1. プレスリリース要約・基本情報
- 発表日： 2026年9月2日
- 発表主体： 日本電気株式会社（NEC）
- サービス名： BluStellar Intelligent Managed Service（AI駆動型マネージドサービス）
- 提供開始時期： 2026年9月末より金融・製造・流通向けに順次開始
- 中核技術： セキュリティ特化型AI「cotomi Security for Industry」、次世代SOC「CyIOC」、Google Cloud (Google AI Threat Defense)、ServiceNow
- 事業目標： 3年間で売上高300億円を目指す
2. なぜいま「CVSSスコア順のパッチ適用」は破綻しているのか？
日々のシステム運用において、インフラ/セキュリティエンジニアを最も悩ませるのが「膨大なアラートと脆弱性情報のトリアージ（優先順位付け）」です。脆弱性スキャナを実行すると数千件のCVE（共通脆弱性識別子）が検出され、CVSSスコア「High / Critical」のアラートが山積みになります。
従来の「CVSSスコアが高い順にパッチを当てる」という機械的な運用には、現場目線で決定的な2つの問題が存在します。
- アラート疲れと不要な業務停止リスク
CVSSが「9.8（緊急）」であっても、該当システムが完全な閉域網にあり、インターネットから到達不能な場合、即座の悪用リスクは極めて低いです。スコアだけを理由に本番サービスを停止してパッチ適用を行うのは、ビジネス上の機会損失が勝ります。
- 「中・低リスク」の組み合わせによる攻撃経路（アタックパス）の見落とし
個々のCVSSスコアは「Medium（中）」や「Low（低）」であっても、「認証回避の脆弱性」と「ローカル権限昇格の脆弱性」がチェーン（連鎖）することで、最重要データベースへの到達を許してしまうケースがあります。単一脆弱性のスコア監視では、この攻撃経路を捉えられません。
3. 米CISA指示書「BOD 26-04」に見るリスクベース運用（RBVM）の国際標準
こうした背景から、グローバルで導入が進んでいるのが「リスクベースの脆弱性管理（RBVM: Risk-Based Vulnerability Management）」です。
米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が2026年6月に発行した拘束力のある運用指令「BOD 26-04」では、連邦政府機関に対して「CVSSスコア依存の運用から、実際の悪用状況や資産の重要度を考慮したリスクベースの優先順位付けへの移行」を義務付けました。
NECの新サービスは、このBOD 26-04の指針を踏まえ、以下の3要素を統合した自動評価エンジンを組み込んでいます。
- Exposure（露出度）： インターネットへの露出状態やセグメンテーション設計
- Threat Intelligence（脅威インテル）： 実際に野外（In the Wild）で攻撃コードが出回っているか
- Business Impact（業務影響度）： システムが停止・侵害された際のビジネスダメージ
4. NEC「BluStellar」の技術アプローチと独自性
本発表におけるエンジニア目線での最大注目ポイントは、独自開発のセキュリティ特化型AI「cotomi Security for Industry」（2026年9月2日同日発表）を活用したアルゴリズムです。
① 複合脆弱性の「アタックパス評価」
資産構成（SBOM等）とネットワーク構成を分析し、単体では低リスクな脆弱性同士が組み合わさった際のアタックパスを自動生成。危険度をリアルタイムにリフレッシュして再評価します。
② AIによる「自動緩和策（Mitigation）」の即時提示
パッチ適用に即時対応できないミッションクリティカル環境に対し、WAFルールの自動生成、特定ポートの遮断、アクセス制御の変更といった代替策をAIが即座に立案します。
③ ServiceNow × Google Cloud とのエコシステム統合
Google Cloudの脅威検知機能をインテリジェンスとして取り込み、ServiceNowのITS/ITOMワークフローを介して、検出からチケット発行・パッチ適用・検証までの一連プロセスを自律パイプライン化します。
5. 既存製品・競合ソリューションとの立ち位置比較
| 比較軸 | 従来の脆弱性スキャナー（Tenable / Qualys等） | 海外製RBVM・ASPM製品（Wiz / Palo Alto等） | NEC BluStellar Intelligent Managed Service |
| 評価基準 | CVSSスコア単体が中心 | CVSS ＋ 脅威インテル ＋ クラウド設定 | CVSS ＋ 露出度 ＋ 複数脆弱性の『組み合わせ』 ＋ CISA BOD 26-04 |
| AIの活用範囲 | 要約・自然言語クエリ | アタックパス可視化・AIアシスタント | 独自セキュリティAI（cotomi）によるアタックパス自動判定・緩和策作成 |
| 対処の実行 | 検知・レポート作成まで | 検知・ポリシー通知まで | ServiceNow連携によるパッチ適用・緩和策の自動適用・運用移管 |
| 提供モデル | ツール提供（SaaS/オンプレ） | ツール提供（SaaS） | ツール ＋ 自律型マネージドサービス（運用伴走） |
6. エンジニアの現場運用（Before / After）
| 運用プロセス | 従来のセキュリティ運用 (Before) | AI駆動型マネージド運用 (After) |
| トリアージ | 人手がCVSSスコアと資産帳簿を付け合わせ、手動影響調査 | AIが露出度・脅威情報・アタックパスを統合し優先度を全自動算出 |
| リスク判定 | 単体CVSSスコア（CVE単位）のみで判断 | 複数の脆弱性の「組み合わせ」とビジネスダメージで判断 |
| 対応調整 | パッチ適用の可否をインフラチームと手動調整（数日〜数週間） | パッチ適用＋システム停止を伴わない代替緩和策をAIが自動提案 |
| 運用改善 | 事故が起きた際の後追い対策 | 運用データをAIが継続分析し、レジリエンス評価を日常更新 |
7. エンジニアが抱く「3つの疑問」
Q1. 従来の脆弱性スキャナー（Tenable等）を導入済みの企業でも導入する価値はありますか？
A. あります。既存スキャナーが「脆弱性の発見（検知）」に特化しているのに対し、本サービスはその発見データを受け取り、「ビジネス影響度に基づく優先順位付け（トリアージ）」と「ServiceNowを通じた修復（対処）」の自動化を担うため、共存・補強関係にあります。
Q2. AIにパッチ適用や緩和策の実行まで任せて安全ですか？
A. 完全自動実行だけでなく、AIが最適な対処案を作成した上で「エンジニアの最終承認（Human-in-the-Loop）」を経て実行するガードレール設計が可能です。
Q3. 既存のSIEMや資産管理台帳との連携コストはどの程度ですか？
A. ServiceNowや主要クラウドのAPIを前提としたプラットフォーム構成のため、既存のIT資産データやログを大幅な改修なしに取り込み、段階的に可視化範囲を広げられる設計になっています。
8. AI時代に求められるインフラ/セキュリティエンジニアのキャリアとスキル
サイバー攻撃側もAIを活用して攻撃コード作成を高速化する中、防御側も「AIを活用したリスクベース運用」へのシフトが不可欠です。
今後、現場のエンジニアに求められるのは「CVSSスコアを見て手作業でパッチを当てる定型的な手動運用」ではなく、「AI・RBVMツールを組み合わせてシステム全体のセキュリティレジリエンスを設計・評価する上流スキル」です。
9. 参考リンク
BluStellar Intelligent Managed Service 公式ページ
