AI SOCの準備はAI導入前から始まる

AI SOCの準備はAI導入前から始まる

現在、セキュリティ責任者は皆、同じような質問を何度も受けている。「SOC（セキュリティオペレーションセンター）におけるAI戦略は何ですか？」と。この質問に答えなければならないプレッシャーは相当なものだ。アラートの件数は増え続け、アナリストの人員はそれに追いついていない。そしてベンダー各社は、あらゆる製品にAIを謳うことで、このギャップを埋めようと躍起になっている。.

要するに： AI SOCの準備状況は、AIそのものよりも、導入されるセキュリティ運用および自動化環境の成熟度に大きく左右されます。まずはその環境を評価し、見つかったギャップを埋めてから、AIをどこに適用するかを判断してください。.

それが、Swimlaneの最近の記事に貫かれているテーマだった。 AI SOCバーチャルサミット, この2部構成のイベントは、たった一つのアイデアを中心に展開されました。それは、「AIに関する議論を技術面から始めるのではなく、現状の業務運営状況を正直に見つめ直すことから始めるべきだ」というものです。サミットで示されたプロセスと、それを実際に適用してみるとなぜ有効なのかを以下に解説します。.

1. 信号を認識する

アラート疲れ。アナリストの人員不足。かつては包括的だった自動化システムが、今や限界に達しつつある。ツールの乱立により、連携が容易になるどころか、かえって難しくなっている。.

これらをSOARプログラムの失敗の証拠と捉えたくなるかもしれませんが、通常はそうではありません。アラートの量、環境の複雑さ、運用上の要求はすべて増大する一方で、以前の小規模な問題に対応するために構築された自動化システムは、ほぼ同じ規模のままです。.

重要な違い： 自動化されたプレイブックの大規模なライブラリを持つことと、業務規模に合わせて拡張可能な自動化戦略を持つことは同じではありません。チームは相当量の自動化を実行しても壁にぶつかる可能性があります。なぜなら、壁となるのは自動化の量ではなく、その自動化が組織の現在の規模、複雑さ、およびスピードに合わせて構築されているかどうかだからです。.

あなたが感じている摩擦は、過去の決断に対する評価ではありません。それは、次にどこを探すべきかについての情報なのです。.

2. ゼロからやり直すことなく近代化する

何かがスケーリングしなくなったとき、特にベンダーが「従来のSOARからの完全な決別」を謳っている場合、それをすべて撤去して一からやり直したくなるのが本能です。しかし、その本能に抵抗してください。.

決定論的なプレイブックは、明確に定義されたプロセスを表します。つまり、組織が特定のセキュリティプロセスをどのように実行すべきかを判断するために既に行った作業のことです。これは組織的な知識であり、新しいテクノロジーが登場したからといって、その価値が失われるわけではありません。.

代わりにこう尋ねてください。 「どうやってやり直すか？」ではなく、「既にうまく機能しているものは何か、どこで限界に達しているか、そして何を進化させる必要があるか？」という問いを立てるべきだ。“

これにより、近代化はゼロからの再構築ではなく、既存のものを基盤としたロードマップへと変わります。その流れは以下のようになります。

1. 決定論的なプレイブック。. 既に実行している確立されたプロセス。.
2. 現代化されたフレームワーク。. 同じプロセスが、より高い拡張性と柔軟性を実現するために構築された環境で実行される。.
3. AIエージェントのための安全対策。. AIがどの分野に関与し、どの程度の自律性を持つべきかについて、意図的に出発点を設定する。.

成熟した運用体制では、決定論的な自動化とAIのどちらかを選択する必要はありません。それぞれが実際に適している場面で活用します。.

3. 基準値を設定する

AIが何かを改善したかどうかを判断する前に、「以前」がどのような状況だったのかを明確に把握する必要があります。そのためには、いくつかの地味な質問に答える必要があります。

• アラート情報源は何ですか？
• データは実際にどのようにアクセスされますか？（API、Webhook、メールなど）
• 各種アラートの種類によって、現在どのような成果が得られていますか？
• 今日の平均TDと平均TRはどれくらいですか？
• 既に自動的に、または既存のサポートによって解決されているアラートの割合はどれくらいですか？

このステップを省略すると、AIへの投資が成果を上げたことを証明する方法がなくなってしまう。なぜなら、それを測定するための基準がないからだ。.

4. SOC全体ではなく、特定のユースケースに基づいて準備状況を評価する。

“「SOCにおけるAI」は単一の機能ではないため、「AI導入準備は整っているか？」という問いは適切とは言えません。AI機能は、AI支援型またはAIエージェントによる調査、AI支援型プレイブックおよび統合の構築、ケース参照やツール呼び出しといったアシスタント型機能など、明確なカテゴリに分かれています。導入準備状況は、運用全体に対して一度だけ判断するのではなく、それぞれのカテゴリごとに個別に評価されます。.

その区別が重要なのは、間違った質問に囚われやすいからだ。

• 私たちはAIを持っているのだろうか？
• 私たちはAIを評価しているのでしょうか？
• ユースケースは選定できたでしょうか？

それらは簡単に答えられる質問だが、ほとんど何も教えてくれない。実際に何かを明らかにする質問はもっと難しい。

• 改善しようとしているプロセスは、どの程度成熟していますか？
• それらを支える自動化システムはどの程度成熟しているのか？
• 既にうまく機能している運用箇所と、真の課題はどこにあるのか？

準備状況は、主観的なものではなく、具体的な検証可能な特性によって示されます。明確な目標と成功指標、文書化され再現可能なプロセス、高品質でアクセスしやすいデータ、強固な既存の自動化基盤、セキュリティ、リスク、コンプライアンスにわたるガバナンスの整合性、そして明確に定義されたアナリストの監督体制などが挙げられます。準備が整っている組織は、ステークホルダーの承認、確かなアラート品質、そして十分に文書化された運用マニュアルを備えている傾向があります。一方、準備が整っていない組織は、目標が不明確で、ドキュメントが不十分であり、AIイニシアチブに必要なツールやトレーニングのための予算が確保されていない傾向があります。どちらも知っておくと役立つ情報です。実際に調べてみれば、どちらも驚くようなことではありません。.

5. AIを導入する前にギャップを埋め、有用だと判断したものは活用する

ほとんどのAI導入計画の売り込み方と異なる点として、AI導入前にギャップを見つけることは必ずしもマイナスの結果ではないということが挙げられます。ドキュメントの不足、アラート品質のばらつき、データエンリッチメントの弱さ、ガバナンスの不明確さ。これらは失敗ではなく発見事項であり、これらを明らかにすることこそが準備状況評価の目的です。.

準備状況を一度きりのゲートではなく、ループとして捉える。

1. 分析。. 環境を分析し、プロセスのギャップがどこにあるかを特定する。.
2. 計画。. トリアージと対応が実際にどのようなものであるべきかを文書化する。.
3. 実装。. ドキュメント作成、情報拡充、および追加ツールを通じて、コンテキストを強化する。.
4. テストと検証。. それらの変更が実際にあなたが望んだ結果をもたらしたかどうかを確認してください。.

そして、このループが再び始まります。この構造が重要なのは、準備態勢とは一度取得すれば終わりという資格ではなく、継続的な実践だからです。つまり、どこかを始める前にSOC全体を修正しなければならないと感じるのではなく、十分に準備されたプロセスに一度に1つずつAIを導入できるということです。.

6. 人間を適切に関与させる

セキュリティ関連のAIに関する多くのメッセージには、効率性の向上とアナリストの自律性は同じ目標であり、AIの活用が進めば必然的に人間の関与が減るという前提が組み込まれている。しかし、これは正しくない。効率性を向上させるために、アナリストの監視をなくす必要はないのだ。.

監視体制は、問題が発生した後に後付けするのではなく、戦略の最初から組み込む必要がある。

• 内部文書から作成された調査計画は、実行に移される前にアナリストとオーケストレーターによって検証されます。.
• 品質保証チェックは、人間の介入なしにクローズまたはトリアージされたアラートに対してスケジュールされます。.
• 修復作業の実施など、リスクの高い作業については、意思決定プロセスに人間が関与し続ける。.

目標は最大限の自律性ではありません。特定のプロセスとそのリスクプロファイルに適したレベルの自律性を実現することであり、それは意図的に判断すべきことであり、デフォルト設定で決めるべきものではありません。.

7. 意図的にAIを活用する

一連の流れをまとめると、運用基盤を近代化し、特定のAIユースケースに照らしてその成熟度を評価し、評価で明らかになったギャップを埋め、後から追加するのではなく、最初から監視機能を組み込んだAIを適用する、という流れになります。.

それは「AIプラットフォームを購入して稼働させる」よりも時間がかかる方法ですが、より持続可能な方法でもあります。なぜなら、導入するAIは実際にそれを支えることができる基盤の上に構築されるからです。.

SOCにおけるAIの活用から最も恩恵を受けられる組織は、必ずしもAIへの移行を最も速く進めている組織ではないかもしれない。むしろ、セキュリティ運用を最新化し、評価し、真に理解するための取り組みを最初に行っている組織こそが、そうした恩恵を受けられる組織である可能性が高い。.

目標はAI導入を急ぐことではありません。組織が自信を持ってAIを導入できるような、セキュリティ運用基盤を構築することです。.

会話の全容を知りたいですか？ 両方のセッションをご覧ください AI SOCバーチャルサミット（オンデマンド配信） 全面的な近代化と準備状況に関する議論のため。.