優先順位付けのパラドックス
セキュリティダッシュボードから見える景色は、毎朝ほとんど同じものに見えます。そこには、何百もの脆弱性の検出結果、数十件のIAM異常、Terraformのドリフト、そしてスキャナー、ログ、パイプラインからの絶え間ないアラートの嵐を示す、一面の赤文字の壁が広がっています。
これらのシグナルのほとんどが重要なものであり、中には見逃せないものもあります。また、ごく一部に極めて緊急性が高く、エンジニアリング部門のリーダーが10分前に知っておくべきだったものもあります。
ただしギャップはそこにあります。今や可視性は十分過ぎるものであり、むしろ優先順位付けをどうするかに誰もが苦心しているのです。
氾濫するデータの中で、それらを意思決定に転換するための時間が足りません。現在、「今日のセキュリティ体制はどうなっているか」という問いの真の全体像は、TrivyスキャンやOktaログから、CloudTrailのアクセスパターン、そしてコンプライアンスチェックリストまで、15ものソースに分散して埋もれています。
その結果もたらされるものとは何でしょうか。リーダーシップは明確な答えを得られず、エンジニアリングチームはタスクの優先順位付けがままなりません。OktaのようなSREは、ソリューションを実際に設計するよりも、データの要約に多くの時間を費やしています。
Oktaはこの問題を解決するため、最近の社内ハッカソンで、ある単純な疑問を投げかけました。AIは、このすべてのノイズを取り除き、小さく、明瞭なナラティブに変えることができるか？
概念: 日次セキュリティ概要
つまり、単なるダッシュボードを作るつもりはありませんでした。もはやダッシュボードは必要とされていません。
Oktaが目指したのは、役員が会議に向かうまでの30秒で読める1ページの概要でありながら、エンジニアが問題を解決するために必要な証拠、生のシグナル、およびオーナーシップを提供できるものでした。
そこで、既存のセキュリティシグナル、軽量なロジックベースのスコアリングレイヤー、およびAIサマライザー（RAGを使用）を組み合わせたプロトタイプを構築した「日次セキュリティ概要」を作成しました。
以下は、経営幹部向けの出力例です。
セキュリティに関する日次ブリーフィング — 2025年11月7日の全体的な状況: 中程度（⬆ 上昇傾向）
上位3つのアクション
1. S3バケット customer-export-backup のパブリックアクセスを取り消します。不明なIPからの外部GETリクエストが確認されました。（信頼度: 高）
2. CVE-2024-XXXXに対応するため、auth-apiにパッチを適用します。パブリックな概念実証が利用可能です。（信頼度: 高）
3. 管理者コンソールへの2件の異常なログインを調査します。新しい地域／デバイスからのアクティビティが検出されました。（信頼度: 中）
背景と説明「今日の調査結果のほとんどはルーチンなものですが、全体的なリスクを高める2つの項目があります。機密性の高いエクスポートを含むパブリックなS3バケットと、活発なエクスプロイト試行が報告されている重大なOpenSSLの脆弱性です。」IAM管理者による異常なアクティビティと合わせて、これらは48時間以内に対応することを推奨します。
「特効薬のない」アーキテクチャ
これを実現するために、私たちは生データから洗練されたナラティブへと移行する4段階のパイプラインを構築しました。この件については、過剰な設計にならないよう注意しました。
ステップ1: 取り込みと正規化 Trivy、Tenable、CloudTrailなど、すべてのスキャナーとログからの出力を集約し、単一の正規化されたJSONスキーマに変換します。これにより、コンテナの脆弱性とTerraformのドリフトが同じ言語で表現されるようになります。
ステップ2: 優先順位付けと（AIを使用しない）スコアリング スコアリングレイヤーには、意図的に「ブラックボックス」の機械学習を使用しませんでした。代わりに、リスク要因に基づいて、実践的で論理に基づいたスコアリング（0～100）を使用しました。
- パブリックバケット + PIIタグ？高リスク。
- CVSS 9.0 + インターネットに接続されたシステムですか？重大。
- 重要なTerraformモジュールにドリフトが発生していませんか？優先順位付け。
このフィルタリングにより、AIは実際に重要な項目のみに焦点を当てることができます。
ステップ 3: コンテキストの取得（RAG レイヤー）リスクの高い上位項目については、ベクトル検索を使用してコンテキストを取得します。過去の類似インシデント、関連するRunbook、PRの差分、およびアセット所有者のメタデータについて、当社のベクターデータベースにクエリを実行します。これにより、システムが異常を本当に新しいものとして認識するのか、それとも単に繰り返される誤検出として認識するのかを理解するために必要な「メモリ」が提供されます。
ステップ4: ガードレール付きAI要約 最後に、上位の項目と、それらによって取得されたコンテキストをLLMに供給します。ハルシネーションを防ぐために厳格なプロンプトを使用、モデルには次のように指示します。「以下の情報を要約して、経営層向けに3〜4つの明確な文章にしてください。事実を捏造しないでください。提供された情報のみを使用してください」
AIがここで実際に何をするか
今回の実験は予想外の発見がありました。それは、AIが必ずしも「課題の発見」に優れているとは限らないということです。当社のスキャナーで問題なく対応できます。
AIはコンテキストの圧縮に優れています。
重要なのは検出ではなく、要約と説明です。AIによる回答:
- 最近、何が変わりましたか？
- 今日、重要な3つのことは何ですか？
- 誰が対応すべきですか？
これは人間が何時間も費やしている部分であり、AIが見事に処理する部分でもあります。
実験からの教訓
1. 検出結果の70%はノイズです。
厳格な優先順位付けモデルを強制することで、日々の調査結果の大部分は現時点では重要ではないということがわかりました。必ずしも安全とは言えませんが、現時点ですぐに対応が必要なわけではありません。AIは、早急な対応が必要な変更を特定する上でも役立ちます。
2. 経営幹部は、メトリクスよりもナラティブを好む
メトリクスは、理解とイコールではありません。リーダーシップは、「500件の重大な脆弱性」を示す図表よりも、「これが重要なのはなぜか…」や「これが顧客にどのような影響を与えるか…」を説明するストーリーを好みます。このナラティブ形式は、セキュリティ、SRE、およびリーダーシップを瞬時に連携させることができます。
3. エンジニアは「付録」を必要としています。
経営幹部には概要が提供されますが、システムはエンジニア向けに、生のスキャン結果、CloudTrailログ、差分、およびリンクされたRunbookを含む詳細な付録を生成します。エンジニアは、AIがエビデンスバンドルと差分を自動的に提供することを知り、このツールは自分たちの代わりになるものではなく、嫌いな雑務を肩代わりしてくれるものだと気づきました。
決定
このシステムは、人間の判断に代わるものではありません。AIは、ビジネスリスクの判断、緊急パッチの承認、組織のニュアンスの理解を行うことはできません。いわば「ジュニアアナリスト」のように機能し、最初の草案を作成し、適切な問題を適切な担当者に提起します。
実用的なAIを強力な保護機能とともに適用することで、煩雑な運用データを、毎週何時間もの手作業を削減するシステムに変えることができました。
おわりに
現代のセキュリティは、可視性よりも優先順位付けが肝心です。ダッシュボードを増やすことではなく、明確性を高めることが必要です。AIを活用したパイプラインを構築してシグナルを取り込み、ストーリーを出力することで、ノイズに埋もれることなく、アクションに集中できるようになります。
