サイバーセキュリティ情報は複数の情報源から継続的に公開されます。すべてを人が確認するのではなく、自社環境との関連性と重要度を整理し、担当者が優先して確認すべき情報を届ける仕組みが必要です。
本プロジェクトでは、情報収集 → AI分析 → 関連性・優先度評価 → 要約 → 通知／対話までを一つの処理系として設計・実装しました。
技術課題
- 情報源が分散している
複数ソースから異なる形式で発信される脅威・脆弱性情報を継続的に取り込む必要があります。 - 深刻度だけでは優先度が決まらない
一般的な重要度に加え、自社システムや利用環境との関連性を考慮する必要があります。 - 機密情報を扱う
自社のシステム構成や脆弱性情報を外部へ不用意に送れないため、処理経路を制御する必要があります。 - 重要情報を迅速に届ける必要がある
分析して終わりではなく、担当者が普段使う業務ツールまで通知する必要があります。
実装したアプローチ
- 脅威情報の自動収集・整理
複数ソースから情報を取り込み、後続分析に利用できる形式へ整理します。 - 関連性と優先度の分析
脅威内容と自社環境の情報を照合し、注目すべき情報を絞り込みます。 - 生成AIとプライベートLLMの使い分け
情報の機密性に応じて、外部の生成AIと閉域環境で動作するLLMを使い分けます。 - 要約・通知
重要な変化を短く要約し、SlackやTeamsなど既存のコミュニケーションツールへ通知します。 - 会話型アクセス
担当者が自然な言葉で質問し、関連する脅威情報を確認できる対話インターフェースへつなげます。
設計上のポイント
-
収集量より関連性を重視する
一般的な深刻度だけでは自社への影響を決められないため、収集した情報を自社のシステム構成や利用環境と照合する処理を組み込みました。
-
機密性で処理経路を変える
自社構成などの機密情報を一律に外部へ送らず、情報の区分に応じて外部の生成AIとプライベートLLMへ処理を振り分ける構成を採用しました。
-
通知まで含めて設計する
分析画面を新たに確認する負担を抑えるため、要約をSlackやTeamsへ通知し、詳しい内容は対話で確認できるようにしました。
まとめ
本案件では、複数情報源の収集に、自社環境との関連性の評価と、機密性に応じた処理経路の選択を組み込みました。要約・通知・対話まで実装し、収集した情報を担当者が確認できる一連の仕組みを構築しました。