SecOps のための FinOps : エージェント型 SOC を最適化して価値を高める方法

このマトリックスは、CISO がセキュリティの価値とコンピューティング費用のバランスを取るのに役立つように作成されています。

Q1 : ここから始めて、今すぐスケールする - 価値が高く、コンピューティング負荷が低い

• ワークロード : 検出とルールのエンジニアリング、ティア 1 のトリアージ、コンテキストの収集、調査の要約。

• 効果的な理由 : アラートの頻度でタスクを制限することで、トークンあたりのセキュリティ価値を最大化できます。ルール エンジニアリングで意思決定を主導します。エージェントは最新の脅威インテリジェンスに基づいて数分で検出を行い、標準的なパッチ適用では対応できないギャップを埋めます。

Q2 : 戦略的投資、慎重に正当化する - 価値が高く、コンピューティング負荷も高い

• ワークロード : オープンエンドな脅威ハンティング、インテリジェンス主導の遡及的ハンティング、マルチソースの関連付け、攻撃経路の検出。

• 効果的な理由 : 静的なルールでは再現できない推論は、効果も費用も高くなります。費用を考慮すると、ハンティングはレイテンシに敏感ではないため、このアプローチは選択的にデプロイし、非同期で実行する必要があります。ルールとして体系化されると、ハンティングは次の象限（Quadrant）に移ります。

Q3 : SIEM を使用し、エージェントは使用しない - 価値が低く、コンピューティング負荷も低い

• ワークロード : アラートの重複排除、ケースのクラスタリング、チケットのルーティング、セキュリティ侵害インジケーター（IOC）のマッチング、体系化された検出。

• エージェントを使用しない理由 : この作業は価値がありますが、SIEM は LLM よりも高速かつ低コストで実行できます。すでに所有している機能に高価な推論コストを支払う必要はありません。

Q4 : トークンの罠、回避する - 価値が低く、コンピューティング負荷が高い

• ワークロード : ホットパス上の元データと連携データに対してエージェントが SIEM として動作 - クエリごとに再正規化、SIEM なしのリアルタイム検出。

• 失敗する理由 : その準備を SIEM で一度実行して再利用すれば安価ですが、すべてのアラートに対してエージェントに繰り返させると、処理が遅くなり、費用がかさみ、状況が悪化します。エージェントは、基盤の上に構築されるものであり、基盤に代わるものではありません。

たとえば、Google Security Operations では、使用しているエージェントに基づいてトークン予算を設定できます。

エージェント型 SOC で ROI を最大化する方法

エージェント型 SOC への移行は、段階的な取り組みです。コンピューティング費用が低く、すぐに高い価値が得られるため、トリアージと調査のエージェントをデプロイするのが最適な出発点です。データと運用上の障壁をうまく乗り越えるには、セキュリティ リーダーが規律を守る必要があります。

ステップ 1 : データを効率的に集約する: セキュリティ テレメトリーを一元化することは、エージェントの効率を高め、ハルシネーションを防ぐために重要です。ただし、すべてのデータベースを移行しなくても始めることができます。

形式が整った外部データベースであれば、Google Cloud リモート MCP サーバーを活用するのが有効です。これにより、カスタムエージェントがコンテキストを即座にクエリできるようになります。結果として、高コストなデータ移行を避けつつ、セキュリティ情報およびイベント管理（SIEM）と IT 資産全体のギャップを埋めることが可能です。

ステップ 2 : エージェントの自律性を調整する: 初日から企業全体にエージェントを導入しないでください。Unified Data Model（UDM）にマッピングされた的確なビジネスレバーを使用して、エージェントのフォーカスを調整します。

• 脅威の優先度でフィルタ : エージェントを最優先のアラートに限定したり、優先度の低いノイズを自動的にクリアしたりします。

• テレメトリー ソースでフィルタ : エンドポイントの検出と修復（EDR）のアラートなど、高忠実度のテレメトリーのみに焦点を当てます。

• ターゲットでフィルタ : 自律的な調査を VIP ユーザーや高い権限を持つ管理者に関連する異常なアクティビティに限定します。

ステップ 3 : 並行運用を実施して価値を証明する: 本番環境のワークフローを移行する前に、2～4 週間の価値実証（POV）を実施し、従来の手動の運用とエージェント ワークフローを比較します。このプロセスにより、ベースラインが確立され、手動トリアージでは見逃されるものが明らかになり、運用モデルを構築でき、具体的な社内 ROI の実証データが生成されます。

ステップ 4 : 人間参加型の検証可能な自律性を義務付ける: アナリストは、一般的な信頼度スコアしか提供しないブラック ボックス AI を無視します。検証可能な自律性を通じて信頼を構築します。エージェントは、決定論的なリスクレベル（高、中、低）を提供し、正確なロジックパスを説明し、未加工の SIEM ログに直接戻る監査証跡リンクを提供する必要があります。

ステップ 5 : 運用指標をシフトする: アナリストがシステムへの信頼を築いたら、基本的な平均検出時間（MTTD）と平均対応時間（MTTR）に加えて、新たな、高い効果をもたらす視点から成功を測定します。

• トイルの大幅な削減: 平均 30 分の手作業をほぼ瞬時の検証ステップに変えます。

• スキルの民主化: 拡充されたコンテキストとガイド付きの推論により、これまでシニアスタッフのみが行っていた、信頼性の高い意思決定をジュニア アナリストも行えるようにします。

• オンボーディングの加速: エージェントによるコンテキストを踏まえた要約と実用的なハンドブックを活用することで、従来の 6 か月の育成期間を短縮します。

ステップ 6 : 見習いのギャップ（Apprentice Gap）を解消する: AI が初期段階の業務を自動化することで、人材のスキルをプロアクティブな脅威ハンティングに高めます。まず、新規採用者のオンボーディング期間中は AI を使わない手動トリアージを義務付け、確証バイアスを防ぎます。さらに、論理的な思考力を維持するために CTF（Capture the Flag）ラボを継続的に実施し、基礎スキルの低下を防止します。

エージェント型 SOC の有効化

Google は、お客様とグローバル インフラストラクチャを防御するためにエージェントを構築し、活用しています。SecOps に FinOps アプローチを導入することで、エージェント型 AI の能力を安全かつ最大限に引き出すことができます。

エージェント セキュリティ トークンについて詳しくは、こちらをご覧ください。

この投稿は米国時間 2026 年 7 月 11 日に、Google Cloud blog に投稿されたものの抄訳です。