セキュリティ評価・ペネトレーションテスト
Security Assessment & Penetration Testing
脆弱性が実際に悪用されうるか、セキュリティ対策が攻撃を防げるかを確かめます。
Web・アプリやクラウドからAIシステム、制御設備とネット接続機器まで、点検する対象と確かめたい目標に合わせて、四つのサービスで進めます。
技術的な脆弱性は実際に悪用されうるのか、セキュリティ対策は実際に機能しているのか？
脆弱性と攻撃経路を実際に検証し、業務への影響と改善の方向を示します。
確認済み
四つのサービス
点検する対象と目標によって四つのサービスに分かれ、サービスごとに答える問いが異なります。
このシステムの脆弱性は、実際に悪用されうるのか？
Web・API・モバイル、認証・権限、サーバー・ネットワーク・クラウドを広く調べて脆弱性と設定の問題を探し、攻撃者のように弱点をつないで、実際にどこまで入り込めるか、業務にどう影響するかを専門家が直接確認します。
目標を狙う現実的な攻撃に対して、組織はどう予防・検知・対応するのか？
定めた目標に向けて実際の攻撃者のように試み、目標に届くかと、組織の予防・検知・対応を根拠とともに評価します。
攻撃を受けても、AIシステムは定めた線を守れるのか？
AIエージェントやLLMサービスから、モデルの学習・推論基盤まで、AIシステムそのものを攻撃の対象とし、実際に悪用される弱点を探します。
制御システムとネット接続機器は、機器とファームウェアまで攻撃に耐えられるのか？
工場・プラント・ビルのような現場の制御システムと、店舗や家庭にまで入るネット接続機器を、設定や構成から機器とファームウェアに潜む未知の脆弱性まで点検します。
目的型ペネトレーションテスト・レッドチームでは、お客様に関わる脅威情報からシナリオを設計するTLPT（脅威インテリジェンス主導型ペネトレーションテスト）も実施します。
対象や目標がすでに決まっていれば、合うサービスからすぐに始められます。結果を組織全体のリスクとあわせて見たい場合は、総合セキュリティ診断と一つのプロジェクトとして進めることもできます。
対象と目標で選びます
対象ごとに構造も攻撃の手口も必要な専門性も違うため、サービスを分けています。実際の攻撃は対象同士のつながりを伝ってくるので、どのサービスでも対象がつながる箇所もあわせて確認します。
ペネトレーションテストという言葉は幅広い意味で使われます。ここでは、定めたシステムの中で脆弱性を広く探し、実際に悪用できるかを確かめることを脆弱性診断・ペネトレーションテスト（VAPT）、システムを限らずに定めた目標まで届くかをたどることを目的型ペネトレーションテストと呼び分けています。
「顧客データに届くか」のように確かめたい目標がはっきりしているなら、目的型ペネトレーションテスト・レッドチームを選びます。目標までつながる経路と、その間に組織が気づいて対応できるかを見ます。
この四つのサービスは、システムと技術的な弱点から出発します。クーポン・ポイントの悪用やランサムウェアの被害のように、特定の事業上の被害から出発する検証は、リスク起点のセキュリティ検証で扱います。