サイバーセキュリティの現場では、日々膨大なアラートやログが生成されています。しかし、それらすべてが直ちに「脅威」を示すわけではありません。本記事では、ノイズの中から真の脅威を見極めるための「サイバー脅威インテリジェンス（CTI）」の基本概念と、その価値について解説します。
1. 認知の階層：データ、情報、インテリジェンス
インテリジェンスを理解する上で不可欠なのが、情報処理の階層構造です。これらはしばしば混同されますが、明確な境界線が存在します。
| 種別 | 意味 | 例 |
|---|---|---|
| データ | データは、コンテキスト（文脈）を持たない単なる値や指標の集合です。それ単体では意味を成しません。 | あるルーターのログに記録された「IPアドレス x.x.x.x」 |
| 情報 | 複数のデータを組み合わせ、特定の文脈（Who, What, Where, Whenなど）を付与したものが情報です。これにより「Yes / No」で検証可能な事実関係が浮かび上がります。 | 「IPアドレス x.x.x.x は、先週自社ネットワークを侵害したマルウェアのC2サーバーである」 |
| インテリジェンス | 情報を専門的な視点で分析し、意思決定に資する形へと昇華させたものがインテリジェンスです。サイバー空間における情報は常に不完全ですが、その不確実性の中で論理的な「評価（アセスメント）」を下すことがインテリジェンスの核心です。単純な「Yes / No」では語れません。 | 「過去の攻撃手法と現在のネットワーク環境を分析した結果、今回の感染は意図的な標的型攻撃ではなく、無差別なばらまき型攻撃による偶発的なものであると『評価』する」 |
2. 脅威の解剖学：CTIが真に追うべき対象
情報の階層構造を踏まえた上で、サイバー脅威インテリジェンス（CTI）は次のように定義されます。
サイバー脅威インテリジェンス（CTI）
組織の特定の要件に基づき、敵対者の「意図（Intent）」「機会（Opportunity）」「能力（Capability）」について分析・評価された情報。
この定義における最大のパラダイムシフトは、分析の焦点がマルウェアや脆弱性といった「武器や弱点」から、キーボードを叩く「攻撃者（人間）」へと移っている点です。
サイバーセキュリティにおける「脅威」とは、以下の3要素が交差した瞬間にのみ成立します。
- 意図（Intent）： 攻撃者が我々を標的とする動機や目的
- 機会（Opportunity）： 攻撃者が利用可能なシステム上の弱点や脆弱な運用
- 能力（Capability）： 攻撃を遂行するためのツール、技術、資金力
いかに強力なマルウェア（能力）が存在し、システムに深刻な脆弱性（機会）があったとしても、攻撃者に我々を狙う「意図」がなければ、それは潜在的なリスクにとどまります。CTIは、これら3要素を複合的に分析することで、真に対処すべき脅威を浮き彫りにします。
3. プロセスとしてのインテリジェンス
最後に、インテリジェンスは完成された「レポート（成果物）」であると同時に、循環する「プロセス」でもあります。
アナリストの知的好奇心を満たすための分析や、闇雲な情報収集はインテリジェンスとは呼べません。自組織や顧客が抱えるビジネス上の課題やセキュリティ目標（インテリジェンス要件）を出発点とし、その意思決定を支援するために分析が行われてこそ、初めて真のCTIとしての価値を発揮するのです。