組織全体の状態を把握するセキュリティ・ヘルスチェックから、VAPT、重点リスク検証、マルウェア・情報流出への対応力検証、レッドチーム、52週間のカスタムプログラムまで提供します。必要に応じて、人とAIが協働するセキュリティ運用体制の構築へ拡張します。
「何から始めればよいか分からない」
「特定の製品・システムを深く確認したい」
「外部露出、ロジックの悪用、サービスのなりすまし、機密情報の扱いなど、特定のリスクを詳しく確認したい」
「ランサムウェアなどのマルウェアを封じ込め、重要データの外部流出を防げるか確認したい」
「実際の攻撃に組織が気づき、対応できるのか知りたい」
「セキュリティの優先順位を継続的に見直し、改善したい」
全体像を把握するヘルスチェック、対象を深く分析するVAPT、懸念するリスクやマルウェア・情報流出への対応力を集中的に確認する検証、レッドチーム、年間プログラムを、お客様の状況に合わせて組み合わせます。
組織とサービスの状態を7つの主要リスク観点から幅広く評価し、重要な兆候と後続の精密検証の優先順位を整理します。迅速版、標準版、内部環境拡張版として実施できます。
ヘルスチェックは全体像・主要リスク・優先順位を把握する出発点です。特定のリスクが明確な場合は、個別の専門検証へ深く進みます。
特定の製品・サービス・システムを体系的に分析し、脆弱性や統制上の不足を特定したうえで、許可された範囲内で現実的な攻撃経路と影響を安全に検証します。自動スキャンの結果だけでなく、専門家による手動分析と再現可能な証拠を提供します。
脆弱性診断は弱点と改善が必要な箇所を特定し、ペネトレーションテストはその弱点が実際の攻撃経路につながるかを確認します。
お客様が懸念する事故や悪用シナリオを明確な問いに置き換え、集中的に検証します。攻撃者に自社資産がどこまで見えるか、アプリやクライアントを改変して決済・権限ロジックを迂回できるか、偽のログインページ・ドメイン・サポート窓口で顧客をだませるか、機密情報が安全に扱われているかを確認します。
ヘルスチェックで出たリスク兆候の深掘り、またはリリース・インシデント・監査前の独立検証として利用できます。
ランサムウェアなどのマルウェアが流入・実行・拡散し、バックアップや復旧に影響を与える可能性があるか、内部データがネットワーク分離、VDI、リモート業務、ファイル転送の境界を越えて外部へ持ち出され得るかを検証します。承認された条件と安全なシミュレーションを前提に実施します。
内部アクセス、運用部門の協力、安全なシミュレーション条件が必要なため、別サービスラインとして扱います。
権限を持つ承認者と目的、対象範囲、情報公開レベル、安全条件、中止基準を事前に合意したうえで、実際の攻撃者の視点に基づくシナリオを実施します。技術的な侵入の成否だけでなく、組織が攻撃を検知し、状況を分析・報告し、必要な意思決定を行い、封じ込めと復旧を実行できるかという一連の対応を検証します。
公開範囲は事前告知型・限定公開型・無予告型から選択します。一般社員に事前告知しない場合でも、権限ある承認者と必要な担当者が範囲と安全条件を事前に合意します。
お客様ごとに、事業、システム、脅威、セキュリティ体制、優先順位は異なります。決められたチェックリストを毎週繰り返すサービスではなく、毎週最も重要なセキュリティテーマを選定し、調査・分析・診断・攻撃検証・教育・改善支援の能力を組み合わせて提供する年間プログラムです。
「52週間」は毎週同じテストを繰り返すという意味ではなく、優先順位を継続的に見直し、必要な能力を適切なタイミングで提供するという運用原則を表します。別途合意がない限り、24時間365日のSOC監視や無制限のインシデント対応を意味するものではありません。
システムが侵害されるかだけでなく、不正な命令、改ざんされたセンサーデータ、権限の悪用が、実際の動作・操業・安全に及ぼす影響まで確認します。
Web・モバイル・API
サーバー・ネットワーク・クラウド・コンテナ
認証・権限・AD・IAM
AIモデル・LLM・RAG・エージェント
情報漏えい・プロンプト攻撃
OT・ICS・SCADA・PLC・HMI
工場・生産設備・産業ネットワーク
IoT・ゲートウェイ・組込みシステム
ファームウェア・無線通信
ヒューマノイド・ロボット・AMR
自動車・船舶・交通・物流
外部に露出した資産・情報
アカウント・従業員・委託先・サプライチェーン
内部システム・セキュリティ運用
検知・報告・意思決定・対応
オフィス・研究所・工場・データセンター
入退室管理・来訪者管理
現場ネットワーク・機器・記録媒体
承認済みの物理侵入シミュレーション
* 操業や安全に影響し得るシステムでは、書面による承認、禁止事項、中止条件を定めたうえで、手動・低リスクの検証とテストベッドまたはデジタルツインを優先します。
ブラックボックスは検証チームに提供する情報の範囲、告知レベルは組織内で誰が実施を知るか、レッドチームは攻撃シナリオを通じて組織の対応力を確認する手法です。それぞれ別の設計項目です。
ブラックボックス
内部情報なしで、外部の攻撃者と同じ条件から開始
グレーボックス
一部のアカウントや情報を共有し、現実性と効率を両立
ホワイトボックス
ソースコード・設計・設定情報を用いて、より深く体系的に検証
事前告知型
関係部署が対象範囲と日程を把握して参加
限定告知型
必要な意思決定者と運用担当者だけに告知
一般社員への無予告型
一般社員には事前告知せず、実際の対応フローを確認
・総合セキュリティ・ヘルスチェック
・脆弱性診断・ペネトレーションテスト
・重点リスク検証
・マルウェア・情報流出への対応力検証
・レッドチーム・対応力検証
・承認済みの物理アクセス検証
・攻撃対応演習
対象、期間、情報レベル、許可・禁止事項、中止条件を明確化
資産と環境の把握、テストアカウント・テストベッド、安全性レビュー
AIによる広範な収集・分析と、専門家による手動検証
主要リスクと優先順位、技術的な詳細、再現可能な証跡
改善ガイド、修正確認、残存リスクと例外の管理
Security Snapshot · 経営層向けサマリー · 技術詳細レポート · 攻撃タイムラインと証跡 · リスクバックログ · 改善の優先順位とロードマップ · 再検証結果 · 必要に応じた教育・年間プログラムの提案
セキュリティ検証で蓄積したプレイブックと証跡を、人とAIエージェントが協働する統制された運用体制の基盤として活用できます。