ニュース
NEC、AI時代の脆弱性対策サービス「BluStellar Intelligent Managed Service」を発表
未公開リスク検知から仮想パッチ生成までをAIで一元的に支援
2026年9月4日 06:00
日本電気株式会社（以下、NEC）は2日、AIによるサイバー攻撃があることを前提に、ワンストップで脆弱性対策を行うマネージドサービス「BluStellar Intelligent Managed Service」を9月末から提供開始すると発表した。当初は金融機関、製造業、流通サービスを展開するエンタープライズ企業をターゲットに、IT・ネットワーク資産の発見から脆弱性の検出、リスク分析、対応すべき箇所の優先順位付け、対応策の立案・対処・運用改善までをワンストップで支援する。
「当初はターゲット業種を絞って展開するものの、業界を問わずニーズがあることは間違いない。徐々にターゲット業種を広げ、3年間で売上高300億円を目指す」（NEC 執行役 Corporate EVPの木村哲彦氏）という目標を掲げている。
今回、NECでは、このサービスで利用しているセキュリティ向けAI技術「cotomi Security for Industry」を開発したことも発表した。高性能AIやフロンティアAIによって発見される膨大な未公開の脆弱性情報を取り込み、脆弱性の分類、システムへの影響分析、対応優先度の判断、仮想パッチ生成までをワンストップで支援する。脆弱性発見後の評価・対処業務が新たな課題となっていることから、サイバーセキュリティ分野で培った知見を活用し、AIネイティブ時代に求められる新たな脆弱性管理の実現を目指すとしている。
AIが自律的にIT基盤を守る「BluStellar Intelligent Managed Service」
今回提供を始めるBluStellar Intelligent Managed Serviceは、資産情報、脆弱性情報、業務影響をAIで統合的に分析し、ユーザーごとに優先して対処すべきリスクを特定するとともに、対応策の提案から対処までをワンストップで支援するものだ。さらに、AIを活用して脆弱性対応状況やシステム運用データを継続的に分析し、リスク評価や改善施策の立案を通じて運用改善サイクルを継続的に回すことで、脅威に先回りして備えるサイバーレジリエンスの実現を目指す。
新サービス提供の背景を、木村執行役は次のように説明する。「フロンティアAIの影響で企業が直面している課題として、脆弱性発見から攻撃までの高速化による対応猶予の消失、攻撃規模の爆発的な増加、対処が追い付かないことによる脆弱性対応の負荷限界、外部AI利用に伴う情報管理の困難化といったことが挙げられる。市場も反応し、今年5月には金融業界と日本銀行が連名で短期的な対策を求める要請を出している。これは金融業界だけにとどまらず、今後あらゆる業界に確実に波及していくと予測している。すべての企業が今すぐセキュリティ体制をアップデートしていかなければならないと感じている」。
従来は人手により個別に行っていた脆弱性対策だが、AI時代には、IT基盤自らが自律的に守り続けることが必要だという。「脆弱性発見件数が月間1万件を超えるまでに拡大し、それを狙った攻撃が行われるまでのスピードが速くなり、ゼロデイ攻撃も多発している。従来のように人手で防御することは難しくなっている。IT基盤が自ら守り、改善を継続的に回す循環型の、変わり続けるIT基盤が必要な時代となっている」（木村執行役）。
BluStellar Intelligent Managed Serviceは、この自律的なIT基盤を実現するマネージドサービス。守るべき資産の検出・把握・対処を行い、リスクベースでの脆弱性対処優先順位付けを行う。脆弱性に対しては、対処の高速化・自動化を実現する。
脆弱性対応機能を、NISTなど業界標準のフレームワークに沿って10フェーズに分類し、段階的なメニュー構成でユーザーの成熟度に応じたマネージドサービスを提供する。
「このサービスの中心にあるのが、脆弱性情報の検知、収集、そして優先順位付けから、対処方法の立案などを行っている、NEC独自のインテリジェンスを駆使した次世代のサイバーセキュリティサービス『CyIOC（サイオック）』だ。CyIOCは、NECが約30年、6000社以上の企業・団体の運用アウトソーシングを行ってきた中で培った運用標準プロセスなどのノウハウを集約したものとなっている。IT資産管理から脆弱性管理、運用改善まで、ワンストップで支援するAI駆動型マネージドサービスだ」（NEC マネージドサービスビジネス統括部長の嶋村寿氏）。
なお、サービスでは、NECがIT・ネットワーク資産管理サービス、脆弱性管理サービス、脆弱性対処サービスを提供する。提供モデルは、脆弱性管理、脆弱性対処、脆弱性管理・対処、資産管理・脆弱性管理、資産管理・脆弱性管理・対処の5つで、利用企業のIT基盤セキュリティ運用の状況に合わせ、BluStellar Intelligent Managed Serviceの各サービスを組み合わせたモデルを構成する。
ベースとなるテクノロジーは、CyIOCをはじめ、Tanium、ServiceNow、Exastroなどで、連携サービスとしてWizを予定している。AIパートナーとしてAnthropic、Google、OpenAIなど、アドバイザーやパッチ情報取得などを行うためのテクノロジーパートナーとしてCisco、Oracle、Red Hatなどと連携する。また、脆弱性情報提供機関は、CISA、CVE、NIST、JVNなどとなっている。
今回、セキュリティマネジメントサービスとして提供を始め、2026年下期には統合セキュリティ運用までサービス内容を拡大。2027年度にはAIネイティブのIT運用まで拡大する計画だ。
「サービス開始時点では、NEC自身がクライアントゼロとして進めてきたものをベースにしており、システムリスク診断を中心に、AIやプロセス自動化を含めたマネージドサービスを提供していく。2026年下期には、統合セキュリティ運用フェーズへ移行する。脆弱性対策の対象範囲をクラウドアプリケーションまで拡大し、攻撃ルート診断、暫定対策案の作成、仮想パッチといった機能を追加し、検知から対処までのスピードを大幅に高めることを目指す」としたほか、「2027年度には、AIネイティブのIT運用の実現を目指していく。自律的な診断対策や、サイバーインテリジェンスのさらなる進化により、未然対応、自然復旧まで対応できるサービスへと高度化する」（木村執行役）とも述べた。
また、セキュリティを切り口にIT運用全般、運用DX、DXシナリオにまで拡大することも計画する。「今後は、業務システムIT基盤のモダナイゼーションや、生成AIを活用した経営課題解決まで、IT全体をカバーするAI稼働型マネージドサービスへと拡大していくことを計画している」（木村執行役）。
未公開の脆弱性検知から仮想パッチ生成までを支援する「cotomi Security for Industry」
今回の発表会では、マネージドサービスにも活用されているセキュリティ向けAI技術「cotomi Security for Industry」についての説明も行われた。
高性能AIやフロンティアAIによって発見される、膨大な未公開の脆弱性情報を取り込み、脆弱性の分類、システムへの影響分析、対応優先度の判断、仮想パッチ生成までの作業をワンストップで支援するものだ。
AIの進化により、脆弱性の発見能力は飛躍的に向上する一方で、発見後の評価・対処業務が新たな課題となっていることから、NECは、サイバーセキュリティ分野で培った知見を活用し、AIネイティブ時代に求められる新たな脆弱性管理の実現を目指しているという。
「今回提供する脆弱性サービスは、公開されているNISTの脆弱性データベースCVEを取り込むだけでなく、個別開発したソフトウェアに対して高性能AIを使い、自らの脆弱性を検出する。いわゆる未公開の脆弱性（Pre-CVE）も含めて脆弱性情報として集め、さらにITネットワーク、資産管理サービスから提供されたシステム構成情報と突き合わせ、対策すべき脆弱性の優先順位を規定し、リスクを取り除くための防御策の立案をするものとなる。出てきた対策案に関しては、脆弱性対処サービスに引き継ぎ、システムに実際のアクションを行っていく」（NEC セキュアシステムプラットフォーム研究所長 兼 NECセキュリティ 取締役執行役員常務 藤田範人氏）。
具体的には、未公開脆弱性の種類や深刻度を自動分類する機能を備えた。NISTが公開しているCVEとは異なり、高性能AIが検出する脆弱性には、攻撃経路などの情報が付与されていない。これに、cotomi Security for Industryが対応優先度分析に必要な情報を自動で付与する。
また、脆弱性を含む機器のインターネット露出などの情報から、米国CISAの基準に基づいた脆弱性の対応優先度を判定。さらに、組み合わせることで重要資産への攻撃を可能にする脆弱性についても抽出し、優先度を調整する。
そして、対応優先度の高い脆弱性に対し、高性能AIが検出した未公開脆弱性情報をもとに、仮想パッチを生成する。仮想パッチ生成にあたっては、脆弱性を悪用する攻撃コードや攻撃パケットを推定して用いる。
今後のサービス展開として、9月末からは「Threat-Driven Security Assessment」を提供する予定。Anthropic、OpenAIなどの高性能AIを活用した、脅威起点型の脆弱性診断サービスとなる。サービスの特徴として、NECの専門家による診断結果レビュー、SASTとの併用による診断網羅性の向上、国内クラウド限定／ZDR契約の選択肢を提供予定としている。
なお、2026年3月から提供を始めた、脆弱性を管理するための「CyIOCシステムリスク診断」は、9月末に機能を強化し、サービスを更新する予定となっている。脆弱性リスクを可視化し、対応優先度を提示するAI活用型脆弱性管理サービスだが、cotomi Security for Industryを活用することで、未公開脆弱性のリスク可視化に対応する。
