オブザーバビリティの世界の垂直統合、その裏に潜むリスク
オブザーバビリティツールやSIEM製品の多くは、データの収集から保存、検索、可視化を一気通貫でまかなうカップリング（垂直統合）が形成されている。例えば、データ基盤の「Elasticsearch」＋収集の「Logstash」＋可視化の「Kibana」、いわゆる「ELKスタック」だ。あるいは「Grafana」＋「Loki」＋「Alloy」のように同じ系統で揃える。「New Relic」や「Datadog」は収集から可視化まで1社で完結できる一体型SaaSの代表格と言える。
こうした「一気通貫」は運用上のメリットがある一方、裏を返せばサイロ化による弊害を生みかねない。例えば社内で部署やチームごとに好みの組み合わせを導入してしまうと、データの管理方法やデータ形式がベンダーのシステムに閉じているため連携が困難になる（できなくはないが）。他ツールへの移行も難しくなる。
また垂直統合型（一体型）の製品では、一部の層だけではなく全体を一元的にスケールさせる必要があるため、データが増えればライセンスとコストも高騰してしまう。結果として「このログ、要らないよね？」とログを間引くことにもつながる。あるいは検索が遅いストレージに退避させることもある。
どのログを残し、どのログを捨てるか。項目の取捨選択もさることながら、保存期間の設定も難しい。もしその判断を誤れば、インシデント調査で足をすくわれてしまいかねない。例えば標的型攻撃のなかには、攻撃者が侵入してから検知されるまでの期間（滞留時間）が数カ月から年単位に及ぶこともある。これには長期間潜伏することでログの保存期間が過ぎて廃棄され、侵入経路の特定を困難にさせるねらいもある。ログを捨てるということは、こうしたリスクも抱え込むことでもあるのだ。
また、今後はAIエージェントでの活用を見すえたリスクも考慮しておきたい。AIエージェントのベースとなる大規模言語モデル（LLM）は推論や判断などの思考の中枢を担うものの、それ自体には長期記憶の仕組みを持たない。過去を踏まえた振る舞いをさせるには、外部に何らかのデータ基盤を用意して、必要なときに参照できるようにしておく必要がある。
オブザーバビリティにおいて、外部記憶の有力な実体となるのがログだ。ところがコスト削減のために間引かれ、あるいは検索の遅いストレージに追いやられてしまうと、AIエージェントの活用で不利になりかねない。しかもAIエージェントは人間よりもはるかに多くのクエリを投げる。これからのデータ基盤には大量のデータを捨てずに蓄積可能で、高速に検索できることが求められるようになる。
