SOCリーダーのための2026年SANS AI調査ガイド

AIの信頼性、測定、ガバナンスが依然として難しいのはなぜか？ SOCリーダーのための2026年SANS AI調査ガイド

最近、パネルディスカッションに参加し、調査結果について話し合う機会がありました。 今年のSANS AI調査, 特にセキュリティオペレーションセンター（SOC）に適用される点についてです。この場にいる全員が繰り返し議論する疑問は、「なぜAIは依然として信頼性、測定、管理が難しいのか？」ということです。ここでは、信頼性という側面に近づくためのあらゆる方法と、SOCこそがまさにそうしたギャップを最初に埋める場所である理由についてお話ししたいと思います。.

SANS AIレポートを入手する

SOCは依然として生命線である

セキュリティは現在、様々な方向に拡大しています。ID管理、脆弱性管理、パッチ適用、AIガバナンスとコンプライアンスなど、CISO（最高情報セキュリティ責任者）は多くの課題を抱えています。しかし、その根底にあるのは、依然としてSOC（セキュリティオペレーションセンター）です。社内で処理されるか、MSSP（マネージドセキュリティサービスプロバイダー）を通じて処理されるかにかかわらず、すべてのログ、すべての初期アラートは、同じSOCチームによって処理されます。ですから、AIの導入がどのような方向に向かっているのかを見る際には、まずSOCの視点から検討します。.

導入と成熟の間のギャップ

SANS AI 2026調査で最も明確なパターンの1つは、組織が報告する 採用する AIと、彼らが報告する到達範囲 成熟した生産 その利用は、50% カットに近いものです。そして、その理由が私には分かります。多くの企業がまず AI を導入してから、ベンダーや社内チームに「では、私たちのユースケースは何ですか？」と尋ねるのです。これは逆です。私たちは、達成しようとしている結果から始めて、AI がどのようにその達成に役立つかを逆算していくべきであり、取締役会の指示に従って AI を導入し、後からユースケースを考えるべきではありません。.

AIの導入が容易かつ迅速に進む分野として、ログ分析、脅威の説明、レポート作成が挙げられます。要約はAIが得意とする分野であり、様々なデータポイントを人間が迅速に対応できる形にまとめ、その出力方法をある程度制御することができます。これらは比較的容易に実現できる分野です。より難しいのは、それ以降のあらゆる分野です。.

決定論的 vs. 非決定論的：本当の仕事はどこにあるのか

SOCにおけるAI導入への躊躇の多くは、期待値の問題に起因しています。人々はAIが100%のように完璧でなければ信頼しない一方で、アナリスト自身も非決定論的であるという事実を静かに無視しています。同じチケットを5人のアナリストに渡せば、それぞれが自身の経験と専門知識に基づいて、5通りの異なるアプローチを取る可能性があります。パネルディスカッションで私が述べたように、

“「グリルドチーズサンドイッチの好みは人それぞれ。使うチーズの種類も、焼き方も、その他すべて。私たちもそれぞれ個性があって、決まった型にはまらないんです。」”

脅威インテリジェンスは、この好例と言えるでしょう。アナリストはそれぞれVirusTotalのスコアを独自に解釈します。72のうち2が危険信号なのか、それともノイズなのか？57の場合はどうでしょうか？アナリストによって判断は異なり、その判断は勤務時間外には忘れ去られてしまいます。AIができることは、こうしたトリアージに一貫性のある基準を設定し、調査担当者にあらかじめ組み込まれた重み付けと要件を与えることです。完全に決定論的ではありませんが、一貫性にかなり近づき、その一貫性こそが自動化された対応へと実際に前進させる原動力となるのです。.

自動化が実際に信頼を得る場所

「自動応答」と聞くと、たいてい「AIにCEOのアカウントを閉鎖させたり、VIPのセッションをリセットさせたりしたくない」という思いが頭をよぎります。そして、その直感は正しいのです。自動化はそこから始めるべきではありません。私が実際にチームが成功しているのを目にするのは、誤検知、つまり重要度の低いノイズ、明らかにチューニングミスや設定ミスによるアラートです。AIが何かが無害であると高い確信度で検証できる場合は、AIにそれをクローズさせ、アナリストの手元から完全に切り離すべきです。そうすることで、アナリストはノイズをふるいにかけるのではなく、実際に重要な調査、つまりフィッシングクリックの発生やランサムウェアの初期兆候の発見に時間を費やすことができます。これが理想的な組み合わせです。非決定論的な判断と決定論的なガードレールが、それぞれ得意なことを実行するのです。.

信頼にはスピードだけでなく、文脈も必要だ

ベンダーがAIを導入して、わずか2分後には問題を解決していると主張するのを、私は数え切れないほど見てきました。スピードは確かに素晴らしいですが、スピードは信頼とは違います。信頼は状況に応じて生まれます。ギフトカードに関する文言をフィッシングの兆候として検出するAIモデルは、製薬会社には最適かもしれませんが、ギフトカードが日常業務の一部となっている大手小売業者には全く不適切かもしれません。ナレッジベース、運用手順書、エスカレーション基準といった情報がAIの意思決定に反映されなければ、誤検出や見逃しが頻繁に発生し、信頼はあっという間に損なわれてしまいます。.

私が提唱するのは、まさに「這って、歩いて、走る」という段階的なアプローチです。AIは、その動作をあらゆる段階で明確に示し、説明責任を果たす必要があります。そして、人間のレビュー担当者に、何を検証すべきかを正確に伝えるべきです。そうすることで、レビュー担当者は最初からすべてをやり直す必要がなくなるのです。. 

SANSのデータはこれを直接裏付けており、回答者の631,000人がAIの脅威検知能力や対応能力に重大な欠陥があると報告しています。つまり、AIを実際に信頼していると答えたのはわずか371,000人です。この差は、自動化されたアクションの導入率が依然として低いことと密接に関係しています。2026年の調査では、自動インシデント対応の導入率は391,000人にとどまっています。実務担当者は、これまで信頼を寄せている範囲を正確に示していますが、それはごくわずかです。その信頼を築く要素は、ツールを監査および管理するための要素と同じです。なぜなら、検証できるからです。.

ここから何が言えるのか

2026年のSANS AI調査は、多くの人が経験的に感じてきたことを裏付けています。つまり、導入は成熟度を上回っており、信頼性が依然としてボトルネックとなっており、ガバナンスは重要だと認識されているものの、実際に正式に規定されているケースははるかに少ないということです。しかし、これはAIが機能していないという意味ではありません。SOCは依然として、決定論的な自動化と非決定論的なAIが連携して動作することを学ぶべき実験場であり、信頼性の確保にはコンテキストと説明可能性が大きな役割を果たしているということです。.

このブログは、SOCとAIに関するレポートについての私の見解をまとめたものです。これらのトレンドの背景にある詳細なデータをご覧になりたい場合は、ご自身でレポートをご確認いただくことをお勧めします。.

2026年SANS AI調査レポートをダウンロード