AIエージェントとドメインナレッジの融合が鍵持続可能なPSIRT運用に向けて
日立製作所が示す課題解決と高度化

法規制の遵守に不可欠な
PSIRT運用の仕組み化

製品セキュリティーの領域では、EUのサイバーレジリエンス法や米国サイバーインシデント報告法をはじめ、関連法による規制が進行。日本でもサイバー対処能力強化法が整備されている。これらの法規制を遵守するには、既存のポリシー・プロセスにセキュリティー要素を組み込む必要があり、PSIRTの必要性が高まっている。しかし運用には、組織づくり、プロセス整備、人材確保などの課題があり、継続的に定着させるには、デジタル活用による仕組み化とデータドリブンなPDCAの実行が鍵となる。

様々な製品・事業を抱える日立製作所では、各事業が個別にPSIRTを構築するのではなく、コネクティブインダストリーズセクターを横断する共通基盤を構築し、製品情報・脆弱性の管理体制を整えている。基盤整備は一気に進めるのではなく、手作業から自動化へと段階的に強化。 脆弱性対応のさらなる高度化を推進している。

実運用で直面した４つの課題
「現場が動き出す」解決策とは

日立製作所では、PSIRTの運用レベルを強化していく中で、4つの課題が見えてきた。まず「運用イメージが不明確」という課題には、全社共通プラットフォーム基盤を整備。運用シミュレーションを通じて、実務として運用できる具体的なイメージの醸成が求められる。

次に「運用プロセスの不透明さ」には、属人性を排除した標準化プロセスに基づき、SBOM（Software Bill of Materials）の作成・管理と脆弱性対応の連携によって、プロセス・フローを確立していった。

続いて「リソース不足」に対しては、AI エージェントの活用が有効な解決策となる。運用の属人的かつ高負荷な体制から、限られた人員でも継続的に対応できる体制の構築が求められる。

最後に「PSIRT活動の分散と属人化」については、AIを「デジタルCoE（Center of Excellence）」として活用する構想を示した。現場で蓄積された知見を形式知化し、全社で共有・活用できる仕組みを整え、属人的な対応から継続的な改善サイクルが自律的に回る運用モデルの実現を目指す。

同社の檜垣氏は、将来的に対策が必要な脆弱性情報をAIが自動抽出し、具体的な解決案まで提示する一歩進んだ運用の展望も示している。

日立製作所では、自社で培った製造業としての実践知とドメインナレッジを生かし、PSIRT運用プラットフォームサービスを提供。PSIRT運用を業務プロセスへ組み込み、運用定着から改善サイクルの確立までを支え、「個別対応」から「全社共通・高度化」への変革を後押しする。