セキュリティ業界は、約10年にわたり、機械学習を使用して検出の問題を解決してきました。十分なログデータを入力として与え、異常な動作を特定することで、ルールベースのシステムでは見逃してしまう脅威を発見してきました。これにより、異常検出の精度が向上し、誤検知が減少し、UEBAは今や不可欠な存在となりました。実際、脅威検出と分析はSIEMの総支出の約44%を占めており、他を大きく引き離す最大のユースケースとなっています。
機械学習を用いた検出は、ほんの始まりに過ぎません。
エージェント型AIは、SIEMを単なる組み込み型MLモデルから、推論して行動するエージェントシステムへと変革します。アナリストは引き続き必要ですが、多くの調査の基礎作業が完了した後の段階で関与するようになります。
Sumo Logicの2026年セキュリティ運用インサイトレポートは、500人以上のITおよびセキュリティリーダーを対象とした調査であり、SOCの進化を示しています。96%がAIを導入したと回答しているものの、その活用事例はワークフローの最も基本的なレベルに集中しています。AIは、最初の信号から解決まで、ライフサイクル全体にわたって運用と意思決定の基盤として機能することができますが、ほとんどの組織はまだそこまで到達していません。
現在の移行状況と、将来を見据えたSOCを構築するために必要なことは以下のとおりです。
AIが既に成果を上げている領域
セキュリティ分野におけるAIの第一波は、その約束を果たしました。異常検知の精度が向上し、行動ベースラインがシグネチャベースのルールを補完し、その価値は広く認識されています。セキュリティリーダーの90%が、AI/MLはアラート疲労の軽減と検知精度の向上に非常にまたは極めて価値があると回答しています。
実際、セキュリティリーダーのほぼ半数が脅威検出にAIを使用していますが、インシデントトリアージに適用しているのはわずか9%であり、SOC全体で最も少ないユースケースとなっています。しかし、セキュリティ運用センターは依然として、アラート疲労や誤検知といった問題に日々直面しています。攻撃対象領域が拡大し続け、クラウドテレメトリが増え続け、AIによって加速された脅威が検出能力の向上を上回るペースで受信信号の量を増やし続けたため、アラート量は減少しませんでした。
AIへの投資は検出に重点的に行われてきましたが、その投資は重要です。検出の品質が、下流のあらゆるプロセスの上限を直接決定するからです。検出精度によって、どれだけの調査作業が人間の手元に回ってくるかが決まります。
AI成熟度のアーク
ほとんどのSOCは、AI成熟度の3つの段階のいずれかに分類されます。現在どの段階にいるかによって、SIEMに現実的に何を要求できるか、そして何を取りこぼしているかが決まります。
第1段階：ノイズを削減する
最初の段階は運用自動化であり、ルールベースのロジックと機械学習を組み合わせて、動作のベースラインを設定し、重複アラートを抑制し、ログを正規化します。これはもはや必須条件であり、ビジネス上のメリットは自明です。ボリュームと調査時間を削減し、より多くのインシデントをクローズできます。2026年の調査によると、自動化は今や標準となっており、セキュリティリーダーの70%が脅威検出ワークフローを完全、またはほぼ自動化していると回答しています。
第2段階：アナリストを導く
第2段階では、AIが調査を支援し始めます。アナリスト支援型AIは、静的なプレイブックを、リアルタイムで調査をガイドするシステムに置き換えます。自然言語による要約、コンテキストに応じたリスクスコアリング、異常検知などにより、アナリストは生のイベントストリームではなく、「なぜこれが重要なのか」というストーリーを受け取ることができます。セキュリティリーダーのうち、AI機能、統合テレメトリ、拡張性を備えたクラウドネイティブSIEMを導入しているのはわずか37%であり、現在のSIEMが平均検出時間（MTTD）と平均対応時間（MTTR）の短縮に非常に効果的だと答えたのは51%にとどまります。ステージ2はまだ広く普及しておらず、その結果にもそれが表れています。
第3段階：ループを閉じる
第3段階では、自律的な運用が導入されます。これはエージェント型AIであり、システムは分析や推奨を行うだけでなく、ツール間で推論し、証拠を相関付け、人間が各ステップを進めるのを待つことなく、SOCワークフロー全体にわたって行動します。
第2段階のAIがアナリストにより良い出発点を提供する一方で、エージェント型AIは脅威インテリジェンスでアラートを強化し、活動をキルチェーンにマッピングし、自律的に対応アクションを開始します。この段階に到達しているチームは、まだごく少数です。現在、セキュリティリーダーのうちインシデントトリアージにAIを適用しているのはわずか9%に過ぎません。エージェント型AIがまさに変革を目的としているワークフローであることを踏まえると、どれほど大きな伸びしろが残されているかが分かります。
エージェント時代にSIEMに求めるもの
すべてのSIEMがエージェント型AIをサポートできるように設計されているわけではなく、組織が今行うアーキテクチャ上の決定によって、エージェント型AIからどれだけのメリットを引き出せるかが決まります。譲れない条件が3つあります。
- ベンダーロックインをなくすこと。 レポートによると、ほとんどの組織はベンダーの評価を頻繁には行っておらず、単一ベンダーのエコシステムに留まるための金銭的インセンティブがその主な理由となっています。独自のツールとクローズドAPIを通じてデータ取り込み、分析、自動化を制御するプラットフォームは、業界全体で構築されているエージェント型機能を統合する能力を制限します。次世代のツールが登場したときに、それらを採用できるアーキテクチャと自由度が必要になります。
- オープンなデータ標準。 エージェントシステムは、データソース間を自由に横断できる必要があります。OpenTelemetryのようなオープンスタンダードに基づいて構築されたプラットフォームは、独自の制約に縛られずに、環境間でテレメトリを収集、正規化、ルーティングできます。クローズドな取り込みパイプラインは、エージェント層が把握し、行動できる範囲の上限となります。
- エンティティ中心の検出。 エージェント型AIは、誰に何が起こったのか、どのシステムで、どのような順序で起こったのかを推論します。イベントを特定のユーザー、デバイス、またはサービスアカウントに関連付ける検出機能があれば、その推論に一貫した根拠を与えることができます。それがなければ、エージェント型AIによる調査は行動の拠り所を持てません。
未来のSOCは今まさに構築されている
検出は第1フェーズであり、業界はその活用を確立しました。しかし、脅威を迅速に発見できても、対応がそれ以上に速くなければ意味はなく、その部分で組織は依然として時間を失っています。
アナリスト支援AIは第2フェーズであり、よりスマートなトリアージ、ガイド付き調査、より短い平均対応時間を実現しました。現在、ほとんどのチームはその移行の途上にあり、セキュリティチームの半数だけが現在のSIEMを平均検出・対応時間の短縮に非常に効果的だと評価しており、SIEMが将来のニーズに応じてスケールできると確信しているのは52%に過ぎません。
エージェント型AIは第3フェーズです。オープンアーキテクチャ、エンティティ中心の検出、ベンダーロックインの排除といった適切な基盤に投資してきたチームは、それを採用する態勢が整っています。そうでない組織は、現在使用しているSIEMが、これから必要となる機能を支えられないインフラストラクチャ上に載っていることに気付くことになるでしょう。
未来のSOCを構築する組織は、すでに今日、プラットフォームの選定を始めています。
エージェント型AIに対して、柔軟なアーキテクチャがどのように機能するかをご覧になる準備はできていますか？デモをご覧ください。
