ログイン

トップ

アウェアネス

PhishAI

AI SOC

サービス一覧

会社概要

記事

ホワイトペーパー

セミナー

用語集

ニュース

インシデント速報

お問い合わせ

資料ダウンロード

Insight

2026/09/11

SOCアナリスト不足と「アラート疲れ」：人海戦術の限界と3つの打ち手

迎健太

世界で約476万人の人材ギャップ、1日数千件のアラートのうち調査されない3分の2、燃え尽きと離職。SOCアナリスト不足とアラート疲れの構造を公開調査から読み解き、人海戦術の限界を超える3つの打ち手と、経営層への説明の仕方を解説します。

「アラートは毎日数千件届くのに、まともに調べられるのはその一部だけ」「夜間のアラートは翌朝まとめて確認している」「若手が育ったと思ったら転職してしまった」。セキュリティ運用の現場で、こうした声を聞くことは珍しくありません。SOC（Security Operations Center：セキュリティ監視・運用の専門組織）を自社で持つ企業でも、外部に監視を委託している企業でも、「人が足りない」と「アラートが多すぎる」という2つの問題は、ほぼ例外なく表裏一体で現れます。

本記事では、公開されている調査データをもとに、セキュリティ人材ギャップと「アラート疲れ（アラートファティーグ）」の構造を整理し、人海戦術がなぜ限界を迎えるのかを解説します。そのうえで、①検知ルールとログの整理によるノイズ削減、②トリアージ自動化とAIエージェントによる一次調査、③人の役割の再設計、という3つの打ち手と、経営層への説明の仕方まで、実務の視点でまとめます。

世界と日本のセキュリティ人材ギャップ

まず、人材不足の規模を確認します。国際的な資格認定団体ISC2の調査によると、2024年時点で世界のサイバーセキュリティ人材は約547万人で前年からほぼ横ばい（0.1%増）でしたが、必要とされる人数との差である「人材ギャップ」は約476万人に達し、前年比で19.1%拡大しました（ISC2 Cybersecurity Workforce Study, 2024）。人材の供給が止まった一方で、守るべき対象と脅威は増え続けているということです。

同調査では、回答者の90%が自チームに1つ以上のスキルギャップがあると答え、64%は「スキルギャップの方が人数不足よりも深刻な悪影響をもたらす」と考えています。人材・スキル双方のギャップの最大の原因として挙げられたのは予算制約で、約20%は今後12か月でさらなる人員削減を見込むと回答しました。さらに半数以上が「新しいスキルを学ぶ時間がない」と答えています（ISC2, 2024）。人が足りないから学ぶ時間がなく、学べないからスキルギャップが埋まらないという循環がここに見えます。

地域別に見ると、同調査でアジア太平洋地域の人材は3.8%増と成長している一方、北米は2.7%減少しており、状況は地域によって異なります（ISC2, 2024）。日本については、IPA（情報処理推進機構）の「情報セキュリティ白書2025」が第3章で「サイバーセキュリティ人材の現状と育成」を独立した節として扱っているように、人材の確保と育成は政策面でも継続的な課題と位置付けられています（IPA 情報セキュリティ白書2025, 2025）。国内の多くの組織では、専任のセキュリティ担当者が数名以下、あるいは情報システム部門が兼務しているのが実態であり、24時間365日の監視体制を自社の人員だけで組むことは、一般に極めて困難です。SOCの体制や限界の基本は「SOCとは？役割・Tier体制・24時間365日運用の基本と限界」で整理しています。

「アラート疲れ」の構造 ── 1日数千件のアラートと調査されない3分の2

人材ギャップと並ぶもう1つの問題が「アラート疲れ」です。アラート疲れとは、処理能力を超える量のアラートが継続的に届くことで担当者の注意力と判断力が低下し、重要なアラートが見逃されたり、アラートそのものが無視されるようになる状態を指します。もとは医療現場のモニターアラームで知られた概念ですが、セキュリティ運用ではより深刻な形で現れます。

背景にあるのは、急増するシグナルの量です。Microsoftは1日あたり78兆件のセキュリティシグナルを処理しており、これは前年の65兆件から増加しています。同社が1秒あたりにブロックするパスワード攻撃は約7,000件、人手で運用されるランサムウェア（human-operated ransomware）の遭遇件数は前年比2.75倍に増えました（Microsoft Digital Defense Report, 2024）。また、悪意あるデータ侵害のうち、AIを活用した攻撃によるものの割合が前年比56%増加したという調査結果もあります（IBM Cost of a Data Breach Report, 2026）。EDR（Endpoint Detection and Response：端末の挙動監視）やSIEM（Security Information and Event Management：ログの集約・分析基盤）がこうした攻撃の兆候を拾えば拾うほど、SOCに届くアラートは増えていきます。

現場への影響を定量的に示した調査もあります。セキュリティベンダーのVectra AIが2,000人のSOCアナリストを対象に実施した調査では、SOCチームが受け取るアラートは1日平均4,484件、そのうち67%はアラート疲れによって対応されておらず、アナリストの認識ではアラートの83%が誤検知（フォールスポジティブ）でした（Vectra AI 2023 State of Threat Detection, 2023）。1日4,000件超のアラートを数名のアナリストが1件ずつ調べることは物理的に不可能であり、「対応されない3分の2」が構造的に生まれることになります。

なぜ誤検知は減らないのか

誤検知が高止まりする理由は、多くの組織で共通しています。第一に、検知ルールが「追加」される一方で「削除・統合」されないことです。製品の初期設定ルール、過去のインシデント後に急いで追加したルール、脅威情報をもとに作ったルールが重複したまま残り、同じ事象に複数のアラートが上がります。第二に、資産情報やユーザー情報などのコンテキストが不足していることです。「管理者権限で深夜にログイン」というアラートは、対象がバッチ処理用サーバーなら正常ですが、経理担当者の端末なら要調査です。この判断に必要な情報がアラートに紐づいていなければ、毎回人が調べ直すことになります。第三に、EDR・SIEM・クラウド・メールなど複数製品のアラートが個別に届き、相関分析されないことです。単体では危険度を判断できないアラートが大量に並ぶ結果、すべてを「一応確認」するか「まとめて無視」するかの二択になりがちです。

「調べられないアラート」はそのままリスクになる

見逃しの怖さは、担当者自身がよく分かっています。前述のVectra AIの調査では、71%のアナリストが「自組織はすでに侵害されている可能性が高い」と認めています（Vectra AI, 2023）。また、Tinesが900人のセキュリティ担当者を対象に実施した調査では、仕事上の不満として最も多く挙がった項目の1つが「データは多すぎるのに、情報が足りない」（37%）でした（Tines Voice of the SOC, 2023）。アラートの量と、判断に使える情報の質が釣り合っていないことが、現場の疲弊の核心にあります。

経営層にとって重要なのは、「調査されなかったアラートの中に本物が混ざっていた」というシナリオが決して珍しくないという点です。IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」で、3位には「AIの利用をめぐるサイバーリスク」が初めて選出されました（IPA 情報セキュリティ10大脅威 2026, 2026）。ランサムウェア攻撃は、初期侵入から暗号化までの間に端末やID周りで複数の兆候を残すことが多く、その途中段階のアラートが「4,000件の中の1件」として埋もれてしまうことが、被害を大きくする典型的なパターンです。

燃え尽きと離職のコスト ── 人海戦術が限界を迎える理由

アラート疲れは、見逃しリスクだけでなく、人の離脱という形でもコストを生みます。Tinesの調査では、回答者の63%が何らかのレベルの燃え尽き（バーンアウト）を感じており、55%は今後1年以内に転職する可能性があると答えました。半数がSOCの人員不足を訴え、81%は「この1年の業務量は過去最大だった」と回答しています（Tines Voice of the SOC, 2023）。Vectra AIの調査でも、67%のアナリストが離職を検討している、あるいは実際に離職に向けて動いていると答えています（Vectra AI, 2023）。

この傾向は現場だけの問題ではありません。Gartnerは2023年の時点で、2025年までにサイバーセキュリティリーダーの約半数が転職し、そのうち25%は職務上の複合的なストレスを理由にまったく異なる職種へ移ると予測しました。同時に、2025年までに重大なサイバーインシデントの半数以上が人材不足または人的ミスに起因するようになるとも予測しています（Gartner プレスリリース, 2023）。ISC2の調査でも、26%の回答者が「需要の高いスキルを持つ人材の定着」を課題として挙げています（ISC2, 2024）。

離職のコストは、求人広告費や採用工数だけではありません。SOCアナリストは、自社のネットワーク構成、業務システムの癖、「この部署のこの操作は正常」という暗黙知を、数か月から年単位で蓄積して初めて一人前になります。1人が離職すれば、その知識は組織から失われ、残ったメンバーの負荷が増え、さらに離職を誘発するという悪循環が起きやすい構造です。加えて、引き継ぎ期間や新人の育成期間中は、アラートの調査品質そのものが低下します。人材の流出は、監視の「穴」を直接的に広げるコストとして捉える必要があります。

最終的なコストはインシデントの被害額として現れます。IBMの調査では、データ侵害の世界平均コストは499万ドルで、前年比12%増の過去最高を記録しました。一方、セキュリティにAIと自動化を広範に活用している組織は、活用していない組織に比べて193万ドル低いコストで済んでいます（IBM Cost of a Data Breach Report, 2026）。人手だけに依存した運用体制は、平時の人件費だけでなく、有事の被害額でも不利になりやすいということです。

増員では追いつかない3つの理由

「では人を増やせばよい」という結論に至りがちですが、多くの組織でそれは現実的な解になりません。第一に、アラートの増加速度と人員の増加速度が釣り合わないことです。クラウド利用の拡大、リモートワーク、SaaSの増加、EDRの導入範囲の拡大に伴い、監視対象とアラート量はここ数年で桁違いに増えました。一方、人材ギャップが1年で19.1%拡大した市場（ISC2, 2024）で、経験者を毎年安定して採用できる企業は限られます。第二に、24時間365日体制の人件費です。1つの監視席を切れ目なく埋めるには、交代勤務や休暇・研修を考慮すると1席あたり複数名の要員が必要になり、夜間・休日の要員確保はとりわけ難しくなります。この点は「夜間・休日のセキュリティ体制はなぜ回らないのか」で詳しく述べています。第三に、増員しても仕事の中身が変わらないことです。アラートの8割超が誤検知と認識される環境（Vectra AI, 2023）に人を追加しても、追加された人が担うのは主に誤検知の確認作業であり、燃え尽きと離職の構造はそのまま再生産されます。

つまり、人海戦術の延長では「アラートを全件調べる」状態には到達できません。必要なのは、アラートの量そのものを減らし、残ったアラートの一次調査を人以外に任せ、人の時間を判断と改善に振り向けるという、運用モデルの設計変更です。

人海戦術の限界を超える3つの打ち手

打ち手1：検知ルールとログの整理でノイズを減らす

最初に取り組むべきは、アラートの発生源である検知ルールとログの棚卸しです。自動化やAIを導入する前にこの整理を行っておくことで、後段の効果が大きく変わります。

実務としては、まず過去1〜3か月分のアラートを、検知ルールごとに「件数」「調査に至った件数」「インシデントと判定された件数」で集計します。多くの組織では、上位数本のルールがアラート全体の大半を占め、しかもそのほとんどがインシデントに至っていないという結果が出ます。こうしたルールについては、閾値の見直し、正常な業務パターンの除外条件の追加、重複ルールの統合、そして「アラートとして通知するのではなく、相関分析の材料としてログに残すだけにする」といった対応が有効です。あわせて、資産管理台帳や人事情報と連携してサーバーの重要度やユーザーの役割をアラートに自動付与できるようにしておくと、後のトリアージで「毎回調べ直す」工数が減ります。

ログの側でも整理が必要です。EDR、認証基盤、メール、プロキシ、クラウド管理コンソールなど、攻撃の連鎖を追うのに必要なログがSIEMに集約されているか、逆にアラートを生むだけで調査に使われないログが取り込まれていないかを確認します。単体アラートでは見えない攻撃の全体像を掴むためには、複数ソースのログ相関分析が前提になります。

ノイズ削減の成果は、感覚ではなく指標で追うことが重要です。「誤検知率」「全アラートのうち実際に調査された割合（調査率）」「ルールあたりのインシデント検出数」などを月次でモニタリングすることで、検知ルールの追加・廃止を継続的な運用サイクルに組み込めます。KPIの設計は「MTTR・MTTDとは？SOCのKPI設計と改善の実務」で詳しく解説しています。

打ち手2：トリアージの自動化とAIエージェントによる一次調査

ノイズを減らしても、残るアラートを人だけで調べ切るのは難しいのが実情です。そこで2つ目の打ち手が、トリアージ（アラートの優先順位付けと初期判断）の自動化です。

従来から、SOAR（Security Orchestration, Automation and Response）製品を用いて、アラート受信時にIPアドレスの評判照会、端末情報の取得、担当者への通知といった定型作業をプレイブック（手順書）として自動実行する取り組みは行われてきました。これは有効ですが、プレイブックは「事前に想定した分岐」しか処理できず、想定外の状況では結局人が調査を引き取ることになります。プレイブックの作成と保守自体に専門人材の工数がかかるという課題もあります。

この限界を超える手段として注目されているのが、AIエージェントによる一次調査です。AIエージェントは、アラートを受け取ると、熟練アナリストが行うように「このプロセスの親は何か」「同じユーザーが直前に別の端末で何をしていたか」「この通信先は過去に観測されているか」といった問いを自ら立て、EDRやSIEMに追加のクエリを投げて証拠を集め、攻撃の可能性を判定し、その根拠を調査レポートとして残します。事前に分岐を書き切る必要がなく、環境ごとの文脈を学習しながら精度を上げていける点が、プレイブック型の自動化との本質的な違いです。

ここで重要になるのが「精度の担保」です。AIによる一次調査を導入する際は、一定期間は人の判断と並走させて判定の一致率を測る、誤判定（見逃し・過検知）の事例をフィードバックして学習させる、判断の根拠が人に説明できる形で記録されているかを確認する、といった運用設計が必要です。具体的な手順と評価の方法は「アラートトリアージの自動化：AIエージェントによる一次調査の手順と精度の担保」で詳述しています。

なお、自動化に対する現場の受け止め方は両義的です。Tinesの調査では、93%が「職場の自動化はワークライフバランスを改善する」と考える一方、56%は「自動化によって自分の仕事がなくなること」を懸念しています（Tines Voice of the SOC, 2023）。自動化を「人員削減の手段」ではなく「人が本来やるべき仕事に集中するための手段」として位置付け、その先の役割を具体的に示すことが、定着の鍵になります。これが3つ目の打ち手につながります。

打ち手3：人の役割を「判断・脅威ハンティング・改善」へ再設計する

従来のSOCでは、経験の浅いアナリストがTier1（一次対応）として大量のアラートを確認し、疑わしいものをTier2・Tier3の上位アナリストへエスカレーションする分業が一般的でした。しかし、一次対応の大半が誤検知の確認である以上、この階層は「最も辛い仕事を最も経験の浅い人に集中させる」構造になりやすく、離職の温床にもなってきました。

一次調査の多くをAIエージェントや自動化に任せられるようになると、人の役割は3つの領域へ移ります。1つ目は「判断」です。AIが「攻撃の可能性が高い」と判定し証拠を揃えたインシデントについて、業務影響を踏まえて封じ込めの是非やタイミングを決め、関係部門や経営層に説明するという意思決定は人の仕事です。2つ目は「脅威ハンティング」です。アラートを待つのではなく、「自社の環境でこの攻撃手法が使われたら、どのログにどんな痕跡が残るか」という仮説を立てて能動的にログを探索する活動で、検知ルールで拾えていない攻撃を見つける手段になります。3つ目は「改善」です。誤検知の傾向分析、検知ルールのチューニング、AIの判定へのフィードバック、インシデント対応手順の演習など、運用そのものの品質を上げる仕事です。

この再設計は、人材育成と定着の観点でも意味があります。ISC2の調査で半数以上が「新しいスキルを学ぶ時間がない」と答えていたように（ISC2, 2024）、アラート確認に追われる状態では学習も成長も起きません。一次調査から解放された時間を、脅威ハンティングや検知エンジニアリングといった専門性の高い仕事と学習に振り向けることができれば、担当者にとってのキャリアの魅力は大きく変わります。小規模なチームであれば、Tierを分けずに「AIが一次調査、人が判断と改善」という2層の体制にシンプル化することも現実的な選択です。

AI SOCで変わる現場 ── 一次調査の支援と担当者の負担軽減

3つの打ち手を統合した運用モデルが、AIエージェントを中核に据えた「AI SOC」です。AI SOCの定義や従来型SOCとの違いは「AI SOCとは？仕組み・従来型SOCとの違い・導入メリットをわかりやすく解説」で体系的に整理していますが、本記事の文脈で重要なのは、アラート疲れの構造がどう変わるかです。

ヤグラAI SOCは、一流アナリストの調査手法を再現したAIエージェントが、EDR・SIEMのアラートを24時間365日、自律的に調査・対処するサービスです。繰り返し発生する一次調査をAIが支援することで、人手だけでは確認しきれなかったアラートへの対応を広げ、担当者の負担を減らすことを目指します。実際に減らせた手作業だけでなく、人による確認や追加調査にかかる時間も含め、自社の環境で効果を検証することが重要です。

また、ヤグラAI SOCはコンテキストメモリによって自社環境を学習し、調査精度を継続的に向上させます。前述の「この部署のこの操作は正常」という環境固有の文脈が、担当者の頭の中ではなくシステム側に蓄積されていくため、人の異動や離職によって監視品質が落ちるリスクを抑えられます。EDR・SIEM・ID管理製品など100以上のセキュリティ製品と連携し、自社開発の基盤からMicrosoft Sentinelなど既存製品のアラートを調査するため、既存のEDR・SIEMを置き換えずに導入しやすい点も、現場の負荷を増やさないという意味で重要です。AIエージェントがアナリストを置き換えるのではなく増強するという考え方については、「AIエージェントSOCの時代 ── アナリストを置き換えず増強する」もあわせてご覧ください。

経営層にどう説明するか

最後に、これらの打ち手を経営層に説明する際の整理を示します。セキュリティ運用の投資判断は「人を増やすか、外部に委託するか、自動化するか」という選択として提示されることが多いですが、判断材料をリスク・コスト・人の3つの軸に分けて示すと議論が噛み合いやすくなります。

リスクの軸：現状のアラート調査率を数値で示し、「調査されていないアラートの中に本物が混ざる」リスクが構造的に存在することを説明します。業界調査では届いたアラートの67%が対応されていないという結果もあり（Vectra AI, 2023）、自社の数値がそれと比べてどうかを把握しておくことが出発点です。
コストの軸：データ侵害の世界平均コストが499万ドルで過去最高を更新し、AIと自動化を広範に活用する組織は193万ドル低いコストで済んでいること（IBM Cost of a Data Breach Report, 2026）を示し、平時の人件費だけでなく有事の被害額を含めて比較します。
人の軸：担当者の残業時間、夜間対応の頻度、直近数年の離職率を示し、燃え尽きと離職が監視品質の低下に直結することを説明します。業界全体で63%が燃え尽きを感じ、55%が転職を考えている（Tines, 2023）という環境で、自社だけが人材を確保し続けられるという前提は置きにくいことも共有します。

そのうえで、「まず検知ルールの整理でノイズを減らし、次に一次調査を自動化し、人は判断と改善に集中する」という段階的な計画と、各段階で追うKPI（調査率、誤検知率、MTTD（平均検知時間）／MTTR）を提示できれば、経営層は投資の効果を継続的に確認できます。重要なのは、この取り組みを「セキュリティ部門のコスト削減」ではなく、「限られた人材で見逃しをなくし、事業継続リスクを下げる」ための投資として位置付けることです。

まとめ

セキュリティ人材の世界的なギャップは約476万人に拡大し（ISC2, 2024）、現場では1日数千件のアラートのうち3分の2が対応されず（Vectra AI, 2023）、担当者の6割超が燃え尽きを感じている（Tines, 2023）という調査結果が示すように、人材不足とアラート疲れは相互に強め合う構造的な問題です。増員だけでこの構造を変えることは、多くの組織にとって現実的ではありません。

打ち手は3つです。第一に、検知ルールとログを棚卸ししてアラートの量と質を改善すること。第二に、トリアージと一次調査をAIエージェントや自動化に任せ、全件を調査できる状態を作ること。第三に、人の役割を「判断・脅威ハンティング・改善」へと再設計し、担当者が成長できる環境を整えること。これらを統合した運用モデルがAI SOCであり、調査率と人的工数の構造を根本から変える選択肢になりつつあります。自社のアラート調査率と担当者の負荷を可視化することから、最初の一歩を始めてみてください。

関連サービス：EDR・SIEMのアラートをAIエージェントが24時間365日自律的に調査・対処し、アラート調査と担当者の負担軽減を支援する「ヤグラAI SOC」の詳細はこちら。