ISOCは、XDR（Extended Detection and Response）とSIEM（Security Information and Event Management）に加え、脅威インテリジェンス、自動化、AIをMicrosoft Defenderポータルに集約する仕組みだ。ガロット氏はISOCを「SIEMとXDRを1つの統合セキュリティ運用プラットフォームにまとめる」ものと説明する。その通り、Microsoftは、これまで別々に扱われがちだった脅威防御とセキュリティ運用を1つの基盤で扱い、人とAIエージェントが共通のシグナル、コンテキスト、ワークフローを利用できるようにすることを狙う。

　具体的には、MicrosoftのSIEM「Microsoft Sentinel」が備えるケース管理、ワークブック、自動化、脅威インテリジェンスなどの機能をMicrosoft Defender側で利用できる。Microsoftが2026年9月23日に更新したMicrosoft Learnの「Integrated Security Operations Center (ISOC) in Microsoft Defender」によると、対象顧客はケース管理やワークブック、自然言語によるプレイブック生成などを利用できる。さらに、ISOCワークスペースを追加すると、UEBA（User and Entity Behavior Analytics）、Content Hub、CI/CD、脅威インテリジェンス、Azureやサードパーティー製品のセキュリティデータ取り込みなどを利用できる。

　外部データの取り込みには500以上のデータコネクターを利用できる。Microsoft製品だけでなく、Microsoft以外の製品やサービスから集めたシグナルも同じ運用基盤で扱うことで、セキュリティ担当者が複数の製品やデータモデルを行き来する負担を減らす狙いがある。

　MicrosoftはISOCを、単にSIEMとXDRの画面をまとめるための仕組みではなく、AIエージェントをSOCに組み込むための共通基盤と位置付けている。AIエージェントが脅威を調査し、対応策を提案、実行するためには、エンドポイントやID、クラウドなどから得られるシグナルと、それらを結び付けるコンテキスト、実際に対処するための制御機能を同じ基盤上で扱えることが重要になるためだ。

　ISOCは2026年9月23日時点でプレビュー段階だ。Microsoft Learnによると、この段階では「Microsoft Defender Suite」「Microsoft 365 E5」「Microsoft 365 E7」の対象顧客のうち、アクティブなMicrosoft Sentinelワークスペースを持たない環境などが利用対象となる。既存のMicrosoft Sentinel環境を利用している組織には、そのまま既存環境を利用するようMicrosoftは案内している。

「AIエージェントを入れる前にデータを整えよ」

　では、企業がAIエージェントをSOC（Security Operations Center）に導入する際、何から手を付ければいいのか。

　Forrester Researchのプリンシパルアナリスト、アリー・メロン氏は、AIエージェント導入の障壁の1つとして「ビジネスコンテキスト」を挙げる。AIエージェントは特定のタスク自体をこなせても、その企業固有の事情を理解していなければ、期待する水準まで成果を出せない場合があるという。

　メロン氏は「企業ごとに課題は異なる。AIエージェントにより良い判断をさせるには、その企業や業務を理解するためのデータを与える必要がある」と述べる。そのため、AIエージェントを導入する前提として、セキュリティデータの管理基盤を整備する必要がある。

　同氏は、AIを前提としたセキュリティ運用の基盤として、3つの要素を挙げる。

　1つ目は「データとコンテキスト」だ。どの資産が重要なのか、どのユーザーがどの権限を持つのか、どのような事象が通常の挙動なのかといった情報が不十分であれば、AIエージェントの判断精度も上げにくい。

　2つ目は「モデルとその実行基盤」だ。用途に応じて適切なAIモデルを選び、利用できるツールや機能を管理しながら改善を続ける。

　3つ目が「自動化とアクション」だ。AIエージェントが分析するだけでなく、実際に対策を実行する場合、いつ、どの条件で、どこまで操作を許可するのかを決める必要がある。

　メロン氏は「データとコンテキストを正しく整えなければ、AIエージェントを期待通りに機能させることは難しい」と強調する。

AI導入で「インシデント解決が速くなる」とは限らない

　AIエージェントを導入すれば、SOCの処理速度が単純に上がるとは限らない点にも注意が必要だ。

　メロン氏によれば、人手不足に悩むセキュリティチームでは、AIを使って限られた人数でより多くの業務を処理することへの期待が大きい。

　一方、期待される効果の1つである「インシデント解決の高速化」は、必ずしもそのまま実現するわけではないという。

　同氏は「実際には、解決までの時間が短くなるというより、より完全な形でインシデントを解決できるようになるケースがある」と述べた。

　例えば、これまで人手不足で十分に実施できなかった脅威ハンティングをAIエージェントに担わせれば、調査範囲を広げられる。単純な時間短縮だけでなく、「これまで手が回らなかった作業を実施できるようになる」という効果も考慮する必要がある。

AIに任せるほど「人の育成」も見直す必要が

　AIエージェントの導入は、SOC担当者の育成方法にも影響する。メロン氏は、「これまで初級レベルのアナリストが経験していた業務の多くがAIエージェントに移るなら、教育の在り方も根本的に変える必要がある」と指摘する。

　AIが出した判断を人が評価したり、誤った判断を修正したりするためには、担当者自身にも基礎知識が必要だ。そのため、単純に「初級業務をAIへ移管する」だけでは、将来の中級・上級人材をどう育成するかという問題が残る。

小規模SOCほど「データをつなぐ作業」が負担に

　セキュリティツールの分断は、少人数のSOCにとって特に大きな負担になっている。カナダの州政府でITとセキュリティを担当してきたマーティン・ジョイ氏は、従来の課題について「異なるシステムが多数存在し、十分に連携していないため、テレメトリを突き合わせて環境内で何が起きているのか判断することが難しい」と述べる。

　同氏によれば、少人数のチームでは、複数のシステムから集めた情報を手作業で整理する時間そのものが負担になる。

　ジョイ氏は、セキュリティ基盤を統合することで、「情報をつなぎ合わせる作業ではなく、実際に発生している脅威や攻撃への対応に分析担当者の時間を使えるようになる」と期待を示す。

　サイバーセキュリティベンダーBlueVoyantのマイカ・ヒートン氏も、顧客企業では「保有しているセキュリティ製品」と「実際に活用できている製品」の間にギャップがあると指摘する。セキュリティ製品を増やすだけではなく、そこで得られるデータや調査履歴、対応結果をどこまで共有し、次の判断につなげられるかが重要になる。

情シスがAI時代のSOCで見直すべきこと

　AIをSOCに導入する際、「どのAIエージェントを採用するか」だけを先に決めても、十分な効果を得られない可能性がある。

　今回の議論からは、まずセキュリティデータを集約し、資産やID、クラウド、エンドポイントなどを横断して状況を判断できるようにすることが前提になる。

　その上で、AIエージェントが参照できるデータ、実行できる操作、人間による承認が必要な範囲を設計する必要がある。

　攻撃側がAIによって高速化する中、防御側もAIを導入すれば解決する――という単純な話ではない。情シスやセキュリティ部門には、AIが正しい判断と行動を取るための「データ」「コンテキスト」「権限」をどう整えるかが問われる。

本稿は、2026年9月24日にMicrosoft Securityが公開したThe Physics of Cyber Have Changed: Microsoft Defender ISOC Keynoteを基に作成しました。