Column
日系SDVが世界で勝つための協調と独自性

先行適用が迫るCRAに備えて、“攻め”と“守り”の製品セキュリティを実装する

「SDVサミット2026」より、Covalent／Syn-Resilient Managing Directorの小林弘樹氏

岡崎勝己（ITジャーナリスト）

2026年7月24日

ソフトウェアの多層依存でPSIRTの業務が逼迫する

　欧州市場で活動する企業にとって「期日までの適合は事業継続における絶対条件」（小林氏）となる。国内でも、製品の脆弱性管理やインシデント対応を専門に担う組織「PSIRT（Product Security Incident Response Team）」の新設が進んでいる。

　一方で、近年のソフトウェア開発の現状に目を転じると、脆弱性の発見件数は世界的に右肩上がりで増え続けている。2024年のCVE（共通脆弱性識別子）登録件数は前年比で32％も増加しており「米国の公的データベースであるNVDの処理が追い付かず、2025年に公表された脆弱性の約40％が分析待ちの状態で放置されているという実態がある」（小林氏）という。

　製品機能の高度化によるソースコードの複雑化に加え、開発の迅速化やコスト抑制の観点から利用するOSS（Open Source Software）もリスクを押し上げる要因だ。小林氏は「OSSが別のOSSに依存する多層的な依存構造により、開発者自身が気付かない脆弱性が製品に潜みやすくなっている」と指摘する。

　CRAに準拠するためには、日々の膨大な脆弱性情報の収集や自社のSBOMとの突合、優先順位のトリアージなどが必要となる。しかし現実は「これらの定型業務だけで、現場の限られた専門人材のリソースは枯渇してしまう」（小林氏）のが現状だ。その結果、本来注力すべき高度なリスク判断に時間を割けないという業務逼迫の実態が浮き彫りになっている。

　Syn-Resilientは、企業の法規対応を支援するため、法規内容の調査と実行支援を柱とするサービスを展開してきた。「親会社であるCovalentのグローバルな調査能力を武器に、地域や業界特有の規制要件を的確に把握し、現実的な対応策を提案できる点が強みだ」と小林氏は胸を張る。

　同社は現在、PSIRTの業務逼迫を解消すべく「製品セキュリティ業務へのAI（人工知能）活用」と「企業のAI利用の保護」の2軸に注力している。

脆弱性監視から報告書生成までにAI技術を適用する

　Syn-Resilientが推進するAI活用アプローチでは「セキュリティ業務の定型化や自動化を通じてリソースを解放し、専門人材が意思決定に関わる高度な分析業務に集中できる体制の構築を目指している」と小林氏は説明する（図3）。

図3：PSIRTが直面する課題とAI技術の導入による効果の例

　CRAが求める24時間以内の早期報告義務などの厳しい時間制約に対しては、最先端のAI技術とプロジェクト管理ツール「Jira」（豪アトラシアン製）などの業務ツールを連携させ「情報収集から初期トリアージに至る工数を最大で95％削減できる」（小林氏）という。

　自動化の範囲としては、NVDやJVNなど複数の脆弱性ソースの自動監視や、表記揺れに対応したSBOMの突合、影響条件の解釈支援や報告用ドラフトの自動生成までをAI技術が担う。小林氏は「判断の根拠や対応フローが標準化されるため、担当者に依存しない再現性の高い運用が実現し、法規制の対応力強化に直結する」と強調する。

　この効率化は「OSSの審査業務にも適用できる」（小林氏）という。膨大なOSSの利用申請に対し、過去の審査実績のデータベースと生成AI技術を組み合わせる。「ドキュメントの記載漏れチェックやリスク評価の工数を最大で85％削減」（同）し、審査業務のスピードを高める。

　ただし、運用の混乱を防ぐためには、いきなりツールを導入するのではなく、段階的なプロセスを踏む必要がある。同社では、以下の4つのステップに沿って実装を伴走している。

ステップ1＝業務分析 ：現場のヒアリングから自動化の対象範囲を可視化する
ステップ2＝設計 ：AI技術の活用範囲と人間が責任を持つ判断範囲を切り分ける
ステップ3＝PoC（Proof of Concept：概念実証） ：限定範囲で試験運用する
ステップ4＝定着化 ：実際の業務フローへと落とし込み組織全体へなじませる

拡大するAI利用では“守り”のガバナンスが問われる

　自社のセキュリティ業務にAI技術を組み込む“攻め”の体制構築が進む一方で「企業内で生成AI技術が不適切に利用され、機密情報やソースコードが外部に漏えいするリスクへの備えとして“守り”のセキュリティ対策も不可欠だ」と小林氏は警鐘を鳴らす。

　“守り”の領域に対してSyn-Resilientでは、生成AI技術の利用状況を可視化しリスクを整理する「生成AI運用クイックアセスメント」や、最適なリスク管理ツールを選定する「AIガバナンスツール調査サービス」、AI運用の国際規格に準拠した体制を整える「ISO/IEC 42001対応サービス」を一貫して提供し、安全なAI活用基盤の整備を支援している（図4）。