企業のための脅威インテリジェンス実務ガイド：4類型・インテリジェンスサイクル・測定指標

// 記事

記事 · 脅威インテリジェンス

企業のための脅威インテリジェンス実務ガイド：4類型・インテリジェンスサイクル・測定指標

10.03.2026 著者 OODA Intelligence

脅威インテリジェンスは、実務として根づくより先に予算項目になってしまいました。IBMがPonemon Instituteと実施した『Cost of a Data Breach 2025』は、ブラジルにおけるデータ侵害の平均コストを719万レアル（R$ 7,19 milhões）と算出しています。2024年の675万レアルから6.5%の増加です。同じ調査で、侵害コストを押し下げた要因の筆頭に挙がったのが脅威インテリジェンスの活用でした。1件あたり平均で65万5,110レアルの削減です。

問題は、ブラジル市場において「脅威インテリジェンスを持っている」ことと「フィードを契約している」ことが同義語になってしまった点にあります。この二つは別物であり、その差こそが、意思決定を変えるプログラムと、PDFを量産するだけのプログラムを分けています。

本稿は、脅威インテリジェンスのプログラムを新たに立ち上げる方、うまく回っていない状態を立て直す方、あるいは経営層に予算を説明する必要がある方に向けた実務ガイドです。定義と非定義、4つの類型、サイクルの6段階、SIEMやアンチウイルスとの区別、運用を空洞化させる失敗、成果の測り方、そしてブラジルという文脈で何が変わるのかを順に扱います。

脅威インテリジェンスとは何か

サイバー脅威インテリジェンス（CTI）とは、攻撃者に関する生のデータを、意思決定者が抱える問いへの答えへと変換する営みです。ただし条件が付きます。確信度を明示すること、そしてその意思決定がまだ可能な期限内に届くこと。

この定義には3つの要件があり、いずれも検証可能です。

誰かが実際に発した問いに答えている。 インテリジェンスは収集から生まれるのではなく、要求から生まれます。
意思決定より前に届く。 パッチを当てたあとに届いた正確な分析は、インテリジェンスではなく記録です。
何かを変える。 遮断、修正の優先順位、契約条項、投資判断、顧客への告知。

成果物がどの意思決定を変えたのかを指し示せないなら、それはコンテンツです。良質なコンテンツかもしれませんが、インテリジェンスではありません。

脅威インテリジェンスではないもの

IOCフィード。 悪性IPアドレス、ハッシュ、ドメインの一覧は原材料です。自社環境との関連性、文脈、有効期限を誰かが評価して初めてインテリジェンスになります。
セキュリティ系ニュースレター。 自社が使っていない製品の脆弱性情報は、あなたにとってのインテリジェンスではありません。
脆弱性スキャナの出力。 それは内部の状態（ポスチャ）です。脅威とは、意図と能力を持って外側に存在するものを指します。
要求を定めないダークウェブ監視。 何を探すのか、見つけたら何をするのかを決めないまま始めれば、残るのは見栄えのよいダッシュボードと、責任者の不在だけです。
アトリビューション（攻撃主体の特定）。 そのグループの名前がXだと分かっても、月曜の朝にチームがやることはほとんど変わりません。

脅威インテリジェンスの4類型

類型	主な読み手	有効期間
戦略	取締役会、CISO	数か月〜数年
運用	SOCの責任者、インシデント対応	数週間〜数か月
戦術	検知エンジニアリング、脅威ハンティング	数か月〜数年
技術	自動化、遮断	数時間〜数日

「戦術」と「運用」の境界は文献上もっとも議論が分かれるところですが、ラベル論争に時間を使うのは無駄です。重要なのは、自分が生み出す成果物それぞれについて、誰が読むのかとその情報は何日もつのかを把握していることだけです。

戦略インテリジェンス

投資とリスクの問いに答えます。今後12か月、自社の業界はランサムウェアにどれだけさらされるのか。あの国に拠点を出すと脅威プロファイルはどう変わるのか。セキュリティ予算はID管理と外部露出面のどちらに振るべきか。

形式は短い報告書、ビジネスの言葉で、専門用語なしで書きます。頻度は四半期ないし年次。技術者以外が読めることが必須である唯一の類型です。

運用インテリジェンス

「誰が、いつ、なぜ」に答えます。進行中のキャンペーン、動機、標的業種、季節性。ブラジルの小売業を狙うブラックフライデー便乗フィッシングは、まさに運用インテリジェンスです。

形式は、文脈と推奨措置を添えたキャンペーン警報。消費されるのは数日から数週間の単位です。

戦術インテリジェンス

攻撃者の戦術・技術・手順（TTP）を記述します。どう侵入し、どう横展開し、どう居座り、どう持ち出すのか。検知チームと脅威ハンティングの材料であり、MITRE ATT&CKにマッピングするのが自然な層でもあります。

投入労力と持続性の比がもっとも良い類型です。手口を変えるのは攻撃者にとって高くつきますが、ドメインを差し替えるのは何のコストでもありません。

技術インテリジェンス

侵害指標そのものです。IPアドレス、ファイルハッシュ、C2ドメイン、フィッシングURL、証明書。自動化と遮断のための材料であり、劣化が速く、数時間で無価値になることもあります。

ここで思い出すべきはDavid J. Bianco（2013年）の「痛みのピラミッド」です。底辺にあるハッシュは攻撃者が数秒で差し替えられますが、頂点のTTPを変えるには痛みが伴います。ピラミッドの底辺しか消費しないプログラムは、費用ばかりかさんで相手を痛めません。

インテリジェンスサイクル：6つの段階

このサイクルはインテリジェンスの教義から受け継いだものです。米国防総省の『Joint Publication 2-0』も同じ工程を6段階で記述しています。サイバーセキュリティで機能する理由は、そちらで機能する理由と同じです。問いから始めることと、批評で終えることを強制するからです。

1. 方向づけ

PIR（優先的インテリジェンス要求）、つまりこのプログラムが答えるために存在する優先的な問いを書き下ろす段階です。もっとも省略されやすく、失敗したプログラムをもっともよく説明する段階でもあります。

悪いPIRの例：「ランサムウェアについて知りたい」。

使えるPIRの例：「直近90日間で、当社の境界に露出している5つの技術のいずれかを、実際に悪用したランサムウェアグループは存在するか。責任者：脆弱性管理マネージャー。紐づく意思決定：今月の定期メンテナンス枠の優先順位」。

PIRが成立する条件は4つです。責任者がいること、期限があること、意思決定がぶら下がっていること、そして自社が実際に持っている情報源で答えられること。

2. 収集

外部の情報源：OSINT、商用および無償のフィード、クローズドなフォーラムやマーケット、メッセージングチャンネル、業界別の情報共有コミュニティ、ベンダーのレポート。

内部の情報源：自社のログ、過去のインシデント、不正利用のチケット、エンドポイントのテレメトリ、従業員が報告したフィッシング。自社環境にとってもっとも関連性の高い情報源でありながら、もっとも無視されているのがここです。 過去にあなたを攻撃した相手は、これからあなたを攻撃する相手を予測する最良の指標です。

3. 処理

正規化、重複排除、翻訳、エンリッチメント、形式の標準化（STIX、MISP）。この工程がないと、アナリストはデータの清掃員になり、プログラムはスケールしません。

4. 分析

外注できない唯一の段階です。関連性を評価し、自社環境と突き合わせ、仮説を立て、確信度を宣言する場所。尺度は標準化されたものを使ってください。Admiralty Code（情報源の信頼性をA〜F、情報の確からしさを1〜6で表す）は導入がもっとも容易で、曖昧さの大半を取り除いてくれます。

確信度が明示されていない分析は、読み手に「これは当たっているのだろうか」と推測させます。そして推測を強いられた読み手は、読むのをやめます。

5. 配布

同じ発見でも、読み手によって3つの別々の成果物になります。経営層向けの1ページ、SOC向けの検知ルール、対応チーム向けのタイムライン。40ページの報告書を3者に送るのは、誰にも送らないのと同じことです。

6. フィードバック

ほとんど誰も実行しない段階です。読み手ひとりひとりに聞いてください。使いましたか。何を決めましたか。足りなかったものは。余計だったものは。これを欠くとPIRは永遠に改善されず、サイクルは死蔵ファイルで終わる一本の直線になります。

脅威インテリジェンスはSIEMでもアンチウイルスでもない

層	答える問い	単独では届かない範囲
アンチウイルス／EDR	この端末で起きていることは悪性か	誰がなぜ攻撃してくるのかは分からない
SIEM／検知	自社のログに異常が起きたか	すでに入ってきたものしか見えない
脅威インテリジェンス	誰が何を使って攻めてきそうか、事前に何をすべきか	自らは行動しない。他の2層が要る

三者はいずれも指標を消費するため混同されがちですが、違いは観測点にあります。EDRはホストの内側を、SIEMはネットワークの内側を、CTIは組織の外側を見ています。

そして三者の関係は代替ではなく供給です。技術的な指標はSIEMとEDRへ下ろす。TTPは検知ルールとハンティングの仮説になる。戦略分析は予算になる。検知ツールへの出口を持たないインテリジェンスプログラムは、単なる読書会です。

CTIプログラムを空洞化させる5つの失敗

1. IOCフィードを買ってインテリジェンスと呼ぶ。 量は品質ではありません。契約前に必ず聞いてください。指標の出所はどこか。実測の誤検知率は。平均的な有効期間は。ポルトガル語の情報源をカバーしているか。手作業なしで自社スタックに取り込める形式で届くか。

2. PIRなしで収集する。 要求のない収集は量を生み、量は「仕事をした感覚」を生みます。予算をもっとも食い、効果がもっとも薄い失敗です。

3. アトリビューションを追いかける。 グループ名は興味深いですが、ほとんど行動につながりません。TTPはほぼ常に行動につながります。

4. 内部の情報源を無視する。 外部インテリジェンスに高額を払いながら、自社のインシデント履歴を一度も読んでいない企業は珍しくありません。

5. サイクルを閉じない。 誰も読まない報告書は純粋なコストです。読み手に問わなければ、作り手は的を外していることに永遠に気づけません。

プログラムが機能しているかをどう測るか

指標には2つの系統があり、片方は人を欺きます。

避けるべきは生産量の指標です。 発行した報告書の本数、取り込んだIOCの件数、契約した情報源の数。いずれも「働くほど」増えますが、「当たるほど」増えるものは一つもありません。

採るべきは効果の指標です。

PIRカバレッジ — 有効なPIRのうち、期限内に更新された回答を持つ割合。
運用化までの時間 — 関連する指標が届いてから、遮断やルールが本番に入るまでの時間。
インテリジェンス起点の検知 — 四半期の検知のうち、CTIが先に指摘したことで成立したものの数。
情報源の精度 — フィード別に、有用なアラートにつながった指標の割合。ノイズしか生まないフィードは、数字を根拠に解約すべきです。
影響を与えた意思決定 — インテリジェンス成果物を引用した意思決定（修正の優先順位変更、取引先の再評価、プロジェクトの延期）の実名記録。
ATT&CKカバレッジ — 自社の脅威モデルに含まれる技術のうち、現時点で検知できるもの。前四半期との比較で示します。
読まれ方 — 誰が開き、誰がフィードバックに答えたか。閲覧率の低さは、読み手の怠慢ではなく成果物が間違っているサインです。

3〜5個を選び、四半期ごとに測り、測れなかったものも併記して公表してください。留保のない指標は社内マーケティングです。

ブラジルという文脈：ここで何が変わるか

法的なタイマーは「営業日3日」

LGPD（法律第13.709/2018号）第48条は、データ主体に重大なリスクまたは損害をもたらしうるインシデントの通知を管理者に義務づけています。LGPDはブラジル独自の個人データ保護法であり、監督機関はANPD（国家データ保護機関）です。ANPD理事会決議第15/2024号が、その期限を具体的な数字にしました。

ANPDへの通知（第6条）およびデータ主体への通知（第9条）は、営業日で3日。起算点は、インシデントが個人データに影響したと管理者が知った時点です。
情報の理由を付した補完は営業日で20日以内（第6条第3項）。
小規模取扱事業者は期限が2倍になります（第6条第8項、第9条第6項）。
第5条は「重大なリスク」の判定基準を列挙しています。機微データ、児童・青少年・高齢者のデータ、金融データ、システム認証データ、法的・司法上・職業上の守秘義務で保護されるデータ、大規模なデータ。
第10条は、通知しなかったものも含めてすべてのインシデントの記録を最低5年間保持することを求めています。

インテリジェンスにとっての含意は明快です。早く見つけることには技術的価値だけでなく法的価値があります。攻撃者から接触が来る前に、外部監視で認証情報の漏洩を特定できれば、タイマーを握る側が変わります。しかも第6条第2項が求める通知内容は、成熟したプログラムがすでに生産しているもの——影響を受けたデータの性質と種別、リスク、想定される影響、講じた措置——とほぼ一致します。

金融セクターには独自のルールがある

CMN決議第4.893/2021号は、ブラジル中央銀行の認可を受けた金融機関等に対し、サイバーセキュリティ方針とインシデント対応計画の策定を義務づけています。決済機関、証券会社、コンソーシアム運営会社はこの決議の対象外で、中央銀行の別の規則に従います。プロセスを設計する前に、どれが適用されるのかを確認してください。

ブラジルで実測された侵入経路

同じくIBMの2025年ブラジル調査から。初期侵入経路の最多はフィッシングで18%（平均コスト718万レアル）、次いでサードパーティ経由の侵害が15%——そしてこれが最も高額で898万レアル——、脆弱性の悪用が13%（761万レアル）でした。業種別では医療が1,143万レアルで最も高く、金融（892万レアル）、サービス（851万レアル）が続きます。

上位3経路のうち2つは自社の境界の外側にあります。顧客をだますために使われた自社ブランドと、自社環境にアクセス権を持つ侵害された取引先です。どちらも被害が出るまで自社のSIEMには現れません。そしてどちらも外部収集には現れます。

言語はカバレッジの壁である

国際的なフィードは既定で英語圏を向いています。ポルトガル語のフィッシングキット、CPF（ブラジルの個人納税者番号）付きのデータベースを売るメッセージングチャンネル、特定のブラジル企業へのアクセス権の売り出し。これらは翻訳されて届くことはなく、そもそも大半は届きません。ポルトガル語のカバレッジは地域的な好みの問題ではなく、ブラジルで事業を営む組織にとっての収集要件です。

90日で立ち上げる最小構成のプログラム

1〜30日目。 PIRを3〜5本書く。それぞれに責任者と紐づく意思決定を持たせる。露出資産を棚卸しする：ドメイン、ブランド、IPレンジ、アプリ、重要取引先。インテリジェンスの読み手を3者に定める。
31〜60日目。 そのPIRに答えるための最小限の収集を立ち上げる。読み手ごとに、専用の形式を持つ配布経路を作る。SIEMとEDRへの出口を開く。
61〜90日目。 効果指標を3つ測る。読み手ごとにフィードバック面談を行う。誰も読まなかったものを切る。

サイクルを閉じている小さなプログラムは、収集しかしていない大きなプログラムより多くを届けます。

OODA Intelligenceプラットフォームの位置づけ

プラットフォームは41のモジュールで構成されていますが、有用な見方は一覧ではなくサイクルの段階からの見方です。

収集： Collection（メッセージングチャンネル、クリアネットとダークネットのフォーラム、各種フィード）、Threat Monitoring（キーワード監視とマルチチャンネル通知）、外部露出面についてはEASMとRecon。
ブランド・インフラ・露出に狙いを定めた収集： ドメイン、ネットワーク、フィッシング、ブランド不正利用の各サブモジュールを持つThreat Intelligenceと、認証情報や流出データベースを扱うData Leak Detection。
処理と分析： 収集済みデータを横断検索するSearch Intelligenceと、フォレンジックな証跡を残しながら調査するInvestigate。
配布： SIEM Bridge、MISP Sync、Intelligence Reports、REST API。
記録とフィードバック： Incident ManagementとAudit & Compliance。後者はANPD決議第15/2024号が課す記録義務に直接対応します。この点はLGPDとサイバーセキュリティの記事で詳しく扱っています。

さらに、報道とファクトチェックの独自収集ラインがあります。登録済みの76の報道ソースがNews Intelligenceを支え、Disinfo Verifyが主張をファクトチェック機関の公表済み検証記事のアーカイブと突き合わせます。レピュテーションリスクと、ブランドに向けられた偽情報に応える層です。

最後に正直な留保を一つ。どんなツールもあなたのPIRを書いてはくれず、何が自社にとって重要かを決めてもくれません。 プラットフォームが短縮するのは収集・処理・配布、つまり手作業が集中している部分です。方向づけと分析は人間の仕事であり続けます。だからこそ、モジュールのカタログではなくサイクルが、あなたのプログラムの骨格であるべきなのです。

出典

IBM and Ponemon Institute. Cost of a Data Breach Report 2025 — ブラジルのデータ、IBM Newsroom、2025年7月30日。
ブラジル連邦共和国法律第13.709/2018号（LGPD）第48条。
ANPD 理事会決議第15号、2024年4月24日 — セキュリティインシデント通知規則。あわせてインシデント通知の公式ページも参照。
CMN 決議第4.893号、2021年2月26日。
BIANCO, David J. The Pyramid of Pain, 2013。
MITRE ATT&CK。
U.S. Department of Defense. Joint Publication 2-0, Joint Intelligence — 6段階のインテリジェンス・プロセス。