SentinelEyes（センチネル・アイズ）

山崎行政書士事務所
9月19日
読了時間: 7分

— 証跡の番人 —

決めセリフ「証拠は真実を語る。」「可視化なくして、説明責任なし。」

第一章　レンズが目覚める夜

風が窓のパッキンを撫で、都会のビル群に散った光が、天井の金属梁に揺らぎをつくっていた。インフラ監視室の片隅、格納ラックの中でそれは物音ひとつ立てず待機していた。スリムな銀色の装甲に、青・紫・金のアクセントが細く走る。顔の位置には表情の代わりに巨大なレンズ型センサーがあり、光を受けるたび絞りがわずかに収縮して、部屋の空気を測るようにきらめいた。

SentinelEyes（センチネル・アイズ）。Azure Monitor と Microsoft Sentinel を自在に操る、監査人の目を持つロボットヒーロー。彼は、起動した瞬間から感情ではなく事実に従うよう設計されていた。冷静沈着。検察官のように揺るがず、証拠だけを積み上げる存在。

今夜、彼の起動シーケンスは異常値で叩き起こされた。SigninLogs の失敗率が十五分粒度で緩やかに上がり、AzureActivity に破壊的操作はないのに、AppTraces の P95 が階段状に跳ねる。それは「騒ぐべき」事象ではない。だが確かめるべき事象だった。

レンズが止まる。銀色の指先が高速に踊り、Azure Resource Graph、Log Analytics、Event Hub。あらゆるところからデータが束ねられ一元管理のテーブルに落ちていく。SentinelEyes は、自分に言い聞かせるように小さくつぶやいた。

「証拠は真実を語る。」

第二章　影の名は Null

インシデントのにおいは、最初はエラーとしてではなく物語の不整合として現れる。各拠点の IoT ゲートウェイから飛ぶ心拍データに、不可解なまばらが混じり、アラートルールの閾値を跨がずに擦過していく。人間には見落とされる低いノイズ。だがレンズはノイズの輪郭を見る。SentinelEyes は、ワークスペース間の相関クエリを走らせ、時系列の谷の前後を重ね合わせた。左右の姿が合わない。誰かが、谷の底で影を落としている。

影の署名はNull。「データは存在するが、意味を持たない」ように見せかける供給線攻撃。入ってくる値を削り、何もしていないようにする。足跡を消すのではなく、足跡そのものを生成しない。巧妙だ。だが完全ではない。説明責任を逃れる試みは、いつだって説明の欠損として痕跡を残す。

SentinelEyes は、自動タグ付けを起動した。EvidenceId、Collector, IngestionLatency, HashOfPayload。「可視化なくして、説明責任なし。」レンズが一段絞られ、画面に時系列の糸が現れる。糸のほつれは、Null の触れた場所にだけ冷たい色をたたえていた。

第三章　規制の地図を広げる

インシデント対応は地図から始まる。SentinelEyes は、社内の CISO 室へ自動通知を投げると同時に、規制対応マップを開いた。

NIS2 指令：重大インシデントの早期検知・報告、説明責任の手順化。
ISMAP：政府調達基準のための証跡の完全性、改ざん防止。
GDPR 第30条（処理記録義務）：処理者/管理者の処理記録とアクセスログの保持。

インシデントは、各フレームで何を残すべきかが違う。SentinelEyes は将棋の駒のように、証跡を**骨（体裁）・細部（ペイロード）・影（要約）**に分けて保存した。骨は二年、細部は三ヶ月、影は五年。胃にやさしい保存だ。骨だけでも物語を再構成できる。細部は必要なときだけ取り出す。影は明日の改善に効く。

すべての保存処理にはハッシュとタイムスタンプ、署名。「証拠は真実を語る。」

第四章　白書の書式、Runbookの一行目

SentinelEyes は「機械のヒーロー」だが、文書のヒーローでもある。CISO 室へ送り出す最初の一段を、機械の速度で、しかし人間の呼吸で書く。

CISO Office（連絡先：incident@corp…／+81-…）。到達が遅延→復旧。二重化で補足。判断が要る事象なし。Runbook 1-2 適用。次報 10 分。

短い文こそ長い約束。最初の行に連絡先。脚注には規制ごとの要求を薄い字で添える。shall（濃紫）とwill（薄紫）を**Legend（右下）**で塗り分ける。shall：72h報告、鍵EU滞留（Managed HSM）、処理記録。will：監査協力、説明資料の提供、改善提案。

Runbook の一行目はいつも同じだ。

誰：SRE（SentinelEyes 監督）／いつ：02:11 JST／どこで：prd／何を：相関検知＋隔離／なぜ：供給線攻撃（Null）の疑い

骨が入れば、文章は短くていい。短いから最初に置ける。最初に置けるから、眠りに近づく。

第五章　鍵は置かない、橋には欄干を

Null が狙うのは、鍵そのものではない。鍵を持つべきでないところに鍵を置かせることだ。SentinelEyes は、CI/CD の参照権限をフェデレーション（OIDC）に統一し、audience を固定、短命トークンに切り替えた。aud: "repo:corp/infra"。鍵は置かない。橋には欄干（PIM：期限＋理由30字、what-if＋人間承認）を。roleAssignment の差分は大皿で出さず、小鉢に分ける。人の舌で味見する。

Null は、通れない。欄干は太すぎず、細すぎず。太すぎる欄干は人を押し出す。細すぎる欄干は人を落とす。金色のラインが肩の装甲で静かに光る。検察官の襟章に似た光だ。

第六章　谷に名前を、広報に呼吸を

監視画面に一つだけゼロの谷。SentinelEyes は谷を三つに分ける。平和／断線／安心。味見で左右の姿を重ね、メタ監視で「断線」かどうかを見切る。今夜は平和。広報テンプレートに、固有名詞を最初の行から挿し込み、夜の一段を投げる。

広報（連絡先：press@…）。到達が遅延→復旧。二重化で補足。詳細は朝。

朝になれば、ふみかが比喩を一行だけ足すだろう。「昨夜の谷は潮が引くように退いた。現在は凪」。比喩は礼儀の上に。礼儀なき比喩は人を傷つける。SentinelEyes は、比喩は書かない。骨を残す。それが彼の役割だ。

第七章　処理記録義務、第30条の静かな牙

GDPR 第30条。紙の上では地味だが、牙は静かに鋭い。SentinelEyes は、処理者・管理者の処理記録を自動生成する。目的／カテゴリ／受領者／第三国移転の有無／保持期間／技術的・組織的安全措置。どれも、正確で、少ない。多ければ良いのではない。必要ではないものは人を眠らせない。

処理記録は物語になる。何が、誰に、どう扱われたか。説明可能な物語。それはヒーローの武勇伝ではなく、明日の眠りの教科書だ。

第八章　ISMAPの審査室で

ISMAP の審査は、文書の姿勢と運用の姿勢の一致を見られる。SentinelEyes は、証跡の完全性を示すため、AzureActivity の骨に印影を、細部にハッシュを、影に要約を置く。再現手順はRunbookの最初のページ。Exit on Page 1。審査員がページの右下を指で軽く叩き、「Legend」と一言。濃淡が眠気を運ぶ。文章と絵の座標が一致すると、人はゆっくり頷く。

第九章　インシデントの終わり方

Null の影は、完全に消えたわけではない。だが、記録の網目は影より細かい。SentinelEyes は、出口から手当てを始めた。やめ方は最初のページ。停止条件、退避導線、再開条件。入口はその後で短くする。さくらがありがとうカードを配り、会議は五分で出口を合意し、十分で入口が短くなり、十五分で線が引け、二十分で「ありがとう」が出て、三十分で終わる。奇跡ではなく設計。この設計を、SentinelEyes は骨として残す。