セキュリティオペレーションセンター(SOC)の未来を左右するのは、技術そのものよりも、セキュリティ責任者が人間の注意力・専門性・回復力をいかにうまくマネジメントできるかにかかっています。
セキュリティオペレーションセンター(SOC)は、増え続けるアラート件数、拡大する攻撃対象領域、そして慢性的な人員不足という重荷を背負い、長年にわたって苦闘してきました。そして今、人工知能(AI)が新たな複雑さを持ち込んでいます。単に情報量が増えるだけでなく、それ自体を評価しなければならない機械生成の情報が増加しているのです。
「これは非対称な状況です。というのも、今や大量のAIスロップ(AIが生成した粗悪なコンテンツ)をふるいにかけて、『これは本物なのか、そうでないのか』を見極めなければならないからです」と、The Futurum Groupの副社長でプラクティスリーダーを務めるFernando Montenegro氏はCSOに語っています。
この指摘は、セキュリティ責任者の間で広がる懸念を象徴しています。AIは攻撃者と防御側の双方の動きを速めていますが、同時にシグナルとノイズを見分ける役割を担う人間にとって、新たな認知的負荷も生み出しています。
AIが脆弱性の発見を加速させ、より自動化された偵察・攻撃を可能にする中で、防御側はますます、解釈や検証が難しいシステムの出力を監督する責任を負うようになっています。課題は単に作業量が増えることではありません。作業の量、速度、複雑さが同時に増大している点にあります。
しかし、SOCを研究し助言してきた専門家たちは、崩壊が避けられないという見方を否定しています。むしろ彼らは、業界が困難な移行期を迎えており、それがセキュリティチームの運営方法や、防御における人間と機械の役割分担を再形成する可能性があると述べています。
脆弱性の急増が露呈させる、積み重なったセキュリティ負債
最も差し迫った懸念の一つは、AIによって組織が特定・修復すべき脆弱性の数が劇的に増加する可能性です。
長年サイバーセキュリティの講師を務め、SOCの専門家でもあるChris Crowley氏は、組織が長年積み重ねてきた技術的負債のツケに直面していると指摘します。
「今後数年間で我々が対処しなければならないことの多くは、脆弱なソフトウェアという技術的負債です。問題を解決するのに『十分』だからという理由で導入されてきましたが、そこには展開前に発見されなかった潜在的なサイバー問題や欠陥、脆弱性が数多く存在しています」と同氏はCSOに語っています。
AI支援による脆弱性発見は、防御側がこれまで経験したことのないペースでこうした弱点を露呈させる可能性を秘めています。
「我々に降りかかっている作業の圧縮は前例がないものです」とCrowley氏は言います。「我々は何十年もこの問題を無視してきたに過ぎません」
同氏は、AIが必ずしも全く新しい種類の脆弱性を生み出すとは考えていません。むしろ、防御側はこれまでよく知られていた問題を、はるかに大量に抱えることになると予想しています。
「同時に100件もの案件を抱えることになるでしょう」と同氏は、セキュリティチームが従来一件ずつ対処してきた優先度の高い脆弱性を例に挙げて述べています。
多くのSOCにとってAIがもたらす課題は、目新しさの問題というよりも、量の問題である可能性があります。セキュリティチームはすでに、システムへのパッチ適用、修復の優先順位付け、重大な露出への対応方法を心得ています。変わるのは、そうした要求が押し寄せる規模とスピードです。
パッチ適用、優先順位付け、エスカレーション、対応のプロセスが成熟している組織は、苦戦しつつも適応できるでしょう。一方、セキュリティ運用を単なる最低限のコンプライアンス機能としてしか扱ってこなかった組織は、圧倒されてしまう可能性があります。
CISOにとってそれは、「今すぐパッチを適用せよ」という状態を、たまに訪れる緊急事態としてではなく、恒常的な運用姿勢として扱うことを意味するとCrowley氏は言います。AIが脆弱性発見を加速させるにつれ、日常的な保守と危機対応の境界線は今後さらに曖昧になっていく可能性があります。
同氏はこの状況を、災害復旧計画になぞらえています。危機が訪れてから人員配置計画やエスカレーション経路、修復プロセスを整備しようとする組織は、十分な支援が得られないことに気づくかもしれません。
認知的過負荷が最大の課題になる可能性
脆弱性発見に注目が集まりがちですが、Montenegro氏は、セキュリティ責任者はAIの影響を理解するためのより広い枠組みが必要だと考えています。
組織はAIを、セキュリティ・フォー・AI(AIのためのセキュリティ)、AI・フォー・セキュリティ(セキュリティのためのAI)、セキュリティ・フロム・AI(AIからのセキュリティ)という3つの視点で捉えるべきだと同氏は述べています。1つ目はAIシステムの保護、2つ目はAIを使って防御運用を改善すること、3つ目は敵対者が組織に対してAIを利用した場合に何が起きるかという問いです。
SOCにとって、この3つのカテゴリーはすでに重なり合い始めています。
AIによってレポート、評価、脆弱性報告、その他運用上の成果物の作成が容易になるにつれ、その情報が正確かつ有用かどうかを判断する責任は依然として人間が負っています。
「コンテンツを生成すること自体はずっと簡単になります」とMontenegro氏は言います。「しかし、人間としてそのコンテンツをレビューするとなると、あなたが負う責任はその分はるかに大きくなります」
その結果生じるのが、新たな形の認知的過負荷です。セキュリティ専門家は、より付加価値の高いセキュリティ業務を行う代わりに、機械が生成した情報の評価に費やす時間がますます増えていく可能性があります。
組織はレポートの要約やアラートの評価、調査支援にAIをますます活用できるようになっていますが、その結果を検証する責任は依然として人間にあります。
「重要な意思決定を完全にAIに委ねることに人々が安心できる段階には、まだ達していません」と同氏は言います。
その結果、防御側は2つの相反する現実の板挟みになっています。AIは処理すべき情報を増やす一方で、その増大する作業量を管理するための数少ない有効なツールの一つにもなりつつあるのです。
Montenegro氏によれば、原則とすべきは「役割」ではなく「タスク」を自動化することです。AIは反復的な調査ステップを引き受けることができますが、組織はプロセスから人間を完全に排除することには慎重であるべきだといいます。
同氏によれば、リスクは、組織が自動化された出力の背後に複雑さを隠しすぎてしまうと、アナリストが成長に必要な専門知識を身につける機会を失いかねない点にあります。
「アラートに反応しているだけのその専門家は、専門職としてどう成長しているのでしょうか」と同氏は問いかけます。
成熟したSOCと苦戦するSOCの格差が広がる可能性
すべての組織が同じようにAIの影響を経験するわけではありません。
シニアサイバーセキュリティコンサルタントでSANSの講師でもあるJohn Hubbard氏は、業界の対応は、AIが本格的に到来する前に組織が運用面のストレスにどれだけ備えていたかに大きく左右されると考えています。
「セキュリティ運用チームは大まかに2つの陣営に分かれると思います」とHubbard氏はCSOに語っています。「明らかに苦戦していて、すでに圧倒されているチームがある一方、非常にうまくやっているチームもあります」
苦戦している組織は、人員不足、資金不足、訓練不足に陥っていたり、その場しのぎのプロセスに依存していたりする傾向があります。インシデントの一つひとつが異なる様相を呈するため、チームはプレッシャーの中で即興対応を強いられます。
「こうした事態に見舞われることは、すでにバーンアウトの兆候があったチームにとって、それを加速させる要因になり得ます」とHubbard氏は言います。
対照的に、成熟したセキュリティチームはすでにプロセス、トレーニング、演習、自動化に投資してきています。「今しっかりとした仕事をしているチームは、おそらくそれほど圧倒されていません。なぜなら、こうした事態に備えるためのプロセスと手順をすでに整備してきたからです」とHubbard氏は言います。
同氏は、うまく機能しているSOCを消防署にたとえています。消防士は次の緊急事態がどこで起きるか正確には予測できませんが、繰り返し訓練を重ねてきたことで対応の仕方を心得ています。
「消防署のように反応できるチームこそが、うまくやれているチームです」と同氏は言います。
そうした組織は、机上演習や敵対者を模したエミュレーション演習、レッドチーム評価、インシデント対応訓練を実施しています。その結果、パニックに陥ることなく追加の作業量を吸収できるのです。
依然として業界最大の難題であるバーンアウト
AIを悪用した攻撃への懸念が広がる中でも、専門家の誰一人としてAIを単なる脅威とはみなしていません。複数の専門家は、AI自身が生み出す課題に防御側が対処する上で、AIが不可欠な存在になっていくと主張しています。
ダコタ州立大学の名誉学長で元CIOのJose-Marie Griffiths氏は、AIが膨大な情報量をふるいにかけ、最も重要なシグナルを特定する助けになり得ると考えています。
「SOCで働く人々は今、圧倒的な量のデータに直面し、疲弊しつつあります」とGriffiths氏はCSOに語っています。
AIは分析の一部を自動化し、アラートを検証し、複雑な環境への可視性を高める助けとなり得ます。しかしGriffiths氏は、AI支援による脆弱性発見ツールの中には、大量の誤検知を生み出しているものもあると警告しています。
これが重要なのは、誤検知が作業をなくすのではなく、むしろ作業を生み出すからです。増え続ける検知結果の量に組織が直面する中、真のリスクと誤った結果を見分けることは、脆弱性そのものを発見することと同じくらい重要になってくる可能性があります。
技術だけでは結果を決定づけないという点で、専門家たちの意見は一致しています。決定づけるのは人間です。
Crowley氏は、サイバーセキュリティの専門家は不確実性がこの職業に本質的に内在するものだと認識しなければならないと主張します。「我々は不確実性を扱う集団です」と同氏は言います。「それこそが、まさにサイバーセキュリティという仕事の本質なのです」
この現実は、個人と組織の双方に責任を課します。アナリストにはストレスを管理する仕組みが必要です。チームは同僚が限界に近づいていることに気づく必要があります。マネージャーは健全なエスカレーションの慣行と現実的な期待水準を確立する必要があります。
Hubbard氏は、バーンアウトが避けられないという考え方を否定しています。
「セキュリティ運用の仕事が、誰もが嫌う苦痛に満ちた重労働にならざるを得ない、というのは決して既定の結末ではありません」と同氏は言います。
同氏は、リーダーが積極的に業務量を管理し、支え合う文化を作り、率直なコミュニケーションを奨励することで、従業員が何年もエンゲージメントを保ち続けている組織を目にしてきました。
それには、アナリストが自らの限界を認めても安全だと感じられる環境作りも含まれます。「『もう限界です、おかしくなりそうです』と言うことをためらう人が多ければ、それが多くのチームを壊す原因になるでしょう」とHubbard氏は言います。
給与だけでは問題は解決しないかもしれません。Crowley氏は、SANS/SOCの調査結果を引き合いに出し、報酬は定着要因の中で第4位にとどまり、やりがいのある仕事、トレーニング、専門能力開発の後塵を拝していると指摘しました。
未来のSOCは大きく姿を変える可能性
Griffiths氏は、組織はより優れた技術だけでなく、構造的な変革によっても対応していく必要があると考えています。従来の階層型SOCモデルは、多様な専門性を持つ人材がリアルタイムで協働する、より協調的なチームへと進化していく必要があるかもしれません。
「階層構造をある程度取り払い、異なる専門性を持つ人材同士が協働するチームを作っていく必要があると思います」と同氏は言います。
同氏はまた、組織は単にAIの利用量を増やすのではなく、人材の専門性に投資すべきだと主張しています。「トークンではなく、エンジニアを買うべきです」と同氏は言います。
プロフェッショナルなネットワークやピアサポートは、どんなツールにも劣らず重要になるとGriffiths氏は言います。防御側は、孤立した状態で持続的なプレッシャーに向き合うのではなく、意見交換や知見の共有ができる信頼できるコミュニティを必要としているからです。
専門家たちの間でコンセンサスが生まれつつあるとすれば、それはAIがすでに存在していた弱点を露呈させているに過ぎない、という点です。
SOCを悩ませてきた人員不足、アラート疲れ、バーンアウト、プロセスの機能不全は、生成AIによって始まったものではありません。AIはそれらを単に増幅しているだけなのです。
同時に、AIはまさにこうした課題を組織が管理する助けとなり得る新たなツールも提供しています。
未来のSOCは、アラートの手動トリアージに費やす時間を減らし、自動化された検知結果の検証、脅威ハンティング、戦略的な意思決定により多くの時間を割くようになるかもしれません。人間の専門性は、運用上のパートナーとして機能するAIシステムとますます組み合わされていく可能性があります。
この移行は苦痛を伴わずには済まないでしょう。苦戦するチームも出てくるでしょう。この分野を去る実務者も出てくるかもしれません。一方で、適応し成功を収める人々もいるでしょう。
「ある意味で」とGriffiths氏は言います。「私たちはSOC全体をひっくり返そうとしているのです」
Montenegro氏は、この移行をサイバーセキュリティ版の「赤の女王効果」として捉えています。防御側と攻撃側は、その場にとどまるためだけに走り続けなければならないというものです。
SF作家ウィリアム・ギブスンの言葉を借りて、Montenegro氏は業界の現状を表す、おそらく最もシンプルな一言を提示しました。「未来はすでにここにある。ただ、まだ均等に行き渡っていないだけだ」
セキュリティ責任者にとって、その未来はすでに、AIが生み出す脆弱性、AI支援による調査、そしてAIを駆使する敵対者という形で到来しつつあります。もはや問われているのは、セキュリティオペレーションセンターが変化するかどうかではありません。組織がそのペースに追いつけるだけの速さで適応できるかどうかなのです。
