エージェント型AIでSLEDがサイバーセキュリティ競争を勝ち抜く方法

SLED組織は、もともと一元的な組織体として構築されたわけではありません。各機関、部門、キャンパスが独自にツールを導入しており、多くの場合、何十年にもわたってそれぞれのツールが特定の問題を個別に解決する形で導入されてきました。その結果、複数のプラットフォーム、レガシーシステム、異なるレベルのテクノロジー成熟度が混在する複雑なセキュリティ環境が生み出され、テクノロジースタック全体の相互運用性やチーム間のコラボレーションが制限されています。かつてはそのような断片化は単なる不便さにすぎませんでしたが、今や構造的なリスクとなっています。

毎週、SOCの66％が分断されたツール間のデータを手動で集約することに丸1日を費やしています。⁴攻撃者が30分未満でラテラルムーブメントを行える中、²コンソールの突き合わせに費やす時間は、リスクに晒される時間となります。単一のイベントだけで全容が明らかになることは滅多にありません。攻撃者は多くの場合、個別には無害に見えても、関連付けると疑わしくなる小さなアクションを多数実行します。

エージェント型SOCはAIエージェントを使用して、アラートの関連付け、コンテキストの収集、エンティティの調査、対応計画の準備といった複数ステップのセキュリティタスクを実行します。決められたルールに従う従来の自動化とは異なり、エージェントは変化する情報に基づいて推論し、調査の進展に応じて適応できます。

その自律性は、アナリストをプロセスから排除することを意味するものではありません。エージェント型SOCでは、重要な影響を伴う意思決定を人間が管理し続ける一方で、その意思決定に至るために必要な手作業を削減できます。これは、理事会、市議会、または立法委員会に説明責任を負うあらゆる組織にとって不可欠です。導入はすでに実験段階を超えつつあります。2026年には、8州がエージェント型AIツールを本番環境で運用していると報告しました。⁵

Elasticのエージェント型SOCは、「ヒューマン・イン・ザ・リード」モデルに基づいて構築されています。エージェントは、脅威ライフサイクル全体にわたってアラートを相関付け、エンティティを調査し、対応計画をステージングします。アクションの実行、ホストの隔離、アカウントの無効化を行う前に、エージェントは計画を提示し、アナリストの承認を待ちます。すべての決定は文書化されるため、レビュー担当者はその推論を追跡できます。アナリストは大量の生のアラートに追われて1日を始める代わりに、すでに調査されコンテキストが付加された絞り込み済みの脅威リストを確認できるため、小規模なチームであっても、はるかに大規模なチームと同等の能力を発揮できます。

州政府や地方自治体のセキュリティリーダーは、同じ課題の異なる側面の解決に取り組んでいます。州のCIOやCISOは、州全体のサイバー防衛、共有サービス、数十に及ぶ機関全体のセキュリティ対応に注力している場合があります。一方、地方自治体は多くの場合、不可欠なサービスの継続稼働という絶え間ないプレッシャーに直面しながら、何役も兼任する小規模なITチームに依存しています。

これらの環境間における準備態勢の格差は依然として顕著です。州政府のCISOを対象とした調査では、地方自治体のサイバーセキュリティの取り組みに対して「非常に自信がある」と回答した人は皆無で、43％が「あまり自信がない」と回答しました。また、州政府のCISOの88％が組織全体のSOCを統括しているものの、各機関や地域組織間でサイバーセキュリティリソースをプールする地域SOCに参加している割合はわずか12％にとどまっています。³

エージェント型AIは、不足しているリソースを代替することはできませんが、相関分析、トリアージ、調査、対応を迅速化することで、既存の対応能力と専門知識を拡張するのに役立ちます。

カリフォルニア州雇用開発局は、3,000台近くのサーバーと60名のセキュリティチームで8,500億件以上のレコードを管理し、ElasticのAttack Discoveryを活用して平均対応時間を99％短縮しました。 事例全文を読む →

アリゾナ州国土安全保障省はその対極に位置しています。人員を増やすことなく、1日あたり12テラバイトのログを管理し、事前構築済みのアラートを活用して事後対応から事前対応へと移行した小規模なチームです。 事例全文を読む →

アナリストが60人でも3人でも、根本的な問題は同じです。AIはどちらのチームのアナリストにも取って代わりませんでした。繰り返しの多い作業を自動化し、コンテキストを提供して調査を迅速化することで、アナリストの時間を取り戻しました。

ブリュッセル自由大学は、わずか3名のエンジニアでセキュリティ運用全体を行い、300台を超えるエンドポイントにわたる640億件のイベントに対応し、ネットワークを妨害していた不正なDHCPサーバーを数日ではなく数分で特定しました。ネットワークセキュリティICTコンサルタントのXavier Tomaszynski氏は、「Elasticにより、非常に小規模なチームでも大学規模でセキュリティ監視を運用できるようになりました」と述べています。 事例全文を読む →

Texas A&M University Systemは、11の大学、8つの州機関、153,000人以上の学生を擁し、まったく異なる規模で運営されています。その規模においても、かつては数か月かかっていた脅威調査を、今ではわずか2時間で完了できます。 事例全文を読む →

ますます多くの機関が、学術プログラムの一環として学生をセキュリティオペレーションに参加させています。しかし、学生をSOCに効果的に貢献できる人材に育てるには、従来、数か月にわたる実務経験とトレーニングが必要でした。エージェント型AIは状況を一変させます。コンテキスト、分析、優先順位付けがすでに完了したケースを提供することで、経験の浅いアナリストは、パズルを組み立てることに時間を費やすのではなく、レビュー、意思決定、学習、対応に集中できます。

政府機関や教育機関において、AIサイバーセキュリティに対する最もスマートなアプローチは共通しています。データをその所有者のもとから移動させることなくセキュリティデータを接続してコンテキストを追加し、その基盤の上でAIを活用して手作業の負担を軽減することです。

Elasticのデータメッシュアーキテクチャは、機密データを一元化することなく、クラウド、ハイブリッド、オンプレミスの環境全体で包括的な可視性を提供します。これは、データレジデンシー要件の制約を受ける機関や、極めて制限の厳しい環境で運用している機関にとって、技術的な詳細ではなく前提条件となります。

機関がセキュリティに関する意思決定をAIエージェントに委任する際には、透明性が重要になります。米国、英国、カナダ、オーストラリア、ニュージーランドで構成されるファイブアイズ同盟によるAIに関する共同ガイダンスでは、運用の可視性の必要性が強調されています。人間は、エージェントが何を行い、なぜそれを行うのか、そして各アクションの背後にある意図を理解する必要があります。⁷その基準は、国の政府機関と同様に、市議会や理事会にも当てはまります。透明性と説明責任は、エージェント型AIモデルへの信頼を構築するための基盤となります。

同様に重要なのは、ベンダーロックインを防ぎ、複雑な環境全体で柔軟性を実現するオープンスタンダードと相互運用可能なアーキテクチャーです。オープンソースとオープンスタンダードを基盤とするElasticは、相互運用性を提供し、組織がすでに投資してきたものを全面的に置き換えるのではなく、既存のツールと統合します。

60人規模の州政府機関、少人数の州セキュリティチーム、3人体制の大学SOC、11の大学から成る大学システムは、それぞれまったく異なる規模で運用されていますが、いずれも同じ決断を下しました。すでに断片化されたスタックに別のポイントツールを追加するのではなく、データ基盤そのものを解決策として捉えることが重要です。29分のブレイクアウトウィンドウが長くなることはありません。数分で対応できている組織は、最初にデータ問題を解決した組織です。

AI主導のセキュリティのためのより強固なデータ基盤を構築する方法については、公共部門向けサイバーセキュリティガイドをご覧ください。