【特別インタビュー】サイバーリーズン桜田社長に聞く、LevelBlue 統合の裏側とサイバーリーズンが描く未来

2026年6月、サイバーリーズン合同会社 代表執行役社長の桜田 仁隆 氏が、サイバーセキュリティラボのアドバイザーに就任されました。就任を記念して、同年7月6日に桜田氏への特別インタビューを実施しました。

今回、桜田 氏には、サイバーリーズン合同会社の設立背景にある「攻撃者目線の知見を活かしたセキュリティ」の思想から、日本市場におけるEDR・MDR・IRサービスの発展についてお話を伺いました。さらに、2025年11月に発表された米国 LevelBlue との統合、そして開発中のセキュリティ運用監視プラットフォーム「Indigo Security Platform（インディゴ・セキュリティ・プラットフォーム）」がもたらす価値まで、同社の歩みと今後の展望について詳しく語っていただきました。

^{※ 本記事はサイバーセキュリティに関する啓発や考察を目的としています。特定の企業・団体を批判する意図は一切ありません。}

桜田 氏：サイバーリーズン合同会社は、2014年にイスラエルで設立された会社です。創業メンバーは同国軍のサイバーセキュリティ部隊出身で、「自分たちが攻撃者だったらどう守るか」という視点をベースに、セキュリティソリューションの開発をスタートしました。純粋な技術者集団として「EDR」に特化し、「サーバーや端末に対して、実際にどのような攻撃が行われるのか」という高度な知見を活かして現在のサービスを作り上げました。日本においては、設立から2年後の2016年3月にソフトバンク株式会社との合弁会社として事業を開始しました。当時から現在に至るまで、主力製品であるEDRサービスを中心に展開しています。

^{※ EDR（Endpoint Detection and Response）：パソコンやサーバー（エンドポイント）の挙動を常時監視し、侵入したサイバー攻撃の兆候を早期に検知・対応する技術。}

桜田 氏：当時はアンチウイルス対策のソフトウェアが主流で、「ファイルを白・黒・グレーで判別する」というシンプルな手法が一般的でした。一方で、EDRはパソコンやサーバーなどOSが動く端末にエージェントをインストールし、振る舞いや通信をモニタリングして不正な動き、いわゆる「完全に黒とは決めきれないような情報」を検知します。

しかし、参入当時は、お客様側に「EDRの本来の目的は何か」「上がってくる複雑な情報や大量のアラートをどう分析・運用すべきか」ということが十分に浸透しておらず、まずはEDRの価値や運用のノウハウをご理解をいただくことに苦労しておりました。

桜田 氏：そこで、私たちは「アラート情報やログ自体をお客様に代わって運用監視・分析したらどうか」ということで、運用代行サービスである「MDR」の提供を開始しました。単にアラートを上げるだけでなく、アドバイスの提供や、極端な場合には被害の波及を防ぐために対象端末を自動でネットワーク隔離する運用までを担うようにしたのです。

^{※ MDR（Managed Detection and Response）：EDRなどのセキュリティツールを用いて、専門のセキュリティアナリストが24時間365日体制で監視・分析・対応を代行するサービス。}

桜田 氏：はい。実際に監視を続けていると、リアルな攻撃を直接発見することになります。お客様からは「うちの会社の中で他に何か起きていないか？」「すでに情報が漏れていないか？」「暗号化されてしまっているファイルがあるが、どうやって復旧したらいいのか？」といった疑問や緊急の相談が寄せられてきました。こうしたニーズに応えるべく生まれたのが、インシデント発生時の緊急対応や復旧を支援する「IR」です。

^{※ IR（Incident Response）：サイバー攻撃や情報漏洩などのセキュリティインシデント（事故）が発生した際に、被害拡大を防ぐための初動対応や調査・復旧を行う支援活動。}

桜田 氏：そうですね。例えば「端末側でランサムウェアのブロックには成功したが、そもそもどこから侵入されたのか？」という疑問に直面したとします。その際、ネットワークのログやアカウント情報を横断的に相関分析し、「いつ・誰が・どこから侵入し・何を実行して・現在はどうなっているのか」という被害の全容を可視化できるように、2023年4月に「XDR」の提供を開始しました。

お客様のセキュリティ環境は、端末（エンドポイント）だけでなく、ファイアウォールやIPS、ID管理（Microsoft Entra ID など）、SASEなどのゼロトラスト基盤まで多様化しています。もう一回お客さんの目線に立ち返ってみたときに「やはりXDRが必要だ」となりました。そして「私たちならそれを分析するロジックや知見を提供できるんじゃないか」ということで、ここまで発展してきたんです。

^{※ XDR（Extended Detection and Response）：PCなどの端末だけでなく、ネットワーク、クラウド、メール等のログを統合・分析し、サイバー脅威の検知と対応を一元化するセキュリティソリューション}

桜田 氏：直近の大きな変化として、2025年11月には米国でダラスに本社を置く LevelBlue への吸収合併が行われました。サイバーリーズンは100%米国法人のグループ体ですので、米国法人側での吸収合併に伴い、私たちも LevelBlue グループと一体になりました。

LevelBlue は、サイバーリーズンとは異なる成り立ちを持つ会社です。母体となったのは米国大手通信事業者AT&Tが提供するセキュリティソリューションの裏側で実際に監視や技術支援を行っていた部隊で、そこから独立して誕生したセキュリティ運用監視会社となっています。いわば通信事業者のセキュリティ管理サービス会社ですね。一方でサイバーリーズンは、自分たちでソフトウェアを作ってクラウド上でサービスを提供する「メーカー」なわけです。今回の統合で、この「メーカー部門」と「サービス部門」が一緒になりました。

桜田 氏：私たちが目指す姿を一言で表すとEDRあるいはXDRという狭い領域ではなくて、セキュリティ全般に関われる会社になるというものです。コンサルティングサービスから始まって、「そもそもセキュリティって何？」「だから何が必要なの？」という根本的なところからお客様と真摯に向き合い、それを実行可能な形として提供していく。それがまさにうちの会社の使命かなと思っています。

桜田 氏：おっしゃる通りです。グローバルに展開する大手コンサルティングファームや外資系ITベンダーでも一般的に行われています。また日本国内においても、大手通信キャリアや主要ITサービス事業者のように、すでにセキュリティサービスを提供している企業が存在します。じゃあ、この中でサイバーリーズンあるいは LevelBlue って「そもそも何が特別なのか？」というと、私たちは完全にセキュリティだけに特化しているところが特徴です。

桜田 氏：まさにそうです。セキュリティの独立系ベンダーとしてはほぼ最大規模の「脅威インテリジェンス」と「対応体制」を持てるようになったのではないかなと思います。

一番の大きな変化は、LevelBlue SpiderLabs との統合によるサイバーリーズンのリサーチチームの強化です。一般的なセキュリティ会社も研究機関を持っていますが、分析のソースになるデータって、基本的には自社のEDRやXDRから上がってくるデータに限定されがちなんですよね。一方で、通信事業者を母体とする LevelBlue は、アメリカのキャリアのIXポイント（通信接続点）のモニタリングをしていて、非常に幅広く深い脅威インテリジェンス情報を持っているんです。

私自身も過去にさまざまな会社に在籍していましたが、現在 LevelBlue グループでは全体約2,500名のうち、約1,000名もの人員が研究や脅威インテリジェンスに携わっています。これほどの規模の研究体制を持っているセキュリティ会社というのは、他にはなかなか存在しないんじゃないかなと思いますね。

^{※ LevelBlue SpiderLabs：セキュリティ企業 LevelBlue の脅威リサーチ・専門家組織。世界規模のサイバー攻撃の監視や、高度な脆弱性診断（ペネトレーションテスト）を行っている。}

桜田 氏：大ざっぱに言うと、企業内には「一般利用者」「IT部隊」「経営陣」という3つの目線があるのかなと思っています。

まず、「一般利用者」からすると、セキュリティの「あるなし」というのは、普段は意識せずにとにかく正しく守られていて安心な環境で使いたいというのが本音だと思うんです。ただ、「IT部隊」のようなセキュリティ担当から見ると「セキュリティはみんなで守るものだし、一人一人が意識してほしい」と思うわけですが、なかなかそこまでの意識は持てないのが現実ですよね。「一般利用者」からすると「セキュリティ担当の人ってちょっと面倒くさいこと言ってくるな」となりがちなのが、1つ目の難しさです。

桜田 氏：「IT部隊」のところでは、インフラって1回動いたらもう塩漬けにして「とにかくこれ以上問題が起きないでくれ」というのが従来のあり方ですよね。ただ、セキュリティは外的な要因で攻撃手法が急速に変わっていくので、嫌でも防御策を変えていかなきゃいけないわけです。インフラ部門として守るところと、アプリケーション部門として攻めるところのバランスが難しく、危険を知らせる「警笛」の機能を保ちつつ、現場にとって使いやすいものを提供するという使命をどう果たすかが課題であったりします。

桜田 氏：これだけ大きな事件が多発していますから、経営者も「うちの会社は大丈夫だろうか？」と当然不安を持っています。一方で、経営としては「できるだけお金をかけずに守りたい」という側面もある。

さらに課題となるのが、「IT部隊」とのギャップです。「IT部隊」は完璧なんてあり得ないということを分かっているから常に不安を抱えている。でも経営陣は「これだけお金をかけたんだからさすがに大丈夫だろう」と思っているわけですね。そこに溝に近いギャップが生まれてしまうわけです。

桜田 氏：私たちとしては、湯水のように予算を使わせるのではなく、経営陣に対して「適材適所のお金のかけ方」をお伝えし、最小限の投資で最大限の効果を発揮する落としどころを提案するのが役割です。最低限守るべきコア資産、つまり「顧客情報」と「会社が正常に稼働するための基幹システム（受発注や給与支払いなど）」を死守するアプローチをご提案しています。

桜田 氏：従業員200名規模の建設会社様で起きたケースをご紹介します。ある朝、社内ネットワーク全体がランサムウェアに感染し、全営業所の複合機から、一斉にランサムウェアの脅威通知が印字され始めたんです。

そのお客様は、弊社のEDR未導入でしたが、取引先様経由でご相談いただき、弊社のIRチームが急きょ入ることになりました。最優先の課題は、2週間後に迫っていた施工パートナー企業への支払いでした。小さな会社なので、お一人でやっていらっしゃる職人さんへの支払いが滞ると生活に直結するため、「仲間への支払いを優先させたい」という希望がありました。そこで緊急隔離した安全な環境を作り、過去の伝票データを掘り起こして手入力でプリンターから出力し乗り切りました。

桜田 氏：1年前に保守が切れていたネットワーク機器の脆弱性から侵入され、Active Directory サーバーが乗っ取られていたことが原因でした。その後、このお客様にはサイバーリーズンのEDRをご導入いただきました。EDRを導入していれば、万が一侵入された場合でも、サーバー上の不自然なプロセスの挙動を検知してその場で停止させ、全社への被害拡大を防ぐことができます。

また、より規模が大きな会社でも同様の構造がありました。その会社では、「EDR未導入の動画配信部門」と「EDR導入済みの出版部門」でドメインが分かれていました。攻撃者はまず動画配信部門から侵入してデータを抜き、そこから出版部門へ横展開しようと入ってきたんです。しかし、入ってきた瞬間のRDP通信のわずかな不審挙動を弊社のMDRサービスが見逃さず遮断したため出版部門への被害はゼロで済みました。

^{※ RDP（Remote Desktop Protocol）通信：ネットワーク経由で別の Windows PC やサーバーのデスクトップ画面を遠隔操作するための通信プロトコル}

桜田 氏：はい。製品という「目や耳となるセンサー」と、それを分析する「プラットフォーム」や「MDR」を組み合わせることで、万が一侵入されても全体に波及させず、BCPを担保することが私たちの提供する価値です。先ほどお話した LevelBlue との統合により、インシデント発生時に対応するIRチームの規模も拡大しました。サイバーリーズン単体では世界3ヶ所でモニタリングをしていましたが、LevelBlue との吸収合併により世界7拠点でのモニタリング体制になっています。サイバー攻撃というのは、大体週末や連休など「ここは気づきづらいだろう」というタイミングを狙ってきますよね。そういった場合でもしっかりBCPを担保できるよう、世界7拠点で24時間365日体制でカバーしていけるようになったのは非常に大きいと考えています。

桜田 氏：正直に言えば、現時点では従来のサイバーリーズン製品しか取り扱えていません。現在は統合の途中にあり、LevelBlue が有する100種類以上に及ぶサービスを順次展開をするべく準備を進めています。もちろん、日本市場においてニーズがないものや、パートナー様と過剰に競合してしまうようなサービスは展開いたしません。

そして、展開していく多くのサービスを「Indigo Security Platform」というプラットフォーム上で提供していきたいと考えております。

桜田 氏：AIの攻撃の増加など周辺環境が変化する中で、「別々に調達したものを一括で管理したい」や「マルチテナント機能をさらに強化したい」などお客様の使い方やニーズも大きく変化しています。

サイバーリーズンでいうと、XDRというソリューションだけでも37製品につながります。そこからさらに広げていくと、世の中には非常にさまざまな種類のセキュリティ製品がありますよね。お客様側ではすでに購入し、運用している他社製品を無駄にしないよう、これらを全て取り込める統合されたプラットフォームが必要になります。そして、それらを分析するために「Indigo Security Platform」を開発することになりました。

桜田 氏：主にケース管理ですね。問い合わせ管理・業務自動化システムなどとの連携ができたり、攻撃されていないときも含めて「今何が起きているか」を把握するための脅威インテリジェンスを管理できるダッシュボード、レポーティング機能があったりします。これらは管理者が経営陣に対して説明するときにも必要ですよね。

サービスとしての提供は、MDRやMXDR、マネージドネットワークやクラウドセキュリティ、IRにも含まれているアドバイザリーサービスですね。このプラットフォームはIRにも非常に効果的で、一度何かが起きるとメールのログ、ファイアウォールのログ、EDRのログなどをそれぞれチェックしにいく必要がありますが、これらを1ヶ所に集めておけば、そこだけを見にいけば済むというメリットもあります。

桜田 氏：AI目線でいうと、一般的には、現場のリアルタイムの監視に対しては使いません。リアルタイムの処理自体はElasticsearchで効率的に行い、AIは「何を見たら怪しいか」というIndicator of Compromise（IoC）やユースケースを作るエンジン、上がってきたアラートをトリアージするときに活用しています。

あとは、見つかったものに対して「何を通して検知し、何を根拠に不審と判定したのか」という相関分析で得られた情報をお客様や社内で説明する必要もありますよね。弊社内のアナリストに対しても、そういったAIを活用した情報があると、アナリストが調べなきゃいけない領域が少なくなりますので、極端にレスポンス時間が早くなっていきます。

^{※ Elasticsearch（エラスティックサーチ）：大量のデータから特定の文字や単語を高速に探すことができる分散型の検索・分析エンジン
※ Indicator of Compromise（IoC）：システムやネットワークがサイバー攻撃を受けたり、既に悪意のあるプログラムに侵入されたりした可能性を示すデジタル上の痕跡（証拠）}

桜田 氏：「Indigo」では、お客様が実際に使っている部分だけに合わせた従量制で対応できるため、最適な料金体験をご提供できると考えています。

例えば、端末が100台規模のお客様であっても、EDRしか利用していなければ、EDR専用のプラットフォームとして機能します。そこにネットワークを入れたらEDRとネットワークを掛け合わせた相関分析までできるようになります。また、同じ4,000名規模の企業でも、どのようなシステムを使うかで生成されるデータ量は劇的に変わります。SASE製品を使う場合、年間で約8テラバイトのログが出るお客様もいますし、より大規模なお客様ではこれをはるかに超えることもあります。一方で、Microsoft Entra ID だけを見ると、数100メガ、1ギガバイトもいかないくらいなんです。つまり、同じユーザー数だけでも利用するシステムによってこれだけのデータ量の差が出るわけですね。

このように「Indigo Security Platform」は、企業の規模感だけでなく、ご利用製品や運用ニーズにも柔軟にフィットさせることが可能なため、あらゆるお客様にとって理想的なセキュリティ基盤になれると確信しています。

桜田 氏：ありがとうございました。サイバーリーズンのサービスは、パートナーであるUSEN ICT Solutionsでも取り扱っていただいています。もし弊社の取り組みやサービスにご興味を持っていただけたなら、ぜひお気軽にご相談ください。