AI SOCとは
セキュリティオペレーションセンター（SOC）は、組織の環境を監視して脅威を検出し、不審なアクティビティを調査し、悪意のあるものと確認された場合に対応する責任を担うチームとツール群を指します。従来のSOCモデルでは、人間のアナリストがダッシュボードを監視し、アラートをトリアージし、手作業で調査を実施し、チケットキューを通じてエスカレーションを行います。
AI SOCは、これらと同じ機能に自律型AIエージェントを適用します。エージェントは継続的に稼働し、すべての受信アラートを処理するとともに、複数のデータソースから得られるコンテキストを基に推論を行います。そして、事前承認されたプレイブックに従って対応を実行するか、確信度が十分でない場合には人間へエスカレーションします。従来型SOCとの違いは、処理速度だけでなく業務の性質そのものにあります。AI SOCは、フィルタリングやルーティングに加えて、推論と判断も実行します。
「AI SOC」という用語は、機械学習を取り入れたあらゆるセキュリティ運用を指して広く使われることがあります。これには、2023年または2024年に異常検知機能を追加した従来型SIEM製品も含まれます。しかし、より正確には、AI支援型SOCとAgentic AI SOCを区別する必要があります。AI支援型SOCでは、人間が引き続き調査と対応を主導し、AIは関連データの提示を支援します。一方、Agentic AI SOCでは、AIエージェントが調査と対応を主導し、人間は監督とエスカレーション対応を担います。
本リファレンスでは、Agentic AI SOCの定義を採用しています。なぜなら、この能力こそがセキュリティ運用の経済性と運用モデルそのものを変革するからです。
AI SOCと従来型SOCの違い
従来のSOCモデルは、人間の認知能力という制約を前提に設計されています。アナリストが1シフトで確認できるアラート数は、その複雑さにもよりますが、20件から50件程度です。一方で、多くのエンタープライズ環境では、毎日数百件から数千件ものアラートが生成されます。その結果として生じるのがアラート疲れです。これは、アラート量が処理能力を超えたことで、アナリストがアラートを無視したり、一括でクローズしたりし始める状態を指します。
従来のSOCモデルには、構造的な遅延も存在します。アラートが発生するとキューに登録され、Tier 1アナリストがトリアージを実施し、エスカレーションが必要かどうかを判断します。その後、Tier 2へ引き継がれ、Tier 2が調査を実施し、必要に応じてTier 3へエスカレーションします。この一連のプロセスには数時間かかる場合があります。ランサムウェア攻撃のようなインシデントでは、その数時間が重大な意味を持ちます。
AI SOCは、このプロセスの各段階におけるアーキテクチャそのものを変革します。
AI SOCは、人間のアナリストを不要にするものではありません。変わるのは、アナリストが時間を費やす対象です。アナリストはノイズの多いアラートをトリアージする代わりに、判断を要するエスカレーションのレビュー、エージェントの監督、検知ロジックのチューニング、人間による意思決定が必要なケースへの対応に注力できるようになります。
人員体制にも違いがあります。従来のSOCでは、24時間365日の監視体制を維持するために、通常5〜7名のアナリストが必要です（シフト勤務、有給休暇、離職率を考慮）。一方、AI SOCはそれだけの人員を確保しなくても継続的に運用できます。これは、SOC専任チーム全体を現実的に採用することが難しい中堅企業にとって特に重要です。
4つの中核機能とAIエージェントによる対応
検知
検知とは、ログ、イベント、テレメトリの継続的なデータストリームから、悪意のある可能性があるアクティビティを特定するプロセスです。従来のSOCでは、検知はエンジニアが作成し、定期的に更新するSIEMルールに依存しています。ルールは硬直的であり、既知のパターンには一致するものの、新たな攻撃手法や未知の挙動を見逃します。また、正当なアクティビティが攻撃に類似している場合には、誤検知も発生します。
AIによる検知では、ビヘイビアベースラインと異常検知モデリングを活用します。エージェントは「このルールに一致するか」ではなく、「このユーザー、システム、またはワークロードにおける通常の挙動から逸脱しているか」を判断します。これにより、既知のシグネチャに一致しない攻撃も検出できます。例えば、Living-off-the-Land（LotL）攻撃や、正規の認証情報を悪用したラテラルムーブメントなどが含まれます。
検知エージェントは、エンドポイントテレメトリ、クラウドAPIログ、アイデンティティイベント、ネットワークフロー、メールヘッダーなど、複数のデータソースを同時に取り込みます。人間のアナリストであれば30分かかるような相関分析も、数秒で実行できます。
関連する重要な機能として、検知カバレッジの完全性があります。従来のSOCチームでは調査リソースに優先順位を付けるため、一部のアラートカテゴリは他よりも注意を払われにくくなります。重大インシデントが多発している期間には、優先度の低いアラートが確認されないまま放置されることも少なくありません。AI検知エージェントは、個別ではノイズに見えても、全体として重要なシグナルを示す低重大度アラートも含め、すべてのアラートを処理します。近年発生した重大な侵害の中には、何週間にもわたり低重大度アラートしか発生していなかった活動が、後に大規模なインシデントへ発展したケースもあります。AIによる継続的なカバレッジは、このような長期潜伏型の侵害が未検知のまま継続する期間を短縮します。
トリアージ
トリアージとは、検知されたイベントが実際の脅威なのか、それとも誤検知なのかを判断するプロセスです。従来のSOCでは、アナリストの作業時間の大半がここに費やされます。
AIトリアージエージェントは、アラートが人間のキューに到達する前に調査を実施します。ユーザー情報、通常の行動パターン、使用デバイス、このIPアドレスが脅威インテリジェンスフィードに含まれているか、このプロセスが他のホストでも確認されているか、さらにアラート発生前60分間に何が起きていたかといったコンテキストを収集します。そして証拠チェーンを構築し、「誤検知」「良性」「要調査」のいずれかを判定します。
エージェントは個々のデータポイントだけでなく、それらの関係性を分析します。単一のログイン失敗はノイズです。しかし、ログイン失敗の後にパスワードリセットが行われ、その後新しいデバイスへのMFA認証要求が発生し、さらにデータエクスポートのAPIコールが続いた場合、それは単なるノイズではありません。エージェントは、異なる4つのシステムにまたがる情報を自動的に関連付けて全体像を構築します。
その結果として、多くの組織では環境に応じて誤検知対応の負荷を80〜95％削減できます。アナリストは、エージェントが本当に判断困難または高重大度と判断したケースのみを対応すればよく、すべてのアラートを確認する必要はありません。
調査
調査とは、脅威が確認または疑われた際に、その影響範囲、被害状況、根本原因を特定するプロセスです。従来のSOCでは、アナリストがSIEM、EDRコンソール、クラウドポータル、アイデンティティプロバイダー、脅威インテリジェンスプラットフォームを手作業で行き来しながら、タイムラインを構築していました。
AI調査エージェントは、このピボット作業を自動化します。初期インジケーターを起点として、このホストが他にどのシステムと通信したか、この認証情報からどのアカウントにアクセスされたか、どのファイルが操作されたか、またその手法が既知の脅威アクターと関連しているかを調査します。そして、インシデントタイムラインと調査結果のサマリーを生成します。
調査の品質は、インテグレーションの深さに大きく依存します。エンドポイントテレメトリ、アイデンティティログ、クラウド監査イベント、ネットワークデータにアクセスできるエージェントは、SIEMアラートのみを参照するエージェントよりも、はるかに包括的な結論に到達できます。インテグレーションの広さは、AI SOCプラットフォームを評価する際の最重要項目の一つです。
対応
対応とは、確認された脅威を封じ込め、修復し、復旧するために実施されるアクションを指します。この領域は、Agentic AIが最大の運用価値を生み出す一方で、慎重に実装しなければ最も大きなリスクを伴う領域でもあります。
対応アクションには、低リスクなものから取り返しのつかないものまであります。例えば、エンドポイントの隔離、ユーザーアカウントの無効化、ファイアウォールでのIPアドレスのブロック、OAuthトークンの失効などです。これらは適切な承認ルールが事前に設定されていれば、エージェントが自律的に実行できます。一方で、データの削除、システムのワイプ、ネットワーク構成の変更といった操作は、人間による明示的な承認が必要です。
適切に設計されたAI SOCプラットフォームでは、段階的な承認モデルが実装されています。セキュリティチームは、エージェントが自律的に実行できるアクション、チャットインターフェース上でワンクリック承認を必要とするアクション、正式なインシデント対応プロセスを必要とするアクションを定義します。
攻撃者の滞在時間（Dwell Time）が被害に直結する攻撃では、対応速度が極めて重要です。攻撃者がクラウドアカウント間を移動している認証情報ベースの攻撃において、検知から30秒以内にセッショントークンを失効させたり、アカウントを無効化したりできる対応エージェントは、ラテラルムーブメントが完了する前に攻撃を遮断できます。同じ対応を人間のアナリストが45分後に実施した場合、すでに影響範囲が大幅に拡大したインシデントに対処することになる可能性があります。
自社構築か導入か
AI SOCを評価する組織は、検知および対応の自動化を自社で構築するか、専用に設計されたプラットフォームを導入するかという選択に直面します。
自社構築を選ぶ主な理由は、カスタマイズ性と制御性です。十分なエンジニアリングリソースを持つセキュリティチームであれば、オープンソースの検知フレームワーク、SIEM、SOARプレイブック、LLM APIを組み合わせ、自社環境に最適化された仕組みを構築できます。成熟したセキュリティプログラムを持つ一部の大企業では、実際にこのアプローチを採用しています。
一方、導入を選ぶ最大の理由は、時間と保守コストです。機能するAI SOCをゼロから構築するには、検知ロジック、エージェントオーケストレーション、20以上のデータソースとのインテグレーション、ケース管理レイヤー、さらに継続的なモデル保守にわたるエンジニアリング作業が必要です。多くのセキュリティチームには、そのための人員体制が整っていません。自社構築に成功している組織の多くは、専任のセキュリティエンジニアリングチームを抱えています。
導入のメリットは、導入スピードにもあります。構築プロジェクトを開始してから18か月が経過した時点でランサムウェア攻撃を受ける可能性は、決して仮定の話ではありません。専用に設計されたプラットフォームであれば、数日から数週間で導入できます。
また、中核となるAI SOCプラットフォームを導入しつつ、自社環境に合わせて検知ロジック、プレイブック、エスカレーションルールをカスタマイズするハイブリッドなアプローチも一般的です。ほとんどのプラットフォームは、このような運用をサポートしています。
また、この判断は永続的なものではありません。迅速にカバレッジを確保するためにプラットフォームを導入し、自社環境への理解が深まった12〜18か月後に再評価する組織もあります。
AI SOCプラットフォームとAI拡張型SIEMのカテゴリ上の違いも理解しておく価値があります。複数の既存SIEMベンダーは、既存製品にAI機能を追加しています。一般的には、アラートのクラスタリング、異常スコアリング、自然言語検索といった機能です。これらは有用な機能ですが、Agenticな自動化とは同じではありません。重要な違いは、AIがアクションを実行するかどうかです。人間が調査できるように異常を提示するAIは、あくまで拡張機能です。一方、異常を自律的に調査し、完了した分析結果を引き渡すAIはAgenticです。どちらにも価値はありますが、解決する課題は異なります。主な課題がアナリストの処理能力である場合、必要なのは後者です。
ガバナンスと人的監督
自律型レスポンスへの移行に伴い、ベンダーの説明では見過ごされがちな重要な問いが生じます。エージェントが誤った判断をした場合、その責任は誰が負うのでしょうか。
業務上重要なプロセスの最中にエンドポイントを自動的に隔離してしまうエージェントは、実際の業務停止や運用障害を引き起こす可能性があります。また、誤検知の調査中に正当なユーザーアカウントをブロックしてしまうエージェントは、サポート対応の負荷や事業への影響を生み出します。これらは、SOCのキューが処理されるのを待つ間にランサムウェア攻撃が進行するという代替シナリオほど危険ではないかもしれません。しかし、それでも実際に考慮すべきコストであり、運用設計の中で対策を講じる必要があります。
AI SOCのガバナンスは、主に3つの管理項目で構成されます。1つ目は、エージェントが自動実行できるアクション範囲の定義です。これは、人的承認なしで実行できる対応措置を明確に定めることを意味します。通常は段階的な権限モデルが採用されます。ログの照会やコンテキスト収集といった読み取り専用の調査は自律的に実行されます。一方、IPアドレスのブロックやファイルの隔離などの影響が限定的な封じ込め措置には、事前設定された承認ルールが適用されます。さらに、ユーザーの無効化やエンドポイントの初期化などの高リスクな操作には、明示的な人的承認が必要です。
2つ目は監査証跡です。エージェントが実行したすべてのアクションについて、判断根拠、参照したエビデンス、そして判断時点での信頼度を記録する必要があります。これにより、インシデント後のレビューだけでなく、システムの継続的なチューニング、誤判定や失敗パターンの特定、さらには規制対象環境におけるコンプライアンス対応にも役立ちます。説明可能な出力を提供できないAI SOCは、医療、金融、その他厳格な監査要件を持つ環境での実運用は困難です。
3つ目は、エスカレーションの品質です。人間による監督の価値は、エージェントがエスカレーション時にどのような情報を提供するかによって決まります。完全なタイムライン、信頼度評価、推奨対応の一覧が含まれていれば、アナリストは15分以内に判断を下せます。一方で、アラートIDと重大度スコアしか含まれていない場合、アナリストは調査を一から開始しなければなりません。それではエージェントの価値が十分に発揮されません。プラットフォームの採用を決定する前に、エスカレーションの品質を評価することは十分に価値があります。
Human-in-the-Loopモデルは、すべてのアクションに人間の承認が必要であることを意味するものではありません。リスクレベルに応じて承認要件を設定し、エージェントは定義された権限範囲内で自律的に動作します。その範囲を超える判断が必要な場合のみ、人間によるレビューや承認が行われます。これを適切に実装した組織では、アナリストは真に複雑なケースへの対応に大半の時間を注力できるようになります。
主要な指標（Key Metrics）
SOCの有効性を測定するには、実際のアナリストの業務負荷と脅威への対応速度を反映する指標が必要です。以下は、AI SOCで追跡すべき重要な指標です。
平均検知時間（MTTD：Mean Time to Detect）は、脅威が発生してから検知されるまでに要する時間を示します。これは、検知カバレッジやデータソースの網羅性を反映する、環境全体を対象とした指標です。業界ベンチマークは業種によって大きく異なります。参考として、2025年版 IBM Cost of a Data Breach Reportでは、侵害を特定して封じ込めるまでの世界平均期間は241日と報告されています。継続的なビヘイビア監視を実施するAI SOCプラットフォームでは、アクティブな脅威に対して数分から数時間のMTTDを目標とするのが一般的です。
平均対応時間（MTTR：Mean Time to Respond）は、脅威を検知してから封じ込めまたは復旧措置を実施するまでに要する時間を示します。この指標は、AI SOCが従来のSOCと比較して最も大きな改善を示す領域です。一般的な攻撃パターンでは、自動化された対応アクションによってMTTRを数時間から数分へと短縮できます。認証情報を悪用した攻撃やエンドポイント侵害では、これまでTier 2アナリストによる対応が必要だった封じ込め措置も、自動レスポンスが有効になっていれば検知後数秒以内に実行できます。
アラート対調査比率（Alert-to-Investigation Ratio）は、AIによるトリアージ後に人間による調査が必要となるアラートの割合です。適切にチューニングされたAI SOCでは、この割合は5～10％未満に抑えられるべきです。これを上回る場合は、トリアージモデルの調整が必要であるか、検知ロジックが過剰なノイズを生成している可能性があります。この指標は、エージェントが時間の経過とともに環境をどれだけ学習できているかを示す有効な代理指標でもあります。システムがビヘイビアベースラインを確立する最初の60～90日間で改善していくことが期待されます。
誤検知率（False Positive Rate）は、全アラートのうち、最終的に良性であると確認されたアラートの割合です。AIトリアージ層を導入すると、この割合は大幅に低下するはずです。導入前後でこの指標を比較することは、運用上の効果を最も明確に示す方法です。また、導入前にベースラインを測定しておく価値があります。ベースラインがなければ、改善効果は定量的ではなく、単なる印象論に留まってしまうためです。
平均調査時間（MTTI：Mean Time to Investigate）は、AIエージェントが完全なコンテキストを含む調査結果を生成するまでに要する時間を示します。これはエージェントの品質を測る指標です。完全な証拠チェーンが含まれた調査結果であれば、アナリストは約10分でレビューできます。一方、コンテキストのない生のアラートだけが渡された場合、レビューには45分程度かかる可能性があります。
カバレッジ率（Coverage Rate）は、受信したアラートのうち、定義されたSLA（通常は10分以内）に従ってAIエージェントが調査を完了した割合を示します。適切に構成されたAI SOCでは、この割合は100％またはそれに近い水準に達するはずです。一方、従来型SOCでは、アラートが集中する日には20～40％程度のカバレッジしか達成できない場合があります。
ベンダーの評価方法
2026年のAI SOC市場には、AI SOC専業のスタートアップ、SIEMやXDRベンダーによる拡張製品、そしてAI自動化レイヤーを追加したMDRプロバイダーなどが存在します。カテゴリ名が重複しているため、市場を理解しづらくなっています。重要なのはマーケティング上の位置付けではなく、実際の能力を見極めることです。そのために確認すべき質問を紹介します。
エージェントはどのデータソースをネイティブに推論対象としているか？対応しているインテグレーションの一覧と、トリアージや調査の判断に実際に利用しているデータを確認しましょう。一部のプラットフォームは幅広いデータを取り込みますが、実際に推論に使用するのはその一部に限られます。EDRテレメトリーしか参照できないエージェントは、クラウドネイティブな攻撃を見逃します。また、アイデンティティデータを利用できないエージェントは、企業インシデントの主要な初期侵入経路の一つである認証情報の悪用を適切に判断できません。
実際のエスカレーションはどのような内容か？検知からトリアージ、そして人間への引き継ぎまでを含むエスカレーションのデモ（ライブまたは録画）を依頼しましょう。優れたエスカレーションには、タイムライン、証拠チェーン、確信度、推奨される次の対応手順が含まれているべきです。もしデモに重大度スコア付きのアラートしか表示されないのであれば、それは名称を変えただけのSIEMに過ぎません。
レスポンスアクションはどのように制御されているか？承認設定の仕組みを確認しましょう。エージェントはどのアクションを自律的に実行できるのか。どのアクションに人間の承認が必要なのか。アクション種別、環境、データ分類ごとにどのように設定できるのか。これらについて詳細に説明できないベンダーは、エンタープライズ環境への導入準備が十分ではありません。
エージェントは分からない場合にどう行動するのか？これは最も本質的な質問です。適切に設計されたシステムであれば、明確な回答があるはずです。不確実性を明示した上でエスカレーションすることは望ましい動作です。一方、不確実性を開示せずに自律的なアクションを実行することはリスクとなります。エージェントが誤った判断をした事例と、その際に何が起きたのかをベンダーに示してもらいましょう。
システムはどのように継続的にチューニングされるのか？検知モデルやプレイブックは継続的な調整が必要です。誰がチューニングを行うのか。フィードバックループはどのように機能するのか。エージェントが誤った判断をした場合の対応プロセスはどうなっているのか。一部のプラットフォームでは、チューニングのたびにベンダーのプロフェッショナルサービスが必要です。一方で、設定をセキュリティチーム自身が直接管理できる製品もあります。クラウドネイティブなワークロード、新しいSaaSインテグレーション、変化するユーザー行動など、環境変化が頻繁な組織では、調整のたびにプロフェッショナルサービスへ依存しないプラットフォームが適しています。
共同運用（Co-managed）オプションのSLAはどうなっているか？多くのAI SOCベンダーは、自社チームが顧客チームと共同で監視を行う、または主要SOCとして運用を担うマネージドサービスを提供しています。具体的な対応時間を確認しましょう。また、午前3時にエージェントがエスカレーションした場合、規定された時間内に人間のアナリストが実際にレビューするのかも確認すべきです。
同規模の既存顧客と話すことはできるか？エンタープライズソフトウェアの調達でリファレンスコールが重視されるのには理由があります。同じ業界、同程度のチーム規模で、少なくとも6か月以上運用している顧客を紹介してもらいましょう。導入初期の環境では見えない課題も、実際のインシデントを半年以上経験したシステムでは明らかになります。
よくある質問（FAQ）
従来型SOCとAI SOCの違いは何ですか？
従来型SOCでは、アナリストがアラートのトリアージ、調査の実施、レスポンス対応を担います。アナリストはキューに従って対応を進めるため、対応範囲は人員数やシフト体制によって制限されます。一方、AI SOCでは、自律型エージェントがこれらのプロセスを継続的に、かつ発生するすべてのアラートに対して実行します。人間の役割は、最前線でのトリアージから、エージェントの監督、判断を要するエスカレーションへの対応、そしてセキュリティ運用全体の管理へと移行します。
AI SOCは人間のアナリストなしで運用できますか？
実運用においては、できません。AI SOCプラットフォームは、アナリストの業務負荷を軽減することを目的として設計されており、アナリストを完全に不要にするものではありません。エージェントは検知、トリアージ、および定型的なレスポンスを自律的に実行しますが、複雑な調査、定義済みプレイブックの範囲外となる意思決定、規制・コンプライアンス要件のレビュー、そして検知モデルの継続的なチューニングには、依然として人間が必要です。必要な人員数は従来型SOCと比べて大幅に少なくなりますが、一定レベルの人的監督は不可欠であり、適切な運用のためにも必要です。
エクサボットとは何ですか？
エクサボットは、特定のSOC機能を自律的に実行するために設計されたAIエージェントです。エクサボットは、検知、トリアージ、調査、レスポンスといった役割を担い、それぞれが必要なデータへのアクセス権、推論ロジック、および実行可能なアクション範囲を備えています。エクサボットは、特定のアラートに対して相互に連携しながら動作し、コンテキストを共有します。これは、階層化されたアナリストチームが調査メモを引き継ぎながらケースをエスカレーションしていく仕組みに似ています。
AI SOCはどのようにMTTRを短縮するのですか？
MTTR（平均対応時間）が短縮されるのは、従来アナリストが30〜90分かけて行っていた調査プロセス（複数システムからのログ収集、タイムラインの作成、アイデンティティデータとエンドポイントデータの相関分析など）が、自動化によって数秒で実行できるようになるためです。その結果、エンドポイントの隔離や認証情報の無効化といったレスポンスアクションを、アナリストの対応を待つことなく、脅威が確認された時点で即座に実行できます。自動レスポンスのポリシーが定義されている環境では、一般的な攻撃パターンに対するMTTRを、数時間から5分未満まで短縮できる場合があります。
AI SOCのコストは、マネージドSOCと比べてどうですか？
コストは、ベンダー、組織の規模、既存チームを置き換えるのか補完するのかによって大きく異なります。中堅企業向けの従来型マネージドSOC（MDR）の年間コストは、一般的に20万〜60万米ドル程度です。共同運用サービス（コマネージドサービス）を提供するAI SOCプラットフォームも同程度の価格帯に位置しますが、社内で必要となるアナリストの人数は少なくなります。ただし、多くの導入検討企業にとって重要なのは、単純な導入コストではなく、セキュリティ運用全体のカバレッジにかかる総コストです。例えば、2名の社内アナリストが監督するAI SOCを24時間365日運用する場合と、5名のアナリストによるシフト体制で手動トリアージを行う場合を比較すると、同等のカバレッジ水準においては、AI SOCの方がほぼ常に低コストとなります。
AI SOCは、確信を持って分類できないアラートをどのように処理しますか？
適切に設計されたAIエージェントは、自律的に対応を実行するのではなく、不確実性を明示したうえでエスカレーションを行います。エスカレーションには、エージェントが収集した証拠、判定を下すための確信度が不足していた理由、および推奨される次の対応手順が含まれるべきです。この方法は、アラートを無視する（負荷の高い状況下で一部の従来型SOCが行う対応）場合や、十分な確信がないまま対応を実行する（新たなリスクを生み出す）場合よりも望ましいアプローチです。曖昧なケースに対するエスカレーションの品質は、ベンダーのPoC（概念実証）を評価する際に確認すべき、最も重要なポイントの一つです。
AI SOCはクラウドネイティブ環境でも有効ですか？
はい。実際のところ、クラウドネイティブ環境はAI SOCプラットフォームが最も高い効果を発揮しやすい領域です。クラウド環境では、大量のAPIアクティビティ、アイデンティティイベント、設定変更イベントが生成されます。これらを人間のアナリストが大規模にレビューすることは困難ですが、自動化された推論処理には非常に適しています。そのため、クラウドプロバイダー（AWS、Azure、GCP）およびクラウドネイティブなアイデンティティ管理システムとのインテグレーションは必須要件となります。ベンダーを評価する際は、クラウド監査ログの取り込みに対応しているか、また、調査エージェントがIAM権限昇格やストレージからのデータ持ち出しといったクラウド特有の攻撃パターンを推論・分析できるかを具体的に確認してください。
AI SOCにおける「Agentic」とは何を意味しますか？
Agenticとは、単に推奨を提示するだけでなく、実際にアクションを実行できるAIシステムを指します。AgenticではないAIは、アラートにスコアを付けて人間に提示し、その後の対応を人間に委ねます。一方、Agentic AIはアラートを調査し、どのような対応が必要かを判断したうえで、定義された権限の範囲内で対応を実行します。この違いは重要です。なぜなら、MTTRの短縮やアナリストの負荷軽減を実現するのは、Agenticな振る舞いだからです。AI SOCを名乗っていても、スコア付きアラートを生成するだけのシステムは、Agentic SOCプラットフォームというよりも、機能強化されたSIEMに近いと言えます。
