デジタル技術が発達し、様々な領域で活用されるようになりました。それに伴い、サイバー攻撃の多様化やセキュリティリスクの高まりが顕著になりつつあります。このような状況では、セキュリティ担当者だけで対処することは非常に困難です。そこで密かに注目されているのがSOARです。今回は、SOARの概要や機能、SIEMとの共通点や相違点、導入するメリットについて解説します。

SOARとは

SOAR（Security Orchestration, Automation and Response）とは、セキュリティに関する設定や運用、対応を自動化することで効率化を図るセキュリティソリューションです。SOARは他のセキュリティソリューションと連携することで、セキュリティ脅威への初動対応を自動で行い、対応した結果をシステム管理者へ通知することができます。

SOARが求められる理由

SOARが求められる背景に「サイバー攻撃の多様化」と「セキュリティ人材不足」があります。どちらも現代社会が抱える大きな問題で、セキュリティの実情にも影響しています。

サイバー攻撃の多様化

セキュリティを取り巻く環境は日々変化しており、サイバー攻撃はセキュリティホールを狙った攻撃から、標的型攻撃まで様々なパターンが検知されるようになりました。特にDXや働き方改革によってリモートワークが浸透したことで、これまで以上に標的型攻撃が増え、情報システム部による対処に時間がかかってしまう傾向があります。
複雑化するサイバー攻撃への対応・即時対応を実現するためには、一定の範囲内で運用の自動化が必要です。SOARは、初動対応の自動化によって事態が深刻化する前に対処できるため、巧妙化するサイバー攻撃に柔軟に対応できます。

セキュリティ人材不足

現在の日本企業では、セキュリティ人材が不足し、セキュリティ担当者がいない企業が目立ちます。総務省の「サイバーセキュリティ人材育成分科会」では、中小企業の「専任の情報セキュリティ担当者がいる」と答えた企業は僅か4%に留まり「兼任の担当者がいる」企業は44%程度です。

他国と比較しても、日本のセキュリティ人材不足は顕著です。NRIセキュアが実施した「NRI Secure Insight 2020」では、アメリカとオーストラリアは80%以上が「人材が充足している」と答えたのに対し、日本では僅か10%程度です。世界的に見てもセキュリティ人材が不足している日本企業ですが、このような状況でもサイバー攻撃は変化し続けます。人材不足の中でも効率的で適切なアプローチを期待できるのがSOARなのです。

SOARの機能

SOARの機能は、初動対応の自動化と通知だけではありません。その他の機能についても解説します。

脅威判定

複数のセキュリティソリューションからログ情報を収集・分析し、サイバー攻撃やセキュリティホールの発見に繋がる予兆などを判定します。他のソリューションと連携することで、些細な脅威でも見逃さずに検知できます。

影響範囲の調査

脅威を検知したら影響範囲の調査を行います。人が影響範囲を特定するとき、他のシステムとの連携状況や扱うデータによって調査範囲が異なるため、見逃してしまう可能性があります。SOARによる影響範囲の調査は、作業漏れのリスクを解消する意味でも効果的です。