「脅威インテリジェンス」という言葉を、セキュリティ製品の案内やニュースで目にする機会が増えています。攻撃者の動きや手口を先回りして把握し、被害を防ぐための取り組みですが、「自社に本当に必要なのか」「専任の担当者もいないのに運用できるのか」と判断に迷う声も少なくありません。
本記事では、脅威インテリジェンスとは何かを従来のセキュリティ対策との違いから整理し、国内の脅威動向をもとに必要とされる理由を解説します。そのうえで、自社に必要か・まだ基礎的な対策が先かを見極める判断軸と、限られた体制でも始められる現実的な進め方を紹介します。
情報収集の段階にある担当者が、自社の状況に合わせて次の一歩を考えるための材料としてご活用ください。
目次
一括ダウンロードする
脅威インテリジェンスとは？従来の対策と何が違うのか
ここからは、脅威インテリジェンスという言葉の意味を、従来のセキュリティ対策との違いから押さえていきます。結論から言えば、脅威インテリジェンスは特定の製品やツールの名前ではなく、外部の脅威情報を集めて分析し、自社の対策の判断に活かす取り組みそのものを指します。
IPAの中核人材育成プログラムで作成された「脅威インテリジェンス導入・運用ガイドライン」は、脅威インテリジェンスを次のように定義しています。
脅威インテリジェンスとは、サイバーセキュリティに関する脅威情報を収集・加工し、またそれらを分析することによって得られるインテリジェンスに基づく組織のセキュリティ対応における意思決定のライフサイクルを指す
出典：脅威インテリジェンス導入・運用ガイドライン｜IPA 中核人材育成プログラム
同ガイドラインは、脅威インテリジェンスを「特定のツールやサービスを意味するものではなく」、脅威情報をもとに戦略・運用・戦術のレベルで意思決定を行うための情報を作成・提供する取り組み自体だと説明しています。何か1つの製品を導入すれば完結するものではなく、外部の脅威情報を自社の判断に結びつける一連の流れが本質だと言えます。
ウイルス対策・ファイアウォール・EDRとの違い
ウイルス対策ソフトやファイアウォール、EDR（エンドポイントでの検知・対応を行う仕組み）といった従来の対策は、自社に入ってこようとする脅威や、すでに入り込んだ不審な動きに対処する「守りの内側」の対策です。これに対して脅威インテリジェンスは、どのような攻撃者が、どの業種を、どんな手口で狙っているかという「外側の情報」を先に知り、自社の守りに反映させる点に違いがあります。
たとえば、ある業種を標的にするランサムウェアの攻撃手口が出回っているとわかれば、その手口で悪用される脆弱性を優先して塞いだり、関連する不審な通信を重点的に監視したりできます。
従来の対策が「来たものにどう対応するか」だとすれば、脅威インテリジェンスは「何が来そうかを先に知り、備えを調整する」ための取り組みと整理できます。両者は置き換えの関係ではなく、外側の情報で内側の守りの精度を高める補完の関係にあります。
脅威インテリジェンスの種類
脅威インテリジェンスは、使う目的と読み手に応じていくつかの種類に整理されます。先の「脅威インテリジェンス導入・運用ガイドライン」では、戦略・運用・戦術の3つに分類しています。
この3つは、使う人と目的によって分かれます。
- 戦略的インテリジェンス：経営層の投資判断を支える（例：自社の業界を狙う攻撃グループの動向や、関連する法規制の変化をまとめた経営層向けレポート）
- 運用インテリジェンス：攻撃手法を理解し、短期から中期のセキュリティ改善につなげる（例：特定のランサムウェアグループが使う侵入・内部拡大の手口（TTPs）の分析）
- 戦術的インテリジェンス：日々の運用で、攻撃の兆候や脆弱性情報をもとに短期的な予防・検知・対応に使う（例：悪意のある IP アドレス・URL・ファイルハッシュなどの IoC（侵害の痕跡）や、脆弱性情報（CVE））
さらに、攻撃者の戦術・技術・手順（TTPs）やマルウェアの痕跡（IoC）といった技術的な指標を、技術的インテリジェンスとして別立てで扱う整理も一般的に見られます。
出典・参考資料（1件）
この3層のうち、経営層が気にするのはどの脅威に備えるべきかという大きな方針で、現場の担当者が日々使うのは具体的な攻撃の兆候や脆弱性情報です。自社のどの立場の人が、何を判断するために脅威情報を使うのかを意識すると、必要な種類が見えてきます。
なぜ今、脅威インテリジェンスが必要とされるのか
まず、脅威インテリジェンスが必要とされる理由を、国内の被害動向から確認します。背景には、攻撃の件数と巧妙さが増し、被害が中小企業にも及び、復旧の負担が重くなっているという実態があります。
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年（2025年）のランサムウェアの被害報告件数は226件で、依然として高い水準で推移しています。被害企業の内訳を見ると、規模と業種には次のような傾向があります。
ランサムウェア攻撃の被害企業について、組織の規模別で見ると、前年と同様に中小企業が約６割を占めている。業種別では、製造業が約４割を占め、続いて卸売・小売業、サービス業、情報通信業が上位となっているが、様々な業種で被害が確認されている。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
被害は大企業だけの問題ではなく、中小企業が約6割を占めています。被害が製造業に集中している背景には、取引先を経由して攻撃が広がるサプライチェーンのリスクがあるとされ、大手企業と取引する中堅・中小企業にとって見過ごせない傾向です。同じ報告書は、復旧の負担についても次のように示しています。
復旧に総額 1,000 万円以上を要した組織の割合は全体の５割を超えている。また、復旧に要した期間については、１か月未満で復旧した組織の割合は全体の５割強に留まるなど、被害が長期化する傾向にあり
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
一度被害に遭うと、復旧費用が1,000万円を超える企業が半数を上回り、復旧にも時間がかかります。攻撃を受けてから対応するだけでは、事業への打撃が大きくなりがちです。脅威インテリジェンスは、こうした攻撃の動向を事前に把握し、限られた人手と予算をどこに向けるかを判断するための材料になります。どの脅威に備えるべきかの優先順位を外部の情報で裏づけられれば、対策投資の根拠を経営層に説明しやすくもなります。
攻撃の種類も広がっています。IPAが公表する「情報セキュリティ10大脅威 2026」（2025年に社会的影響が大きかった事案が対象）では、組織向けの脅威の1位がランサム攻撃（11年連続）、2位がサプライチェーンや委託先を狙った攻撃（8年連続）でした。
自社だけでなく取引先を経由した攻撃にも注意が必要な時代になっており、外部の脅威情報を取り込む意義は年々高まっています。取引先や委託先を踏み台にする手口や、取引関係全体での備え方を詳しく知りたい方は『サプライチェーン攻撃とは？3つの手口・被害事例・取引先を含めた対策を解説』もあわせてご覧ください。
出典・参考資料（1件）
自社に脅威インテリジェンスは必要か、まだ不要かの線引き
脅威インテリジェンスは有用な取り組みですが、すべての企業がいますぐ本格的に取り組むべきものとは限りません。自社に必要かどうかは、次の4つの軸で考えると判断しやすくなります。
- 規模：従業員数や拠点数、守るべき情報資産の量
- 業種：金融・インフラなど標的になりやすい業種か、大手企業と取引するサプライチェーンの一員か
- 体制：セキュリティの専任担当者がいるか、情報システムを兼任で見ているか
- 現状の対策レベル：ファイアウォール・ウイルス対策・EDRといった基礎的な対策がどこまで整っているか
この4軸は、どちらか一方で白黒がつくものではなく、組み合わせて自社の状況を見るための目安です。次の表に、各軸で「前向きに検討するサイン」と「まず基礎対策を優先するサイン」を整理しました。自社がどちらに傾くかの目安としてご覧ください。
| 必要性の自己チェック | 規模 | 業種 | 体制 | 現状の対策レベル |
|---|---|---|---|---|
| 前向きに検討するサイン | 多くの端末・拠点を持ち、守るべき情報資産が大きい | 金融・インフラ・医療など標的になりやすい、または大手企業と取引するサプライチェーンの一員（製造業など） | セキュリティの専任担当やチームがあり、集めた情報を日々の運用に反映できる | ファイアウォール・ウイルス対策・EDRなどの基礎対策を一通り導入済みで、次の投資を検討している |
| まず基礎対策を優先するサイン | 端末数が少なく、守る範囲が限られている | 外部との接点が小さく、取引上のセキュリティ要請も特にない | 情報システムを兼任で見ており、脅威情報を継続的に扱う人手を割きにくい | 基礎的な対策がまだ十分に整っていない |
複数の軸でサインが分かれる場合は、基礎対策と運用体制が整っているかを第一の基準にします。ファイアウォールやウイルス対策などの基礎と、それを運用する体制がまだ整っていなければ、業種や規模にかかわらず、まずそこを固めることが優先されます。
以下では、前向きに検討すべき企業の条件と、まず基礎対策を優先してよいケースを、もう少し具体的に見ていきます。
導入を前向きに検討すべき企業の条件
次のような企業は、脅威インテリジェンスの活用を前向きに検討する価値があります。4つの軸のうち複数に当てはまるほど、優先度は高いと考えられます。
- 金融・重要インフラ・医療など、攻撃者に狙われやすく、事業停止の影響が大きい業種の企業
- 大手企業と取引し、サプライチェーンの一員としてセキュリティ水準の説明を求められる企業（製造業など）
- ファイアウォール・ウイルス対策・EDRなどの基礎的な対策を一通り導入し終え、次に何へ投資すべきかを検討している企業
- セキュリティの専任担当やその役割を担うチームがあり、集めた脅威情報を日々の運用に反映できる体制がある企業
これらに当てはまる企業は、攻撃を受けやすい立場にありながら、集めた情報を活かす素地も整っています。外部の脅威情報を取り込むことで、限られた資源をどの脅威への備えに向けるかを判断しやすくなります。
まずは基礎対策を優先してよいケース
一方で、脅威インテリジェンスはどの企業も即座に活かせるわけではありません。先の「脅威インテリジェンス導入・運用ガイドライン」も、活用には一定のセキュリティ成熟度が前提になると述べています。
ただし、脅威インテリジェンスの導入にあたり、どの企業も即座に活用できるわけではない。インテリジェンスを活用するためには、一定レベルのセキュリティ成熟度が必要である。
出典：脅威インテリジェンス導入・運用ガイドライン｜IPA 中核人材育成プログラム
同ガイドラインは、活用の前提として「セキュリティを念頭にシステム計画、構築、維持を行う体制がある」ことと、「シグネチャベースの検知・対応をとる体制がある」ことの2点を挙げています。シグネチャとは既知の攻撃パターンのことです。ファイアウォールやウイルス対策といった基礎的な守りと、それを運用する体制がまだ整っていない段階では、脅威情報を集めても活かしきれません。
そのため、次のような企業は「脅威インテリジェンスが不要」なのではなく、まず足元の基礎対策を固めることを優先するのが現実的です。これは、基本的な守りを固めてから高度な取り組みに進むという、一般的なセキュリティ対策の順序とも一致します。
- ファイアウォールやウイルス対策など、基本的な対策がまだ十分に整っていない企業
- 情報システムを兼任で見ており、新たに脅威情報を継続的に扱う人手を割きにくい企業
- 外部との接点や守るべき情報資産が小さく、まずは端末や通信の基本的な保護から着手したい企業
こうした企業も、基礎対策が整えば脅威インテリジェンスを活かせる段階に進みます。今の優先順位を見極めることが、限られた予算を無駄にしない第一歩です。基礎対策を固めながら、無理のない範囲で外部情報の活用を少しずつ試す進め方も選べます。その具体的な手順は次の章で紹介します。
まず足元の基礎対策から固めたい場合、限られた予算と人手の中で何を優先し、どこから着手すればよいかに迷う企業は少なくありません。費用感を含めたやるべきことの順序は、以下の記事で整理しています。
一括ダウンロードする
限られた体制で、何から始めればよいか
専任の担当者を置きにくい企業でも、脅威インテリジェンスへの取り組みは段階を踏んで始められます。いきなり高価な専用基盤を導入する必要はありません。次の3つのステップは、まず自社の現状を把握し、無償の情報源で感覚をつかみ、必要に応じて外部に委託するという取り組みの順序で並べています。どこまで進めるかは、自社の体制や予算に合わせて選べます。
ステップ1：まず自社が侵害されていないかを確認する
外部の脅威情報を集める前に、まず自社の現状を知ることが出発点になります。すでに端末やネットワークに侵入されていないか、不審な通信や操作の痕跡が残っていないかを確認しておくと、優先して対処すべき問題があるかどうかが見えてきます。
自社に専門の人員がいない場合は、端末のログを解析して侵害の痕跡を調べる診断サービスを使う方法もあります。まず現状を把握し、問題がなければ安心材料に、問題があれば最優先の対処対象になります。この段階は、脅威情報の活用に進む前の土台づくりにあたります。
ステップ2：無償の脅威情報源や業界の情報共有を活用する
脅威情報の収集は、有償の専用サービスを契約しなくても、公的機関やコミュニティが無償で公開している情報源から始められます。代表的なものとして、国内のインシデント対応を担うJPCERTコーディネーションセンター（JPCERT/CC）の注意喚起があります。同センターは、自らの役割を次のように説明しています。
日本国内に関するインシデント等の報告の受け付け、対応の支援、発生状況の把握、手口の分析、再発防止のための対策の検討や助言などを、技術的な立場から行なっています。
出典：JPCERT/CCについて｜JPCERTコーディネーションセンター
海外では、米国の政府機関であるCISA（サイバーセキュリティ・インフラセキュリティ庁）が、進行中の脅威や攻撃者の手口に関するアラートやアドバイザリを無償で公開しています。さらに、参加者が匿名で脅威データを共有しあうコミュニティ型のOpen Threat Exchange（OTX。現在はLevelBlueが提供、旧AlienVault）のように、無償で使える脅威情報の共有基盤もあります。
出典・参考資料（2件）
同じ業種の企業どうしで脅威情報を共有する「ISAC」と呼ばれる組織もあります。たとえば金融業界には金融ISACがあり、自らの目的を次のように掲げています。
金融ISACは、日本の金融機関によるサイバーセキュリティに関する情報の共有及び分析を行い、金融機関の安全性の向上を推進することにより、利用者の安心/安全を継続的に確保することを目的としています。
出典：一般社団法人 金融ISAC
金融以外にも、情報通信分野のICT-ISACなど業種ごとの組織があります。自社の業界に該当する組織があれば、加入を通じて同業で起きている攻撃の情報を得られます。無償の情報源は、まず「外部の脅威情報を自社の対策に取り込む」感覚をつかむのに適しています。
ステップ3：外部の専門家に運用を委託する
収集した脅威情報を日々読み解き、自社の対策に反映し続けるには、相応の人手と専門知識が必要です。専任の担当者を置けない場合は、外部の専門事業者に監視や分析を委託する方法が現実的な選択肢になります。
委託できる範囲は、脅威情報の監視・分析だけを任せる形から、検知した脅威への対応支援までと幅があります。自社では導入方針の決定や社内への共有といった要の部分だけを担い、手間のかかる監視・分析を外部に預ければ、少ない人数でも運用を続けやすくなります。無償の情報源の活用にとどめるか、一部を外部に委ねるかは、自社の体制に合わせて判断するとよいでしょう。
運用の流れ（方針策定から評価まで）
どの段階まで取り組む場合でも、運用全体の流れを知っておくと、集めた情報を対策につなげやすくなります。脅威インテリジェンスの運用は、一度きりの作業ではなく、繰り返し回していく流れとして整理されます。先の「脅威インテリジェンス導入・運用ガイドライン」は、この流れを5つのフェーズに分けています。
本書では脅威インテリジェンスのライフサイクルは①方針策定、②収集・加工、③分析、④配布、⑤評価の 5 つのフェーズに分類する
出典：脅威インテリジェンス導入・運用ガイドライン｜IPA 中核人材育成プログラム
簡単に言えば、何のために脅威情報を集めるかという方針を決め（方針策定）、実際に情報を集めて使える形に整え（収集・加工）、自社への影響を分析し、必要な人に届けて対策の判断に活かし（配布）、その結果をふり返って次に活かす（評価）、という流れです。小さく始める場合でも、集めた情報を「誰が・何の判断に使うか」を決めておくと、情報が集めっぱなしにならず対策につながります。
脅威インテリジェンスを活かすサービス・解決策
最後に、脅威インテリジェンスの考え方を実際の対策に落とし込む際に役立つサービスを紹介します。外部の脅威情報を踏まえて社内ネットワークの異常を検知するもの、端末を守るもの、すでに侵害されていないかを診断するものと、取り組む段階に応じて選べる3つを取り上げます。
これらは脅威インテリジェンスのフィードそのものを販売するサービスではなく、集めた脅威情報を実際の守りに活かしたり（ネットワークの監視・端末の保護）、取り組みの出発点となる現状把握（侵害の有無の診断）を担ったりするものです。脅威情報の収集自体は、先に紹介した無償の情報源や外部への委託で補えます。
以下は、ご紹介するサービスの比較表です。
| サービス名 | Network Blackbox | Eye"247" Safety Zone | CoWorker 端末侵害診断サービス |
|---|---|---|---|
| タイプ | NDR（ネットワーク検知・対応） | EPP＋EDR（エンドポイント保護） | 端末フォレンジック診断（事後調査型） |
| 守る・調べる対象 | 社内ネットワークの通信（パケット） | 業務用の端末（PC） | 業務用の端末（PC）のログ |
| 実践での役割 | 外部の脅威情報を踏まえ、社内ネットワークの異常を検知する | 端末へのマルウェア侵入を防ぎ、侵入後の挙動も検知・対応する | すでに侵害や情報持ち出しが起きていないかを事後に確かめる |
| 主な機能・特徴 | シグネチャ・振る舞い・コンテンツ分析の3方式で検知し、通信を保存して事後調査が可能。MITRE ATT&CKベースの脅威ハンティングに対応（外部脅威情報のSTIX/TAXII取り込みはXDR「QUADX」併用時の機能） | Bitdefenderと共同開発した検知エンジンを採用。振る舞い検知、ランサムウェア監視とファイルの自動バックアップ・復元、フィッシングサイトの自動ブロックを搭載 | 端末ログをAI「Blue Agent」と専門家が解析。退職者PCの持ち出し調査や在籍PCの定期点検に対応し、速報は1週間以内 |
| 提供形態 | アプライアンス設置型（All-in-One／分散構成のExtendの2モデル） | 端末にインストールするソフト＋ブラウザ管理コンソール | 専用ツールでログを収集し解析を委託（スポット／定期、現地対応も可） |
| 料金 | 要問い合わせ | 要問い合わせ | 要問い合わせ （1台単位・台数割あり） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
個別のサービスを見る前に、社内セキュリティ全体をどのタイプの対策で固めるかを整理しておきたい場合は、守る対象別のタイプや代表的なサービス、選び方をまとめた以下の記事が参考になります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
各サービスの紹介
1. Network Blackbox（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンが提供するNetwork Blackboxは、社内ネットワークを流れる通信（パケット）そのものを丸ごと記録・保存する点を土台にしたNDR（ネットワーク検知・対応）製品です。一般的なイベントログの収集と違い、通信の中身まで残すため、不審な動きを検知した後に、その通信をさかのぼって詳しく調べられます。
検知は、既知の攻撃パターンに基づくシグネチャ検知、利用者の普段の行動と異なる動きを捉える振る舞いベースの検知、送受信ファイルの内容を調べるコンテンツ分析の3方式を併用します。脅威ハンティングでは、攻撃者の手口を体系化したMITRE ATT&CKと収集データを突き合わせ、潜在的な脅威を探索できます。
外部の脅威情報を共通の形式で取り込みたい場合は、同社が別に提供するXDR（端末やネットワークなど複数の領域を横断して脅威を検知・対応する基盤）プラットフォーム「QUADX」と組み合わせた構成で、脅威情報の標準規格であるSTIX/TAXIIに対応した取り込みができるとされています（QUADX側の機能）。
EDRでは守りにくい機器も含め、ネットワーク側から通信を監視したい企業に向いた選択肢です。料金は要問い合わせとなっています。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）
パソコンなどの端末そのものを守るエンドポイントセキュリティソフトが、株式会社フーバーブレインのEye”247″ Safety Zoneです。マルウェアの侵入を防ぐEPP（端末の保護）と、侵入後の不審な挙動を検知・対応するEDRを組み合わせ、Bitdefenderと共同開発した検知エンジンを採用しています。
アプリケーションの動作を常時監視する振る舞い検知に加え、ランサムウェアの動きを監視してファイルを自動でバックアップし、万一のときに直近の状態へ復元する機能を備えます。フィッシングサイトの自動ブロックやWebアクセスの制御、ブラウザから各端末の状況を一元管理できるコンソールも用意されています。
専任のセキュリティ担当者を置きにくい中堅・中小企業に適しており、基礎的な端末対策を固めたい段階の企業に向いています。料金は導入台数や契約期間に応じた個別見積もりです。
3. CoWorker 端末侵害診断サービス（CoWorker株式会社）
すでに攻撃を受けていないかを過去にさかのぼって調べられるのが、CoWorker株式会社のCoWorker 端末侵害診断サービスです。会社が管理するパソコンのログを解析し、ランサムウェア感染や情報漏洩、内部不正の痕跡がないかを確認します。端末の挙動を調べるフォレンジックという手法を、自社開発のAIエージェントで高速化している点が特徴です。
用途は大きく2つあり、退職者のパソコンから機密情報の持ち出しがなかったかを確認する調査と、在籍社員の支給パソコンを定期的に点検して感染や内部不正の有無を確かめる使い方があります。
診断は、送られてくる実行ファイルをクリックして収集したデータを解析する形で進み、情報を外部に出したくない場合は現地対応にも応じています。「まず自社がすでに侵害されていないかを手早く確かめたい」というニーズに応えるサービスで、脅威インテリジェンスに取り組む前の現状把握の手段として活用できます。
料金は1台あたりの価格に対し、台数に応じたボリュームディスカウントが適用される個別見積もり方式です。
実際にどのような場面で使われているのか、提供元のCoWorker株式会社は次のように説明しています。
ありがたいことに、フォレンジックに関するご相談は徐々に増えてきています。多いのは、退職された方のPCから情報の持ち出しがなかったかを確かめたいという、内部不正の調査のご相談です。最近では、Webサービスで広く使われているソフトウェアに深刻な脆弱性が公表されたことをきっかけに、「自社のサーバーや端末がすでに侵害されていないか、まずは手早く確かめたい」というご相談も増えています。
まとめ
脅威インテリジェンスは、特定の製品ではなく、外部の脅威情報を集めて分析し、自社の対策の判断に活かす取り組みです。国内では中小企業を含めて被害が広がり、復旧の負担も重くなっているため、どの脅威に備えるかを外部情報で判断する意義は高まっています。
一方で、活用には一定の基礎対策と運用体制が前提になります。自社に必要かどうかは、規模・業種・体制・現状の対策レベルの4つの軸で見極め、基礎が整っていなければまずそこを固めるのが近道です。
必要と判断した場合も、無償の情報源や業界の情報共有から小さく始め、必要に応じて社内ネットワークの監視や端末の保護、侵害の有無の診断といった具体策を組み合わせていくとよいでしょう。自社の状況に合うサービスの資料を比較しながら、次の一歩を検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脅威インテリジェンスとは何ですか？
A. 脅威インテリジェンスとは、外部のサイバー脅威情報を収集・分析し、自社のセキュリティ対策の意思決定に活かす一連の取り組みです。特定の製品やツールの名称ではなく、攻撃者の手口やどの業種が狙われているかといった「外側の情報」を集め、自社がどの脅威に優先して備えるべきかを判断するための仕組みを指します。
Q. 脅威インテリジェンスはすべての企業に必要ですか？中小企業にも必要ですか？
A. 脅威インテリジェンスは企業規模を問わず有用ですが、活用にはファイアウォールやウイルス対策といった基礎的な守りと、それを運用する体制が前提になります。中小企業が標的から外れているわけではなく、警察庁の調査ではランサムウェア被害企業の約6割を中小企業が占めています。
そのため「大企業だけの話」ではありませんが、基礎対策がまだ整っていない段階では脅威情報を集めても活かしきれません。まず足元の対策を固め、その先で取り入れるのが現実的です。
出典・参考資料（2件）
Q. 脅威インテリジェンスと脅威情報（脅威フィード）の違いは何ですか？
A. 脅威フィードが攻撃元のIPアドレスやマルウェアの痕跡といった「生の指標」を機械的に配信するものであるのに対し、脅威インテリジェンスはその指標に文脈と分析を加え、「自社が何をすべきか」という判断に使える形にしたものです。フィードはインテリジェンスを作るための材料の一つで、受け取っただけでは対策に直結しません。誰が・何の判断に使うかを決めて初めて、情報が意思決定につながります。
Q. 脅威インテリジェンスはEDRやSIEMと何が違いますか？
A. EDR（端末での検知・対応）やSIEM（各種ログを集めて相関分析する仕組み）が自社の端末やログに現れた脅威を「内側」で検知・対応するものであるのに対し、脅威インテリジェンスはどの攻撃者がどの業種をどんな手口で狙っているかという「外側」の情報を先に知り、守りに反映させる取り組みです。両者は置き換えの関係ではなく、外側の情報で内側の検知の精度や対応の優先順位を高める補完の関係にあります。
Q. 脅威インテリジェンスは無料で始められますか？
A. 脅威インテリジェンスは、有償の専用サービスを契約しなくても、公的機関やコミュニティが無償で公開している情報源から始められます。国内のインシデント対応を担うJPCERT/CCの注意喚起、米国CISAのアラート、匿名で脅威データを共有するOpen Threat Exchange（OTX）などが代表例です。
まずは無償の情報源で「外部情報を自社の対策に取り込む」感覚をつかみ、必要に応じて有償サービスや外部委託を検討するとよいでしょう。
Q. 脅威インテリジェンスの導入にはどれくらいの費用がかかりますか？
A. 脅威インテリジェンスの費用は、無償の情報源の活用から、有償サービスや外部委託による運用までと幅が広く、取り組む範囲によって大きく変わります。無償の情報源やISACの活用だけなら0円から始められますが、有償サービスや外部委託は個別見積もり（要問い合わせ）が多く、一律の相場は示しにくいのが実情です。
投資を判断する際は、ランサムウェア被害では復旧費用が1,000万円を超える企業が半数を上回るという国内の実態と、自社が負うリスクを照らし合わせると、必要な投資水準を見極めやすくなります。
出典・参考資料（1件）
Q. 専任のセキュリティ担当者がいなくても脅威インテリジェンスを運用できますか？
A. 専任担当者がいない企業でも、無償の情報源の活用や、外部の専門事業者への監視・分析の委託から始めれば運用は可能です。収集した情報を日々読み解いて対策に反映し続けるには人手と専門知識が要るため、自社で抱え込まず、担える範囲だけ内製し、残りを外部に委ねる形が現実的です。小さく始める場合でも、集めた情報を「誰が・何の判断に使うか」を決めておくと、情報が集めっぱなしになりません。
Q. 脅威インテリジェンスはランサムウェア対策に役立ちますか？
A. 脅威インテリジェンスは、ある業種を狙うランサムウェアの攻撃手口を事前に把握し、悪用される脆弱性を優先して塞いだり、関連する不審な通信を重点的に監視したりすることで、被害の予防に役立ちます。攻撃を受けてから対応するのではなく、何が来そうかを先に知って備えを調整できる点が、従来の「守りの内側」の対策にはない価値です。
Q. 脅威インテリジェンスにはどのような種類がありますか？
A. 脅威インテリジェンスは、使う目的と読み手に応じて経営層の投資判断を支える「戦略的」、攻撃手法の理解と中期的な改善につなげる「運用」、日々の予防・検知・対応に使う「戦術的」の3つに分類されます。これに、攻撃者の戦術・技術・手順（TTPs）やマルウェアの痕跡（IoC）といった技術的指標を扱う「技術的インテリジェンス」を別立てで加える整理も一般的です。
自社のどの立場の人が、何を判断するために使うのかを意識すると、必要な種類が見えてきます。
Q. MITRE ATT&CKやSTIX/TAXIIとは何ですか？
A. MITRE ATT&CKは攻撃者の手口（戦術・技術）を体系化した共通の知識ベース、STIX/TAXIIは脅威情報をコンピュータ間でやり取りするための標準形式で、標準化団体のOASISが策定しています。これらは脅威情報を整理・共有するための「共通言語」にあたり、製品やサービスが外部の脅威インテリジェンスを取り込む際の土台になります。
ただし対応範囲は製品ごとに異なるため、導入時は各サービスの仕様を確認することが大切です。
Q. 脅威インテリジェンスに取り組む前に、まず何をすべきですか？
A. 外部の脅威情報を集める前に、まず自社がすでに侵害されていないか、不審な通信や操作の痕跡が残っていないかを確認することが出発点になります。専門の人員がいない場合は、端末のログを解析して侵害の痕跡を調べる診断サービスを使う方法もあります。現状を把握し、問題がなければ安心材料に、問題があれば最優先の対処対象になり、その先で脅威情報の活用に進めます。
Q. ISACとは何ですか？脅威インテリジェンスとどう関係しますか？
A. ISACとは、同じ業種の企業どうしでサイバー攻撃の情報を共有・分析する組織で、脅威インテリジェンスを無償で得られる有力な手段の一つです。金融業界の金融ISACや情報通信分野のICT-ISACなど業種ごとの組織があり、同業で実際に起きている攻撃の情報を得られます。自社の業界に該当する組織があれば、加入を通じて外部の脅威情報を自社の対策に取り込めます。
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、社内ネットワークの監視や端末の保護、侵害診断など、脅威インテリジェンスを実践に落とすためのサービスの最新資料を無料で一括請求できます。機能や提供形態を比べながら、自社に合う対策を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
