みんながダッシュボードを見つめているのに、それが機能していないことは誰の目にも明らかで、それでも次の質問はやはり「じゃあ、どうすればいいの？」となるのです。
SOCレビューの際にも起こります。経営陣への報告の際にも起こります。また、アナリストが調査中に画面を開き、最初の数分間、そのページが何を伝えようとしているのかを理解しようと試みる際にも起こります。
ダッシュボードは空っぽではありません。そこが問題なのではありません。必要なアラート、検知結果、脆弱性、ID情報、クラウドアクティビティ、ネットワークトラフィック、コンプライアンス、エクスポージャー、そして数多くのグラフが表示されています。数値は変動し、フィルタも正常に機能しています。技術的には、このページは正しいと言えるかもしれません。
しかし、決定権は依然として別のところにある。
誰かがそのパターンを解釈しなければならない。その数値が良いものか悪いものかを判断しなければならない。これが単なるノイズなのか、ドリフトなのか、制御の不具合なのか、それとも今すぐ調査すべき事象なのかを判断しなければならない。
これこそが、多くのセキュリティダッシュボードが抱える「静かな失敗」なのです。データが不足しているから失敗するのではなく、ユーザーに「考えを完結させる」ことを強いるがゆえに失敗するのです。
セキュリティダッシュボードの多くは、逆の順序で構築されています。つまり、データから考え始めるのです。「どのようなクエリを実行できるか？」「何を可視化できるか？」「どのグラフを使うべきか？」「どの指標を含めるべきか？」といった具合です。
優れたダッシュボードを作るには、まず「これは誰のためのものか、その人は何を理解しようとしているのか、そしてこれを見た後に何がより簡単になるべきか」という点を明確にすることから始まります。
セキュリティチームが保有するデータ量は、もはや誰にも読み切れないほど膨大です。ネットワークツール、IDプロバイダー、エンドポイントエージェント、クラウドプラットフォーム、ファイアウォール、SaaSアプリケーションなど、あらゆるものがシグナルを生成しています。Vectra AIでは、毎秒8TBを超える最新のネットワークアクティビティを解析しています。これにその他の最新のセキュリティ環境を加えると、問題が明らかになります。つまり、データを取得すること自体は難しくないのです。
難しいのは、そのデータを、人が行動に移せるほど迅速に理解できる形に変換することです。ダッシュボードが、アナリストが「次に何をすべきか」という問いへの答えを見つける手助けにならないのであれば、それはインサイトを提供しているとは言えません。それは、分析の結果を読者に押し戻しているに過ぎないのです。
ダッシュボードはデータ格納場所ではなく、ユーザー体験そのものである
ダッシュボードとは、ユーザーがプレッシャーのかかる状況下で利用するインターフェースのことです。
アナリストは、アラートが単なるノイズかどうかを判断しているかもしれません。マネージャーは、統制が機能しているかどうかを確認しているかもしれません。リーダーは、リスクが正しい方向に向かっているかどうかを理解しようとしているかもしれません。
そうした人々は同じ環境に関心を持っているかもしれませんが、同じビューを必要としているわけではありません。チームがユーザーではなく組織のためにダッシュボードを設計すると、すべてのステークホルダーに指標が割り当てられ、すべてのデータソースにウィジェットが配置されます。ページは情報で埋め尽くされます。網羅的であるように感じられますが、何が最も重要なのか、誰も判断できなくなってしまいます。
優れたダッシュボードのユーザー体験は、より明確な問いから始まります。「これは誰のためのものなのか、そしてそのユーザーはどのような意思決定をしようとしているのか？」
すべてのセキュリティ上の問題がアラートになるべきではない
セキュリティ業界では、データを実用的な情報に変えるために、おなじみの手法が用いられています。それは「アラートを発生させる」ことです。これは、イベントが重要で、発生頻度が低く、かつ対応可能なチームが担当している場合には有効です。しかし、問題が単一のイベントではない場合には、その有効性は低下します。場合によっては、本当の問題は環境の在り方そのものにあることもあります。
例えば、ネットワークのセグメンテーションなどです。
チームは、ネットワーク上の2つの孤立した部分が通信しているかどうかを知りたい場合があるかもしれません。そのための方法の一つとして、ホストが制限された境界を越えるたびにチケットを作成するという方法があります。
これが週に1回起こるなら、そのチケットが役に立つかもしれません。
1日に1,000回発生したとしても、1,000件のチケットが発行されたからといって、組織のセキュリティが1,000倍向上するわけではありません。それらは、すでに多忙なチームに反復的な作業の山を積み上げるだけであり、境界の防御が1か所で機能していないのか、至る所で機能していないのか、あるいはいくつかの重要な例外を除いて概ね機能しているのか、といった点を理解する助けにはなりません。
ダッシュボードを使えば、状況をより的確に把握できます。あるセグメンテーションの境界では広範囲にわたり問題が発生している一方、別の境界では疑わしい例外がごくわずかしかなく、さらに他のいくつかの境界では問題が抑えられていることがわかります。チームは、1つの画面上で、システム全体にわたる管理上の問題、調査すべき少数の事象、そして一部の管理措置が意図したとおりに機能しているという証拠を把握することができます。
判断の基準が変わります。「次にどのアラートを優先的に対応すべきか」と問う代わりに、チームは「どの対策にまず着手すべきか」と問えるようになります。
これこそが、セキュリティインシデントを「観察する」ことと、セキュリティ態勢を「理解する」ことの違いです。
ダッシュボードでよくある落とし穴
質の悪いダッシュボードは、必ずしも一目でわかるわけではありません。中でも最悪のものの中には、一見すると見栄えの良いものもあります。
ショールームによくある典型的なダッシュボードがあります。地球儀、動く線、点滅する数字、そして来場者に「何か重大なことが起きている」と感じさせるほどのアニメーションが盛り込まれています。まるで生きているかのようです。しかし、それを見たからといって誰の決断も変わらないのであれば、それは単なる飾りに過ぎません。
ここに誤解を招く要因があります。かつては正確だったダッシュボードが、知らぬ間に徐々にずれてしまったのです。フィールドが変更されたり、データソースからの報告が停止したり、命名規則が変更されたりすることがあります。チャートは依然として表示されますが、そのダッシュボードはもはや、ユーザーが期待する内容を反映していないのです。視覚的な信頼感によって、古くなったデータが、むしろより信頼できるもののように感じられてしまうことがあります。
情報過多の状態が生じています。200ものダッシュボード、半重複したデータ、古い調査用ビュー、放棄された実験、そして「Critical Insightsのコピー」といった名称のものなどが存在します。問題はもはや可視性ではありません。重要なのは、検索しやすさ、責任の所在、そして信頼性なのです。
そして、「孤児」と呼ばれるものがあります。それは、実際の問題を明らかにするダッシュボードでありながら、その確認や解釈、あるいは次の対応について責任を持つ者が誰もいない状態のことです。ダッシュボードは、単に存在しているだけではセキュリティを向上させることはできません。誰かが、そのダッシュボードが示す問題に関心を持ち、答えが変わった際に適切な行動をとれる体制を整えなければなりません。
どの失敗にも同じ根本原因があります。それは、ダッシュボードを「意思決定を支援する製品体験」ではなく、単に「情報を掲載する場所」として扱っていたことです。
コンテキストが数字を意思決定へと変える
文脈のない数字は、読者に「これは高いのか、低いのか？」「状況は良くなっているのか、悪くなっているのか？」「何と比較しているのか？」「今すぐ行動を起こすべきなのか？」といった疑問を抱かせます。
だからこそ、ダッシュボードにおいてUXライティングは重要なのです。ラベル、セクション名、ヘルパーテキスト、説明文、そして空の状態は単なる飾りではありません。それらはユーザーにページの読み方を教える役割を果たしているのです。
有用なダッシュボードは、単に検知件数を表示するだけではありません。件数に変化があったかどうかを説明し、その変化がどこに集中しているかを示します。また、ユーザーが集計結果から調査へと移行するための手段を提供します。さらに、リッチテキストを用いて、何に注目すべきか、なぜそれが重要なのか、そして次に何をすべきかを説明します。
ウィジェットを追加する前に、こう自問してみてください。「これがここにあることで、どのような判断がしやすくなるだろうか？」
答えが不明確な場合は、そのウィジェットは場違いである可能性が高い。
クエリではなく、質問を中心に構築する
優れたダッシュボードは、「何を可視化できるか？」という問いから始まるものではありません。
彼らは次のような質問から始めます：
- どのシステムが、遵守すべき境界線を越えているのでしょうか？
- ネットワーク、クラウド、およびIDデータ全体において、予期せぬアクティビティはどこで発生しているのでしょうか？
- その環境では、どのようなAIサービスやアプリケーションが利用されていますか？
- 私たちが投資した管理策は、期待した成果をもたらしているのでしょうか？
質問の内容が明確になれば、構成は自然と決まってくる。
主な回答を最初に記載してください。次に現在の状況を提示してください。傾向を用いて、状況が改善しているか悪化しているかを説明してください。チームが注力すべき点を示してください。調査表は下の方に配置し、ユーザーがまず生の証拠を解釈することを強いるのではなく、行動の根拠となるようにしてください。
この点においても、AIはワークフローを変革する可能性があります。ユーザーが平易な言葉で質問を説明できれば、AIを活用したウィジェット作成機能によって、その質問をウィジェットの基盤となるクエリに変換することができます。決定や解釈の権限は依然としてユーザーにありますが、空白のSQLエディタから作業を始める必要はなくなります。
可視化は最後に選択してください。
折れ線グラフは時間の経過に伴う変化を示します。棒グラフはカテゴリ間の比較を行います。単一の値は現状を示します。表は詳細な分析に役立ちます。リッチテキストには、背景情報、プレイブックの指針、リンク、およびエスカレーション基準が含まれます。
重要なのはグラフの種類ではなく、決定そのものです。
目標は、単なるダッシュボードの追加ではない
セキュリティチームにはダッシュボードは必要ない。世の中にはすでにグラフが溢れているからだ。
ダッシュボードが必要とされるのは、一部の課題が単一のアラートでは範囲が広すぎ、生データだけでは複雑すぎるためです。優れたダッシュボードは、その中間の役割を果たします。ダッシュボードは、ユーザーがパターンを把握し、問題の規模を理解し、最も大きな効果が得られる分野にアクションを集中させるのに役立ちます。
Vectra AIのカスタムダッシュボードは、ネットワーク、ID、クラウド、脅威に関するデータを、各チームが自社の環境に合わせて構成できるビューに集約することで、こうした取り組みを支援します。AIを活用したウィジェット作成機能により、チームは平易な言葉で表現されたセキュリティ上の疑問を、有用なウィジェットを駆動するクエリに変換し、必要に応じてそのクエリを微調整することができます。豊富なテキストコンテキストと調査パスにより、ビューは単なるレポートではなく、ワークフローとして活用できるようになります。
優れたダッシュボードとは、ウィジェットの数が最も多いものとは限りません。それは、リスクがどこで変化しているか、どの管理措置が機能しているか、そしてどこを調査すれば最も大きな効果が得られるかを、チームが把握できるよう支援するものです。
ダッシュボードが意思決定の出発点となる時、それは単なる飾りではなく、セキュリティワークフローの一部となる。
構造、ウィジェットの選択、リッチテキストのコンテキスト、および調査の設定に関する実践的なガイダンスについては、「ダッシュボード作成のベストプラクティスガイド」を参照してください。