// SECURITY SERVICES & CONSULTING

攻撃者より一歩先に見つけ、
一年中守り続けます。

組織全体の状態を把握するセキュリティ・ヘルスチェックから、VAPT、重点リスク検証、マルウェア・情報流出への対応力検証、レッドチーム、52週間のカスタムプログラムまで提供します。必要に応じて、人とAIが協働するセキュリティ運用体制の構築へ拡張します。

❯ 専門家とAIエージェントが協働し、最終的な判断と品質は人が責任を持ちます。
状況に合うサービスを探す → セキュリティ・ヘルスチェックのご相談
01総合チェック
02VAPT
03重点リスク
04マルウェア・流出
05レッドチーム
0652週間
// 01 · WHERE TO START

いま知りたいことと必要な期間によって、
最適な始め方は変わります。

// 02 · SERVICE PORTFOLIO

6つの始め方と、
7つのリスク観点。

全体像を把握するヘルスチェック、対象を深く分析するVAPT、懸念するリスクやマルウェア・情報流出への対応力を集中的に確認する検証、レッドチーム、年間プログラムを、お客様の状況に合わせて組み合わせます。

01

総合セキュリティ・ヘルスチェック

SECURITY HEALTH CHECK · 7 RISK PERSPECTIVES

組織とサービスの状態を7つの主要リスク観点から幅広く評価し、重要な兆候と後続の精密検証の優先順位を整理します。迅速版、標準版、内部環境拡張版として実施できます。

ヘルスチェックは全体像・主要リスク・優先順位を把握する出発点です。特定のリスクが明確な場合は、個別の専門検証へ深く進みます。

7つの確認観点
  • システム侵害リスク
  • 外部露出・攻撃対象領域
  • サービスロジック保護
  • フィッシング・なりすまし
  • 個人情報・機微情報
  • マルウェア流入・拡散耐性
  • ネットワーク分離・情報持ち出し
構成:5つの共通観点と、2つの内部運用環境に関する深掘り観点
02

脆弱性診断・ペネトレーションテスト

VULNERABILITY ASSESSMENT & PENETRATION TESTING

特定の製品・サービス・システムを体系的に分析し、脆弱性や統制上の不足を特定したうえで、許可された範囲内で現実的な攻撃経路と影響を安全に検証します。自動スキャンの結果だけでなく、専門家による手動分析と再現可能な証拠を提供します。

脆弱性診断は弱点と改善が必要な箇所を特定し、ペネトレーションテストはその弱点が実際の攻撃経路につながるかを確認します。

主な実施タイプ
  • 外部露出・攻撃対象領域の分析
  • 脆弱性診断
  • ペネトレーションテスト
  • リリース前の製品・サービス検証
  • AI・LLM・エージェントの評価
  • OT・IoT・ファームウェア・ロボット検証
成果物: 重要度・再現可能な証跡 · ビジネスへの影響 · 改善の優先順位 · 修正後の再検証
03

重点リスク検証

FOCUSED RISK VALIDATION

お客様が懸念する事故や悪用シナリオを明確な問いに置き換え、集中的に検証します。攻撃者に自社資産がどこまで見えるか、アプリやクライアントを改変して決済・権限ロジックを迂回できるか、偽のログインページ・ドメイン・サポート窓口で顧客をだませるか、機密情報が安全に扱われているかを確認します。

ヘルスチェックで出たリスク兆候の深掘り、またはリリース・インシデント・監査前の独立検証として利用できます。

4つの重点検証
  • 外部露出外部から見える資産・ドメイン・クラウド・公開コードの分析
  • ロジック悪用アプリ・クライアントの改変と決済・権限ロジックの迂回検証
  • なりすましフィッシング・偽ログイン・偽サポート窓口への対応力検証
  • 機密情報個人情報・機密情報の収集・保存・転送・削除の適正性検証
確認する問い:何が外部に露出しているか · サービスロジックを悪用できるか · 顧客をだませるか · 機密情報が漏えいし得るか
04

マルウェア・情報流出への対応力検証

MALWARE & DATA EXFILTRATION RESILIENCE

ランサムウェアなどのマルウェアが流入・実行・拡散し、バックアップや復旧に影響を与える可能性があるか、内部データがネットワーク分離、VDI、リモート業務、ファイル転送の境界を越えて外部へ持ち出され得るかを検証します。承認された条件と安全なシミュレーションを前提に実施します。

内部アクセス、運用部門の協力、安全なシミュレーション条件が必要なため、別サービスラインとして扱います。

主な検証領域
  • マルウェアランサムウェアなどの流入・実行・拡散耐性検証
  • 持ち出し分離・メール・Web・ファイル転送経路の情報持ち出し統制検証
  • 業務経路VDI・リモート業務・コラボレーションツール・管理境界
  • 復旧EDR・バックアップ・復旧・第三者製品の影響
確認する問い:マルウェアを封じ込められるか · 重要データの外部流出を防げるか · インシデント後に通常業務へ復旧できるか
05

レッドチーム演習・対応力検証

RED TEAM ASSESSMENT & RESPONSE READINESS VALIDATION

権限を持つ承認者と目的、対象範囲、情報公開レベル、安全条件、中止基準を事前に合意したうえで、実際の攻撃者の視点に基づくシナリオを実施します。技術的な侵入の成否だけでなく、組織が攻撃を検知し、状況を分析・報告し、必要な意思決定を行い、封じ込めと復旧を実行できるかという一連の対応を検証します。

公開範囲は事前告知型・限定公開型・無予告型から選択します。一般社員に事前告知しない場合でも、権限ある承認者と必要な担当者が範囲と安全条件を事前に合意します。

確認すること
  • 外部露出資産・攻撃対象領域
  • 初期侵入・権限昇格・内部への横展開
  • 重要データ・業務システムへの到達可能性
  • セキュリティシステムの検知・遮断
  • 担当者の分析・報告・対応
  • 意思決定・コミュニケーション・復旧手順
拡張オプション: フィッシング・ソーシャルエンジニアリング · サプライチェーン · 無線 · 物理的アクセス — すべて承認された範囲内で
06

52週間カスタム統合セキュリティサービス

52-WEEK TAILORED SECURITY SERVICES

お客様ごとに、事業、システム、脅威、セキュリティ体制、優先順位は異なります。決められたチェックリストを毎週繰り返すサービスではなく、毎週最も重要なセキュリティテーマを選定し、調査・分析・診断・攻撃検証・教育・改善支援の能力を組み合わせて提供する年間プログラムです。

「52週間」は毎週同じテストを繰り返すという意味ではなく、優先順位を継続的に見直し、必要な能力を適切なタイミングで提供するという運用原則を表します。別途合意がない限り、24時間365日のSOC監視や無制限のインシデント対応を意味するものではありません。

提供可能なサービス領域
  • 調査調査・モニタリング — 外部露出資産・ドメイン・アカウント・漏えい情報・公開ソースコード・新たな脅威
  • 診断診断・検証 — ヘルスチェック・VAPT・重点リスク・マルウェア・情報流出対応力・AI/LLM評価
  • 対応対応・演習 — レッドチーム・攻撃シナリオ・検知から復旧までの対応力検証
  • 改善改善・再検証 — セキュリティ教育・改善設計・修正確認・残存リスク管理
  • 固有お客様固有の課題 — 業界・技術・インシデント・リリース・運用日程に合わせた追加テーマ
お客様ごとに異なるセキュリティ課題へ、毎週最適な方法で。
// 03 · SCOPE

製品一つから組織全体、
実際に動くシステムや施設まで。

システムが侵害されるかだけでなく、不正な命令、改ざんされたセンサーデータ、権限の悪用が、実際の動作・操業・安全に及ぼす影響まで確認します。

A

AI・デジタルサービス

Web・モバイル・API
サーバー・ネットワーク・クラウド・コンテナ
認証・権限・AD・IAM
AIモデル・LLM・RAG・エージェント
情報漏えい・プロンプト攻撃

B

産業・サイバーフィジカルシステム

OT・ICS・SCADA・PLC・HMI
工場・生産設備・産業ネットワーク
IoT・ゲートウェイ・組込みシステム
ファームウェア・無線通信
ヒューマノイド・ロボット・AMR
自動車・船舶・交通・物流

C

企業・組織全体

外部に露出した資産・情報
アカウント・従業員・委託先・サプライチェーン
内部システム・セキュリティ運用
検知・報告・意思決定・対応

D

施設・運用現場

オフィス・研究所・工場・データセンター
入退室管理・来訪者管理
現場ネットワーク・機器・記録媒体
承認済みの物理侵入シミュレーション

* 操業や安全に影響し得るシステムでは、書面による承認、禁止事項、中止条件を定めたうえで、手動・低リスクの検証とテストベッドまたはデジタルツインを優先します。

// 04 · ENGAGEMENT DESIGN

何を検証するかだけでなく、
どこまで情報を共有し、誰に告知するかも設計します。

ブラックボックスは検証チームに提供する情報の範囲、告知レベルは組織内で誰が実施を知るか、レッドチームは攻撃シナリオを通じて組織の対応力を確認する手法です。それぞれ別の設計項目です。

軸 1 · 提供情報の範囲

ブラックボックス
内部情報なしで、外部の攻撃者と同じ条件から開始

グレーボックス
一部のアカウントや情報を共有し、現実性と効率を両立

ホワイトボックス
ソースコード・設計・設定情報を用いて、より深く体系的に検証

軸 2 · 組織内の告知範囲

事前告知型
関係部署が対象範囲と日程を把握して参加

限定告知型
必要な意思決定者と運用担当者だけに告知

一般社員への無予告型
一般社員には事前告知せず、実際の対応フローを確認

軸 3 · 検証手法

・総合セキュリティ・ヘルスチェック
・脆弱性診断・ペネトレーションテスト
・重点リスク検証
・マルウェア・情報流出への対応力検証
・レッドチーム・対応力検証
・承認済みの物理アクセス検証
・攻撃対応演習

// 05 · PROCESS

対象範囲の合意から再検証まで、
結果を実際の改善につなげます。

STEP 1

目的・範囲・安全条件の合意

対象、期間、情報レベル、許可・禁止事項、中止条件を明確化

STEP 2

準備・情報収集

資産と環境の把握、テストアカウント・テストベッド、安全性レビュー

STEP 3

診断・分析・攻撃検証

AIによる広範な収集・分析と、専門家による手動検証

STEP 4

報告・意思決定者向け説明

主要リスクと優先順位、技術的な詳細、再現可能な証跡

STEP 5

改善支援・再検証

改善ガイド、修正確認、残存リスクと例外の管理

主な成果物

Security Snapshot · 経営層向けサマリー · 技術詳細レポート · 攻撃タイムラインと証跡 · リスクバックログ · 改善の優先順位とロードマップ · 再検証結果 · 必要に応じた教育・年間プログラムの提案

// 06 · AI SECURITY TEAM BUILDING

AIは範囲とスピードを広げ、
専門家は深さ・判断・責任を加えます。

セキュリティ検証で蓄積したプレイブックと証跡を、人とAIエージェントが協働する統制された運用体制の基盤として活用できます。

AIエージェント・自動化
  • ·幅広い資産・情報の収集と大規模データ分析
  • ·反復的な点検、候補となる脆弱性・攻撃経路の提示
  • ·証跡の整理・再検証・報告支援
人間の専門家
  • 目標と安全範囲の設計、リスクの高い作業の承認
  • 悪用可能性・ビジネス影響の判断、複雑な経路・例外の分析
  • エージェントの結果検証と最終結果への責任