夜間・休日のセキュリティ体制はなぜ回らないのか――「外部委託すれば安心」の落とし穴

迎健太

ランサムウェア攻撃の過半は週末・休日に発生する。人手不足の時代に、人に依存した夜間体制がなぜ構造的に手薄になるのか。

2024年6月8日午前3時30分。KADOKAWAグループのデータセンターで、ニコニコ動画をはじめとする複数サービスに障害が発生しました。この障害がランサムウェア攻撃によるものと判明したのは、午前8時前後。深夜に最初の兆候が現れてから、組織として「攻撃」を認識するまでに数時間を要しています。

この「数時間」は、KADOKAWAだけの問題ではありません。多くの日本企業が、深夜や休日に同じ空白を抱えています。本稿では、その空白がなぜ生まれるのか、そしてなぜ「MSSPへの外部委託」だけでは埋まらないのかを、データをもとに考えます。

「MSSPに任せれば24時間安心」は本当か

24時間365日の監視が必要な企業にとって、自社で夜勤シフトを組むのは現実的ではありません。3交代制のSOCを維持するには最低でも10名前後の専任人材が必要とされ、採用も定着も困難です。だからこそ「夜間・休日はMSSP(マネージドセキュリティサービス)に委託する」という選択が業界標準になってきました。

しかし、ここには見落とされがちな前提があります。MSSPもまた、同じ人材市場から人を採用しているという事実です。

(ISC)2の「Cybersecurity Workforce Study 2024」によれば、世界のサイバーセキュリティ人材ギャップは480万人に達し、前年比19%増。一方で人材プール自体の伸びはわずか0.1%でした。日本国内でも、IPAや経済産業省の資料ではセキュリティ人材が約11万人不足しているとされています。委託先を変えても、人材不足という構造からは逃れられません。

その結果、何が起きているか。Semperisの「2025 Ransomware Holiday Risk Report」によれば、世界の企業の78%が夜間・週末・休日にSOC要員を50%以上削減しており、6%は時間外を完全に無人化しています。「24時間監視」という契約の裏側で、夜間帯の一次トリアージは日中より薄い体制で回されているのが実態です。

攻撃者は「手薄な時間帯」を知っている

攻撃側は、この非対称性を正確に突いてきます。

同じSemperisの調査では、実際のランサムウェア攻撃の52%が週末・休日に発生しています。Cybereasonの調査でも、2024年に対応した事案の7割超で、暗号化の開始時刻が18時から翌朝8時の間に集中し、3割は週末に開始されていました。防御側の人員が最も薄くなる時間帯と、攻撃の実行時間帯が重なっているのです。これを偶然と見るのは難しいでしょう。

しかも、攻撃は「発生してから考える」時間を与えてくれません。Mandiantの「M-Trends 2025」によれば、侵入から発見までのdwell timeの中央値は11日で、侵入の45.1%は1週間以内に発見されています。裏を返せば、攻撃者は侵入後、数日のうちに目的を達成しようと動くということです。2025年のアスクルの事例のように約4カ月半潜伏するケースもある一方、最終段階の暗号化やデータ窃取は、深夜の数時間で一気に実行されます。IBMの調査では侵害の特定から封じ込めまで平均241日を要しており、初動の遅れは後工程のすべてに響きます。

深夜3時のアラートに対して「翌朝、担当者が出社してから確認する」体制は、攻撃者に数時間の自由行動を許すことと同義です。

問題はMSSPではなく、「人に依存した体制設計」そのもの

ここまでの話を「MSSPが手を抜いている」と読むのは誤りです。MSSPのアナリストは限られた人員で膨大なアラートに向き合っており、その専門性の価値は変わりません。

本質的な問題は別のところにあります。人が足りない時間帯に、人に依存した一次対応フローを維持しようとしているという、体制設計そのものの矛盾です。

夜間のアラート対応は、典型的にはこう流れます。監視ツールが検知→MSSPのアナリストが一次トリアージ→重大と判断されれば顧客側担当者へ電話やメールでエスカレーション→担当者が起きて状況を把握し、対応を判断→実際の遮断・無効化を実行。この各ステップに「人の待機」が挟まっており、どこか一つが薄くなれば全体が遅延します。夜間・休日は、そのすべてが同時に薄くなる時間帯なのです。

「結局、深夜に人が動かなければ意味がないのでは」への答え

ここで当然の疑問が出ます。「AIを入れても、アラートを上げるだけなら同じでは。深夜に人が対応しなければ意味がない」――この疑問は正しく、実際、検知や通知の高度化にとどまるツールでは空白は埋まりません。

鍵になるのは、一次調査からトリアージ、そして初動の封じ込めまでを、人の待機を前提とせずに完結できるかです。

ヤグラのAI SOCは、自社で保有するSIEM・データレイク基盤の上でAIエージェントが動作します。アラートが上がると、AIエージェントが関連ログを横断的に調査し、影響範囲と重大度を評価したうえで、必要と判断すればAPIを横断して初動封じ込め――不審なアカウントの無効化や通信の遮断など――までを秒〜分単位で実行するよう設計されています。深夜3時30分のアラートに対して、人が起きて判断するまでの数時間を「無防備な空白」ではなく「封じ込め済みの状態で人の判断を待つ時間」に変える。これが、トリアージ止まりのAIとの違いです。

これは「MSSPの夜間要員をAIに置き換える」話ではありません。人手不足を前提に組まれた体制設計そのものを、AIを組み込んで作り変えるという転換です。

AIに任せてよい領域と、人が担い続ける領域

同時に、誇張は避けるべきです。「AIに任せれば夜間も完全に安心」ではありません。

AIの一次トリアージにも誤判定のリスクは残ります。重大度が高いと判定されたインシデントや、事業影響を伴う判断――たとえば基幹サービスの停止を伴う対応――については、人間へのエスカレーション経路、すなわちオンコール体制は引き続き必須です。AIが担うのはあくまで一次調査・トリアージ・初動封じ込めであり、最終判断と複雑なインシデントの指揮は人の領域です。

見方を変えれば、これは人とAIの合理的な分業です。夜間帯の即応性はAIが担保し、人は誤検知の海から解放されて、日中の高度な分析・判断・改善に集中する。人材が構造的に不足する以上、限られた専門人材をどの業務に配置するかこそが、体制設計の中心的な問いになります。