インテリジェンスチームが組織の意思決定を支援する仕組み

昨今の脅威インテリジェンスチームは、かつてないほど多くのデータやツールを手に入れ、より広範に脅威ランドスケープを可視化できるようになりました。それでもなお、依然として多くの組織が今までと同じ問題に直面しています。インテリジェンスが作成され、レポートが発行されているにもかかわらず、これに基づく具体的な行動が始まらないのです。上層部はこうした情報をただ保管しているだけで、リスク管理チームもどう活用すべきかを判断できず、予算関連の議論が進むこともありません。インテリジェンス機能は存在していますが、まだ「不可欠なもの」にはなっていないのです。

これはSANS Instituteが先日配信したウェビナー「Bridging the Gap Between Threat Intelligence and Business Risk（脅威インテリジェンスとビジネスリスクのギャップを解消）」の出発点でした。筆者は同社のKevin Garvey氏とウェビナーに出演し、この問題が根強く残っている理由や、解決するために何が必要なのかについて意見を交わしました。本稿ではその議論の重要なポイントをまとめるとともに、多くの組織がより広い視点でインテリジェンスを捉えることの意義について考察します。

*本記事は、弊社マキナレコードが提携する英Silobreaker社のブログ記事（2026年7月29日付）を翻訳したものです。

コミュニケーションの問題で生じるギャップ

インテリジェンスチームは、複数の対象者に同時にサービスを提供しています。上層部が求めているのは、組織がどのようなリスクを抱えていて、どのような意思決定を行うべきかということ。サイバーセキュリティチームは、何を優先すべきなのかを知りたがっています。そして事業部門は、それぞれの業務に即したインテリジェンスを必要としています。このように、各グループがインテリジェンスチームに期待するものは違うのです。しかし、作成されるインテリジェンスの大半は、いずれのニーズにも即したものになっていません。

SANSのGarvey氏は、インテリジェンスチームに対するステークホルダーの反応を類型化しました。受け手にとって内容が専門的すぎる場合の「理解できない」。取るべき行動や決定事項が明確ではないケースの「役に立たない」。優先事項と結びついていないため、本題に入る前に読み手が興味を失ったことを意味する「どんなメリットがあるのか​​？」。そして予算を決定する人々に価値が伝わっていない、「コストがかかりすぎる」の4パターンです。

こうした懸念点には、それぞれ実用的な解決策があります。あらゆるインテリジェンスの成果物は、対象読者に合わせた要約から書き始めるべきであり、読み手が知っておくべきこと、行うべきことを明確に示す必要があります。戦略的インテリジェンスに求められるのは、技術的セキュリティよりも国際関係論に近い視点です。インテリジェンスチームが「必要だろう」と推測するのではなく、ステークホルダーと密接に連携して「実際に何が必要か」を把握することで、有用性についてのギャップを埋めることができます。また、セキュリティの専門用語ではなくビジネスの言葉でその価値を提示すれば、予算をめぐる議論のあり方が一変します。

インテリジェンスとERMを統合

成熟したインテリジェンスチームが講じられる最も効果的な施策の1つは、自らのプログラムをエンタープライズリスクマネジメント（ERM）機能に直接組み込むことです。経営幹部や取締役会はすでに、リスク許容度や財務、レピュテーション（評判）、戦略、コンプライアンス、業務運営といった分野のリスクに高い関心を寄せています。既存の枠組みに取り込まれる脅威インテリジェンスの成果物は、単独で提示されるセキュリティブリーフィングとは大きく違った形で受け止められます。

つまりこれは、ERM担当者の「言語」を学び、リスクアペタイト（リスク選好）・リスク受容・リスク回避などの選択肢をどのように捉えているかを理解した上で、それらの概念に基づいた共通のワークフローを構築することを意味します。脅威主導型のリスク評価が取締役会レベルのリスク報告に組み込まれるようになれば、インテリジェンス機能は単なるセキュリティチームからの情報提供にとどまらず、全社的なリスク管理の重要な情報源に変わります。この違いは、その機能がどう認識されるのか、そして率直に言えば、いかに予算が割り当てられるのかという点において、極めて大きな意味を持ちます。

適切なレベルで価値を実証する指標

インテリジェンスチームの外からチーム自体の価値が見えなければ、先に述べた4つの反応は避けられません。取締役会や経営層に響く指標と、SOC（セキュリティオペレーションセンター）に響く指標は同じではないからです。

不確実なリスクを減らし、優れたインテリジェンスでより良い意思決定を実現することは、インテリジェンスの価値の中核を成す要素です。また、意思決定スピードの短縮は脅威が特定されてから報告、対応に移るまでの所要時間をどれだけ削減できたかを表し、経営陣にもわかりやすい形で業務効率を示します。予算配分に及ぼす影響に示されるのは、インテリジェンスが優先順位に基づいた投資決定をどのように後押ししているかという点です。そしてインシデント防止への貢献度（インテリジェンスチームが特定の脅威を探し出し、食い止めるために役立ったことを示すもの）は、最も強力な指標となる可能性があります。なぜならすべての経営幹部にとって、インシデントのコストは具体的な金額で把握でき、その影響を明確かつ定量的に理解できるものだからです。

インテリジェンスをビジネス全体の機能に

サイバー脅威インテリジェンス（CTI）チームがCTIの価値を伝える方法を改善することは必要ですが、それだけでは不十分です。本当の意味での競争優位性は、組織内において脅威インテリジェンスの重要性を根本的に拡大することにあるからです。脅威インテリジェンスは単なるサイバー関連機能ではなく、これまでそうだったこともありません。これはビジネス全体に関わる機能であり、組織がその方向へ動き始める時期が早ければ早いほど、インテリジェンス能力はより強固なものとなります。

一般的なCTIチームの業務は、侵害指標（IoC）、脅威アクターのTTP（戦術・技術・手順）、脆弱性に関するインテリジェンス、ダークウェブの監視などサイバー関連の指標に重点が置かれています。一方、組織内の他部門では、地政学的リスクチームが国レベルで情勢評価を行い、物理セキュリティチームが施設への脅威を監視し、広報・渉外チームがレピュテーションリスクを注視するとともに、調達チームがサプライチェーンリスクを管理しています。ただし多くの組織において、こうしたチーム間で連携や情報共有が行われることはありません。

その結果、極めて重大なことが見落とされてしまいます。国家の支援を受けた攻撃者は単一の領域ではなく、サイバー空間と物理空間の両方で同時に活動を展開するものです。地政学的情勢の変化や制裁措置の発動は多くの場合、その数週間後あるいは数か月後にサイバー攻撃キャンペーンの急増を引き起こします。さらにサプライチェーンに対する脅威は、セキュリティインシデントとして顕在化するはるか以前から、公開されている経済データの中にその予兆が表れます。こうした情報を統合的に分析・把握している組織とそうでない組織では、脅威ランドスケープの捉え方が根本的に違うのです。

サイバーインテリジェンスと組み合わせることで、大きな効果を期待できるインテリジェンスは複数存在します。特定のアクターが今なぜこの部門を狙うのかという背景情報を提供する地政学的インテリジェンスは、攻撃キャンペーンが始まる4～8週間前に予測リードタイムを与えてくれる可能性があります。物理セキュリティインテリジェンスは、サイバー侵入に先行する物理的偵察などのハイブリッド攻撃のパターンを明らかにします。構造化されたオープンソースインテリジェンス（OSINT）は、すべての領域を同時に広くカバーでき、コストパフォーマンスにも優れています。そして金融インテリジェンスおよび評判インテリジェンスは、純粋なサイバー信号では明らかにできない敵対者の資金調達と標的選択ロジックを解き明かします。重要なのは、CTIチームがすべてのインテリジェンス機能を完備すべきということではありません。これらの情報を持つ同僚と共に構造化されたチャネルを開設することで、わずかな追加コストで劇的に優れた脅威像を把握できる点なのです。

その範囲を広げることで、ビジネス全体にインテリジェンス製品のまったく新しい領域が開かれます。例えば経営幹部や従業員の安全対策では、標的型ハラスメント、出張・渡航に伴うリスク、上級幹部への物理的な脅威を早期に警告することができます。これは、CEOや取締役会に直接提供されるインテリジェンスです。またサプライチェーンや物流のリスク、重要インフラへの近接性、パンデミックや健康上のリスク、金銭詐欺、組織的な評判攻撃などはすべて、CTIスキルと脅威データへのアクセスをビジネス価値にそのままつなげられる分野です。これらの領域にはそれぞれ、その問題に関心を持つ上級ステークホルダーが存在します。それが拡大された「顧客基盤」なのです。

領域横断型インテリジェンスが重要な理由

エネルギー業界を標的としたフィッシング攻撃が急増し、これを検知したCTIチームを例​​に考えてみましょう。標準的な手順としては、既知の脅威アクターグループによる犯行と特定し、関連するCVEへのパッチ適用を推奨した上で、Eメールフィルターを更新してSOCに報告します。上級管理職には「フィッシング活動が増加しています」と伝えますが、これでは「だからどうした？」という想定内の反応しか返ってきません。

ということで、このケースにビジネス全体を俯瞰するインテリジェンスの視点を適用してみます。地政学担当チームは、その6週間前に発表された二国間のエネルギー制裁について指摘しています。当該の脅威アクターグループと制裁対象国の関連も明らかになりました。さらに物理セキュリティ担当チームは、同地域のエネルギー施設付近でドローンの活動増加を報告しています。OSINTアナリストは、国家の重要インフラを標的にすると言及したフォーラムへの投稿を確認しました。そして金融インテリジェンスにより、このグループの活動資金が最近増えている兆候も捉えられています。

上層部への報告は一変し、次のような内容になるはずです。「エネルギー関連の重要インフラを標的とした、国家支援型のハイブリッド工作活動の初期段階が観測されていると思われます。操業拠点の物理セキュリティの見直しや、OTネットワークの監視強化、経営層への連絡手順の整備、そして業界内の情報共有グループとの連携を推奨します。これは取締役会レベルで扱うべきリスク事案です」。根底にあるシグナルは同じでも、そこから導き出されるインテリジェンスがまったく違います。一方は単に記録として保管されるだけですが、もう一方は具体的な行動につながるのです。

予算と組織のレジリエンスに与える影響

予算に余裕がなくなると、サイバー脅威インテリジェンスはセキュリティチーム内の技術的な機能として扱われ、予算削減に応じて縮小できるものと考えられがちです。しかし、インテリジェンスチームが標的型ハラスメントからCEOを守り、サプライチェーンに影響を与える地政学的リスクについて取締役会に注意喚起するだけでなく、物理的オペレーションへの脅威を早期に警告し、詐欺キャンペーンによる金銭的影響をモデル化するのであれば、それこそERMにほかなりません。組織におけるすべての経営幹部は、その重要性を理解し、高く評価します。つまり、縮小するほうがはるかに困難なのです。

予算編成のプロセスを生き残るチームとは、経営幹部が「そのチームなしでは業務が成立しない」と考えるチームです。サイバー領域に特化したインテリジェンスはコストセンターに過ぎませんが、リスクインテリジェンスは戦略的資産なのです。

インテリジェンスの価値は問題にあらず

これからの5年間で最も強力かつ高く評価され、最もレジリエントなインテリジェンス機能を備える組織とは、サイバー関連ツールを最も多く保有している組織ではありません。インテリジェンスをビジネス全体に関わる能力として捉え、サイバー・地政学・物理・財務・レピュテーションといった各領域の情報を1か所に集約し、すべての経営幹部が即座に行動を起こせるような全体像を共有できる組織なのです。

重要なのは脅威インテリジェンスに価値があるかどうかではなく、その価値を「無視できないもの」にできているかどうかです。

包括的なビジネスインテリジェンスを活用することで、複数の事業部門に活動範囲を広げるCTIチームにより深い知見を与えるだけでなく、投資対効果を改善することができます。そしてこれこそまさに、多くの企業や組織に議論を重ねていただきたいテーマであると同時に、Silobreakerのインテリジェンスプラットフォームでお役に立てる領域なのです。

SANSのウェビナー「Bridging the Gap Between Threat Intelligence and Business Risk（脅威インテリジェンスとビジネスリスクのギャップを解消）」全編はこちらからご覧いただけます。

※日本でのSilobreakerに関するお問い合わせは、弊社マキナレコードにて承っております。

また、マキナレコードではSilobreakerの運用をお客様に代わって行う「マネージドインテリジェンスサービス（MIS）」も提供しております。

Silobreakerについて詳しくは、以下のフォームからお問い合わせください。