NTT DATAとPalo Alto Networks、AIを活用したセキュリティ提携を拡大

NTT DATAとPalo Alto Networksは、2024年10月28日にAIセキュリティ提携の拡大を発表していたにもかかわらず、Google Newsで再び取り上げられている。この日付は重要だ。見出しだけを見ると新たな提携のように見えるかもしれないが、実際にはグローバル企業に統合型のAI支援セキュリティ運用を提供しようとする継続的な取り組みである。

中核となる製品は、NTT DATAのManaged Extended Detection and Responseサービス、すなわちMXDRだ。これはNTT DATAのセキュリティ人材と運用を、Palo Alto NetworksのCortex XSIAMプラットフォームと組み合わせる。XSIAMは、セキュリティデータ、分析、自動化、インシデント対応を一つのシステムに集約する。

この組み合わせは、企業の購買担当者に明確な選択肢を提示する。専門性の高いセキュリティツール群を維持するか、より多くの運用を一つのベンダープラットフォームと一つのマネージドサービスパートナーに集約するかだ。後者は調査の迅速化と統合上の問題の削減を約束する一方、プラットフォームへの依存をより深めることにもなる。

これは既存サービスにAIを追加するだけの発表ではない。セキュリティ運用センター内部の運用上のボトルネックを、集約によって解消できるという賭けでもある。難しいのは、自動化がエラーを見えにくくしたり、顧客の統制を制限したり、新たなリスク集中を生み出したりすることなく、成果を改善できると証明することだ。

NTT DATAとPalo Alto Networksの提携で実際に何が変わったのか

この提携は、また一つの独立した検知ツールを導入したのではなく、グローバルなマネージドセキュリティ運用とAI中心のプラットフォームを結び付けた。

NTT DATAは、この取り決めを既存関係の拡大と説明した。同社の提携発表では、Palo Alto NetworksのCortex XSIAMを基盤とするMXDRサービスを紹介している。このリリースは、クラウドシステム、企業ネットワーク、エッジ環境をサービスの対象範囲として挙げた。

MXDRは、エンドポイント、ネットワーク、クラウドサービス、その他のシステムにまたがるシグナルを収集し、相関分析するマネージドセキュリティモデルである。その後、プロバイダーのアナリストがこれらのシグナルを監視し、不審な活動の調査や封じ込めを支援する。このアプローチは、複数の技術層からの証拠を結び付けることで、エンドポイントのみの監視を超える。

Cortex XSIAMは、基盤となるデータ・自動化プラットフォームを提供する。セキュリティテレメトリーを取り込み、分析を適用し、アラートの優先順位を付け、自動対応ワークフローを支援する。NTT DATAは、継続的監視、脅威ハンティング、デジタルフォレンジック、インシデント対応、運用上の専門知識を加える。

したがって、このサービスは関連する二つの問題に対処する。企業は分断されたセキュリティ製品を抱えすぎていることが多く、社内チームにはすべてのアラートを調査する十分な時間がない。一つのプラットフォームでテレメトリーを接続すれば、ツール間の手作業による転送を減らせる可能性があるが、集約が自動的に検知品質を向上させるわけではない。

NTT DATAによると、このサービスはグローバルチームを通じて継続的に運用される。想定顧客には製造、化学、製薬企業が含まれるとした。これらの業界では、クラウドサービスを工場、研究所、専用デバイス、オペレーショナルテクノロジーと組み合わせていることが多い。

この組み合わせでは、クラウドだけを対象とする視点では不十分になる。アカウント侵害はホスト型アプリケーションで始まり、その後に工場ネットワークや接続デバイスへ影響を及ぼす可能性がある。逆に、露出したエッジシステムが中央に保管されたデータへの経路を提供することもある。

両社は2024年の発表以前から協業していた。2020年には、NTT Ltd.とPalo Alto NetworksがPrisma AccessおよびCortex XSOARに関する取り組みを拡大している。2020年の提携リリースによると、2,000人を超えるNTTのセキュリティ専門家が、当時のマネージドサービス計画に関連していた。

その後のMXDR開始により、関係は統合型セキュリティ運用へさらに踏み込んだ。XSIAMを中心に据え、ワークフローオーケストレーションから、共有テレメトリー、分析、検知、対応へと重点を広げた。

NTT DATAはサービス発表時点で、50か国で事業を展開し、7,500人超のサイバーセキュリティ専門家を擁すると報告した。また、15,000件超のセキュリティ案件を扱い、年間20億件の脅威を軽減していると述べた。これらは企業が提示した数値であり、検知精度を独立して測定したものではない。

この違いは重要である。処理された脅威の件数が多いことは運用規模を示す場合があるが、イベントがどのように分類されたかは明らかにしない。また、偽陰性率、顧客ごとの対応時間、防止されたインシデントの重大度も示していない。

したがって、最も意味のある変化はアーキテクチャと商業モデルにあった。NTT DATAが、戦略的なPalo Alto Networksプラットフォーム上でセキュリティ運用を管理する。顧客はテクノロジー、統合、継続的な運用支援を組み合わせたサービスとして購入することになる。

このモデルはプロバイダーにより大きな責任を課す。顧客は単にソフトウェアのライセンスを取得し、その運用方法を決めるだけではない。プロバイダーは、顧客環境全体の監視、エスカレーション、脅威ハンティング、対応に関与するようになる。

また、Palo Alto Networksのプラットフォームにもより大きな責任が課される。検知ロジック、データ正規化、自動化、ケース管理は、多様な顧客システムで機能しなければならない。こうした共有機能の弱点は、サービスの複数の層に影響を及ぼす可能性がある。

このGoogle Newsの見出しがセキュリティ購入者にとって重要な理由

今回Google Newsで再び注目されたことは、基となる発表自体は新しくないにもかかわらず、現在進行形の調達課題を浮き彫りにしている。

NTT DATAのリリースで引用されたGartnerの予測によると、情報セキュリティ支出は2025年に2,120億ドルへ達する見込みだった。これは2024年から15.1%の成長を見込むものだ。この予測は、ベンダーが企業の中核セキュリティプラットフォームとなるために競争している理由を説明する一助となる。

支出の増加が、必ずしもセキュリティチームの運用能力を高めるわけではない。新しい製品はダッシュボード、アラート、データ形式、保守要件を増やしかねない。追加されるシステムごとに、その情報が調査に役立つようになる前に統合作業が必要になる場合もある。

一般にSOCと呼ばれるセキュリティ運用センターは、まさにこの問題の中心にある。SOCはセキュリティイベントを監視し、不審な活動を調査し、対応を調整する。証拠がエンドポイント、アイデンティティ、ネットワーク、クラウドのコンソールに分散していると、アナリストは時間を失いかねない。

NTT DATAとPalo Alto Networksは、統合データレイヤーがこのプロセスを短縮できると主張する。同社らのSOCサービス概要では、ネットワーク、エッジシステム、クラウド環境にまたがる継続的な監視とAI支援検知を説明している。

このタイミングは、攻撃者の行動変化も反映している。自動スキャン、認証情報攻撃、ソーシャルエンジニアリング、マルウェア運用は、アナリストが手作業で確認できるより速く活動を生み出す可能性がある。防御側は自動化で対応しているが、攻撃者も関連技術を使って規模を拡大できる。

これにより複数の集団に圧力がかかる。最高情報セキュリティ責任者は、リスク露出を減らしつつセキュリティ予算の拡大を正当化しなければならない。SOCリーダーは、アナリストを圧倒することなく対応時間を改善する必要がある。調達チームは、集約が運用コストを削減するのか、それとも主に支出を一社のサプライヤーへ移すだけなのかを判断しなければならない。

小規模なセキュリティベンダーも圧力に直面する。統合プラットフォームは、従来は別製品として購入されていた機能を取り込む可能性がある。購入者は依然として専門ツールを選ぶかもしれないが、それらのツールは円滑に統合されるか、中核プラットフォームにない明確な優位性を示さなければならない。

従来型のセキュリティ情報・イベント管理ベンダーも別の課題に直面している。SIEMシステムはセキュリティログを収集・分析するが、多くの導入では広範な設定と手作業による保守が必要となる。XSIAMは、SIEM機能とより広範な検知・対応を組み合わせた、より自動化された進化形として位置付けられている。

マネージドサービスの要素は、この判断をさらに変える。セキュリティ人員が限られる企業は、継続的な監視を外部委託することを好むかもしれない。大企業は、重大インシデントに対する社内権限を維持しつつ、選定地域、事業部門、時間帯をプロバイダーに任せることができる。

どちらの形態にも明確な運用境界が必要だ。顧客は、誰がアラートを確認し、誰がシステムを隔離でき、誰が業務に影響する封じ込めを承認するのかを把握する必要がある。自動化は対応時間を短縮できるが、誤った措置は正当な業務を中断しかねない。

この懸念は製造・製薬環境でより深刻になる。侵害されたノートPCを停止することは、生産コントローラーや研究所システムを中断することとは異なる。技術的なシグナルは似て見えても、事業上の影響は大きく異なる。

この提携のクラウドからエッジに及ぶ枠組みは、少なくとも設計上、この違いに対応している。サービスは各環境を個別に扱うのではなく、拠点をまたぐイベントの相関分析を目指す。その目標が機能するかどうかは、資産の可視性、統合、データ品質、顧客固有の対応ルールに左右される。

Google Newsというキーワードは、別の編集上のリスクを生む。ここでGoogle Newsは発見チャネルであり、NTT DATAとPalo Alto Networksの提携当事者ではない。読者は、Googleが基盤となるAI、セキュリティプラットフォーム、またはマネージドサービスを提供したと推測すべきではない。

この説明が重要なのは、ニュースアグリゲーションによって見出しが元の日付や文脈から切り離されることがあるためだ。特に見出しに日付が明示されていない場合、再浮上した記事は新しい発表のように見える可能性がある。購入者は、新たな製品変更として扱う前に、一次リリースまで追跡すべきだ。

継続的な関連性は、新たに発表された取引ではなく、この戦略にある。企業は依然として、セキュリティ運用をどこまで集約すべきかを判断している。また、AIが人による直接のレビューなしに実行すべき業務は何かも問われている。

真の競合相手はプラットフォーム集約だ

主な競争は、NTT DATAと他のコンサルティング会社の間ではない。統合されたセキュリティ運用と、分断された専門ツール群との間にある。

分断されたスタックは、徐々に生じる場合がある。あるチームがエンドポイント保護を購入し、別のチームがクラウドポスチャ管理を導入し、第三のチームがアイデンティティ監視を選択する。買収や地域ごとの要件によってさらに製品が追加され、重複する統制と一貫性のないデータが生まれる。

専門ツールは価値ある深度を提供できる。特定環境向けに設計された製品は、広範なプラットフォームが見落とす詳細を明らかにする場合がある。チームはセキュリティアーキテクチャ全体を再構築せずに、一つのコンポーネントを置き換えることもできる。

しかし、専門化には統合コストが伴う。インシデント発生時、アナリストは複数のコンソール間を移動する必要があるかもしれない。アラートごとに識別子、重大度、タイムスタンプが異なる場合があり、重複した検知は優先順位付けを難しくする。

NTT DATAとPalo Alto Networksのモデルは、共有プラットフォームを通じてこうしたコストの削減を試みる。XSIAMは共通環境でテレメトリーを収集し、NTT DATAはアナリストとサービスプロセスを提供する。顧客は各要素を独自に組み立てるのではなく、単一の運用モデルを受け取る。

これはAIの主張を支える仕組みだ。機械学習は複数のソースからイベントを分析し、振る舞いを比較して、調査すべき活動に優先順位を付けられる。自動化により、アラートの情報を拡充し、ケースを起票し、承認済みの対応を実行することもできる。

こうした機能はデータカバレッジに依存する。プラットフォームに届かない証拠を、アルゴリズムが相関分析することはできない。未対応のアプリケーション、欠落したIDコンテキスト、一貫性のないログ、管理されていないデバイスはいずれも盲点を生む可能性がある。

また、正確な資産情報にも依存する。同じ振る舞いでも、あるサーバーでは通常の管理作業であり、別のサーバーでは重大な異常を意味する場合がある。所有者、業務上の目的、場所、機微性に関するコンテキストは、どの解釈が適切かを判断する助けとなる。

統合は、連携が期待どおりに機能すれば、このコンテキストを簡素化できる。一方で、プラットフォームのデータモデルの影響力を強めることにもなる。特に封じ込めを自動化する場合、顧客は自社のシステムやプロセスをプラットフォームの前提に適合させなければならない。

Palo Alto Networksは、このより広範な戦略を「platformization」と呼んでいる。この構想では、多数の独立した製品を維持するのではなく、接続されたプラットフォームを中心にセキュリティ機能を統合するよう顧客に求める。NTT DATAは、この戦略を複雑なグローバル組織へ導入するためのマネージドサービスの経路を提供する。

競合するモデルも引き続き存在する。Microsoftは、セキュリティポートフォリオ全体でID、エンドポイント、クラウド、SIEMの機能を連携させている。CrowdStrikeは、エンドポイント保護からID、クラウド、次世代SIEM機能へと領域を拡大してきた。Ciscoもまた、広範なプラットフォーム戦略を通じてネットワーキング、オブザーバビリティ、セキュリティを結び付けている。

これらの競合企業は、導入基盤、アーキテクチャ、サービスパートナーとの関係に違いがある。Microsoftは、エンタープライズソフトウェアとID分野での基盤を活用できる。CrowdStrikeはエンドポイントテレメトリーを起点とし、Ciscoはネットワークインフラに対して広範な影響力を持つ。

NTT DATAとPalo Alto Networksは、異なる組み合わせをもたらす。Palo Alto Networksは、ネットワーク、クラウド、SOC運用にまたがるセキュリティ製品を提供する。NTT DATAは、複数の業界と地域にわたり、コンサルティング、導入、マネージドネットワーキング、セキュリティ運用を提供する。

この組み合わせは、責任の所在が明確な単一の提供パートナーを求める顧客を支援できる。また、継続的な運用に必要な専門人材の採用・定着にかかる負担を減らす可能性もある。その代償として、ソフトウェア、データ、導入、対応プロセスにまたがる関係がより集中する。

移行も別の障害となる。過去の検知ルール、対応手順、ログソース、規制上の記録を、単純に消し去ることはできない。統合プロジェクトでは、必要な統制を維持しながら、冗長なシステムを段階的に廃止しなければならない。

チームには証拠計画も必要だ。ワークロードや自動化を移行する前に、ベースライン指標を定義すべきである。有用な指標には、アラート件数、調査時間、エスカレーションの質、誤検知率、封じ込め時間、アナリストの負荷が含まれる。

ベンダーの事例研究は可能性を示唆し得るが、すべての導入結果を予測するものではない。NTT DATAは、特定のXSIAM顧客事例に関連する大幅な改善を訴求している。比較可能なベースラインがない限り、こうした数値を普遍的な結果として扱うべきではない。

したがって、購入者は自社環境でサービスを検証すべきだ。限定的な導入により、統合の欠落、データ取り込みコスト、ワークフローの競合が明らかになることがある。また、アナリストがプラットフォームの優先順位付けを信頼しているかも確認できる。

信頼が重要なのは、使われない自動化に価値がほとんどないためだ。説明が不十分だったり、過去の対応が望ましくない結果を生んだりした場合、アナリストは推奨を迂回する可能性がある。反対に、過度の信頼は、誤ったモデル判断を十分なレビューなしに通してしまうおそれがある。

統合を支持するより強い根拠は、修辞ではなく運用にある。チームが重大インシデントをより迅速に収束させ、反復作業を減らし、有意義な監督を維持できるとき、プラットフォームは中心的な位置を得る。統合された機能の数だけでは、その結果を裏付けられない。

このアプローチを評価する企業には、持続的な社内文書化も必要となる。インシデントに関する判断、例外、システムの所有責任は、チケットや会議に散在しがちだ。検索可能な技術ナレッジベースは、単一ベンダーのコンソールの外部にコンテキストを保持できる。

この記録は、特にプロバイダーの変更時や重大インシデントの際に役立つ。セキュリティチームは、対応ルールが設定されていることを見るだけでなく、なぜそのルールが存在するのかを理解する必要がある。運用を外部委託していても、組織的知識の責任は顧客に残る。

AI自動化は新たなリスクの集中を生む

検知を加速できる同じ統合が、エラー、依存関係、ガバナンス上の失敗を増幅する可能性もある。

AI支援型セキュリティは、自律的な保証ではない。モデルは疑わしい活動に優先順位を付けられるが、攻撃者は意図的に曖昧さを生み出す。正規の管理者、自動化ソフトウェア、侵害されたアカウントは、似た行為を実行し得る。

誤検知は注意力を消費し、不必要な封じ込めを引き起こし得るため、依然としてコストが高い。偽陰性は、悪意ある活動が十分な精査を受けずに通過するため、より危険である。公開されている提携資料だけでは、顧客全体でいずれの率も算出するのに十分な独立した証拠は得られない。

サービスの性能も環境によって異なる。標準化されたクラウドワークロードでは、一貫したテレメトリーを生成できる。古いシステム、独自プロトコル、制限された保守時間帯を抱える工場では、統合がより難しい課題となる。

自動化がシステムを変更する場合、リスクは高まる。アカウントの無効化やデバイスの隔離は、攻撃者を阻止するかもしれない。しかし同じ措置が、生産を中断させたり、患者関連業務を遅らせたり、障害発生中の重要な管理者を妨げたりする可能性もある。

そのため顧客には段階的な権限設定が必要となる。低リスクの情報拡充は自動で実行できる一方、影響の大きい措置には人間の承認を必要とできる。緊急手順では、顧客への連絡前にプロバイダーがいつ行動できるかも定義すべきである。

データガバナンスも別の問題を生む。集中型の検知には、ユーザー、デバイス、アプリケーション、ネットワーク活動に関する広範なテレメトリーの収集が必要となる。多国籍企業は、そのデータがどこで処理され、どの程度の期間利用可能な状態で保持され、誰がアクセスできるかを決定しなければならない。

規制対象の組織には監査可能性も必要だ。チームは、システムが何を観測し、どのような推奨を行い、その後どの措置が取られたかを再構築できるべきである。説明のないリスクスコアだけでは、あらゆるコンプライアンスやインシデントレビューのプロセスに十分とはいえない。

米国政府のゼロトラストモデルは、継続的な検証と可視性の向上を重視している。統合プラットフォームはこれらの目標を支援できるが、ゼロトラストは製品ではない。ID統制、セグメンテーション、資産管理、ポリシー、運用規律は依然として重要である。

ベンダーの集中は、商業面と技術面の両方でエクスポージャーを増やす。広範なプラットフォームはサポートを簡素化できる一方、障害や統合の失敗は複数のセキュリティ機能に同時に影響を及ぼし得る。顧客には、主要コンソールやプロバイダー接続が利用できないときでも機能する非常時手順が必要だ。

ロックインも実務上の懸念である。検知ルール、過去のテレメトリー、アナリストのワークフロー、自動化スクリプトは、時間の経過とともに価値を持つ。特に形式や機能がきれいに対応しない場合、これらを別のシステムへ移すには高いコストがかかる可能性がある。

契約では、データエクスポート、移行支援、保持、サービス終了を扱うべきである。技術チームは緊急時の前にエクスポートをテストすべきだ。エクスポートされたデータを効率的に利用できないなら、データを取得する理論上の権利はほとんど保護にならない。

スキルも集中し得る。主に1つのマネージドプラットフォームを通じて運用するアナリストは、基盤となるシステムへの習熟を失う可能性がある。社内チームには、調査結果に異議を唱え、重大な措置を監督し、プロバイダーの障害に対応するための十分な専門性が依然として必要だ。

提携の規模は、これらのリスクをなくすものではない。NTT DATAのグローバルな人員体制は地域別のカバレッジを提供できるが、顧客は自社契約における人員配置とエスカレーションの取り決めを確認しなければならない。認証や契約件数の合計は、特定アカウントに割り当てられる担当者の経験を示すものではない。

言語と管轄もインシデント対応に影響し得る。グローバルプロバイダーはタイムゾーンをまたいで調整できるかもしれないが、規制当局への通知要件は多くの場合、地域と業界に依存する。エスカレーションのワークフローは、技術的な調査結果を地域の法務・経営判断と結び付けなければならない。

もう1つの不確実性は、AI搭載検知が何を意味するかに関するものだ。このラベルは、統計モデル、行動分析、生成AIインターフェース、自動化ワークフローを含み得る。購入者は、どの機能がモデルを使用するのか、どのモデルが意思決定に影響するのか、変更がどのように評価されるのかを尋ねるべきである。

また、顧客データが共有システムの学習に使われるかどうかも尋ねるべきだ。ポリシーでは、運用上の処理とモデル学習・製品改善を区別すべきである。機微なセキュリティテレメトリーには、広範な前提ではなく明確な契約上の扱いが必要だ。

攻撃者は自動化そのものを標的にできる。誤解を招くシグナルを生成したり、信頼された統合を悪用したり、コンテキストを提供するシステムを操作したりする可能性がある。特にワークフローがアクセスや接続性を変更できる場合、防御側には自動判断を取り巻く検証統制が必要となる。

アナリストが慎重にレビューできないほど多くの自動判断を受け取るなら、人間による監督も完全な答えにはならない。サービスは認知負荷を移し替えるのではなく、低減しなければならない。その目的には、明確な説明と優先順位付けされた証拠が不可欠である。

公開情報における最大の不足は、独立した検証である。両社は、より迅速な検知、運用の簡素化、総保有コストの低減を説明している。購入者には、困難なインシデントも含めるのに十分な期間にわたり測定された、顧客固有の結果が必要だ。

信頼できる評価には、失敗事例も含めるべきである。チームは、見逃された検知、不正確な優先順位付け、遅延したエスカレーション、業務を妨げる措置を文書化すべきだ。改善は、成功した自動化だけを報告するのではなく、そうした事象を検証することに依存する。

したがって、この提携は運用モデルとして評価されるべきである。その構成要素は、技術、人員、ガバナンス、経営層の意思決定にまたがり、実際のプレッシャーの下で連携して機能しなければならない。製品統合は必要だが、それだけでは十分ではない。

戦略の成否を示す3つのシグナル

導入の質、独立して測定された成果、統制された自動化によって、この提携が単なるプラットフォーム統合以上の価値を提供するかが決まる。

最初のシグナルは、持続的なエンタープライズ導入から得られる証拠である。購入者は、開始時点の環境、移行範囲、測定期間を定義した結果を探すべきだ。対象となったインシデント、チーム、システムが分からなければ、対応時間の改善はほとんど意味を持たない。

詳細な事例研究では、見出しとなる割合以上の情報を開示すべきである。有用な証拠には、誤検知件数、アナリストの負荷、封じ込め時間、再オープンされたインシデントの変化が含まれる。また、どの結果が技術によるもので、どの結果がプロセス再設計によるものかも説明すべきだ。

信頼できる導入事例が、見逃しインシデントを増やすことなく対応の迅速化を示すなら、提携の中心的な主張はより強まる。結果が厳しく統制された環境でしか現れないなら、このモデルのより広範な価値は依然として不確実である。

2つ目のシグナルは、サービスがエッジ環境や運用環境でどのように機能するかだ。製造、化学、製薬の顧客は、すべての疑わしいシステムをオフィスのノートPCと同じように扱うことはできない。統合は、安全性、可用性、専門的な運用上の制約を維持しなければならない。

導入が成功したと言えるためには、プラットフォームが不適切な対応措置を適用することなく、クラウドと工場の証拠を関連付けられることを示す必要がある。また、自動調査と運用制御の境界が明確であることも実証すべきだ。

ここで進展が見られれば、クラウドからエッジまでをカバーするという提案を裏付けることになる。一方、カバレッジの欠落が続けば、大きく異なるシステム全体にわたって単一プラットフォームが統一された可視性を提供できるという考えは弱まる。

第3のシグナルは、AI支援型レスポンスを取り巻くガバナンスだ。顧客には、モデル変更、アクション承認、データ処理、インシデント後レビューに関する明確な管理機能が必要となる。これらの管理機能は、社内のセキュリティチームや監査チームにも理解しやすいものでなければならない。

強力なサービスでは、どのアクションを自動実行し、どのアクションに承認を必要とするかを顧客自身が決められる。主要な推奨事項の根拠を提示し、監査証跡を保持する。また、自動アクションが誤りだった場合に元へ戻せるようにもする。

ガバナンスが弱ければ、運用効率は集中リスクへと変わる。企業は、複雑性の外部委託と引き換えに可視性を低下させるべきではない。マネージドセキュリティにおいても、顧客による十分な理解に基づく主体的な管理が求められる。

したがって、今回のgoogle newsでの掲載は、新たなローンチではなく、注意喚起として読むべきだ。NTT DATAとPalo Alto Networksは、拡張したMXDRの取り組みを2024年に公表した。未解決の問題は、顧客が複雑な本番環境全体でその利点を検証できるかどうかである。

このサービスを評価するセキュリティリーダーは、まず1つの具体的なワークフローから始めるべきだ。現在のアラート量、調査時間、エスカレーション経路、ビジネスへの影響を測定する。そのうえで、監督体制を弱めることなく、統合サービスがそれらの指標を改善できるかを検証する。

自社のシステム、地域、規制上の義務に類似した導入事例の証拠を求めるべきだ。より多くのデータを集中管理する前に、エクスポートおよび移行退出の要件を定義する。何よりも、常に人間の権限下に置くべき対応アクションを決定する必要がある。

このパートナーシップの約束は明快だ。統合された1つのプラットフォームと1つのマネージド運用モデルによって、断片化されたセキュリティ業務を置き換えられる。その成功は、あらためて見出しを飾ることではなく、測定可能な成果にかかっている。