!
攻撃対象領域の拡大
クラウド、VPN、Web公開システム、委託先連携により、外部から見える入口は増え続けています。
攻撃される前に、見えないリスクを確認する
外部から見える入口や日々の設定変更に潜むリスクを、第三者の視点で確認します。
⌕
自社だけでは見えにくいリスク
運用変更やパッチ未適用、不要ポートなど、日常運用の中でリスクが蓄積します。
✓
被害前の対策優先度整理
検出結果を重要度と影響範囲で整理し、限られた工数で優先対応しやすくします。
診断の目的
「問題点の列挙」ではなく、リスクを把握し、対応優先度を決め、説明可能な改善活動につなげること。
経営判断、IT部門の対応計画、取引先・監査向け説明の材料として活用できます。
よくある診断対象とリスク例
Web、サーバー、ネットワーク機器、運用面を幅広く確認します。
01
サーバー / ミドルウェア
OS・OSSの既知脆弱性
不要サービス
設定不備
02
ネットワーク機器
VPN・FW・ルーターの脆弱性
管理画面の露出
弱い暗号設定
03
証明書 / 暗号化
期限切れ証明書
弱い暗号スイート
TLS設定不備
04
運用・公開設定
パッチ未適用
不要ポート公開
棚卸し漏れ
サービス概要
攻撃者視点の確認と、利用者視点の分かりやすい報告を両立します。
1
診断
対象システムに対して脆弱性チェックを実施。外部公開面、設定、既知脆弱性、リスクの兆候を確認します。
2
分析
検出結果を影響度、悪用可能性、対象資産の重要度で整理します。
3
報告
経営層にも分かるリスク要約と、IT担当者が対策に使える技術情報を診断書として提供します。
診断結果を「リスクの把握」から「改善アクション」へつなげます
診断メニュー
目的と必要な成果物に応じて、2段階のメニューを選択できます。
Standard診断
重要リスクをすばやく把握する基本診断
- まず現状を把握したい
- 予算を抑えて重要リスクを確認したい
- 詳細診断の前段階として実施したい
成果物：標準診断書
Expert診断
詳細分析と具体的な改善策まで提示する高度診断
- 顧客・監査向けに説明したい
- IT担当者が対策できる詳細情報がほしい
- 改善計画に落とし込みたい
成果物：詳細診断書
成果物の違い
Standardは重要部分の抜粋、Expertは詳細分析版という位置付けです。
| 項目 | Standard診断 | Expert診断 |
|---|---|---|
| 診断結果一覧 | 〇 | 〇 |
| 高リスク項目の説明 | 〇 | 〇 |
| 中・低リスク項目の詳細 | △ | 〇 |
| 技術的な影響説明 | 簡易 | 詳細 |
| 対応優先度 | 簡易 | 詳細 |
| 改善策 | 概要レベル | 具体的な対策案 |
| 報告会 | 口頭説明中心 | 詳細説明・質疑対応 |
診断の流れ
診断の基本工程は共通です。重要項目の抽出までを共通工程とし、その後にStandardとExpertで成果物の粒度が分かれます。
01
ヒアリング
診断対象、目的、システム構成、実施条件を確認します。
02
診断準備
診断範囲、除外対象、実施時間帯、連絡体制を整理します。
03
診断実施
対象システムに対して脆弱性診断を実施し、リスクや設定不備を確認します。
04
重要項目の抽出
検出結果から高リスク項目や優先確認すべき項目を抽出します。
ここから成果物の粒度が分かれます
Standard
重要リスク中心
05-S
標準診断書作成
主要なリスク、概要、簡易的な対応方針を標準診断書にまとめます。
06-S
口頭報告
重要ポイントを中心に、診断結果を分かりやすく説明します。
Expert
詳細分析・改善提案
05-E
詳細分析
影響度、悪用可能性、誤検知、重複を可能な範囲で精査します。
06-E
詳細診断書作成
リスクレベル別の詳細、根拠、技術的な影響を整理します。
07-E
改善提案・報告
具体的な対策案、対応優先度、改善方針を説明します。
Standardは共通工程で抽出した重要項目を中心にまとめ、Expertは同じ診断結果をベースに詳細分析と具体的な改善提案まで行います。
まずは、いまの環境に潜むリスクを
IT環境セキュリティ診断で確認しませんか。
診断対象や実施条件が決まっていなくても大丈夫です。現在の環境やお悩みをお聞きし、Standard診断とExpert診断のどちらが適しているかをご案内します。
