2025.02.06

#23 サプライチェーンの進化により セキュリティ診断サービスがより重要に

情報漏洩対策

セキュリティ

セキュリティ診断サービス

ASM

脆弱性診断サービス

はじめに

昨年は、多くのお客様からセキュリティ診断サービスのお問合せをいただきました。

これはDX（デジタルトランスフォーメーション）により「サプライチェーンが進化」し、サイバー攻撃による被害の対象範囲および影響度合いが広がったことが背景にあり、その結果「サプライチェーンの一員」であり続けるためにセキュリティ対策をしっかり実施し、その証明が求められるようになったからではないでしょうか。

IIMのポリシーにございます「計測できないものは制御できない」は、セキュリティに関しても同様のポリシーで、「守るべきものの把握」、「リスクの可視化」を実施するソリューションも、しっかりラインナップしております。

今回は、セキュリティ診断サービスについてご紹介します。

セキュリティ診断サービスとは？

セキュリティに対して潤沢な予算がある企業様は稀ですので、まずは「守るべきものの把握」「リスクの可視化」を整理することが、効率的にセキュリティを確保・維持していくために重要であると考えております。

セキュリティ診断サービスは、リスクの可視化を実現するソリューションで、NIST サイバーセキュリティフレームワークでは「特定」の分野に位置づけられるソリューションです。

アイアイエム・セキュリティ・ソリューション　【NISTフレームワーク】

大きくはASM、脆弱性診断サービス、ペネトレーションテストと3つのカテゴリに分かれており、具体的には以下のような目的に応じたサービスです。

• 攻撃者目線で外から見えるリスク調査　　　　　　　　　　 →　ASM（Attack Surface Management）

• 外部公開しているWebシステムの詳細な脆弱性の洗い出し     →　脆弱性情報サービス

• セキュリティ対策の有効度合いや被害レベルの評価　　　　 →　ペネトレーションテスト

ASM（Attack Surface Management）とは？

企業ホームページURLを起点に企業全体を外部から見て、サイバーリスクを可視化するサービスです。

脆弱性診断サービスとは

1. Webアプリケーション、ネットワークの脆弱性や設定ミスの洗い出しをするサービスです。

   近年では、上記に加え、クラウド環境に対してもニーズが出て来ております。

ASMと脆弱性診断サービスについて、対象や用途の違いについて問合せを多くいただきますので、以下に整理しご紹介します。

ASM（Attack Surface Management）と脆弱性診断の違いについて

Panoraysと脆弱性診断の違いについて（詳細内容）

ペネトレーションテストとは

攻撃者視点からの疑似攻撃です。

対策の実効性を評価するとともに、改善提案をご提示しセキュリティ強化を図るサービスです。
まずはASMおよび脆弱性診断サービスを実施し、洗い出されたリスクを改善した後でご提案するサービスとなります。

そのため、今回は詳細な説明を割愛させていただきます。

自動車業界での脆弱性診断サービスの実装が

自工会／部工会サイバーセキュリティガイドラインでは脆弱性診断サービスの対応が以下の通り明記されており、複数社からご相談を頂いております。(※Lv.3 ラベル19、No126-128)

まさにサプライチェーンの影響を大きく受ける業界のため、ガイドラインが定められ数年が経ちますが、多くの企業様で実装フェーズに入っていると考えられます。

※達成条件における^※1脆弱性診断・^※2アプリケーション脆弱性診断とは何か？

脆弱性診断とは、自社のシステムに対して、設定ミスや不具合などによって不正アクセスや情報漏洩などの脅威が顕在化するリスクが存在しないかを確認することを指します。

• 脆弱性診断

  プラットフォームの診断はサーバーのOSやミドルウェアを対象とし、システムに対する疑似攻撃や設定値のチェックによってリスクを洗い出すものです。

  加えて、洗い出されたリスクを分析し、その評価結果に応じて対応策をとることが重要です。

  また、診断対象のOSにWebアプリケーションを稼働させている場合は、併せて№128のような診断を行うことが一般的です。

  
  

• アプリケーション脆弱性診断

  Webアプリケーションを対象とし、システムに対する疑似攻撃や設定値チェック、プログラムの解析によってリスクを洗い出すものです。

  加えて、洗い出されたリスクを分析し、その評価結果に応じて対応策をとることが重要です。

  また、このアプリケーションが稼働しているプラットフォームについても併せて№126のような診断を行うことが一般的です。

まとめ

DX推進によるサプライチェーンの進化で、企業単位でとどまるのではなく、取引先への影響も考慮し、セキュリティ対策を実施することが求められる時代に入っていると思われます。

他社とどこで、どのようにつながっているのか、外部目線でチェックしたいならASM、特定のシステムを詳細に深堀りしたいなら脆弱性診断サービスをお勧めします。

弊社では、ご要望に応じたご提案が可能ですので、ご興味がございましたら、弊社担当営業までお申し付け下さい。

執筆者

萩川　義則

営業技術本部 MP統括部　

サイバースレッド＆セキュリティオペレーション担当​
IIM入社後一貫してLANSCOPE、LogRevi、Cylanceなどの「内部情報漏洩対策」および「サイバー攻撃対策」の提案に従事。EDR、NDR、SIEM、SOC、インシデントレスポンスサービスもラインナップに加えセキュリティオペレーションも担当。​