サイバーリスクプログラムの三つの層
サイバーリスクのプログラムは、三つの層に分けて考えると理解しやすくなります。テレメトリの層は、エンドポイント、サーバー、コンテナ、コードで実際に起きていることを収集します。分析の層は、その生のテレメトリを意味へと変えます。重複の排除、相関、検知、エクスポージャーの順位付け、リスクの定量化です。ガバナンスの層は、意味を説明責任へと変えます。証跡、統制の対応付け、コンプライアンスの状況、経営層への報告です。
費用がかさむ思い込みは、どの層にも高価な商用ライセンスが必要だというものです。実際には、各層は独立して調達できます。そして商用構成では最も高くつくことが多いテレメトリの層こそ、オープンソースが本当に企業水準に達した領域です。
オープンなテレメトリ層としてのWazuh
Wazuhは成熟したオープンソースのセキュリティ基盤で、それ単体でテレメトリ層の驚くほど広い範囲をカバーします。エージェントは、ホストベースの侵入検知、ログデータの分析、ファイル完全性の監視、ルートキットと異常の検知、インストール済みパッケージに対する脆弱性の検出、ベンチマークに照らしたセキュリティ構成の評価を提供します。全機器に展開すれば、商用EDRが本来供給するエンドポイントとログのテレメトリを、安定して生み出します。
Wazuhの周辺には、足りない部分を補うオープンなスキャナーを加えられます。ウェブとネットワークの脆弱性テンプレートにはNuclei、コンテナと依存関係のスキャンにはTrivy、静的なコード解析にはSemgrepです。これらを合わせれば、小さなチームでもエンドポイント、ウェブ、コンテナ、コード、構成という広い範囲を、高価なライセンスを一つも使わずにカバーできます。
オープンソースを一級として扱う中立の層
テレメトリだけではプログラムになりません。それは原材料です。価値が生まれるのは、正規化され、相関付けられ、判断へと変わったときであり、それを担うのが中立のリスク・GRCの層です。鍵となる性質は中立性です。この基盤はデータを生み出すものであれば何にでも接続するよう設計されており、検出結果が数千万円規模の商用スキャナー由来かオープンソース由来かを気にしません。
GeneSecureは、Wazuhとオープンなスキャナーの出力を低コストのデータソースとして利用できます。すべての検出結果を、資産・ID・検出結果という共通のモデルへ正規化し、各レコードに出所を付すことで、実データがサンプルや模擬データと取り違えられることを防ぎます。その正規化されたモデルの上に、無駄のないチームなら本来あきらめていた層を加えます。追跡可能なケースへの相関、重要資産への到達可能性とCISA KEVやEPSSといった悪用可能性のシグナルによるエクスポージャーの順位付け、そして金額で表したサイバーリスクです。
企業向けの価格を払わないガバナンス
ガバナンスの層は、オープンだけの構成が力尽きやすい場所であり、中立の層がその価値を示す場所です。同じ正規化された検出結果がコンプライアンスの証跡に供給されるため、統制を一度対応付ければ、SOC 2やISO 27001といったフレームワークにわたって最新データから証跡化できます。取引先のサイバーリスク、例外、是正も同じシステムに収まり、経営層向けの報告は別の表計算ではなく同じ情報源から生成されます。
これがテレメトリとプログラムの違いです。Wazuhとオープンなスキャナーは何が起きているかを教えます。中立の層はそれを、順位付けされたエクスポージャー、金額で表したリスク、監査人向けの証跡、そして経営層向けの報告へと変えます。セキュリティ責任者が実際に評価されるのは、その説明責任です。
誰に向いているのか、そのトレードオフ
このモデルは、少人数のセキュリティチーム、コストに敏感な中堅企業、そして小規模な顧客向けに手頃なマネージドサービスを立ち上げるMSSPに適しています。テレメトリがオープンソースであっても、知見とガバナンスは企業水準であるため、おもちゃではなく本物のプログラムになります。
正直なトレードオフは運用面にあります。オープンソースのテレメトリは、エージェントとスキャナーを自分たちで運用し調整することを意味します。カバレッジと品質は、その規律と、中立の層へ供給するコネクタの深さに左右されます。適切な捉え方は、オープンソースと商用は対立しないということです。強みのある領域（テレメトリ）ではオープンを使い、知見とガバナンスは一つの中立の層に集約し、商用製品はその費用に見合う場所に後から加えればよいのです。モデルはどの製品がデータを生んだかを気にしないため、作り直しは不要です。