ServiceNowが「セキュリティ企業」になる理由 大型買収の裏にある勝算

AIによって脆弱性の発覚から悪用までの猶予は数カ月から数時間に縮んだ。人手頼みのセキュリティ運用が限界を迎える中、ServiceNowが「自律型セキュリティ」構想と6つの統合ソリューションを打ち出した。資産管理を中核としてきた同社が、なぜセキュリティを担うのか。

[松林沙来，ITmedia]

　ServiceNow Japanは2026年9月2日、「AI時代のセキュリティ運用」と題する記者説明会を開催した。米国のServiceNowが2026年8月4日（米国時間）に発表した自律型セキュリティ構想「Autonomous Security」と、それを構成する6つの統合ソリューションの日本展開を説明した。鈴木正敏社長執行役員は、セキュリティ領域だけで10億ドル以上の事業規模があると述べ、既に世界的なセキュリティベンダーの一角を占めると強調した。

　ただし、同社の主業は本来、ITサービス管理や資産管理、ワークフローだ。セキュリティ専業ベンダーがひしめく市場で、なぜ「自律型」までも掲げられるのか。

ServiceNowがセキュリティを担う理由

　ServiceNowが挙げる答えは、CMDB（構成管理データベース）を中心とした資産管理とワークフロー、AIの3要素を単一のプラットフォームで統合している点にある。

CMDBがセキュリティデータを統合し、ワークフローとAIが対処から証跡までを担う仕組み（出典：ServiceNow Japan投影資料）

　同社の村上慎吾氏（執行役員 ソリューション営業統括本部 統括本部長）は「CMDBとワークフロー、AIの3つの要素は、どれか1つでも欠けては機能しない」と語る。AIだけを導入しても、CMDBがなければビジネス上優先すべき資産を判断できない。CMDBがあっても、ワークフローがなければ対処が現場任せの手作業になり、一貫した運用を継続できないという理由からだ。

　具体的には、EDR（Endpoint Detection and Response）やSIEM（Security Information and Event Management）といった各ツールが検知した情報をCMDBに自動統合し、どの資産か、誰が所有するか、どの事業に影響するかという文脈に翻訳する。その情報を基に対処の優先順位を自動で算出し、ワークフローで検知から対応、解消、証跡の記録までを一貫して管理する。定型的な対応はAIに委ね、人間は戦略的な判断に集中する分担だ。

　検知範囲を広げる役割を担うのが、買収で取り込んだ2社の技術だ。サイバーエクスポージャー管理を手掛けていたArmisは、IT資産に加えてOTやIoT、医療機器までをエージェントレスで検出する。買収額は77.5億ドルで、2026年に統合を完了した。アイデンティティセキュリティのVezaは、人やマシン、AIエージェントが実際に持つ権限をマッピングし、非人間アイデンティティ（NHI）の統制を支える。

　原智宏氏（専務執行役員COO）は、これらを束ねる考え方として「Shift Zero」を挙げた。管理外の資産やブラインドスポット、統制されていないAIエージェントといった攻撃の起点を限りなくゼロに近づける発想だ。AIをセキュリティ運用に生かす「AI for Security」と、業務に導入したAI自体を守る「Security for AI」の2つのアプローチを組み合わせる。

Shift Zeroを支える6つのソリューション

　Autonomous Securityは、以下の6つのソリューションで構成されている。

1. Unified Exposure Management（統合エクスポージャー管理）：資産や脆弱（ぜいじゃく）性、アイデンティティ、コードに散在するエクスポージャー（リスクの露出）を統合し、優先順位付けから修復までを一元管理する
2. Continuous Vulnerability Detection（継続的な脆弱性検知）：ITやOT、クラウド、コード全体の脆弱性をAIが継続的に検知し、リリース前の対処につなげる
3. Identity & Access Security（アイデンティティとアクセスセキュリティ）：人に加えてAIエージェントなどの非人間IDを一元管理し、最小権限の適用と休眠IDの排除を自動化する
4. Agentic Incident Response（エージェンティックインシデントレスポンス）：AIエージェントがインシデントのトリアージ（対応優先度の判定）や調査、封じ込めを自律的に実行し、リスクの高い判断のみを人間のアナリストに引き継ぐ
5. Cyber-Physical Security（サイバーフィジカルセキュリティ）：OTやIoT、医療機器の稼働を止めないエージェントレス方式で検出し、攻撃経路の分析やコンプライアンス検証を一元化する
6. Cyber Risk & Compliance（サイバーリスクとコンプライアンス）：統制状況を継続的に監視して証跡を自動収集し、SOC 2やISO 27001などの規制フレームワークに対応したレポートをオンデマンドで生成する

　6つのソリューションの大半の機能は提供中だ。同社が「AIスペシャリスト」と呼ぶ、セキュリティワークフローを自律的に完結させるAIエージェント群のうち、「Tier 2 SOC AIスペシャリスト」や「脆弱性解決（Vulnerability Resolution）AIスペシャリスト」など4機能は2026年12月に提供を開始する予定だ。

既存のEDRやSIEMは置き換え不要

　質疑応答では、多機能なソリューション群をどこから導入すべきか、既存ツールとの関係をどう考えるべきかという質問が出た。原氏は、既にServiceNowでITサービス管理や資産管理を運用し、CMDBを整備済みの企業が最初のターゲットだと答えた。既存の資産データベースにセキュリティの文脈を加えることで、少ない負担で運用を始められるためだ。

　「既存のセキュリティソリューションを全て置き換える必要はない。ServiceNowは、点在するEDRやSIEM、セキュリティセンサーといった既存のツール群から得られるシグナルを統合し、CMDBとひも付けて部門横断で対処していく、全体のオーケストレーターとしての役割を果たす」（原氏）

　日本市場の戦略について村上氏は、NIST（米国国立標準技術研究所）のサイバーセキュリティフレームワーク「NIST CSF 2.0」に同社のソリューション群をマッピングして見せた。「統治」「識別」「防御」「検知」「対応」「復旧」の6つの中核機能全てをカバーすると説明する。重点業界には、IT以外の資産を大量に抱える製造や金融、流通、電力などの重要インフラ企業を挙げた。

　パートナー戦略では、既存のコンサルティングファームやシステムインテグレーターとの協業をセキュリティ領域に広げるとともに、セキュリティ専業ベンダーやSOC（Security Operation Center）運営企業との新たな連携網を構築する。