「AIが変えるセキュリティ運用」業務負担を減らし、即応力を高めるSecOpsの新しい形
「アラートが鳴り止まない」「インシデント対応に追われて、脆弱性管理まで手が回らない」セキュリティ担当者からこうした声を聞く機会は、ここ数年で明らかに増えています。 背景にあるのは、攻撃件数の増加だけではありません。攻撃の手口そのものが変わってきています。AIを使って自動化された攻撃に対し、人手中心の防御体制で戦い続けることには、すでに限界が来ています。 本記事では、その実態とセキュリティ運用（SecOps）にAIを組み込む際の考え方を整理します。サイバー攻撃の現実、「件数」よりも「変化」に注目すべき理由攻撃の脅威を正しく捉えるには、件数の増減だけでなく、攻撃の「質と速度」の変化に目を向ける必要があります。ランサムウェアは「大企業だけの問題」ではなくなった警察庁の報告によると、2024年のランサムウェア被害件数は222件にのぼり、企業規模を問わずターゲットになっています。国内の平均被害額は約2,400万円とされていますが、これは届出ベースの数字であり、実態はさらに大きいとみられます。 また、海外のデータでは復旧までに平均21日間を要するとされています。「3週間、業務が止まる」という事態がいつ自社で起きてもおかしくない状況です。攻撃者はすでにAIを使用フィッシングメールの自動生成、脆弱性スキャンの自動化、検知回避のためのマルウェア自動変異。攻撃側はAIを組み合わせることで、攻撃のサイクルを大幅に短縮しています。 2025年1〜10月の世界のランサムウェア被害件数は6,623件と、前年同期比で38%以上増加しました。件数の伸びもさることながら、注目すべきは攻撃の「精度と速度」が上がっている点です。AIが「攻撃の全工程」を担う時代Anthropicが報告した事例では、偵察から侵入・水平展開・データ窃取まで、攻撃工程の80〜90%がAIによって自律的に実行されました。人間のオペレーターは最小限の指示を出すだけで、あとはAIが自律的に動きます。 攻撃側がここまで自動化を進めている以上、防御側も同じ土俵で対応しなければ追いつけない状況になっています。なぜ、セキュリティチームは「疲弊」しているのか 攻撃の変化に対して、現場のセキュリティチームはどのような状況に置かれているのでしょうか。タスクの多さと、プレッシャーの重さセキュリティチームが担うタスクは、脆弱性管理・インシデント対応・リスク管理・コンプライアンス対応・AIガバナンスと幅広いものです。そこに、攻撃対象領域の拡大やゼロトラスト推進といった外的なプレッシャーが重なります。 さらに社内では、ツールの乱立やチームのサイロ化が業務の摩擦を生んでいます。この構造がある限り、人手だけで対処しようとすること自体に無理があるのです。「備えができていない」と感じている企業が6割を超えるAIを使った攻撃が自社に大きな影響を与えていると感じている企業は74%にのぼります。一方で、十分な備えができていないと答えた企業は60%に達します（Ponemon Institute調査）。 問題意識はあっても、対策が追いついていない。多くの企業が抱えるこの構図を直視する必要があります。AIがSecOpsをどう変えるのか、「人の代わり」ではなく「仕組みの変革」AIをSecOpsに組み込む目的は、人の仕事を奪うことではなく、人が判断すべき業務に集中できる体制をつくることにあります。重要度の判定から対応まで、AIが「流れ」をつくるアラートの確認・優先度の判断・対応方針の決定という一連の流れは、今は担当者が一つひとつ手動で進めていまが、AIがインシデントを自動で整理・分類することで、何から手をつけるべきかを即座に判断できるようになるのです。 そして、アナリストは定型的なトリアージ作業から解放され、本来の高度な判断業務に集中できます。複数部門をまたぐ対応を、AIがつないで自動化する検知・トリアージ・封じ込め・フォレンジック・レポーティングという一連の対応は、複数のチームをまたいで進みます。この連携を人手で調整している限り、判断のブレや対応の遅れが生じやすくなります。 AIがプロセスをオーケストレーション（統括・調整）することで、対応の一貫性とスピードが向上します。証跡管理とレポート作成も、AIが自動で担うインシデント後の作業ログ整理・レポート作成・監査対応は「後回しになりがちな作業」の代表格です。AIがリアルタイムで作業記録を残し、対応後のレポートを自動生成することで、経営報告や監査対応にかかる工数も大きく削減できます。AIを動かす「アーキテクチャ」の考え方 SecOpsにAIを組み込む際、仕組みの構造を理解しておくことが重要です。AIアシスタントとAIエージェントは、役割が違うAIには大きく二つの役割があります。「AIアシスタント」は、人間の指示をもとに洞察や要約を提示するサポート役です。一方「AIエージェント」は、定められた目標に向けて自律的に計画・実行します。 前者は業務時間中のオンデマンド支援、後者は24時間365日の自律稼働という違いがあります。この二つを使い分けることが、実効性のある運用自動化の前提になります。複数のエージェントを束ねる「オーケストレーター」が鍵インシデントレスポンス・脅威ハンティング・脆弱性対応には、それぞれの業務に特化したAIエージェントが存在します。これらを束ねるのが「オーケストレーター」の役割です。 与えられた問題の解決に向けてプロセスを推論し、複数のエージェントに指示を出します。調査・トリアージ・封じ込めをAIが自律処理することで、アナリストは本来注力すべき業務に集中できる体制が整います。脆弱性対応もインシデント対応も、具体的な成果が出ている脆弱性対応では、自動診断から修正案の提示・パッチ適用可否の確認・変更リクエストの作成までをAIエージェントが一連で処理します。 インシデント対応では、アラートから原因特定・優先度判断までの時間が大幅に短縮され、担当者ごとの対応のばらつきも減り、「仕組みとして動く」ことが、現場の負荷軽減に直結します。まとめ昨今、AIによるサイバー攻撃の手口が多様化しています。攻撃側がAIを使って自動化を進めている以上、防御側も同じ土俵に立つ必要があります。 そのためにはまず体制を整えることが重要です。自社の運用のどこに負荷が集中しているかを整理し、自動化できる工程を特定するところから始めるとよいでしょう。 SecOpsの自動化・自律化を実現するプラットフォームとして、ServiceNow Security Operationsが提供するAIエージェント活用のアプローチは、実務的な選択肢の一つとして参考になるはずです。 現状の運用課題を棚卸しし、最初の一歩を踏み出すきっかけにしていただければ幸いです。 ServiceNow Security Operationsの活用に関心のある方は、ぜひ株式会社ＤＴＳにご相談ください。
