サイバー攻撃の手口が年々巧妙になるなか、攻撃を受けてから動く受け身の守りから、攻撃の兆候を先回りして捉える体制づくりへと関心が移っています。その中心にあるのが「脅威インテリジェンス」ですが、調べ始めると「戦略的・戦術的・運用的・テクニカル」といった種類が出てきて、しかも記事によって3種類だったり4種類だったりと整理が割れています。
種類の違いが曖昧なままだと、「自社はどの種類を、どの仕組みで取り入れればよいのか」という肝心の判断にたどり着けません。情報システムやセキュリティ運用の担当者にとっては、まず種類の全体像を正しくつかむことが、製品選定や体制づくりの出発点になります。
本記事では、脅威インテリジェンスの種類を一覧表で先に示したうえで、各種類を「誰が・何のために使うのか」まで掘り下げます。あわせて、3分類と4分類で整理が割れる理由や、混同しやすい「情報源（OSINT など）」との違いも整理します。さらに、IOC（侵害の痕跡）を標準規格で取り込む方法や、自社がどの種類から着手すべきかの判断材料まで示します。
目次
一括ダウンロードする
脅威インテリジェンスとは
脅威インテリジェンスとは、サイバー攻撃に関する情報を集めて加工・分析し、組織のセキュリティ対応の意思決定に役立つ形にまとめた「知見」を指します。情報処理推進機構（IPA）のガイドラインは、これを一連のライフサイクルとして次のように定義しています。
脅威インテリジェンスとは、サイバーセキュリティに関する脅威情報を収集・加工し、またそれらを分析することによって得られるインテリジェンスに基づく組織のセキュリティ対応における意思決定のライフサイクル。
出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）
ポイントは、脅威インテリジェンスが特定のツールやサービスそのものを指す言葉ではなく、「情報を知見に変える取り組み全体」を指すという点です。定義は扱う組織や媒体によって幅があり、IPA のガイドラインも「定義は取り扱う組織、媒体によって異なる」と注記しています。本記事では、種類を理解するのに必要な範囲にとどめます。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
脅威インテリジェンスの種類（戦略的・戦術的・運用的・テクニカル）
ここからは、脅威インテリジェンスの種類を解説します。種類は「誰が・何の意思決定のために使うか」という目的で分けられ、代表的には戦略的・戦術的・運用的・テクニカルの4つで整理されます。まずは全体像を一覧で確認してから、それぞれを詳しく見ていきましょう。
| 種類 | 戦略的 | 戦術的 | 運用的 | テクニカル |
|---|---|---|---|---|
| 主な利用者 | 経営層・セキュリティ責任者 | SOC（監視チーム） | SIRT部門・セキュリティ責任者 | 監視・運用チーム（多くは機械処理） |
| 主な目的 | 中長期のリスク把握と投資判断 | 短期の予防・検知・対応 | 攻撃手法（TTP）の理解と中期的な改善 | 侵害の兆候の自動的な検知 |
| 具体例・アウトプット | 攻撃動向・地政学や経済の分析をまとめた経営層向けレポート | 攻撃シグネチャ・脆弱性情報・IOC | 攻撃シナリオ | IOC（悪意のあるIPアドレス・URL・ファイルハッシュなど） |
| 更新の頻度 | 低い（月〜四半期） | 高い（日次〜随時） | 中程度 | 非常に高い（短命・随時） |
利用者とアウトプットはIPAガイドライン、テクニカルは4分類（AWSなど）の整理による。主な目的・更新の頻度は各種類の一般的な傾向にもとづく。
上の表のうち「テクニカル」を独立した種類として立てるかどうかは整理の仕方によって分かれます。その理由は後の章で詳しく扱います。ここでは4つそれぞれの中身を確認します。
戦略的脅威インテリジェンス（経営層の意思決定を支える）
戦略的脅威インテリジェンスは、サイバー攻撃の動向や外部環境の変化を分析し、経営層がセキュリティ投資やリスク対応を判断するための材料を提供します。
IPA のガイドラインは、これを「近年のサイバー攻撃に関する脅威動向や外部環境の分析などによりリスクを明確にし、経営層によるセキュリティに関する意思決定、投資判断を支援するためのインテリジェンス」と定義し、利用者を経営層・セキュリティ責任者、アウトプットを経営層向けレポートとしています。
技術的な細部よりも、地政学・経済など非技術的な情報を含めて「自社がどのような脅威環境に置かれているか」を俯瞰する点が特徴です。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
戦術的脅威インテリジェンス（SOCの予防・検知・対応に使う）
戦術的脅威インテリジェンスは、攻撃のシグネチャや脆弱性情報、IOC（Indicator of Compromise：侵害の痕跡）をもとに、短期的なインシデントの予防・検知・対応に使われます。
IPA はこの種類の利用者を SOC（Security Operation Center：監視チーム）、アウトプットを IOC 情報と整理しています。日々発生する攻撃に即応する、現場のセキュリティ運用に最も近い種類です。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
運用的脅威インテリジェンス（攻撃手法を理解し中期的に改善する）
運用的脅威インテリジェンスは、攻撃者の戦術・技術・手順（TTP）に着目し、攻撃の手口そのものを理解したうえで、中期的なセキュリティ改善につなげる種類です。
IPA はこれを「攻撃手法（戦術・技術・手順）の観点から脅威を理解し、ペネトレーションテストなどの短〜中期的なセキュリティ改善を行うためのインテリジェンス」と定義し、利用者を SIRT 部門（インシデント対応を担う部門）やセキュリティ責任者、アウトプットを攻撃シナリオとしています。
「運用的（オペレーショナル）」が指す中身は、解説によって力点が異なります。この違いは次章の「3分類と4分類はなぜ違う？」で改めて触れます。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
テクニカル脅威インテリジェンス（IOCを機械的に検知する）
テクニカル脅威インテリジェンスは、悪意のある IP アドレスや URL、ファイルハッシュといった IOC を扱い、機械が自動的に侵害の兆候を検知するための種類です。これは IPA の3分類には現れず、テクニカルを独立させる4分類の整理（AWS など）で立てられる種類です。AWS は次のように説明しています。
テクニカル脅威インテリジェンスとは、マシンが特定した侵害の兆候を指します。悪意のある IP アドレスの存在、予期しないセキュリティ URL、ファイアウォールの応答、システムの予想される運用値の急激な変化など、これらの IOC にはすべてフラグが付けられ、チームはさらに調査する必要があります。
出典：脅威インテリジェンスとは何ですか?｜Amazon Web Services（AWS）
戦術的インテリジェンスと内容が近いため、両者をまとめて扱う整理もあります。テクニカルを独立させるかどうかが、次章で解説する「3分類と4分類の違い」の分かれ目になります。
出典・参考資料（1件）
- 出典：脅威インテリジェンスとは何ですか?｜Amazon Web Services（AWS）
「3分類」と「4分類」はなぜ違う？
脅威インテリジェンスの種類を調べると、戦略的・戦術的・運用的の「3分類」で説明する記事と、そこにテクニカルを加えた「4分類」で説明する記事が混在しています。どちらかが間違っているわけではなく、分け方の粒度の違いです。実際に主要な解説を並べると、次のように分かれています。
| 分類の数 | 3分類（戦略・運用・戦術） | 4分類（＋テクニカル） |
|---|---|---|
| そう整理している主な解説 | IPA、トレンドマイクロ | AWS、A10ネットワークス、Exabeam |
| テクニカルの扱い | 独立させず、戦術的のなかに含める（戦術的のアウトプット＝IOC情報） | IOC（機械が扱う侵害の兆候）を戦術的から切り出して独立させる |
割れているのは「数」だけではありません。4分類では、機械可読の兆候である IOC を「テクニカル」として戦術的から切り出すのに対し、3分類はそれを戦術的のなかに含めます。これは、同じ内容をどの粒度で名前を付けるかの違いにすぎません。
さらに「運用的（オペレーショナル）」の中身も解説によって割れます。IPA は攻撃手法（TTP）の理解とペネトレーションテストなど中期的な改善を運用的と位置づける一方、AWS やトレンドマイクロは特定の攻撃キャンペーンや攻撃者の動機の把握に力点を置きます。
そのため、記事ごとに種類の数や定義が少しずつ異なって見えるのです。重要なのは分類の数を暗記することではなく、「誰が・何のために使う情報か」という目的で各種類を捉えることです。
出典・参考資料（5件）
「種類（目的別）」と「情報源（OSINT・HUMINT・SIGINT）」は別物
種類の整理とあわせて混同されやすいのが、OSINT・HUMINT・SIGINT といった「情報源（インテリジェンスをどこから集めるか）」の分類です。これらは種類とは別の軸で、「目的別の区分（種類）」と「収集源の区分（情報源）」は分けて理解する必要があります。IPA も、種類は分析段階の区分として、情報源は収集・加工フェーズの区分として、別々に整理しています。
情報源の代表的な3つは、次のように説明されています。
- OSINT（Open Source Intelligence）：公的機関の公開情報、ソーシャルメディア、脅威インテリジェンスベンダーなど、外部の公開ソースから集める情報
- HUMINT（Human Intelligence）：JPCERT/CC などによる早期警戒情報、業界団体のコミュニティでの情報共有、ダークウェブのモニタリングなど、人を介して得る情報
- SIGINT（Signals Intelligence）：IDS やファイアウォール、WAF、プロキシ、EDR、アンチウイルスソフトのログやアラートなど、自組織のテレメトリーから集める情報（SIGINT は本来、通信や電波などの信号を傍受して得る情報を指す用語で、解説によってはその意味で使われます。本記事では IPA の整理に沿い、自組織のテレメトリーを SIGINT と呼びます）
「戦術的インテリジェンスを、OSINT と SIGINT を使って集める」というように、種類と情報源は組み合わせて使うものです。この2つを混同すると「OSINT は種類の一つ」といった誤解につながるため、目的で分けるのが種類、集める場所で分けるのが情報源、と押さえておきましょう。
情報源のうち HUMINT の例に挙げたダークウェブの監視は、自社の認証情報や漏洩データが闇市場で売買されていないかを専門のサービスで継続的に見張るものです。この領域を実際に仕組みとして取り入れる方法を知りたい場合は、以下の記事で法人向けサービスの選び方を解説しています。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
インテリジェンスサイクルと実務での使い方（IOCの取り込み方）
ここからは、種類がどのように作られるのか（インテリジェンスサイクル）と、戦術的・テクニカルで扱う IOC を自社のどの仕組みで取り込むのかを見ていきます。
インテリジェンスサイクル（情報が知見になるまで）
脅威インテリジェンスは、集めた情報をそのまま使うのではなく、一連のライフサイクルを通じて知見に加工されます。IPA のガイドラインは、これを5つのフェーズで整理しています。
- 方針策定フェーズ（何を知りたいか、目的と要件を決める）
- 収集・加工フェーズ（OSINT・HUMINT・SIGINT などから情報を集めて整える）
- 分析フェーズ（戦略的・運用的・戦術的の観点で分析する）
- 配布フェーズ（必要な相手に、使える形で届ける）
- 評価フェーズ（要件を満たせたかを振り返り、次に活かす）
このサイクルの段数や名称は出典によって幅があり、6つの要素に分けて整理するものもあります。ここでは日本の公的ガイドラインである IPA の5フェーズを基準に示しています。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
IOCの実務での取り込み方（STIX/TAXIIで外部の脅威情報を受け取る）
戦術的・テクニカルで扱う IOC は、悪意のある IP アドレスや URL、ファイルハッシュなど、機械が扱える侵害の兆候です。これを一つひとつ手作業で登録していては追いつかないため、外部の脅威情報を標準規格で受け取り、自社の監視基盤に自動的に取り込む仕組みが使われます。その代表が STIX と TAXII です。
- STIX（Structured Threat Information Expression）：脅威情報を記述・交換するための言語・形式。侵害の兆候を表す「Indicator」など、構造化された形で脅威情報を表現する
- TAXII（Trusted Automated Exchange of Intelligence Information）：STIX で表現した脅威情報を HTTPS 経由でやり取りするための通信プロトコル
STIX と TAXII は、業界標準の策定団体である OASIS が定めた標準規格で、最新のバージョン（STIX 2.1／TAXII 2.1）は2021年6月に OASIS Standard として公開されています。
これらに対応した製品やサービスを使えば、脅威情報フィードを購読し、IOC を自動で取り込んで監視に反映できます。自社でゼロから情報を集めるのではなく、外部の知見を仕組みとして受け取れる点が、IOC を実務で回すうえでの要になります。
出典・参考資料（2件）
自社はどの種類から始めるか（成熟度と導入ステップ）
種類を理解したら、次は「自社はどこから着手すべきか」です。脅威インテリジェンスは、いきなり高度な種類を狙っても活かしきれません。IPA のガイドラインは、組織のセキュリティ成熟度に応じて段階的に取り組むことを示しています。
参考になるのが、ガイドラインが引用する成熟度モデル（The Sliding Scale of Cyber Security）の考え方です。これによると、脅威インテリジェンスを活用するうえでは、少なくとも「Passive Defense」までの成熟度が求められます。モデルは全5段階ですが、ここでは脅威インテリジェンスに関わる下位3段階を示します。
- 成熟度1：Architecture｜セキュリティを意識してシステムを計画・構築・維持する体制があり、プロキシ・IDS・ファイアウォール・EDR などで自動的にアラートを検知する仕組みが導入されている状態
- 成熟度2：Passive Defense｜経営層がセキュリティリスクを認識し、戦略を定期的に計画する体制があり、SIEM（ログを集約・分析する基盤）などでアラートを集約して一元管理できる状態
- 成熟度3：Active Defense｜脅威情報を収集・分析する体制があり、方針策定から評価までのライフサイクルを回せ、分析のための基盤が導入されている状態
この考え方にそえば、着手の順序が見えてきます。脅威インテリジェンスを活かすには、まず検知とログ集約の基盤（Architecture から Passive Defense）を整えることが前提になります。
基盤が回り始めたら、現場に最も近い戦術的・テクニカルのインテリジェンス（IOC の取り込みによる検知・対応）から着実に固め、体制が育つにつれて戦略的・運用的へ広げていくのが現実的です。段階を整理すると、次のような順序が目安になります。
- 自社のセキュリティ成熟度（検知の仕組み・ログ集約基盤の有無）を点検します
- 検知とログ集約の基盤を整えます（プロキシ・IDS・ファイアウォール・EDR から SIEM による集約へ）
- 現場に近い戦術的・テクニカルのインテリジェンス（IOC の取り込みによる検知・対応）から着手します
- 体制の成熟にあわせて、戦略的・運用的のインテリジェンスへ広げます
IPA は、脅威インテリジェンスの開始時点でいきなりツールやサービスの選定から入ることは推奨していません。まず自社の成熟度と目的を見極めたうえで、それに見合った取り込み手段を選ぶのが、遠回りに見えて確実な進め方です。
出典・参考資料（1件）
- 出典：脅威インテリジェンスガイドライン 概要｜情報処理推進機構（IPA）（PDF）
一括ダウンロードする
脅威インテリジェンスを活かすセキュリティソリューション
脅威インテリジェンスの種類は、単体で完結するものではなく、実際の検知・防御・調査の仕組みに取り込んで初めて効果を発揮します。
ここでは、戦術的・テクニカルのインテリジェンス（IOC や攻撃手法の情報）を、自社のどの仕組みで活かせるのかという観点から、関連するソリューションを紹介します。
いずれも脅威情報フィードや脅威インテリジェンスプラットフォームそのものではなく、取り込んだ脅威情報を実際の検知・防御・調査で活かす仕組みです。ネットワーク全体を監視する製品、端末（PC）を守る製品、侵害の痕跡を調べる診断と、守る対象の違いで読み分けてください。
| サービス名 | Network Blackbox | Eye"247" Safety Zone | CoWorker 端末侵害診断 |
|---|---|---|---|
| 守る対象 | ネットワーク全体（通信） | 端末（PC） | 端末のログ（事後調査） |
| 製品タイプ | NDR（ネットワーク検知・対応） | EPP＋EDR（エンドポイント保護） | 端末フォレンジック診断 |
| 活かす脅威情報の使い方 | MITRE ATT&CKベースの脅威ハンティング フルパケット保存によるフォレンジック シグネチャによる既知攻撃の検知 | シグネチャ・機械学習・振る舞い検知（ATC） EDRによるログ調査 フィッシング・不正通信のブロック | ログ解析によるIOC・侵害痕跡の調査 （マルウェア感染・情報漏洩・内部不正） |
| 検知のタイミング | 常時監視（検知＋遡及調査） | 常時監視（リアルタイム検知） | スポット／定期で実施（事後調査） |
| 提供形態 | ミラーリング方式で導入 （提供形態は要問い合わせ） | 端末にインストールするソフト ＋管理コンソール | ツール実行→ログ送信で遠隔診断 （現地対応も可） |
| 費用の目安 | 要問い合わせ | 要問い合わせ | 要問い合わせ （1台あたりの単価制） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
ここで取り上げたのは、脅威インテリジェンスを活かせる代表的な3サービスです。NDR・エンドポイント保護・端末フォレンジックのほかにも、守る対象別にどんなタイプの製品があり、どう選べばよいかを広く比較したい場合は、以下の記事をあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackbox は、ネットワークを流れる通信（パケット）を収集・保存し、不審な通信を検知・分析する NDR（Network Detection and Response）製品です。シグネチャによる既知攻撃の検知に加え、MITRE ATT&CK フレームワークにもとづく脅威ハンティングに対応し、保存した通信を遡って調べるフォレンジックにも使えます。
ネットワーク上に痕跡が残る侵入や不審通信、データの持ち出しといった、戦術的・テクニカルのインテリジェンスが効く領域をカバーします。
外部システムとの連携は Syslog や REST API を通じて行え、EDR・SIEM などと組み合わせて運用できます。検知した脅威を、保存済みの通信データで裏取りできる点が、ネットワーク側の監視基盤としての強みです。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末（PC）側で脅威情報を活かすのが、EPP（Endpoint Protection Platform）と EDR（Endpoint Detection and Response）を組み合わせたエンドポイントセキュリティソフト「Eye”247″ Safety Zone」です。
Bitdefender と共同開発したエンジンを採用し、シグネチャと機械学習に加え、アプリケーションの不審な動作を常時監視する振る舞い検知（ATC）で、既知・未知のマルウェアに対応します。
ランサムウェアの監視とファイルの自動バックアップ・リストア、フィッシングサイトの自動ブロック、EDR によるエンドポイント上の不審な挙動の検知・ログ調査まで備えます。専任のセキュリティ担当者を置きにくい中堅・中小企業でも、端末単位で脅威情報を活かした防御を導入しやすいソフトです。
3. CoWorker 端末侵害診断サービス（CoWorker株式会社）
IOC（侵害の痕跡）を調べる、という観点で役立つのが CoWorker 端末侵害診断サービスです。会社が管理する PC のログを解析し、ランサムウェアへの感染や情報漏洩、内部不正の痕跡がないかを調べるフォレンジック型の診断です。退職者の PC からの情報持ち出しの確認や、在籍社員の支給 PC の定期チェックに使われます。
同社の AI エージェント「Blue Agent」を使い、従来は専門家が時間をかけていたフォレンジックを高速化している点が特徴です。実行ファイルをダウンロードして実行するだけで調査に必要なデータが集まり、解析は同社側で行います。脅威インテリジェンスの種類でいえば、検知した兆候を「実際に自社で何が起きたか」まで突き合わせる、調査フェーズの受け皿になります。
こうした侵害痕跡の調査が実際にどのような場面で求められているのか、提供元である CoWorker 株式会社の一ノ瀬氏は、寄せられる相談の傾向を次のように話しています。
ありがたいことに、フォレンジックに関するご相談は徐々に増えてきています。多いのは、退職された方のPCから情報の持ち出しがなかったかを確かめたいという、内部不正の調査のご相談です。最近では、Webサービスで広く使われているソフトウェアに深刻な脆弱性が公表されたことをきっかけに、「自社のサーバーや端末がすでに侵害されていないか、まずは手早く確かめたい」というご相談も増えています。
まとめ
脅威インテリジェンスの種類は、戦略的・戦術的・運用的・テクニカルの4つで整理されることが多く、「誰が・何のために使うか」という目的で分けられています。
記事によって3分類だったり4分類だったりするのは、テクニカル（IOC）を独立させるかどうかの粒度の違いであり、どちらかが誤りというわけではありません。種類（目的別）と情報源（OSINT などの収集源）は別の軸である点も、あわせて押さえておきたいポイントです。
実務では、戦術的・テクニカルで扱う IOC を STIX/TAXII のような標準規格で取り込み、自社の監視基盤に反映することが入口になります。まずは自社のセキュリティ成熟度を見極め、検知・ログ集約の基盤を固めたうえで、扱う種類を段階的に広げていくのが着実です。種類の理解を、自社に合った仕組みづくりの判断につなげてください。
一括ダウンロードする
よくある質問（FAQ）
Q. IOC（侵害の痕跡）とは何ですか？
A. IOC（Indicator of Compromise）とは、悪意のあるIPアドレス・URL・ファイルハッシュなど、攻撃や侵害を受けた痕跡を示す、機械で扱える手がかりのことです。脅威インテリジェンスの種類でいえば、現場のSOCが予防・検知・対応に使う戦術的インテリジェンスや、兆候を機械的に検知するテクニカルインテリジェンスで扱われます。
数が膨大で短命なため、STIX/TAXIIのような標準規格で外部の脅威情報フィードから自動的に取り込み、自社の監視基盤に反映する運用が一般的です。
Q. 脅威インテリジェンスの種類は3分類と4分類のどちらが正しいですか？
A. 脅威インテリジェンスの種類は、3分類と4分類のどちらかが正しいというものではなく、分け方の粒度の違いです。機械可読の侵害の兆候（IOC）を「テクニカル」として独立させると4分類（戦略的・戦術的・運用的・テクニカル）になり、それを戦術的のなかに含めると3分類（戦略的・戦術的・運用的）になります。
IPAやトレンドマイクロは3分類、AWSやExabeamは4分類で整理しています。数を暗記するより「誰が・何のために使う情報か」という目的で各種類を捉えるのが実用的です。
Q. テクニカル脅威インテリジェンスと戦術的脅威インテリジェンスはどう違いますか？
A. テクニカルと戦術的の違いは、テクニカルが機械可読の侵害の兆候（IOC）を自動検知する範囲に絞られるのに対し、戦術的はそのIOCを含めてSOCが予防・検知・対応に使う、より広い範囲を指す点にあります。両者は内容が近いため、テクニカルを独立させず戦術的のなかにまとめて扱う整理も一般的で、これが3分類と4分類が分かれる分岐点になっています。
Q. 脅威インテリジェンスの「種類」と「情報源（OSINTなど）」は何が違いますか？
A. 両者は別の軸で、目的で分けるのが「種類」、情報をどこから集めるかで分けるのが「情報源」です。戦略的・戦術的・運用的・テクニカルは「誰が・何の意思決定のために使うか」という目的別の区分（種類）で、OSINT（公開情報）・HUMINT（人を介した情報）・SIGINT（自組織のログなどのテレメトリー）は収集源の区分（情報源）です。
「戦術的インテリジェンスを、OSINTとSIGINTを使って集める」というように組み合わせて使うもので、OSINTを種類の一つと捉えるのは混同にあたります。
Q. 専任のセキュリティ担当がいない中小企業は、どの種類から始めるべきですか？
A. 専任担当を置きにくい企業では、SOCが使う戦術的・テクニカルのインテリジェンス（IOCの取り込みによる検知・対応）から着実に固めるのが現実的です。IPAの成熟度の考え方では、脅威インテリジェンスの活用には検知やログ集約の基盤（Passive Defense相当）が前提とされます。
経営層の投資判断を支える戦略的インテリジェンスや、攻撃手法を深く分析する運用的インテリジェンスは、体制が育つにつれて段階的に広げていく領域と位置づけられます。
Q. 脅威インテリジェンスの導入は、ツールやサービスの選定から始めてよいですか？
A. IPAは、開始時点でいきなりツールやサービスの選定から入ることを推奨していません。まず自社のセキュリティ成熟度と「何を知りたいのか」という目的を見極め、それに見合った取り込み手段を選ぶのが、遠回りに見えて確実な進め方とされています。どの種類のインテリジェンスを・どの仕組みで取り込むかの当たりを付けてから、製品やサービスの比較に進むとよいでしょう。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、脅威インテリジェンスを活かせるNDR・エンドポイントセキュリティ・端末侵害診断などの最新資料を無料で一括請求できます。守る対象や機能を比べながら、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
