事象の概要
米国連邦政府向けにHuman-AI SOC（AI支援と人の判断を組み合わせたSOC運用）を提供するAndesiteが、FedRAMP Highの「In Process」Designationを取得した。FedRAMPは連邦政府がクラウドを調達する際のセキュリティ評価・認可の標準であり、Highは機密性・完全性・可用性の要求が最も厳しい区分である。
情シスの観点で重要なのは、FedRAMPが「製品の機能」ではなく「運用を継続して統制できるか」を問う枠組みである点だ。監査証跡、脆弱性管理、構成管理、インシデント対応などが日常業務として回っていることが前提になる。今回の動きは、SOCを外部委託・クラウド化する際に、準拠要件を運用に落とし込む重要性を改めて示している。
技術的な詳細
FedRAMP HighはNIST SP 800-53の統制群をベースに、アクセス制御、ログ管理、暗号化、変更管理、サプライチェーンリスク管理などの実装と継続的モニタリングを求める。つまり、導入時のセキュリティだけでなく、運用中に統制が維持されていることを証明できなければならない。SOCは検知精度だけでなく、証跡の完全性や手順の再現性が評価軸になる。
Human-AI SOCの肝は、AIに分類・要約・相関・優先度付け・手順提案を任せ、人が裏取り、証拠固め、影響範囲判断、例外処理を担う分業設計にある。生成AIや自動化はスピードに寄与する一方、誤検知・文脈誤り・説明可能性・機微データの境界といった課題を抱える。高規制環境では「なぜその判断に至ったか」を説明できる運用設計が不可欠だ。
また、AI活用ではデータ取り扱いが最大の論点になりやすい。監視ログには個人情報や機微情報が混在し、学習利用の可否、保持期間、マスキング、テナント分離、鍵管理、ログ改ざん耐性などを設計に織り込む必要がある。インシデント対応でも、自動隔離をどこまで許容するか、承認ステップやロールバックを含むガードレールが求められる。
具体的な対策
明日から着手すべきは「準拠を満たすSOC運用」を自社の要件に翻訳する作業である。FedRAMPや同等の外部認証があっても、責任共有モデルの顧客側責任が残るため、委託・導入後に運用が破綻しやすい。以下をチェックリスト化し、RFPや運用設計レビューで確認することが有効だ。
- 責任分担（RACI）の明文化：ID管理、端末管理、ログ収集の設定、例外申請、パッチ適用判断、封じ込め実行などを「誰が」「どのSLAで」担うかを運用手順に落とす。
- 継続的モニタリングと証跡の設計：変更管理、脆弱性診断、構成差分検知、監査ログの保全（改ざん耐性、保管場所、検索性）をSOC運用の定常タスクとして定義する。
- データガバナンスの契約・手順化：ログの保持期間、越境有無、マスキング、分析・学習利用の範囲、削除要求時の手順、鍵管理の責任境界を事前に合意する。
- AI支援の説明可能性と品質管理：AIの推奨アクションに根拠（参照ログ、相関ルール、判断条件）が紐づくか、誤りの検知・是正フロー、モデル更新時の影響評価があるかを確認する。
- 自動化のガードレール：自動隔離・アカウント無効化の適用範囲、承認ステップ、緊急時の例外、ロールバック手順をプレイブックに実装し、演習で検証する。
- 既存基盤との統合と移行計画：SIEM/EDR/SOAR/クラウド監視との連携方式、データ正規化、ユースケース移植、運用手順の更新、運用者教育までを移行計画に含める。
まとめ
FedRAMP High「In Process」は、厳格な統制要件の下でSOC運用を成立させるという市場ニーズを映す動きである。今後、AI活用を掲げるSOCは増えるが、差が出るのは検知機能ではなく、証跡・データ境界・責任分担・自動化ガードレールといった運用設計の細部である。
情シスが取るべき実務は、外部認証の有無を確認するだけでなく、自社の責任範囲を前提に運用が回る形へ落とし込むことだ。RACI、データガバナンス、説明可能性、統合・移行計画を先に固めれば、SOCのクラウド化や高度化を「準拠が足かせ」ではなく「運用品質の担保」に変えられる。
参照元：AndesiteがFedRAMP High「In Process」Designationを取得：連邦政府向けHuman-AI SOCが示す「運用準拠」と次世代監視の現実解