オンラインシグナルと物理的イベントリスクを結びつける

多くのセキュリティチームが認めたがらないほど頻繁に起こるシナリオがあります。アナリストが、実名の経営幹部を標的とした敵対的な投稿にフラグを立てます。投稿は記録され、チケットが起票され、レビュー待ちの列に置かれます。その一方で、GSOC（グローバル・セキュリティ・オペレーションセンター）は、その晩、経営幹部のホテルから2ブロック先で形成されつつある抗議活動を追跡しています。誰もこの2つを結びつけません。経営幹部は、オンライン上で怒れる人物が少なくとも1人「そこに行く」とすでに宣言している群衆の中へ歩いて入っていくのです。

これはテクノロジーの失敗ではありません。ワークフローの失敗です。そしてこれは、デジタルモニタリングと物理的イベントの追跡が、ほとんど会話のない別々のチームによる別々のシステムに分かれているとき、絶えず起こります。

サイロ化されたモニタリングの問題

デジタル担当のアナリストが見ているのは「意図」です。誰かが何を言っているのか、どれほど怒っているのか、言葉がエスカレートしているのか。彼らが通常見えていないのは、その人物がどこにいるのか、警護対象者の近くで物理的に何が起きているのか、そのタイミングがスケジュール上の何かと重なっていないか、という点です。

GSOCのチームは逆の問題を抱えています。彼らが見ているのは現場の状況です。抗議活動のルート、犯罪の発生、移動に影響する気象、入退室管理のイベント。彼らにしばしば欠けているのは、オンラインで誰が脅迫を行ってきたか、特定のアカウントが何か月もその経営幹部に執着していないか、会場近くに集まりつつある群衆の中に危害を加えたいと声高に語ってきた人物が含まれていないか、というコンテキストです。

どちらのビューも、単独では確信を持った意思決定には不十分です。投稿を見たアナリストは、それが重大な局面で起きていることを知りません。群衆を見ているGSOCのオペレーターは、その中の1人が数週間にわたりオンラインでエスカレートしてきたことを知りません。この2つの絵の間の隙間こそが、インシデントの起こる場所です。

業界の調査研究は一貫して、脅威アクターが単一のドメインにとどまることはめったにないことを示してきました。オンラインで意図を示す人物は、物理的な環境にも頻繁に姿を現します。対面で脅迫的に振る舞う人物は、ほぼ必ずデジタルの痕跡を残しています。これらを別々の問題として、別々のチームが、別々のデータで扱うことこそが、組織が「予見できたはずの事態」に後手で対応する羽目になる原因です。

実際に相関させる必要があるもの

よくある反応は、問題により多くのデータを投入することです。より多くのフィード、より多くのアラート、より多くのダッシュボード。それは答えではありません。構造を伴わない生データの増加は、アラート疲れを加速させるだけです。

必要なのは、どのシグナルの組み合わせが、いつ重要になるのかを判断するためのフレームワークです。

4つのレイヤーの情報が、同じビューに同時に存在する必要があります。

• 対象者の活動： オンラインで何が、誰によって語られており、それはエスカレートしているか？　ソーシャルプラットフォーム、メッセージングアプリ、ダークウェブの情報源、そして過去に警護対象者や組織に執着したことのあるアカウントが含まれます。
• 物理的イベントのコンテキスト： 警護対象者の現在地の近くで、今何が起きているか？　抗議活動、デモ、犯罪の発生、悪天候、インフラの障害、大規模な集会。これらのいずれもが作戦上の状況を変えます。
• 警護対象者のコンテキスト： 警護対象者は実際にどこへ向かうのか？　移動ルート、会場、ホテル、食事の場所、公の場への登壇、スケジュール変更。他のすべてを「重要」にも「無関係」にもするのがこのレイヤーです。
• 過去の行動： この対象者は以前にもエスカレートしたことがあるか？　過去に似た条件がインシデントに先行したことはあるか？　ここでのパターン認識は極めて重要でありながら、絶えず無視されています。

目標は、これらすべてを自動的に融合することではありません。アナリストが正しい問いを立てられるだけの重なりを提供することです。すなわち、「物理的にすぐ近くで起きていることを踏まえると、このオンラインシグナルはより懸念すべきものになるか？」という問いです。

ジオフェンシングがS/N比を変える

デジタルと物理のモニタリングを結びつける最も実用的なツールの一つが、ジオフェンスを使ったインテリジェンスです。会場、ホテル、移動経路、警護対象者が日常的に使う場所の周囲に地理的な境界を定義し、受信するシグナルを「その領域から発信されたか、その領域に言及しているか」でフィルタリングします。

人口100万人の都市に対する汎用的なソーシャルメディア監視フィードは、膨大な量のコンテンツを生成しますが、その晩の作戦に関係するものはほとんどありません。ホテル周辺と会場の2ブロック圏内に張ったジオフェンス付きフィードは、その何分の一かの量しか生成せず、しかも浮上する情報のうち実際に読む価値のあるものの割合は、はるかに高くなります。

抗議活動の集結地点に物理的にいる人々からの投稿は、その活動が公式の報告チャネルに届く15〜30分前に到着することがあります。警護対象者のホテル近くにいて、かつオンラインで敵対的な内容を投稿してきた人物による位置情報付きコンテンツは、どちらか一方のデータポイント単独とは異なる種類のシグナルです。

これを機能させるには、生のフィードとアナリストの間にAIによる分類を置く必要があります。それなしでは、大規模イベントの際、ジオフェンス付きのフィードでさえ、人間がリアルタイムで有効にレビューできる量を超えてしまいます。物理セキュリティに関わるシグナルを、一般的なイベントの雑談、群衆の状況報告、無関係なローカルコンテンツと切り分ける分類があってこそ、フィードは実際に使い物になります。

「接近」になる前に「動員」を見抜く方法

多くの脅威評価フレームワークは、対象者が何を「言っているか」に焦点を当てています。より難しく、より重要な問いは、その人物がそれについて何かを「している」かどうかです。

注視すべき変化が、動員（mobilization）の指標です。不満の表明から、特定のイベント、特定の日付、特定の場所への言及に移行した対象者は、意味のある一線を越えています。警護対象者のスケジュールについて質問する、公の場への登壇の告知に反応する、共通の不満をめぐって他のアカウントと連携する人物は、単に定期的に怒りを吐き出している人物とは異なります。

移動のシグナルも重要です。ある都市を拠点とする対象者が、他に明白な理由もなく、近く予定されている経営幹部の登壇と同じ都市圏にいると突然投稿した場合、より注意深く見る価値があります。そのタイミングが公表済みのイベントと一致する場合は特にそうです。

意図から接近への移行こそ、実世界での接触が可能になる局面です。それを捉えるには、オンライン上の行動パターンと、警護対象者がどこにいるかという物理的コンテキストの両方を知っている必要があります。どちらか片方だけでは到達できません。

移動判断という問題

コンバージェンス（デジタルと物理の統合）が真価を発揮するのはここです。警護チームがこれから警護対象者を市内で移動させようとしています。ルートは計画済みです。GSOCはある通りでの抗議活動にフラグを立てています。デジタルモニタリングは、その周辺エリアのアカウントからの敵意の高まりにフラグを立てています。天候は良好。抗議活動は今のところ平和的に見えます。

このルートで進んで安全か？　代替ルートの方がよいか？　タイミングをずらすべきか？　この移動には追加の警護が必要か？

これらの問いのどれ一つとして、単一のデータストリームから確信を持って答えることはできません。必要なのは、抗議活動の場所と推定規模、オンライン上の言説のトーンと推移、警護対象者のスケジュールと現実的に動かせる部分、そしてこの状況が過去にエスカレートした（あるいはしなかった）状況に似ているかどうかの感覚です。

デジタルと物理のインテリジェンスを別々のシステムで運用しているチームは、この問いに答える必要があるたびに、コンテキストを一から組み立て直さなければなりません。誰かがソーシャル監視ツールを開き、別の誰かがイベントフィードを確認し、また別の誰かがGSOCに電話をかける。全体像が組み上がる頃には、タイミングの窓はしばしば閉じています。

両方を統合プラットフォームで運用しているチームは、その再構築のステップなしに、「興味深いシグナル」から「今夜の移動計画にとってこういう意味を持つ」へと進めます。これは些細な効率向上ではありません。タイミングが重要なシナリオにおいては、先手を打つ警護行動と後手の対応との分かれ目です。

実際に機能する指標と警報（Indicators and Warnings）を構築する

GSOCが一貫して投資を怠っているものの一つが、警護対象者のプロファイルと活動環境に固有の、定義済みの指標と警報のセットを構築することです。多くの組織は、実際に直面している脅威に合わせたインテリジェンス要件を構築する代わりに、汎用的なアラートしきい値で済ませています。

優先情報要求（PIR：Priority Intelligence Requirements）は軍事の概念ですが、企業のプロテクティブ・インテリジェンス（要人警護向け情報分析）にもよく馴染みます。PIRは、すべてを漠然と監視して関連情報が浮上するのを期待するのではなく、意思決定のために具体的に何を知る必要があるかを特定するものです。要人警護であれば、PIRは次のようなことを定義するでしょう。どのようなオンライン上の行動が、どのような物理的指標と組み合わさったときにルート変更を必要とするか？　どのシグナルの組み合わせが先遣要員の追加をトリガーするか？　何があれば法執行機関への通報に値するか？

こうしたしきい値が事前に定義され、適切なシグナルを実際に浮かび上がらせられるデータフィードと対応付けられていれば、プレッシャー下での意思決定プロセスは劇的に速くなります。アナリストはその場ででっち上げるのではなく、見えているものを、すでに合意済みのフレームワークに照らし合わせるだけでよいのです。

ドメイン横断統合の実際の姿

デジタルと物理のインテリジェンスが本当に融合すると、それ以外の方法では不可能ないくつかのことが可能になります。

脅威アクターのプロファイルをリアルタイムで充実させられます。6か月間モニタリングの列に置かれていたオンライン上の対象者は、その所在が警護対象者のスケジュールと重なった瞬間に、作戦上重要な存在になります。統合がなければ、そのつながりは何時間も遅れて認識されるか、まったく認識されません。

コンテキストがフィルターとして働くため、誤検知が減ります。単体では警戒すべきものに見える敵対的投稿も、警護対象者を取り巻く物理的環境が平穏で、対象者に動員の兆候がなければ、違って見えてきます。コンテキストは常に事態をエスカレートさせるわけではありません。時には鎮静化させることもあり、警護対象者のスケジュールへの不要な干渉を避けたいチームにとって、それは同じくらい価値があります。

インシデント後の分析も向上します。すべてが一つのシステムにあれば、インシデントの前にどんなシグナルが存在していたかを振り返り、パターンがどう見えていたかを理解できます。それこそが、同じ汎用的なモニタリングを漫然と続けるのではなく、指標と警報を時間をかけてチューニングしていく方法です。

本当の問題はワークフローの断絶

デジタルと物理を融合したモニタリングのためのテクノロジーは存在します。ソーシャルインテリジェンス、イベントフィード、ジオフェンスされたデータ、警護対象者のコンテキストを統合ビューに取り込むプラットフォームは利用可能であり、この問題を真剣に捉える組織ではすでに導入されています。

より修正が難しいのは、ワークフローの断絶です。デジタルセキュリティチームと物理セキュリティチームは、組織の異なる部門に属し、異なるツールを使い、異なる業務テンポで動いていることが少なくありません。インテリジェンスアナリストと警護担当者は、何が信憑性のある脅威にあたるかについて、必ずしも共通の語彙を持っていません。動きの速い状況でのチーム間の引き継ぎこそ、コンテキストが失われる場所です。

コンバージェンスは単なるテクノロジーの意思決定ではありません。運用上の意思決定です。ドメイン横断のエスカレーションをどのチームが所管するのか、シグナルがデジタルと物理の両ドメインにまたがるときの通知経路はどうなるのか、対応フレームワークの各段階がどのような行動を承認するのかを、事前に定義しておく必要があります。

ワークフローを正しく整えれば、テクノロジーは非常に強力になります。ワークフローが壊れたままでは、どれほど優れたプラットフォームでも、誰も間に合うタイミングで行動を起こさないアラートを表示するだけです。