セキュリティ対策の第一歩は、自社が守るべき情報資産と、そこに潜むリスクを正しく把握することです。当社は、リスクアセスメントやシステム構成調査、脆弱性診断、ペネトレーションテスト、レッドチーム演習、ASM、ADアセスメントなど、資産とリスクの現状を把握するための多様なサービスをご提供しています。
AIによるASM・脆弱性の継続把握で攻撃面を可視化するとともに、AIセキュリティ評価サービスにより、「誰が・どのAIに・どんな情報を」入力しているか（シャドーAIを含む）の棚卸しから、AIを組み込んだ業務システムの公開前評価までを行います。評価する範囲と評価しない範囲は、着手前に対象範囲表として固定します。
1. リスクの可視化と脆弱性の特定
システムや運用体制の弱点（脆弱性）を洗い出し、不正アクセスや情報漏洩につながるリスクを具体的に把握するため。
2. 信頼性の向上とコンプライアンス
顧客や取引先に対してセキュリティ対策が適切であることを示し、信頼性を高めます。
3. 従業員のセキュリティ意識向上
定期的なチェックやクイズを通じて、従業員のセキュリティ知識・リテラシーを継続的に高め、組織全体の意識レベルを底上げするため。
4. サプライチェーンリスクの管理
グループ会社や取引先のセキュリティ体制を確認し、自社経由でのリスク（サプライチェーンリスク）を予防するため。
お客様が順守している規格や業界ガイドラインに沿ったセキュリティチェックを実施いたします。お悩みの内容から、該当するサービスをご覧いただけます。
情報漏洩／流出調査の詳細は「対応（RESPOND）」ページに掲載しています。
組織のセキュリティ対策の現状を把握し、課題や優先度を整理するためのメニューです。全体像をつかむ現状評価から、規格・ガイドラインに沿ったリスクアセスメント、AD環境の個別評価、第三者視点での監査まで、目的に応じてお選びいただけます。
現状評価
組織のセキュリティ対策状況を全体的に調査・評価し、課題と優先度を整理します。
情報セキュリティ監査
第三者視点で管理状況を点検する監査サービスです。経済産業省「情報セキュリティサービス基準」に審査登録しています（監査区分）。→ 詳しく見る
経済産業省「情報セキュリティサービス基準」審査登録（監査区分 018-0007-10）
第三者の視点でお客様の情報セキュリティ管理状況を点検し、経営層や取引先への説明に活用できる形でご報告する監査サービスです。当社は情報セキュリティ監査・ペネトレーションテスト（侵入試験）・コンピュータフォレンジックの3区分で審査登録を受けており、監査で見つかった課題をその後の改善・対策まで一気通貫で支援できることが特長です。
| リスクアセスメント | システム構成調査 | |
|---|---|---|
| 手法 | 各種規格やガイドラインとのギャップ分析や脅威シナリオに照らした分析に基づき、システムやデータフローの現状を分析し、リスクを洗い出して評価した上で対策を検討します。 | 設計資料やネットワーク構成図、調査表回答などをもとに、セキュリティインフラの現状を調査します。調査結果と基本方針をもとに、インフラのあるべき姿を検討します。 |
| 目的 | お客様のシステム構成・運用とデータフローを調査整理し、分析・評価して情報セキュリティ上の課題（リスク）を明らかにした上で、情報資産のオーナーが受容できる水準までリスクを低減するための対応案を提示します。 |
|---|---|
| 方法 | ①システム構成・運用に関連する資料閲覧による調査 ②調査表によるシステム管理の現状調査 ③調査表によるデータフロー（システム利用）の現状調査 ④調査結果の分析によるリスクの特定と対応案の策定 |
| 範囲 | 社内業務用のコンピュータ／ネットワーク／クラウド ※お客様と協議のうえ範囲を決定します |
| 期間 | 3〜12カ月（範囲や拠点数によって変動） |
| 成果物 | 調査記録／リスク一覧／対応案一覧／リスクアセスメント報告書 |
お客様が順守している規格や業界ガイドラインに沿ったセキュリティチェックを実施いたします。
業務フロー管理
情報のライフサイクル（作成／取得、加工、複製、出力、保管、移送／交換、廃棄／返却）の各段階における情報の取扱に関するリスクを分析・評価します。
システム管理
「システム仕様」「システム運用」「システム開発・変更」に関するリスクを分析・評価します。
物理的管理
「区画の境界、入退室」「区画内の行動」「環境」に関連するリスクを分析・評価します。
マネジメント（組織的／人的管理）
「マネジメント（PDCA）枠組みの確立と維持」について分析・評価します。
Active Directoryは企業の「アイデンティティ管理の中枢」です。侵害されれば全社的なシステム・情報資産が危機にさらされます。被害が起きる前に、AD環境のリスクを可視化し、リスク低減のための具体的な対策をご提案します。
よくあるADのリスク例：長期間放置されたアカウント／Kerberoasting攻撃に脆弱なアカウント／過剰な管理権限／特権アカウントになりすまし可能な脆弱な設定
システムやアプリケーションに内在する脆弱性を洗い出す診断から、攻撃者視点で侵害の実現性を検証するペネトレーションテスト、既存の評価結果を再点検するセカンドオピニオンまで、目的に応じたメニューをご用意しています。
Webアプリケーション診断
Webアプリケーションにおける、動的ページの脆弱性を診断します。
※ソースコード診断には対応していません。
プラットフォーム診断
オープンポートや提供されているサービスに関する脆弱性を診断します。
サーバ構成診断
サーバのOS・ミドルウェアの設定について、セキュリティ上の不備がないかを診断します。
無線LANセキュリティ診断
無線LAN環境の設定や電波状況を調査し、不正アクセスにつながる脆弱性がないかを診断します。
診断コンサルティング
診断対象の選定や実施範囲の整理など、脆弱性診断の計画づくりを支援します。
| リモート診断（推奨） | インターネット公開サーバに対する診断です。弊社の診断環境からインターネット経由で診断を実施します。 |
|---|---|
| オンサイト診断 | インターネットには非公開の内部サーバに対する診断です。診断専用の端末をお客様ネットワークに接続して診断を実施します。 |
主に外部からの攻撃を想定するため、リモート診断を推奨します。非公開システムへの診断をご希望の場合はオンサイトでの診断も可能です。
※「クローラへの耐性」は通常メニューには含まれません（ご希望時にお申し付けください。サーバダウン等の障害リスクがあります）。
| 項目名 | 内容 |
|---|---|
| SQLインジェクション／OSコマンドインジェクション | 入力パラメータ等への不正な文字列挿入により、SQL命令やOSコマンドが実行されてしまう脆弱性がないか診断します。 |
| クロスサイトスクリプティング | 挿入されたスクリプト文字列がそのまま出力され、閲覧ユーザのブラウザで実行される脆弱性がないか診断します。 |
| ディレクトリリスティング | URLにディレクトリを指定した際にファイル一覧が表示される脆弱性がないか診断します。 |
| パス（ディレクトリ）トラバーサル | 不正なファイルパス文字列の挿入により、通常アクセスできないファイルが閲覧されてしまう脆弱性がないか診断します。 |
| セッション管理の脆弱性 | セッションの不適切な管理により、なりすましによる不正アクセスが可能となる脆弱性がないか診断します。 |
| アクセス制御や許可制御の欠落 | パラメータの変更等により、権限が無いユーザでの実行や閲覧等のアクセス制御の不備がないか診断します。 |
診断対象機器
| 項目名 | 内容 |
|---|---|
| オープンポートの検出 | ネットワークにオープンしているポートを検出し、不必要・危険なサービスが稼働していないか確認します。 |
| アプリケーションのバナー取得 | 応答文字列（バナー）から製品名・バージョンが外部から取得でき、攻撃に悪用される危険性がないか確認します。 |
| OSのセキュリティホール | 最新のセキュリティパッチの適用状況や設定を調査し、既知のセキュリティホールへの対策を確認します。 |
| 暗号強度 | 使用している暗号アルゴリズムの強度を確認します。 |
| DoSへの脆弱性 | 不正なリクエスト送信等の試行への応答により、DoSの脆弱性の有無を推定します。 |
| アカウント・認証の確認 | デフォルトアカウント等によるログイン試行を行い、脆弱なパスワードを持つアカウントの有無を確認します。 |
| 脆弱性診断 | ペネトレーションテスト | |
|---|---|---|
| 目的 | システムの脆弱性を網羅的に洗い出すことです。 | 脆弱性を悪用することで、実際に攻撃を受けた際に想定される被害影響の把握や、ゴールへの侵害経路の洗い出しを行います。 |
| 効果 | 網羅的に検出された脆弱性への対策により、攻撃リスクを軽減しセキュリティを向上します。 | 攻撃者視点で検出された脆弱性への対策により、侵入経路への防御や侵入後の影響を軽減します。 |
| 評価対象 | システム単体（サーバ、ネットワーク製品、Webアプリケーション）です。 | 設定した攻撃目標までのネットワーク経路上のすべてのシステムです。 |
| テスト内容 | 既知の脆弱性パターンに基づく自動診断ツールでの網羅的検査に、手動診断による精査を組み合わせて実施します。 | 攻撃者視点で作成したシナリオに合わせた疑似攻撃を実施し、攻撃目標への到達可否・侵害の実現性を検証します。状況に応じた専門家の手動検査が中心となります。 |
| 報告内容 | 検出された脆弱性と、その影響や対策方法です。 | 侵入に成功した経路や手法、利用可能な脆弱性とその対策方法です。 |
当社のペネトレーションテストでは、「侵入フェーズ」と「内部進行フェーズ」の2つのシナリオに分けて実施します。お客様のご要望に合わせて、最適なシナリオをご提案します。
高度なスキルを持つ攻撃チームが、防御側への予告なしに実践的なサイバー攻撃を仕掛ける演習です。システムだけでなく、人や運用プロセスを含めた「組織全体の検知・対応能力」を検証します。脆弱性がなくても、盗まれたIDや正規ツールによる攻撃はシステムを「正常な利用」として通過してしまうため、「侵入される前提」での対策の実効性を測ることが必要です。
脆弱性の悪用可否（識別・防御）に焦点を当てるペネトレーションテストに対し、レッドチーム演習は攻撃の検知と検知後の対応（検知・対応）の実効性を評価する、補完関係にあるサービスです。攻撃面の可視化（ASM）→ペネトレーションテスト→レッドチーム演習と、成熟度に応じて段階的に進めることをおすすめします。
情報セキュリティアセスメントを受けた結果に対し、調査内容や調査方法の妥当性を評価します。調査結果から導き出された改善案やロードマップについても、専門的な視点から再評価を行うサービスです。
お客様が順守している規格や業界ガイドラインに沿って評価を実施いたします。
外部に公開されているIT資産を継続的に把握し、攻撃の起点となり得るリスクを管理するメニューです。
国内のDX推進の進展に伴い組織のデジタル資産が増加しており、それらが新たなサイバー攻撃の起点となっています。ASM（Attack Surface Management）は、組織のIT環境全体を監視し、脆弱性や潜在的な侵入経路を特定・管理するセキュリティ対策の手法です。人手による管理や調査は容易ではないため、ツールや専門家のサービスを活用して資産を管理していくことが推奨されています。
効果的にセキュリティを強化するためには、資産に優先順位を付けることが重要です。弊社のASMは、まず必要となる「資産の洗い出し」を代行するサービスです（洗い出しのほか、発見された脆弱性の評価も実施します）。
参考：経済産業省「ASM導入ガイダンス〜外部から把握出来る情報を用いて自組織のIT資産を発見し管理する〜」
関連プロダクト: CyCraft XCockpit EASM / IASM（プロダクト）
Point 1 未把握の資産を把握できるようになる
資産を洗い出しますので、これまで漏れていた資産を把握することが可能となります。
Point 2 攻撃者目線から調査を受けることができる
攻撃の初期フェーズとなる「偵察」と同様の調査を実施しますので、実際の攻撃者目線からの評価を受けることが可能となります。
Point 3 攻撃面を減らすことができる
洗い出された資産に内在する問題に対応いただき適切に管理することで、攻撃面を減らすことが可能となります。
他の機能を見る
