AI時代、「完全自律型SOC」は幻想か？ガートナーが語る“限界”と次の一手(2/2)

ありがとうございます！
いいね！した記事一覧をみる

会員（無料）になると、いいね！でマイページに保存できます。

セキュリティ運用・SOC・SIEM・ログ管理

|

タグをもっとみる

分断を解消する「統合ワークフロー」、確認すべき5項目

　SOCのオペレーションは「検知」「トリアージ」「分析」「対応」「復旧」「改善」「報告」の流れで進み、前のプロセスで得た情報は、その後のプロセスでも大いに活用を見込める。その点で、サイロ化したオペレーションは極めて非効率的だ。

「オペレーションの迅速化と品質向上に向け、ある機能のアウトプットが別の機能のインプットとなる『統合ワークフロー』の実現を目指すべきです」（シュミット氏）

　統合ワークフローの推進に向け、シュミット氏が実施を推奨するのは、各セキュリティ機能に関する次の5つの視点からの確認だ（図2）。

図2：統合ワークフローの実現に向け確認すべき5つの質問

（出典：Gartner（2026年7月））

　1つ目は、「他の機能と連携しているか」である。していなければ、その理由を確認するとともに、連携できる機能がないかを探す。

　2つ目は「他に何か追加する能力はあるか」だ。追加できるものがあれば取り入れ、そこで得られた情報を他の機能でも活用できるようにする。

　3つ目は「十分なコンテキストはあるか」、4つ目が「その付加価値は測定可能か」だ。

「SOCのオペレーションがビジネスと整合し、レジリエンスの要素として機能しているかを確認・検証する上でコンテキストが鍵を握ります。機能の価値評価、さらにAI活用のためにも、コンテキストをできる限り多く収集すべきです」（シュミット氏）

　5つ目が、「アップデートや変更は必要か」である。サイバー攻撃は進化し続けており、対応に向け絶えずアップデートや見直しを行った方ほうが当然、望ましい。

セキュリティ市場に変化…ガートナーが捉えた“次の潮流”

　ガートナーではITツールの定点観測を継続的に実施している。その観測からも、各種セキュリティ・ツールの統合・連携が進む流れを確認できるという。

　たとえば、膨大なログを相関分析し、攻撃の兆候を察知するSOCの“頭脳”ともいえる「SIEM（Security Information and Event Management）」だ。

　同ツールはすでに成熟期にあるが、それでも攻撃者の行動を理解した上で、検知に必要なルールやシグネチャ、分析ロジックを設計・実装する「検知エンジニアリング」との連携が進んでいる。さらに、より早期な対応に向け、セキュリティ・オペレーションを自動化する「SOAR（Security Orchestration, Automation and Response）」の機能も取り込みつつある。

　同じく成熟期にあるサイバー脅威インテリジェンスでも、統合の流れが進んでいるという。

「攻撃的セキュリティや脅威ハンティングとの相乗効果を狙いとして、統合が進んでいます。そこではリスクを新たに優先順位付けするといった取り組みによって、保護能力を高めつつ、意思決定も支援できるようになりつつあります」（シュミット氏）

AI時代のSOC変革を支える「2つの軸」

　新ツールもいまだ登場が続く。その1つが、ガートナーのハイプサイクルで発展途上に位置付けられている「サイバーセキュリティ・インシデント対応管理」だ。インシデント対応時の被害を最小化し、復旧から再発防止までのワークフローやフォレンジック保全、コミュニケーションなどの機能までをCIRT（サイバーインシデント対応チーム）に提供する。

　これら新ツールを追い風にインシデント対応はここにきて質的変化を始めているという。

「インシデント対応は単なるセキュリティ機能でなく、ビジネスに包含される必須機能として捉えられようになりました。AIによるサポートが進むことで、今後はレジリエンスを支える機能へ進化すると予想しています」（シュミット氏）

　シュミット氏は今後、より迅速な対応に向けたあらゆるツール間の連携と、そこで得られるアウトプットの活用範囲の拡大を両輪に、セキュリティ・オペレーションのさらなる高度化が進むと展望する（図3）。