ZOZOがClaude Code×MCPでSOCアラート自動トリアージを実現、3人体制で24時間対応を可能に

2026年7月14日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「SOCのアラート対応、少人数で回すのが限界になってきた…AIで自動化できないの？」
「生成AIをセキュリティ運用に使いたいけど、本当に実用レベルになってるの？」

チップス

ボス、ZOZOがClaude CodeでSOC業務を自動化したって話題になってましたでしゅ。3人体制でどうやって実現したんでしゅか？

ボス

面白い取り組みだな。ZOZOのSOCチームはZOZOTOWNやWEARなど大規模サービスのアラートを3人で回していた。それをClaude CodeとMCPサーバーを組み合わせて、Tier1相当の初動対応を完全自動化した。

ZOZOは2026年7月13日、情報セキュリティ部がClaude Codeを活用したSOCアラート自動トリアージエージェントを構築した事例を公開しました。
3人のSOCメンバーで大量のセキュリティアラートを処理するという課題に対し、AIエージェントで初動対応を自動化し、人手が必要な判断に集中できる体制を実現した取り組みです。

ZOZOのSOC（3人体制）がClaude Code × MCPサーバーでTier1アラート対応を完全自動化、24時間365日対応を実現した
Splunk・OpenCTI連携のSubAgentが自動調査・脅威インテリジェンス照合・優先度評価を行い、重要アラートのみをメンバーに通知する
すべての権限をRead-onlyに限定し、Hooks機能で不正なSPL・GraphQLを検証するセキュアな設計を採用している

この記事では、ZOZOが公開したSOC自動化の仕組みと設計思想、国内企業が参考にできるポイントを解説します。

オススメ案件

新着案件をもっと見る

3人体制のSOCが直面した課題とClaude Code活用の背景

ZOZOTOWNとWEARという大規模サービスを抱えるZOZOのSOCチームは、日々大量のセキュリティアラートを少数精鋭で処理していました。

SOC3人体制が抱えていた構造的な問題

セキュリティアラートの大量発生は、多くの企業のSOCが共通して抱える課題です。
ZOZOが直面していた主な問題は以下の通りです。

ZOZOTOWNなど大規模プロダクトから発生するアラートの量が、3人での手動対応の限界を超えていた
重要なアラートを見逃すリスクと、アナリストの疲弊によるアラート対応品質のばらつき
24時間365日の監視体制を少人数で維持することへの物理的な限界

この課題に対してZOZOが選んだのは、Claude Codeを中心に据えたAIエージェントの構築でした。
すでに問い合わせ調査のリードタイムを平均70%削減するなど、Claude Codeの業務活用で先行していたZOZOの蓄積が、今回のSOC自動化にも活かされています。

チップス

70%削減ってすごいでしゅね！でも、AIにセキュリティ判断をさせて大丈夫でしゅか？

ボス

そこがZOZOの設計の肝だ。AIに「判断」をさせているのではなく、「初動調査と優先度評価」だけをやらせている。最終的な対応判断は人間が行う。Read権限だけを与えて、書き込みや変更は一切させない設計にしている。

システム構成：Claude Code + 2つのSubAgent + MCP連携

ZOZOが構築したシステムの主なコンポーネントをまとめます。

コンポーネント	役割
メインAgent（Claude Code）	アラート内容を分析し、SubAgentを呼び出して優先度を評価する
opencti-agent（SubAgent）	OpenCTI MCPを通じて脅威インテリジェンスを自動取得・照合
log-search-agent（SubAgent）	Splunk MCPを通じてログを深掘り調査
Slack連携	調査結果をSlackに自動通知し、SOCメンバーに優先対応が必要なアラートを報告

運用コマンドは3種類用意されています。Splunk上のNotableイベントを自動調査する/notable-response、OpenCTIのレポートから脅威ハンティングを行う/threat-hunting、Slackアラートをループ処理する/slack-alert-triageです。

セキュアなAIエージェント設計の3つの工夫

「AIにセキュリティ業務をやらせる」というと、AIが誤った判断をして重大なインシデントを見逃したり、逆に過剰対応したりするリスクを懸念する声があります。
ZOZOはこのリスクを構造的に回避する設計を採用しています。

権限最小化・検証・人間介在の3層構造

ZOZOが採用したセキュリティ設計のポイントは以下の通りです。

すべてのMCPアクセスをRead-onlyに限定（Splunk: search・get_metadata・indexes_list_all、OpenCTI: Access knowledge role）
Claude Code HooksでAIが生成したSPL（Splunkクエリ）やGraphQLを実行前に検証し、不正なクエリをブロック
OpenCTIのTLP:REDデータへのアクセスをグループ権限で制限し、高度機密インテリジェンスの漏洩を防止

「AIが調査して結果を人間に渡す」という役割分担を徹底することで、誤った自動対応が起きないアーキテクチャになっています。
過去の調査履歴をメモリに保存し、段階的な深掘り調査に対応している点も実用的です。