「人間の判断が要る」セキュリティ運用は終わった
目次
セキュリティの仕事は、いまも人間の手作業で回っています。
深夜に上がってきたアラートが本物の侵害なのか、ただの誤検知なのか、ログを一行ずつ追って最後に判断するのは人です。新しい脆弱性が公表されれば、それが自社のこの構成で本当に影響するのか、パッチを当てて何かが壊れないかを、人が地道に確かめます。ISMS認証をとり、それを維持するために、規程を書き、適用宣言書を整え、リスクアセスメントの表を埋めていくのも、すべて人の手です。
二十年以上、この手作業の山を、現場とその経営の両方から見てきました。
この業界の多くの人と同じく、自分も長く、こう信じてきました。「ここは、人間にしかできない。判断には文脈が要るし、最後に責任を負うのは人だ。システムに任せるのは無理だ」と。でも、その考えが、この一年で変わりました。
変わったのは「判断」ではなく、判断の手前
変わったのは「判断は人がやる」の部分ではありません。「人間の判断が要る」を理由に人が抱え続けてきた、判断の手前の作業のほうです。
漏えいを報告するかどうか、それが重要な事案かどうか、内部監査を誰の名前で通すか。この種の決めごとは、日本でも米国でも最後は人が名前を出して引き受けることになっていて、機械には移せません。ISMSでいえば、規程や適用宣言書を書く手は借りられても、内部監査の独立性と経営者の承認は借りられません。
その代わり、そこへ至るまでに材料を積む部分は、人がやらずに済むようになりました。
「人間にしかできない」を、自分から手放したい
専門家として、これは口にするのが少し怖い話です。自分が二十年以上かけて身につけた腕が、要らなくなる未来を望む、という話だからです。それでも、その変化の側に、自分から回りたくなりました。
いま人間が必死でやっている仕事、たとえばインシデントの一次分析、脆弱性が自社に効くかの調査、ISMSの文書づくりは、本来、人がやらずに済むはずです。多くの専門家が「自分の領域だけはAIに侵されない」と線を引くなか、むしろその線を、自分から消しにいきたいのです。
なぜなら、それが現場にとって、本当はいちばん良いことだからです。終わらないアラート対応も、果てのない文書維持も、できることなら人間が背負わずに済むほうがいいのです。
ここ一年で、それは夢物語ではなくなりました。Anthropic の Mythos は主要なOSとブラウザにまたがって数千件のゼロデイを掘り当てていて、そのなかには17年ものあいだ誰にも見つからなかった FreeBSD の遠隔コード実行（CVE-2026-4747）や、27年ものの OpenBSD の欠陥が含まれます。人間のレビューを何十年もくぐり抜けたものが出てくるというのは、件数よりも、届く深さが変わった証拠です。
大手が統合するほど、専任のいない会社の選択肢は減る
セキュリティは、ビジネスとしても見てきたので、もう一つの現実も見えています。
業界の側は、ここ数年ずっと集約に向かっています。Google が Wiz を、Palo Alto Networks が CyberArk を買収し、大手はネットワーク・クラウド・ID・エンドポイントをひとつのプラットフォームに束ねています。買う側でも、体力のある大企業は、数十まで増えたツールを減らして、責任を負う相手を一社にまとめたがっています。
専任のチームを置ける会社には、よく効く動きです。ただ、置けない会社に残るのは、数十の機能を抱えた重い製品を買うか、何もしないかの二択になりました。値段でも、運用にかかる人手でも、そこには手が届きません。
AIは、既存のセキュリティソリューションの食い扶持を削り取っていきます。昨日まで人手と専用ツールで売っていたものが、今日には汎用のAIで代替され始めます。数か月で景色が塗り替わる世界で、何年もかけて大きな製品を積み上げるやり方は、少なくとも自分には割に合いません。
だから、小さく作る
選んだのは、大きな製品を会社で作る道ではなく、その逆でした。AIに寄せた小さなSaaSを作ることにしたのです。
AIネイティブの開発手法を駆使すれば、開発コストを極限まで抑えることができます。複雑さを売らないので、専門家がいなくても使えます。それに、セキュリティの手作業をAIに肩代わりさせる仕事なら、それを二十年いちばん近くで見てきた自分がやるのが、たぶんいちばん早いです。
仕事の量そのものは減っていません。大企業の専任チームが抱えていた作業を、いま専任のいない会社が同じだけ求められています。外から見て自社のどのドメインとサーバが公開されたままなのかの棚卸し、公表された脆弱性が自社のこの構成で本当に効くのかの切り分け、取引先から繰り返し届くチェックシートに継続して見ている証拠を出すこと。どれも判断の手前にあって、しかも終わりがありません。
このサイトについて
このサイトでは、AIでセキュリティの手作業をどこまで肩代わりできるのか、やってみた結果を、そのまま出していきます。
いま作っているのが、PentaTrail というマイクロSaaSです。外から見える会社の攻撃面を、AIで継続的に把握するCTEMのサービスです。
出典
- The Hacker News: Anthropic's Claude Mythos Finds Thousands of Zero-Day Flaws Across Major Systems(2026-04)
- SentinelOne: CVE-2026-4747 — FreeBSD RPCSEC_GSS RCE
- TechCrunch: Anthropic scales Claude Mythos to critical infrastructure in 15+ countries(2026-06-02)
- FE International: Cybersecurity M&A 2026 — Trends, Deals & Valuations
