サイバーレジリエンスサービス紹介

当社は創業以来、高い技術力を基盤として、インターネット黎明期から高度なネットワーク活用と、 セキュリティ対策におけるコンサルティングサービスやセキュリティ製品提供など 40年にわたる実績とノウハウを培ってまいりました。

同時に、数多くのセキュリティ事故対応を手掛ける中で迅速な復旧をお手伝いするだけでなく、 お客様が潜在的に抱えているセキュリティ上の課題にも数多く向き合ってきました。

それらの経験を、経営判断・技術対策・運用定着につなげ、お客様の事業継続と信頼を支える NIST CSF 2.0 に沿った一気通貫の支援として提供しています。

• To-Beに向けた課題（取り組むべきこと）に対し、優先度を付けてロードマップとして策定
• セキュリティインフラの見直しに際しては、導入後の運用も考慮
• 実施スケジュールは、優先度／導入工数／コスト／実現容易性を考慮して決定
• 調査結果（規定と実態の乖離理由も反映）をインプットに、方針決定 → 原案作成 → レビュー → 修正 → 完成の流れで策定

優先度「高／中／低」と運用事項を区分し、最新の脅威動向を反映して更新します。

• 既存文書が、実務と乖離して形骸化している場合の改善
• お客様の組織に合わせた構成
  • お客様組織の文書や文書管理規則に合わせて編集を行います

情報セキュリティの実装／運用の原則を記述した、基本方針及び規程を策定します。 手順書は、実際の業務を熟知する実施部門に作成頂く必要がありますので、ひな形提供となります。

※グレー部分はお客様実施（ひな形・教育はサービスで支援可能）

• 基本方針＝ビジョン（理念・セキュリティ目的）／規程＝原則論（規格等の解釈等）／手順書＝運用マニュアル／記録＝申請書・報告書等様式、設定表、アクセスログ等
• 文書のどの階層までグループで共有するかは、貴社のグループ統制方針や既存の文書体系に合わせて協議のうえ決定します

• 文書体系に合わせたIT-BCP文書の方針、設計提案
• IT-BCP文書（細則、要領）のひな形作成
• 各社文書（細則、要領）のカスタマイズ作業に対する助言及び作業の実施
• 体制、設備、環境の整備に対する助言とシステム設計助言及び作業の実施

• 重要業務とシステム/サービスの特定、最大許容停止時間（MTPD）の定義
• 想定災害/インシデントの特定と想定規模の特定
• 復旧のための体制、設備、環境の定義と導入
• 目標復旧時間（RTO）に基づく復旧手順策定（ひな形のカスタマイズ）
  • RTOはMTPD以内に収まるよう設定します
• 事業継続のリハーサル計画策定（ひな形のカスタマイズ）と実施

※訓練の実施とその評価は、毎年実施可能です。

• 初期状態：各部署でセキュリティレベルが異なる
• 第1段階（ベースラインアプローチ）：セキュリティ基準を定め、基準と現状のGAPを洗い出し、GAPを埋める対策で全体を一定水準に底上げ
  • 広い範囲（全部署・全グループ等）を対象に実施可能
  • 適切な基準が作成できることが前提
• 第2段階（詳細リスクアセスメント）：重要な業務や重要情報を扱う部署について、情報資産の価値・脅威・ぜい弱性の評価からリスクを詳細に算定し、さらなる向上をめざす
  • 詳細なリスクの洗い出しが可能／リスクを数値で算出するため評価が容易
  • 事前調査、入力値の準備など、実施に時間がかかる

お客様が順守している規格や業界ガイドラインに沿ったセキュリティチェックを実施いたします。

• プラットフォームおよびWebアプリケーション等の対象システムに存在する脆弱性を調査します。必要に応じて、攻撃に有益な情報がないかOSINT調査を実施します。
• 検出した脆弱性を実際に悪用し、対象システムへ侵入可能かを調査します。

• 対象機器へ侵入できた場合、情報収集や他システムへ侵入を試みる横展開を行い、高位のアカウント権限の奪取や機密情報の窃取等が可能かを調査します。
• 侵入できなかった場合も、クレデンシャル情報を頂くことで対象システムへアクセスし実施可能です。

• 全ての脆弱性対応は困難 ― システムは日々変化し、新たな脆弱性が生まれ続けます
• 正規権限・ツールの悪用 ― 脆弱性がなくても、盗まれたIDや正規ツールは「正常な利用」として通過してしまいます
• 人による介入が必要 ― 製品が判断できないグレーな挙動のトリアージと、自組織に合わせた検知ルールのチューニング
• 実効性は測って確かめる ― 連絡網・判断フローが実動するか、侵入から封じ込めまでの時間を実測します

主に外部からの攻撃を想定するため、リモート診断を推奨します。非公開システムへの診断をご希望の場合はオンサイトでの診断も可能です。

• Webアプリケーションに対して、自動診断ツールおよび手動による診断
  • 専用の診断ツールを用いて、既知の脆弱性に対して網羅性の高い診断
  • 手動診断を併用することで、ツールが苦手とする診断項目に対応するほか誤検知や過検知を精査
  • 主に外部からの攻撃を想定するため、リモート診断を推奨（オンサイト診断も可能）
• 診断項目は、IPA「安全なウェブサイトの作り方」別冊「ウェブ健康診断仕様」の診断対象脆弱性（診断項目）に準拠
• OWASP Top10、PCI DSS等、お客様が順守されている規格やガイドラインに合わせて診断項目を選定することも可能です

※「クローラへの耐性」は通常メニューには含まれません（ご希望時にお申し付けください。サーバダウン等の障害リスクがあります）。

• サーバのプラットフォーム（OS）、ネットワーク機器に対して設定不備や脆弱性の有無を診断します
  • 専用の診断ツールを用いて、疑似攻撃により脆弱性の有無を判定するほか、脆弱性となりうる設定の不備等を検出
  • 主に外部からの攻撃を想定するため、リモート診断を推奨（非公開システムはオンサイト診断も可能）

• Web、Mail、Proxy、DNS等のサーバ
• ファイアウォール、VPNやリモートアクセスなどのネットワーク機器

• 評価プロセス・評価項目の妥当性検証：使用された独自フレームワークがISO/IEC 27001などの国際基準やガイドラインと整合しているかを評価
• 評価結果の揺らぎ・判定精度の検証と再評価：定量・定性評価の分析から評価結果のばらつきを洗い出し補正案を提示。当社独自の方法で再評価して改善案を提示
• 評価対象ロードマップの妥当性確認：実施可能性や負荷分散、優先順位を評価してロードマップの補正案を提示
• 改善助言の提示：抽出された課題に対して、技術・組織両面から実行可能な対策案を複数提示
• 共通方針の策定支援：グループ全体の統制強化に向け、CISOの設置、連絡体制、共通方針の構築支援を実施

• 調査内容や調査方法の妥当性を確認します
• 調査報告書の改善案について妥当性評価を行います
• 当社独自視点で情報セキュリティアセスメントを再評価し、報告書（発見事項・改善案・複数か年計画）を提出します

お客様が順守している規格や業界ガイドラインに沿って評価を実施いたします。

国内のDX推進の進展に伴い組織のデジタル資産が増加しており、それらが新たなサイバー攻撃の起点となっています。 ASM（Attack Surface Management）は、組織のIT環境全体を監視し、脆弱性や潜在的な侵入経路を特定・管理するセキュリティ対策の手法です。 人手による管理や調査は容易ではないため、ツールや専門家のサービスを活用して資産を管理していくことが推奨されています。

効果的にセキュリティを強化するためには、資産に優先順位を付けることが重要です。 当社のASMは、まず必要となる「資産の洗い出し」を代行するサービスです（洗い出しの他に発見された脆弱性の評価も実施いたします）。

参考: 経済産業省「ASM導入ガイダンス〜外部から把握出来る情報を用いて自組織のIT資産を発見し管理する〜」

• CyCraft社「XCockpit IASM」による、ADアカウント・権限のリスク分析
  • ADから収集したアカウントや権限情報を可視化
  • 従来の手動調査では困難な、権限関係の自動解析
  • AIによる攻撃者視点でのリスク検出と、Attack Path（攻撃経路）の可視化
• 可視化・分析結果に対し、当社専門スタッフにより問題点から対処方法まで報告
  • 高リスク・優先度と判断されたアカウント情報を「報告書」に記載・解説
  • 低リスク含む検出されたアカウント情報を「Excelリスト」で提示

• AD環境内のアカウント（オブジェクト）の棚卸し：全ての特権/一般アカウントを検出しリストアップ。管理者が把握できていないシャドーアカウントや長期間放置されたアカウントも可視化
• アカウントの設定不備の検出：特権昇格やパスワード漏えい、なりすまし等のアカウント侵害につながるリスクを検出し、対応策まで含めて報告
• 過大な権限設定の検出：各アカウント/グループが持つ権限を正確に検出し、特権アカウントそのものだけでなく間接的に特権を持つアカウントも把握

よくあるADのリスク例: 長期間放置されたアカウント／Kerberoasting攻撃に脆弱なアカウント／過剰な管理権限／特権アカウントになりすまし可能な脆弱な設定