『ロボコップ』のファンの方々、 人間の判断力と機械の自動化を完璧に融合させるよう設計された法執行ロボットを描いたこのSFアクション映画を、改めて観るべき十分な理由があることに気づいていないかもしれません。このカルト的な名作には、今日のサイバーセキュリティに関する驚くべき示唆が込められているのです。
正直なところ、もししばらくご覧になっていない方、あるいはまだご覧になったことがない方は、ぜひ『 』や『RoboCop』 をストリーミングで視聴されることをお勧めします。なぜなら、これらの作品が取り上げている課題は、ビジネスやセキュリティのリーダーたちが、AIをどのように活用してサイバーセキュリティ を全般的に向上させるか、特にセキュリティ・オーケストレーション、自動化、および対応（SOAR）の分野において、AIの進歩が迅速な改善をもたらす可能性を秘めていると考えながら直面している課題と、驚くほど類似しているからです。
簡単な経緯をご説明します。40年前、オリオン・ピクチャーズは『 RoboCop』（ ）の脚本を購入しましたが、監督が決まり、映画が製作されるまでには2年を要しました。 ポール・ヴァーホーヴェン監督は、現在彼の映画界における傑作と見なされているこの作品の監督を引き受ける前に、2度オファーを断っていました。 企業文化の風刺、ブラックユーモア、そして過激な暴力描写が融合した本作は、凶悪犯に殺されかけた警察の刑事マーフィーの活躍を描いています。彼は科学者たちによって蘇生され、半人半機械のハイブリッドへと変貌を遂げ、チタン製の太ももには銃のホルスターが埋め込まれています。 ねえ、何か問題が起きるなんてあり得ないですよね？
そのプログラミングがもたらした予期せぬ結果（そして、その金属の塊の中にわずかに残っていた人間らしさ）によって事態は思わぬ方向へと進み、サイボーグを支配していた科学者や企業の指導者たちは頭を抱えることとなりました。
そして、まさにこれが、今日のサイバーセキュリティの専門家たちが置かれている状況なのです。
サイバー攻撃が組織をかつてない頻度で襲う中、多くの大企業は、既存のセキュリティツール群と連携し、 日常的なセキュリティ業務を自動化するために、SOAR機能への投資を進めています。。 セキュリティアラートの調査や脅威への対応を自動的に開始すること、感染したマシンを隔離すること、あるいは「プレイブック」とも呼ばれる複雑なセキュリティワークフローを調整することなど、その目的は一貫して同じです。それは、セキュリティインシデントの検知と対応にかかる時間を短縮することです。
また、企業は、 アラート疲労 や 過重な負担にさらされているスタッフ といった課題の解決を期待して、こうしたSOARプラットフォームへの投資も行っています。 S&Pグローバル・マーケット・インテリジェンスの情報セキュリティ部門の調査ディレクター、スコット・クロフォード氏は、自身がコンサルティングを行ったエンドユーザー企業の約半数が、セキュリティアラートの多さに圧倒され、妥当な時間内にすべてに対応しきれていないと述べています。 According to the B2B market research firm MarketsandMarkets, that’s one reason why the worldwide market for SOAR tools hit about $1.1 billion in 2022 and will reach nearly $2.3 billion by 2027.
多くの企業において、SOARプラットフォームやプロセスの導入結果は期待外れだったことが判明しています。 その理由は多岐にわたりますが、これらは、企業がAIをSOARシステムに統合する際に直面するであろう課題を予見するものとなるでしょう。
SOARの導入に伴い、プレイブックがなぜ進化するのか（あるいは進化しないのか）
SOARシステムを既存のセキュリティツールやプロセスに統合することは複雑であり、専門家によるカスタマイズが必要となります。また、多くの組織では、異なるデータソース間のデータマッピング、データの品質、一貫性の確保に苦労しており、これがSOARの有効性に影響を及ぼしています。
「LLM技術をセキュリティ分野に応用すると、多くの活用事例が思い浮かびますが、最も代表的なものは脅威インテリジェンスと分析です。」S&Pグローバル・マーケット・インテリジェンスの情報セキュリティ・チャネル担当リサーチ・ディレクター、スコット・クロフォード氏
その結果、多くの「プレイブック」や、その構成要素である「フロー」、 「サブフロー」――ランサムウェア や、内部システム上で発見された侵害の兆候など、特定の種類のインシデントに対して対応担当者が適切な対応を行えるよう導く、あらかじめ設定された自動化または半自動化されたロードマップ／ワークフロー――は、フォレンジックスナップショットの取得やシステムのオフライン化といった、比較的単純なセキュリティタスクの域を超えて進化していないのが現状です。
「これらのシステムは有用ではありますが、その期待に完全には応えられていません」と、テクノロジーサービス企業 Trace3の顧問CISOであるマイケル・ファーナム氏は述べています。 「提供されている自動化機能は、ごく単純な作業に限られているため、その結果、多くの人が期待していたような生産性の向上にはつながっていません。」
しかし、一方で、特に複雑なセキュリティ業務においては、AIが付加価値をもたらすだろうと楽観視する声もあります。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
インサイト・テクノロジー・ソリューションズのグローバルCISOであるジェイソン・レイダー氏は、自社のセキュリティ運用チームが使用するツールに統合された生成AI機能を、いち早く導入した人物の一人です。 「さまざまな製品にAI機能を搭載できることを大変嬉しく思っています」と、レイダー氏は述べました。
一部の業務の効率化には寄与しましたが、AIの他の分野――特に の生成AI の導入――は、PythonスクリプトやSQLクエリの作成、レポート作成など、時間がかかりますが不可欠な業務において、セキュリティ運用チームを支援することが実証されています。 一方、レーダー氏は、自身が目にしたオーケストレーションや関連プラットフォームに組み込まれている生成AI機能の一部については、分析や、複数のステップを要するプロセスを含むより複雑なプレイブックに関して、「最適とは言い難い」と付け加えました。 「この［AI］が、現時点で目的に完全に適合しているとは予想していませんでした」と、レイダー氏は付け加えました。
[関連記事：GenAIの導入競争？ セキュリティは、適切なガバナンスから始まります]
セキュリティチームの間では、 の大型言語モデル（LLM） が、SOAR技術の向上に寄与し、セキュリティチームが脅威に対してより迅速かつ賢明に対応できるよう支援してくれるという新たな期待が高まっています。 課題は、プログラムの成熟度、 人間の判断、AIによる意思決定 、そして自動化を適切に組み合わせることです。
SOAR運用の変革：高度なLLMがAIの可能性を後押しします
LLMの進歩により、インシデントの自動トリアージ、 脅威の検出、 インシデント対応、セキュリティ データ分析、自然言語インターフェース、適応型プレイブック、および予測機能などが提供され、企業のSOAR運用に変革をもたらすことが期待されています。 将来的には、これらのツールに組み込まれたAI機能（あるいは企業が社内で構築したカスタムLLM）が、セキュリティチームを支援し、 の脅威インテリジェンス、セキュリティアラート、およびネットワークやアプリケーションから生成されるイベントデータをより的確に分析し、業界や組織にとって最も重大な脅威を迅速に特定し、可能な場合には自動的に対応できるようになることが期待されています。
「現時点ではまだ不可能ですが、将来的には、プレイブックがAIシステムによって作成されるようになり、場合によってはその場で作成されたり、少なくともその場で調整されたりするようになるでしょう。」マイケル・ファーナム氏、 Trace3社顧問CISO
セキュリティの専門家たちは、LLMがすでにSOARプラットフォームを変革し始めている4つの点を指摘しています：
セキュリティデータの分析。 これらのシステムは、脅威インテリジェンスや企業システムのイベントデータを分析することで、潜在的な脅威を検知することができます。 「LLM技術をセキュリティ分野に応用すると、さまざまな活用事例が思い浮かびますが、最も代表的なものは脅威インテリジェンスと分析です」と、クロフォード氏は述べています。
セキュリティアラートを自動的に優先順位付けします。 また、このデータ分析を活用することで、リスクにさらされているデータ やシステムの における業務上の重要度、およびそれらの資産を保護するセキュリティシステムの設定や状態に基づいて、インシデント対応の優先順位を決定することも可能です。 これらのシステムは、アナリストに適切な対応手順書を提供することができます。 「現在、AIは最も定型的なプレイブックの処理を支援していますが、今後、プレイブックはさらに洗練され、より複雑なタスクを処理できるようになるでしょう」とファーナム氏は述べています。
そのためには、イノベーション（今日のあらゆる経営判断やベストプラクティスを牽引する流行語であり、したがって企業のリーダーたちが好むもの）と、テスト（時間がかかり、コストがかかり、魅力に欠ける――つまり、最高情報セキュリティ責任者（CISO）がCEOや取締役会に納得してもらうのに苦労する要素のすべて）の両方が必要となります。
[関連記事：CISOがサイバーリスクをCEOに実際に伝わるよう話す方法]
「プレイブックとは、これまで長らく使用してきたスクリプトや統合機能を組み合わせたものです。AIによって開発されたプレイブックについては、環境内で有効化する前に必ずテストを行う必要があります」と、レイダー氏は述べています。
プレイブックの作成と最適化。 AIは過去のインシデントデータを分析し、何が有効で何が有効でなかったかのパターンを即座に特定し、セキュリティアナリストが業務遂行に必要な手順のみに焦点を当てて、最も効果的なプレイブックを作成できるよう導きます。 「現時点ではまだ不可能ですが、将来的には、プレイブックがAIシステムによって作成されるようになり、場合によってはその場で作成されたり、少なくともその場で調整されたりするようになるでしょう」とファーナム氏は述べています。
自動化された予測型オーケストレーション。 脅威インテリジェンスやIT環境情報を分析するために、同様の広範なデータを活用することで、AIはインシデントをリアルタイムで調査し、最適な対応ツールを開発または選択し、さらには脅威情勢の変化に応じてリソースをインテリジェントに再配分することさえ可能です。 「こうした企業の中には、技術が今後成熟していくことを期待しつつ、現時点ではある程度の基本的な業務はこなせるようになっていると述べているところもあります。」 ここではどれほど効果があるでしょうか？ 「まだ結論は出ていません」とクロフォード氏は述べました。
這う、歩く、走る……そして自動化
AIやSOARを活用したこうした機能は企業にとって実現可能ですが、データガバナンスやセキュリティプロセスに関する事前の準備が整っていなければ、SOARの導入にあたって、以前の世代のSOARツールを導入しようとした際に直面したのと同じ課題、すなわち複雑さとデータ品質の低さに、再び直面するリスクがあります。
「AIや自動化の段階に進むには、成熟度の段階を飛ばすことはできません。」インサイト・テクノロジー・ソリューションズのグローバルCISO、ジェイソン・レイダー氏
サイバーセキュリティにおいてAIを活用した自動化を導入する前に、組織は自社のセキュリティ成熟度を厳しく見直す必要があります。 現在のSOARの手法が最適でない限り、それらのプロセスを自動化しても最適な結果にはなりません。 自動化により、既存の弱点がさらに増幅される恐れがあり、新たな死角が生まれる可能性さえあります。 成熟したセキュリティプログラムには、明確に定義されたワークフロー、高品質なデータ、そしてAIシステムを適切に訓練・監督できる経験豊富なチームが備わっています。
「AIや自動化を最大限に活用するには、セキュリティプログラムがある程度の成熟度を備えている必要があります。なぜなら、組織内で定義されていないものを自動化することはできないからです」とレイダー氏は述べています。 「そして、AIや自動化の段階に進むために、成熟段階を飛ばすことはできません。」 プログラムの最適化が完了したら、さらに多くの作業を自動化できるようになります。」
AIとSOARの統合という未来に向けて、どのように最善の準備をすべきか
世界的な緊張や経済の先行き不透明感、サイバー脅威の増加といった状況にもかかわらず、AIや自動化が本格的に普及し始め、さまざまな形でアナリストの業務負担を軽減しつつあることから、セキュリティ分野にとっては依然として刺激的な時代となっています。 しかし、専門家たちは、短期的にはもちろん、中期的に見ても、完全に自動化されたSOCやセキュリティ運用が実現するとは考えていません。 「AIの誤った判断によって、広範囲にわたる自業自得のサービス拒否攻撃が発生する事態を、誰も監督したいとは思わないでしょう」とクロフォード氏は述べています。
[関連記事：マーベル・ユニバースを守るセキュリティ責任者――AIで何が可能か、そしてその導入方法]
専門家が予測する、将来的なAIとSOARの統合レベルに備えるため、レイダー氏は、各組織に対し、既存のプロセスの成熟化や、データソースおよびガバナンスの改善に着手するよう助言しています。 また、彼は今すぐSOARプラットフォームへの投資を行い、セキュリティチームがその使い方に慣れるようにすることを推奨しています。
「新しいAIや自動化機能が登場しても、彼らはプラットフォームを理解し、AIを統合する準備が整っているため、それらの機能を追加することができるでしょう」と彼はアドバイスしています。
また、セキュリティチームがプラットフォームやセキュリティ運用の全体的な方向性に積極的に関与し続けることも不可欠です。 「 の『ロボコップ』 のような世界にはまだ至っていないため、当面の間は、人間がAIと協力して仕事をすることになるでしょう」とレイダー氏は述べています。