一短があり、多くの場合、状況に応じてそれらを適宜、組み合わせるアプローチが採用されている。

　その中にあって今、SOCの能力向上に大きく貢献する技術として、AIが脚光を浴びている。果たしてAIはSOCにどのような影響を与えるのか。

AIで「完全自律型SOC」は実現する？残された“決定的課題”

　AIの影響は、すでにセキュリティ・オペレーションの現場に表れ始めているという。専門性がそれほど高くない脆弱性評価アナリストや検知エンジニアの再トレーニング、配置転換のほか、商用AI SOCエージェントソリューションの導入によってアウトソーシングを減らす動きなどがある（冒頭の図1）。

「すなわち、彼らの仕事をAIが代行し始めたということです」（シュミット氏）

　そこで期待を集めているのが、AIによる完全自律型セキュリティ・オペレーションの実現だ。ただし、シュミット氏はこの未来予測には否定的だ。組織での各種判断は最終的に何らかの責任を伴うため、現状、最終決定は人が行うしかないというのがその理由である。

　なお、AIによるセキュリティ・オペレーションの代行について、シュミット氏はオペレーションの効率化につながるとして、それ自体を否定すべきものではないとみている。しかし、将来的には大きな課題も残される。

「AIによる代行の影響を受ける仕事は、セキュリティ・エンジニアの“入口”です。このままでは新たなエンジニアの育成が進まなくなる可能性が高く、その面で何らかの対策が今後、必要となるはずです」（シュミット氏）

　一方で、AIにより可視化の範囲が格段に広がり、精度やスピードが大きく高まることは疑う余地がない。そのメリットを享受するため、シュミット氏はSOCの変革が必要だと訴える。

　では、SOCの「何」を「どう」見直すべきなのか。そのヒントとしてシュミット氏が提示したのが、SOCに関連する機能やオペレーションの多くが現状、サイロ化して孤立しているという実態だ。

　たとえば、被害発生時の「インシデント対応」、攻撃者の意図や能力、手口を分析し、組織の防御判断に使える形で提供する知識体系の「サイバー脅威インテリジェンス（Cyber Threat Intelligence：CTI）」、攻撃者と同じ視点や技術で自身の組織の弱点を先に見つけ、改善につなげる能動的なセキュリティ手法の「攻撃的セキュリティ」など、それぞれが分断されているという。 【次ページ】分断を解消する「統合ワークフロー」、確認すべき5項目