サイバー攻撃が増加し、さまざまな対策が考えられています。脅威インテリジェンスは、攻撃者の動向や手法を把握するために、サイバー攻撃を収集、分析、共有する仕組み。米国では企業・組織でこの脅威インテリジェンスの活用が取り入れられ、日本でも注目されはじめています。

インテリジェンスという言葉の意味

サイバー空間以外でも「インテリジェンス」という言葉は使われるので、まずはそこからおさらいしてみましょう。

Intelligenceという単語は「知性・知能・理解力」と「情報・諜報」という2つの意味をもちます。ここでいうインテリジェンスは後者にあたります。

情報を分析し、意思決定のために利用できる真実性の高い情報を得るための活動や組織もインテリジェンス（日本語では情報機関）といいます。

各国にインテリジェンスを扱う機関があり、日本の内閣情報調査室（CIRO＝Cabinet Intelligence and Research Office）、アメリカ中央情報局（CIA＝Central Intelligence Agency）、イギリス秘密情報部（MI6＝Military Intelligence 6th）などが挙げられます。

インテリジェンスは、もともと軍事情報に用いられる言葉でしたが、現在では商業に使うビジネスインテリジェンス、サイバー攻撃のための脅威インテリジェンスなど、ほかの分野にも派生してきました。

脅威インテリジェンスとは？

サイバー空間での事件に関する情報を収集・分析するのが「脅威インテリジェンス」です。スレットインテリジェンス（Threat Intelligence）とも呼ばれます。

従来のサイバー攻撃対策では見つけられなかった高度なサイバー攻撃や、特定業界・業種を標的にしたサイバー攻撃の防御を可能にするものとして、近年注目されつつあります。

脅威インテリジェンスは、サイバー攻撃に対するツールやソリューションを導入するものではなく、自社・組織に関連する脅威情報を収集し、セキュリティ対策の意思決定を行うためのインテリジェンス（情報）を作成し、提供する取り組みです。

ロシアによるウクライナ侵攻など、最近の戦争では物理的な兵器による攻撃と同時に、サイバー攻撃も行われています。ですから、国家主導によるサイバー攻撃のリスクが高い政府機関や軍事関連組織、公共団体に脅威インテリジェンスの活用が求められるのは言うまでもありません。

その他、グローバルに拠点をもつ大規模企業も取り組みが必要といえます。また、企業規模が小さくても、高度なセキュリティが求められる金融業界、エネルギー・インフラ業界、通信業界、研究機関、医療機関などは脅威インテリジェンスの活用が効果的です。

どのように取り入れていくのか

IPA（情報処理推進機構）がリリースした「脅威インテリジェンス導入・運用ガイドライン」では、脅威インテリジェンスの基本方針とライフサイクルを以下のように定義しています。

方針策定フェーズ
収集・加工フェーズ
分析フェーズ
配布フェーズ
評価フェーズ

方針策定フェーズ

自社・組織の課題を洗い出し、脅威インテリジェンス活用の目的、必要要件、情報の収集・分析方法を定めます。

脅威インテリジェンスのメリットに、サイバー攻撃の早期発見とプロアクティブな対策、インシデント対応能力の向上、サイバー対策の優先順位付けなどが挙げられます。自社・組織の課題に、何がいちばん必要なのかを見極めることが大切です。

要件の策定では、どのような情報を得るべきなのかを考えます。主に次の2つが挙げられます。

IoC（Indicator of Compromise）
侵害の指標とも呼ばれ、サイバー攻撃を受けた痕跡にあるファイル名、ハッシュ値、IPアドレス、ドメイン名、URL、通信プロトコル、ホスト環境などの情報を収集します。
TTPs（Tactics, Techniques, and Procedures）
攻撃者の戦術（Tactics）、技術（Techniques）、手順（Procedures）の情報を収集します。

情報収集方法は、OSINT、HUMINT、SIGINTなどがあります。

OSINT（Open Source Intelligence）
ニュースやSNS、専用ツールなどの公開情報からデータ収集を行います。
HUMINT（Human Intelligence）
内部ユーザー・セキュリティベンダーなどからの通報など、情報提供者からデータ収集を行います。
SIGINT（Signal Intelligence）
セキュリティツールのアラート、ログ、パケットなどからデータを取得します。

収集・加工フェーズ

方針策定フェーズで策定した収集方法を用いてデータ収集し、分析しやすい形で管理します。

脅威インテリジェンス共有プラットフォーム（TIP）や脅威インテリジェンスベンダーサービスが利用できます。

脅威インテリジェンス共有プラットフォーム（TIP）
複数の情報源から得た脅威情報の収集・分析・共有を一元的に行う基盤です。
脅威インテリジェンスベンダーサービス
脅威情報の収集・加工・分析の一部業務をアウトソーシングする方法です。

分析フェーズ

収集・加工フェーズで分類した情報を分析し、自社・組織のセキュリティ対策の意思決定に必要なインテルジェンスを作成します。

配布フェーズ

作成したインテリジェンスを意思決定者などの利用者に提供します。インテリジェンスの正確性や推論内容の評価もこのフェーズで行います。

正確であること（Accurate）、利用者目線であること（Audient Focused）、次のアクションにつながること（Actionable）、適切なタイミングであること（Adequate Timing）の4Ａがインテリジェンスに求められます。

評価フェーズ

配布したインテリジェンスと、要件との間にギャップがないかを分析し、次のインテリジェンスライフサイクルに向けて改善します。

脅威インテリジェンスは、主に大きな組織向けのものではありますが、中小企業でのサイバー攻撃対策のヒントになるものも含まれています。自社のセキュリティのためにも頭に入れておくといいでしょう。

脅威インテリジェンス導入・運用ガイドライン
https://www.ipa.go.jp/jinzai/ics/corehumanresource/final_project/2024/threat-intelligence.html

関連記事：「情報セキュリティ10大脅威 2025」発表！組織に対する脅威と対策
https://hypervoice.jp/ipathreat2025

まとめ

脅威インテリジェンスはサイバー空間での事件に関する情報を収集・分析すること
集めて分類し、必要な情報のみを分析したものもインテリジェンスと呼ぶ
国家、大企業以外にも、機密情報を扱う企業は取り入れたほうがいい