エージェント型AI時代の、
セキュリティを統合する構想。
公式発表の要約ServiceNowは2026年8月4日、Autonomous Securityの構想を発表しました。背景にあるのは、AIエージェントの増加に伴うリスク露出の拡大です。人的チームや分断された防御ツールだけでは追いつけないという課題に対し、資産・権限・対応業務を統合する方向を示しています。[1]
Shift Zeroが目指すもの
その目標が「Shift Zero」です。脆弱性に限らず、攻撃につながり得る露出を常時ゼロにすることを目指し、予防と統制を組み込む考え方です。常に脆弱性ゼロを保証する製品という意味ではありません。[1]
ArmisとVezaが、構想の土台になる
ServiceNow傘下に加わったArmisは接続資産の可視化を、Vezaは人・マシン・AIの実効権限の把握を担います。これらの情報を、統制された対応へつなぐ構想です。[1]
Numberが注目するのは、
脆弱性対応を進めるAI。
Numberの視点この構想の中で、私たちが特に注目しているのが、Vulnerability Resolution AI Specialistです。
公式発表では、脆弱性の仕分け・修復を調整し、低リスクのパッチを実行する役割が示されています。[1]
ここに期待するのは、実行までの判断を前に進めることです。修復の必要性を認識していても、「このシステムに、いま適用して大丈夫か」を判断できず、手が止まる。そうした現場にとって、実行可能なパッチの候補が分かることには大きな意味があります。
図：Numberが期待する活用の方向性。上記すべてが製品の標準機能として確認されたものではありません。
「適用できるパッチが分かる」
だけでも、現場は変わり得る。
日本企業への適用についての考察日本企業への適用を考えるとき、私たちが重視するのは、利用部門と運用部門の間にある情報の分断です。部門が縦割りになっている環境では、システムの影響範囲を確かめるだけで、多くの確認と調整が必要になるケースがあります。
運用部門はサーバーの構成を把握していても、そのサーバー上で動く業務の締め日までは分からない。利用部門は止められない業務を知っていても、どの機器やソフトウェアに依存しているかは分からない。さらに、保守や運用を外部に委託していれば、確認先は増えていきます。
例えば、パッチ適用に再起動が必要な場合。「夜間なら止められる」と考えても、別部門のバッチ処理が動いているかもしれません。こうした依存関係を一つずつ確かめる過程で、修復が先送りされることがあります。
| 判断が止まる理由 | 期待する支援 | 必要になる情報 |
|---|---|---|
| 業務への影響が分からない | 影響先と、確認すべき部門を整理する | 資産と業務の関係、依存先、担当者 |
| 適用してよいか判断できない | 適用条件を満たす候補と、追加確認が必要な候補を分ける | 変更基準、テスト結果、停止可能時間 |
| 承認に必要な根拠が揃わない | 判断材料と残る不確実性をまとめる | 変更履歴、復旧手順、承認ルール |
表はNumberによる活用仮説です。製品の実装仕様や導入効果を示すものではありません。
このような情報を踏まえ、エージェントが低リスクと判断できる条件を確認し、「このパッチは適用候補になる」「こちらは追加確認が必要」と示せるなら、全面的な自動実行に至る前から価値が生まれます。
実行可能なパッチが分かる。それだけでも、セキュリティ運用の現場が変わる可能性があります。担当者は確認作業を最初から繰り返す時間を減らし、判断が難しい案件へ力を向けられるようになるからです。
自社で運用するために、
まず整えること。
自社で活用するための第一歩は、いま人が行っている判断を、AIも参照できる情報とルールにすることです。対象システムや業務への影響、適用の条件を明確にする作業は、将来のAI活用に備えると同時に、現在のパッチ運用を改善することにもつながります。
1. 対象とするシステムを決める
まずは対象を絞り、管理者・利用部門・運用担当者を明らかにします。そのうえで、どの業務を支えているか、どのシステムやバッチ処理とつながっているかを整理します。利用部門と運用部門の双方で確認し、情報が不足している箇所も分かる状態にしておくことが重要です。
2. パッチ適用の判断基準を揃える
現在、担当者が何を確認して適用可否を決めているかを洗い出します。停止可能時間、事前テスト、承認条件、バックアップ、復旧手順などを整理し、適用してよい条件と、追加確認が必要な条件を明文化します。ここでいう低リスクは、脆弱性の深刻度だけでは決まりません。変更による業務への影響も含め、自社の運用に即して定める必要があります。
3. 人が確認する範囲を決める
最初は、AIが提示した適用候補と判断根拠を、担当者が確認する運用から始めることが考えられます。情報が足りない場合、担当部門の見解が分かれる場合、重要な業務に影響する場合など、人へ引き継ぐ条件を定めます。判断根拠と実行結果を記録し、自動化を広げられる範囲を見極めていきます。
これらの準備を進めながら、製品が参照できるデータや判断支援の範囲を確認し、自社のルールと結び付けます。Numberは、この情報整理と業務設計が、日本企業でAIによるセキュリティ運用を始める土台になると考えています。
出典・参考情報
本記事は公式発表に基づく要約と、Numberによる独自の考察を含みます。ServiceNowによる公式見解ではありません。製品名・商標は各権利者に帰属します。