アラートを無視するのは担当者の怠慢という声がある。しかし、組織の構造が、無視を合理的な選択にしてしまっている可能性がある。

誤検知が「無視の正当化」を生む

　SOCに届くアラートの実態として、誤検知や攻撃失敗が占める割合は大きく、アナリストの分析業務の多くがその選別に費やされている。

　最初のうちは、担当者もアラートが発報されるたびに確認する。しかし「対応したが何も起きなかった」「対応しなくても何も起きなかった」という経験が積み重なると、アラートへの関心は少しずつ下がっていく恐れがある。これは合理的な判断であり、担当者個人を責めて解決できる問題ではない。

「誰かが見ているはず」という責任の分散

　もう一つの構造的な問題が、責任の所在の曖昧さだ。SOCベンダーは「一次判断を行い、重要なものを通報する」という認識。情シスは、「通報が来たら対応する」という認識。現場部門は「セキュリティはIT部門の管轄」という認識だ。それぞれの認識は間違っていないが、組み合わさることで「最終的に誰が判断するのか」が宙に浮く可能性がある。

　明示的に「あなたがこのアラートの判断者だ」と決めない限り、全員が傍観者になる恐れがある。これはSOCに限らず、形骸化した承認フローや形式的な点検と同じ構造だ。

「SOCを入れたから安心」という経営層との認識ギャップ

　技術的な問題以前に、経営層と情シスの間で「SOCが何をするものか」の理解がずれている場合がある。このギャップが、体制整備を阻む最大の壁になる。

経営層が見ている世界と情シスが見ている世界

　経営層の中には「SOCを導入した＝セキュリティ対策が完了した」という認識を持っている人がいる。一方、情シスの現場では「通報は来るが、受け取った後の動き方が決まっていない」場合がある。

　コンサルティングファームKPMGが2022年1月に公開した「サイバーセキュリティサーベイ2022」によると、国内企業のSOC設置率は約45.6％だった。同調査結果は、国内の上場企業および売上高400億円以上の未上場企業のサイバーセキュリティ責任者285人から回答を得たものだ。

　しかし「設置している」と「機能している」の間には大きな開きがある。この数字を経営報告で使うとき、数字の意味が「対策済み」として受け取られると、その後の議論が止まる可能性がある。

「導入済み」報告が経営層の思考を止める

　情シスが「SOCを導入しました」と経営会議で報告した結果、セキュリティ監視が「解決済みの議題」になる場合がある。その理解のまま、運用体制の整備や見直しを追って求めようとすると「なぜまだ必要なのか」理由を求められる場合がある。

　その結果、体制を整えたいが予算の根拠を示せない情シスは板挟みになる。「SOCが機能しているかどうか」を測る指標が現状の問題を説明するために必要になる。

共通言語を持つことが出発点

　KPMGが2025年4月に公開した調査結果「サイバーセキュリティサーベイ2025」によると、セキュリティ監視にAIの導入を検討する企業の割合は、前年の19.4％から32.0％に増加している。同調査結果は、国内の上場企業および売上高400億円以上の未上場企業のサイバーセキュリティ責任者や担当者125人から回答を得たものだ。この数字からは、現状の監視体制への課題感が高まっているということがうかがえる。

　しかし課題があるだけでは経営層を動かすことはできない。情シスに必要なのは「SOCがあるかどうか」ではなく「検知から対応開始までに何時間かかっているか」といった指標で経営層と協議する準備だ。

「本当に見る人」が誰もいない組織の共通点

　担当者はいる、ツールもある、通報も届いている――。それでも「本当に見る人」がいない組織には共通した特徴がある。

役割はあるが当事者意識がない

　担当者が決まっているように見えても、「自分がこのアラートの最終判断者だ」という意識がない場合がある。「SOCベンダーが一次判断する」「情シスが二次確認する」という意識が浸透していれば、受け身になる担当者が出てきても不思議ではない。

夜間・休日の空白が放置されている

　業務時間外の初動判断者が明文化されていない場合もある。夜中に通報が届いても「朝に確認する」が暗黙のルールになっている場合、業務時間内のみSOCが稼働している状態だ。

　トレンドマイクロの調査によると、ランサムウェア攻撃者の中には、侵入から暗号化まで半日未満の「速攻派」と呼ばれる存在がいる。具体的には、土日深夜に侵入し、翌営業日の開始前に暗号化を完了させる。通報は届いても、受け取って判断する人間がいない時間帯が攻撃の実行タイミングとして使われている。

「見る文化」がない組織に共通するポイント3選

　アラートへの感度が組織的に低い状態には、共通した特徴がある。

　1つ目は、アラート対応の振り返りをしないという点だ。何を見て、どう判断したかの記録を残していないため、改善することが困難だ。

　2つ目は、誤検知だったかどうかの記録を残していないという点だ。誤検知だったという判断が正しかったのかを検証する仕組みがない。

　3つ目は、「対応した／しなかった」の判断基準が言語化されていないという点だ。基準がなければ、属人的な判断が積み重なるだけで、組織の判断力は育たない。

情シスが「アラートを本当に見る組織」を作るための3つの起点

　全体を一気に変えず、まず次の3点を整備するだけで、組織の判断力は変わり始める。

「判断者」を1人決めて明文化する

　SOCベンダーでも情シス全体でもなく「このアラートの最終判断者は誰か」を1人決める。夜間・休日の場合も含めて、判断者と連絡先をセットで文書化する。判断者がいない状態を終わらせることが、最初の一手になる。

経営層との共通言語を作る

　自社で直近のインシデント対応履歴を振り返り、通報を受けてから実際に誰かが動き始めるまでの時間を把握する。その数字を経営層と共有し、「どのような状態が機能しているといえるのか」合意することが、体制の整備を議論するための土台になる。

小さな振り返りを仕組み化する

　月1回でも「先月のアラートで対応しなかったものはなぜか」を確認する場を作る。記録が積み重なると、トリアージ基準の改善材料になり、経営報告の根拠にもなる。大規模な運用改革より、小さな振り返りの継続が「見る文化」の土台を作る。

問題は技術ではなく「誰が本気で見るか」

　セキュリティツールは「入れた組織」ではなく「使う組織」の質で決まる。アラートを無視する文化は怠慢から生まれるのではなく、判断者が決まっていない構造から生まれる。

　最初の一歩として、自社のSOC運用で「アラートの最終判断者は誰か」に答えられるか確認することから始めたい。