2025年セキュリティオペレーションインサイトレポートからの教訓

こちらはSumo Logic社のブログを日本語化したものです。
原文はこちらをご参照ください。

Sumo Logicの2025年セキュリティ運用インサイトレポートは、現場の現状調査にとどまらず、SOCの現状を代弁しています。膨大なキューや古いアラート、一度も実行されない自動化、スクロールするだけで情報を提供しないダッシュボードなど、このレポートは、長年にわたりすべてのアナリストとCISOが感じてきた「システムのリセット」という現実を、数値で示しています。

しかし、これは失敗談ではありません。警鐘であり、青写真でもあります。以下は、データから得られた最も明確な教訓と、先進的なセキュリティチームがそれらの知見をどのように行動に移しているかです。

SIEMインフラストラクチャの近代化が必要

調査結果：セキュリティ リーダーの75%が新しいSIEM ソリューションを積極的に評価しており、ほとんどの組織が現在のシステムを3年以上使用しています。

意味：現代のセキュリティ環境では、クラウドサービス、API、SaaSアプリケーション、コンテナオーケストレーションプラットフォームから、かつてないほどの量のテレメトリデータが生成されます。従来のセキュリティ情報イベント管理（SIEM）システムでは、効果的な脅威検知に必要な速度と規模でこれらのデータを処理することが困難です。クラウドファーストのバンキングプラットフォームであるMambuは、従来のSIEMがテレメトリデータ内の重要な盲点を検出できなかったことから、この事実を痛感しました。

お客様にとって重要な理由：組織は、リアルタイムでデータを取り込んで分析し、事後対応型ではなく事前対応型のセキュリティ体制を実現できる、クラウドネイティブ環境向けに設計されたSIEMプラットフォームを優先する必要があります。

効果的な運用にはコンテキストインテリジェンスが不可欠

調査結果：回答者の85%が、脅威インテリジェンスの統合が次世代のセキュリティプラットフォームの重要な要件であると認識しており、行動分析とユーザーおよびエンティティ行動分析（UEBA）を同等に重視しています。

意味：現代の（インテリジェントな？）SOCが直面している課題は、データの不足ではなく、むしろ異種データソース間のコンテキスト相関の欠如です。効果的な脅威検知には、シグネチャベースの検知手法だけに頼るのではなく、ユーザーの行動パターン、リスクプロファイル、そして過去の状況を理解することが不可欠です。

重要な理由：統合された行動分析と自動化されたリスクスコアリングを提供し、適切な優先度分類を使用して生のアラートを実用的なインテリジェンスに変換するセキュリティプラットフォームを実装します。

人工知能は業務効率化に取り組む必要がある

調査結果：回答者の90%は、セキュリティプラットフォームを選択する際に、主に1日平均10,000件のアラートというアラート量の課題に対処するために、高度なAI機能が極めてまたは非常に重要であると考えています。

意味：セキュリティ運用におけAI導入は、インテリジェントなアラート相関、行動モデリング、インシデント要約を通じてアナリストの作業負荷を軽減することに重点を置くべきです。必要なAI機能には、重複アラートの統合、適応型ベースラインの確立、コンテキストに基づいたインシデントナラティブの作成などがあります。

お客様にとって重要な理由：人間の専門知識を置き換えるのではなく、インテリジェントな自動化によってアナリストの生産性を向上させるAI対応セキュリティプラットフォームを評価しましょう。AIによる意思決定を明確に説明することで、アナリストの自信と能力を高めるソリューションに重点を置きましょう。

測定可能な成果をもたらすための自動化の必要性

調査結果：84%の組織が組み込みの自動化機能を望んでいる一方で、現在の自動化実装に満足していると報告しているのはわずか28%です。

意味：多くの自動化イニシアチブは、実用的な対応機能よりもアラートルーティングに重点を置いています。効果的なセキュリティ自動化は、アカウントの無効化、ケースの文書化、関係者への通知といった対応アクションを手動による介入なしに実行する必要があります。

重要な理由：統合ワークフロー内に検知・対応機能を統合する自動化フレームワークを実装します。堅牢なテストおよびバージョン管理プロセスを確立し、自動化の信頼性と組織の信頼を確保します。

SIEMプラットフォームは投資収益率を高める必要がある

調査結果：セキュリティリーダーのうち、SIEM投資から満足のいくROIが得られていると報告したのはわずか50%で、95%がベンダーロックインについて懸念を示しています。

意味：ROIの低下は、複数のインターフェースと手動のデータ転送プロセスを必要とする断片化されたツールセットによって引き起こされる運用上の非効率性に起因することがよくあります。こうした非効率性は、アナリストの疲弊や脅威検出の有効性の低下につながります。

重要な理由：シームレスな統合を実現し、運用の複雑さを軽減するためにオープンAPI、ポータブルな検出ルール、柔軟なデータモデルを提供するセキュリティプラットフォームを優先します。

最後に

本レポートは、セキュリティ運用の近代化は戦略的な技術投資と運用改善を通じて不可欠かつ達成可能であることを示しています。現代のセキュリティ運用を成功させるには、可視性、コンテキストインテリジェンス、人工知能、自動化、そして合理化されたワークフローを統合した統合システムを構築し、アナリストの能力を負担にするのではなく強化するSIEMプラットフォームが必要です。

詳細な調査結果はレポートでご確認ください。