総合セキュリティ診断

Comprehensive Security Health Check

攻撃者の目で探し、防御者の目で確かめます。

外部露出から対応の準備まで、組織のハッキングとセキュリティの問題を五つの観点から確認し、優先して直すことと次の段階にまとめます。

全体の状態はどうなっているか？

確認されたリスクと改善の優先順位をまとめます。

確認済み

五つの観点を合わせて確認し、その結果を一つの改善の順序にまとめます。

攻撃者と防御者、二つの視点で見ます

二つの視点が食い違う場所、つまり攻撃は通るのに防御が気づかない場所こそ、最初に直すべき場所です。

攻撃者の五つの動きと防御者の五つの問い。この例では、認証・権限と対応準備が優先して直す場所です。

ATTACKER

攻撃者の視点

入る道はあるか、入ったらどこまで届くか。

実際の攻撃者が使う情報と手法で外から内へたどり、何を持ち出し、何を止められるかまで確認します。

DEFENDER

防御者の視点

防げるか、気づいて元に戻せるか。

保護手段と人、手順がその攻撃の前で役割を果たすかを確認します。

総合セキュリティ診断の違い

同じ組織でも、何から出発するかで確かめる場所が変わります。

一つの悩みから始められます

点検するシステムや懸念する被害を決める前でも、今のセキュリティの状態を知りたいというだけでご依頼いただけます。

どこから見るかを見極めます

攻撃者とセキュリティ専門家から見て問題になりそうな箇所を押さえて順に確かめるため、期間の長さにかかわらず、最も急ぐべき問題から見えてきます。

散らばった問題を一か所で比べます

部署やシステムごとに別々に見えていた問題も同じ物差しに載せ、組織全体を基準に軽重を判断します。

各観点はSAFE SQUAREの専門サービスの手法と技術で確認します。

何を確認するか

五つの観点ごとに攻撃者と防御者の問いを立て、実際に確認する対象はお客様の環境に合わせて決めます。

EXPOSURE外部露出・脅威
攻撃者
自社を狙うなら、外からまず何を探すか。
防御者
知らないうちに開いているもの、漏れているものはないか。
課題の例
- 忘れられたドメインとテストサーバー
- 漏えいした社員アカウント
- 自社をかたるサイトとアプリ
SERVICEサービス・インフラ
攻撃者
どこから入れるか、既知の攻撃は通用するか。
防御者
最近の変更や古い構成でも、保護の条件は守られているか。
課題の例
- Web・アプリ・APIの脆弱性
- 更新されていないVPN・サーバー・機器
- クラウドの設定ミス
ACCESS認証・権限・保護境界
攻撃者
アカウントを一つ得たら、どこまで広げられるか。
防御者
権限と境界は設計どおりに防いでいるか。
課題の例
- 退職者・共用アカウント
- 過剰な管理者権限
- 協力会社・外部委託先のアクセス
DATA重要情報・運用
攻撃者
最も価値ある情報はどこにあり、どう持ち出すか、止めるか。
防御者
重要情報がどこへ流れ誰が見るかを把握し、失っても取り戻せるか。
課題の例
- 顧客情報の保存場所とアクセス権限
- ランサムウェアに耐えるバックアップ
- 外部の協業ツールやAIサービスへ渡る情報
READINESS対応の準備
攻撃者
気づかれずにどれだけ長く潜めるか。
防御者
気づき、止め、復旧し、説明できるか。
課題の例
- 追跡に必要な記録の収集と保管
- 事故時に知らせ、決める体制
- フィッシングなど人を狙う攻撃への備え

このような状況に適しています

セキュリティの状態を一から見直したいとき
点検から時間が経っている、または受けたことがない場合や、クラウド移行、合併・買収、担当者の交代で環境が大きく変わった場合です。
身近で事故の知らせを聞いたとき
同業他社や取引先が侵害され、「うちは大丈夫か」に根拠をもって答える必要がある場合です。
誰かにセキュリティの現状を問われたとき
取締役会、投資のデューデリジェンス、取引先からのセキュリティ要求、監査を控え、現在の状態を根拠とともに説明する必要がある場合です。
改善の優先順位に根拠が必要なとき
限られた人員と費用で、どのリスクから改善するかを根拠をもって決める必要がある場合です。

進め方

期間は、知りたいことと組織の環境に合わせて、短くて半日から長くて数か月まで決められ、長くなるほど範囲を広げていきます。

確かめる中で注目すべき箇所が見つかれば、さらに深く掘り下げます。

悩みと範囲の合意
今の悩みを伺い、確かめる範囲と期間を一緒に決めます。
現状の把握
ご提供いただいた資料と外から見える情報で、攻撃者が狙いそうな場所と守るべき場所を絞り込みます。
攻撃・防御の両面からの確認
攻撃者の視点で実際に通用するかを検証し、防御者の視点で防ぎ、気づけるかを確認します。サービスに影響し得る検証は、事前に合意してから行います。
結果の説明
確認した内容を意思決定者と実務担当者にそれぞれ説明します。

特定のシステムやリスクを、定めた範囲と検証基準で確かめる必要があれば、脆弱性診断・ペネトレーションテスト（VAPT）、AIシステムのセキュリティ評価・ペネトレーションテスト、プライバシーリスク分析などの専門サービスを、診断と同じプロジェクトに組み込めます。各サービスは本来の深さで進めてそれぞれの成果物をお渡しし、その結果を診断の結果とあわせて全体のリスク状況にまとめます。

ご依頼の例説明のために作成した架空の例です。

ご要望

1か月かけて、会社全体のセキュリティリスクを確かめてください。決済APIは、リリース前に脆弱性診断・ペネトレーションテストを必ず受ける必要があります。

対象：会社全体と、リリースを控えた決済API

作業	行うこと	得られる結果
総合セキュリティ診断	1か月間、五つの観点からリスクの大きいところを先に確かめ、必要なところは実際に検証	主なリスクと検証の根拠、改善の優先順位
脆弱性診断・ペネトレーションテスト（VAPT）	リリース前に、決めた範囲と診断基準どおりに決済APIを確認	発見事項と実際の影響、再現可能な証跡をまとめたVAPT報告書
結果のとりまとめ	二つの結果をつなぎ、決済APIの問題が会社全体のリスクの中でどこに位置するかを整理	意思決定者向けの要約と全体のリスク状況、実務担当者向けの対応の提案

専門サービスだけを直接ご依頼いただくことも、サイバーセキュリティ・ケアの中で診断を定期的に受けていただくこともできます。

お客様に残る成果

何をどの条件で確認したかを示し、事実と兆候を分けてまとめます。

SAMPLE優先して直すこと・例説明のために作成した架空の例です。

退職者のアカウントで外部からリモート接続できます
攻撃経路
1. 漏えいしたアカウント
2. リモート接続（VPN）
3. 社内ファイルサーバー
防御の空白
多要素認証も、不審な接続の警報もありません

優先する理由
経路が短く、侵入されても気づく手段がありません
バックアップが本番サーバーと同じ管理者権限で削除できます
攻撃経路
1. 管理者アカウントの乗っ取り
2. バックアップの削除
3. ランサムウェアの実行
防御の空白
バックアップが分離されておらず、復旧を訓練した記録もありません

優先する理由
運用と復旧の手段を一度に失うおそれがあります

事実として確認した問題

根拠と発生条件を併せて記します。

追加確認が必要な兆候

事実と区別し、確認に必要な条件を併せて記します。

次に確認する部分

今回の範囲外、または後に回した部分で、次の点検の出発点になります。

セキュリティ状態の要約意思決定者向け
五つの観点から見た現在の状態です。
発見事項と根拠実務担当者向け
問題ごとに、根拠と攻撃経路、防御の空白、改善の方向を記します。
優先して改善すること双方で共有
業務への影響と根拠から決めた改善の順序と、その理由です。
次の段階意思決定者向け
さらに確認すべきことや対応すべきことを根拠とともに整理し、何をどこまで行うかを決められるようにします。