単一ベンダーへの統合が抱える問題
この十年、セキュリティで支配的だった売り文句は統合です。あるベンダーの基盤を購入し、残りは廃止する。スライドの上では魅力的ですが、実際には多くの企業がもっともな理由から異種混在の構成を運用しています。信頼しているEDR、エンジニアが選んだクラウドセキュリティ製品、コンプライアンス要件に紐づくスキャナー、そして何年もかけて調整したポリシーを持つファイアウォール。これらを引き剥がすのは高くつき、時間がかかり、リスクを伴い、しかも組織を新たな単一ベンダーに縛り直します。
その一方で、実際の痛みが「製品が多すぎること」であることはまれです。痛みは、製品同士が会話しないことにあります。それぞれが独自のコンソール、独自の資産一覧、独自の深刻度の尺度、そして「アラート」とは何かについての独自の考えを持っています。アナリストは画面を行き来し、エクスポージャーのデータは検知のデータと決して出会わず、「悪用可能な弱点のうち、実際に最重要システムへ到達し得るのはどれか」という取締役会の素朴な問いに、誰も答えられません。
「ベンダー中立」が実際に意味すること
中立の基盤はモデルを反転させます。データを自分のものにしたがるもう一つの製品になるのではなく、すでに運用しているものに接続し、その出力を入力として扱う統制のレイヤーになります。認定コネクタが各ソースのAPI経由で、通常はOAuthを用い、資格情報を暗号化された保管庫に保持したまま取得し、共通のスキーマへ書き込みます。
決定的なのは正規化です。あるベンダーのエンドポイントのアラート、別のベンダーのクラウドの設定ミス、スキャナーが出したCVEは、資産・ID・イベント・検出結果という共通のモデルに写像されるまで、互いに何の共通点も持ちません。そのモデルをOCSFのようなオープン標準に整合させれば、検知ルールやエクスポージャーの問い合わせを一度書くだけで、接続されたすべてのソースに対して実行できます。後で製品を入れ替えても、その上に築いた分析が壊れることはありません。
出所：何が本物かを知る
中立の基盤は、成熟度の大きく異なるデータを取り込みます。あるコネクタからは本番の最新テレメトリ、別のコネクタからはサンプルのエクスポート、概念実証の期間中には模擬データ。これらを混同するのは危険です。規律ある手法は、取り込んだすべてのレコードに出所（実データ、サンプル、模擬）を付し、その表示を画面に出すことです。そうすればアナリストも監査人も、その検出結果が実際の顧客テレメトリを反映しているのか、デモ用のデータなのかを常に把握できます。
この出所の規律こそが、規制環境において中立の基盤を信頼に足るものにします。同じ正規化済みのレコードが、元のシステムとデータの種別の両方を保持できるため、来歴が曖昧になることがありません。
テレメトリから事業リスクへ
データが正規化されれば、より価値の高い層が可能になります。検知はコネクタから供給されるイベントの上で動き、文脈を踏まえたスコアリングとSLA管理を伴うケースへとつながります。最重要資産や特権IDに関するアラートは、テスト機上の同じアラートより上位に置かれます。エクスポージャーのグラフは、インターネットに面した侵入口から重要資産までの攻撃経路を、CISA KEVやEPSSといった実世界の悪用可能性のシグナルで重み付けして順位付けします。そしてFAIRによる定量化が、それらすべてを年間予想損失へと変換します。サイバーリスクが、他のあらゆる全社的リスクと同じ財務の言葉で表されるのです。
これらの層はいずれも、元のデータをどのベンダーが生み出したかを気にしません。それこそが要点です。基盤の知見は、すでに信頼している構成の上に積み上がり、その構成が変化しても働き続けます。
オープンソースの居場所
ベンダー中立は、低コストの道も開きます。高価なEDRやSIEMの予算がないチームでも、Wazuhのテレメトリと、Nuclei、Trivy、Semgrepのようなオープンなスキャナーの検出結果を集め、同じ正規化モデルに流し込むことで、高額なライセンスなしに実用的なSOCとエクスポージャーのプログラムを得られます。基盤にとって、その検出結果が数千万円規模の商用スキャナー由来かオープンソース由来かは関係ありません。同じように相関させ、同じように優先順位を付けます。
ここから得られる教訓は、統合と選択の自由は対立しないということです。適切なアーキテクチャは知見を統合し、一つのモデル、一つのケースのキュー、一つのリスクの全体像にまとめる一方で、その下にある製品の選択は開かれたままにします。