アラート疲れこそが本当のSOC問題である理由——そして、実はビジネスの問題である理由

アラート疲れはSOCの不便ではない。エンタープライズリスクである

セキュリティリーダーがアラート疲れについて話すとき、会話はたいていSOCの中にとどまります。燃え尽きるアナリスト、赤で埋め尽くされたダッシュボード、四半期を追うごとに悪化するMTTR。こうした捉え方は間違いではありません。ただ、範囲が狭すぎます。

エンタープライズレベル、つまり金融サービス、製薬、半導体、大規模製造などの組織では、アラート疲れは運用上の小さな不便ではありません。貸借対照表や監査指摘、レジリエンスをめぐる取締役会レベルの議論に現れる、ビジネスリスクです。

問題は人員より速く拡大する

大規模企業は、1つのSIEMだけを使っているわけではありません。ある事業部門ではSplunk、別の部門ではMicrosoft Sentinel、別の地域ではQRadarやDevoというように、複数のSIEMを運用しています。これはM&A、地域ごとの自律性、あるいは部門ごとに独立して積み重ねてきた長年のツール選定の結果であることが少なくありません。

各プラットフォームはそれぞれ独自のアラート量を生み出し、独自のチューニング負債を抱えています。そして、それらは互いに連携していません。その結果生じるのは単なるノイズではなく、企業が統一されたリスク像を必要とするまさにそのタイミングで、可視性が分断されることです。

アナリストを増やしても、これは解決しません。人員は直線的に増やせますが、アラート量はそうではありません。その差の中で、本当のインシデントが見逃されます。データが存在しなかったからではなく、他のすべての情報に埋もれていたからです。

SOCを超えて重要になる理由

企業の経営層にとって、アラート疲れの影響は平均検知時間をはるかに超えます。

• 規制上のリスク。 金融サービスや製薬では、検知の失敗や遅れは単なるセキュリティ上の失敗ではなく、コンプライアンス違反や監査指摘につながります。
• M&Aと統合のリスク。 異なるSIEMスタックを引き継ぐ買収案件が増えるたびに、分断の問題は静かに積み重なり、インシデントによって初めて表面化することがあります。
• アナリストの定着コスト。 SOCの燃え尽きは離職に直結します。専門性が求められる業界で、セキュリティ人材を再採用し、再教育することは、短期間でも安価でもありません。
• 取締役会レベルの説明責任。 サイバーリスクの報告が定例議題になる中で、「どのアラートが重要か分からないほど多すぎます」という答えは、その場では通用しません。

解決策は別のSIEMではない

分断を解消するために、単一のSIEMプラットフォームへ統合したいと考えるのは自然なことです。しかし、実際には難しい場合が多くあります。多国籍・多部門の企業全体で既存環境を一気に入れ替えるには何年もかかります。しかも、Sentinel、Splunk、Devoといった基盤がすでに大規模なデータの取り込みと保存という役割を果たしているなら、切り替えコストに見合う成果が得られないことも少なくありません。

より現実的な道は、すでにある環境の上に統合・トリアージレイヤーを追加することです。環境内のすべてのSIEMからアラートを取り込み、相関させ、本当に重要なものを1つのビューで示すレイヤーです。これがSIEM+のモデルです。Sentinel、Splunk、Devoを置き換えるのではなく、すでに投資したそれらのプラットフォームを、エンタープライズ規模で使えるものにするレイヤーです。すでにDevoを利用している組織にとっては、Devo独自のAI SOC拡張機能であるStrike48とも自然に組み合わせられます。Strike48は単一のDevo環境内にあるため、単独で解決する必要がないクロスプラットフォームの統合を、SIEM+が補完します。

問いを捉え直す

エンタープライズのセキュリティリーダーが問うべきなのは、「どうすればアナリストはもっと速くトリアージできるか」ではありません。「そもそも、人によるレビューを前提に設計されていない量を、なぜ人にトリアージさせているのか」です。

アラート疲れはSOCに現れる症状です。しかし、その原因である、分断されたツール、管理されないアラート量、そして組織の拡大に伴って劣化するリスク可視性は、エンタープライズの問題です。だからこそ、エンタープライズレベルの答えが必要です。