不正侵入、セキュリティ耐性の検査

ペネトレーションテストと脆弱性診断の両方の対策を実施することで、お客さまシステムの総合的な観点から継続的なセキュリティ対策が可能になります。また、Webアプリケーションファイアウォールはインターネット上の「盾」となり、SQLインジェクション、Web改ざん、不正ログイン、ガンブラー等によるウィルス拡散、個人情報等の機密情報の流出などのサイバーセキュリティに関するトラブルを未然に防ぎます。

社内システムと従業員を対象とすることで統合的なテレワークセキュリティを実現

働き方改革によりテレワークが社会的に普及しました。パソコンを利用しリモートで対応できることが増加したことで、システム安定稼働とセキュリティ対策も重視されています。仮想デスクトップ環境（シンクライアント環境）を利用することで、センシティブなデータを取り扱う業務に関しては、パソコンの紛失による情報漏えい事故の防止につながることで企業のニーズは増加しています。シンクライアント環境を構築するシステム（VDI環境）では、クライアントマシン（パソコン）のデスクトップ環境を一元管理しているため、セキュリティインシデントによるシステム障害が発生すると従業員全体の業務に影響が出てしまうリスクが存在します。ペネトレーションテストでは、ITシステム（VDI環境や社内ファイルサーバなどの社内環境）への不正侵入防止の為に実践的なテストを実施できます。また脆弱性診断を実施し対策を講じることで、システムへの脆弱性をついた不正アクセスなどのリスクを未然に防止します。テレワークが普及する一方で悪意のある攻撃者は好機と見なし、標的型攻撃メールを送信し、ウイルスやマルウェア感染を足がかりに、企業の機密情報窃取を実行します。標的型攻撃メール訓練サービスは、不審なメールに対しての対応をトレーニングし、従業員のセキュリティに対する意識高揚を促すことが出来ます。

クラウドサービス利用におけるセキュリティ対策のベストプラクティスを提供

近年、パブリッククラウドの利用が急速に進んでいます。企業にとってクラウドサービスの利用は、経済面や運用工数の削減など、様々なメリットをもたらす一方で、自由度が高い事による新たな課題も発生しています。特にIaaS領域のセキュリティ設定等に関しては、利用者側の責任や対応範囲が広く、情報漏洩等の事故を未然に防ぐには、しっかりと対策を講じておく必要があります。その際に重要な事は、クラウドサービス利用に対して統一のセキュリティ基準を設け、継続的な評価と強化のサイクルを回す事ですが、企業においては複数のクラウドサービスを利用しているケースが多く、その管理が煩雑になりがちです。クラウドセキュリティ設定診断サービスでは、著名なセキュリティフレームワークに照らし合わせた管理設定の適合状況、必要な対策を明確にご提供致します。現在稼働中のシステムはもちろん、これから運用が開始されるシステムに対しても、容易にセキュリティレベルの向上が実現可能です。また、WEBアプリケーション層やシステムプラットフォーム層の脆弱性診断などと組み合わせて実施する事により、年間を通した総合的なセキュリティ監査にも対応いたします。

Webサイトの継続的な安全性を確認

Webサイトはインターネットに公開されているため、多数のアクセスを受けることで負荷が高まりやすく、サイバー攻撃などの脅威に晒されやすいことが特徴です。具体的には、脆弱性の悪用、Web改ざんによる閲覧者のウイルス感染、高負荷によるサイト機能停止、パスワード・個人情報などの窃取、などの脅威が存在します。定期的な脆弱性診断で脆弱性の確認、Web改ざん検知で改ざん箇所を確認、Webアプリケーションファイアウォールで妨害攻撃から防御、SSLサーバ証明書で暗号化通信の実現。システムプラットフォーム層脆弱性管理サービスとWEBアプリケーション層脆弱性管理サービスでは、サーバサイドのOS・ミドルウェアとWEBアプリケーションの脆弱性管理を実施することで、Webサイトの安全性を定期的に確認し継続的なセキュリティ対策が実現できます。

クレジットカード業界の情報セキュリティ基準であるPCI DSSの診断項目

PCI DSS（Payment Card Industry Data Security Standard）とはクレジットカード業界におけるグローバルセキュリティ基準のことです。加盟店やサービスプロバイダにおいて、クレジットカード会員データを安全に取り扱う事を目的として策定された、クレジットカード業界のセキュリティ基準です。当社のWebアプリケーション脆弱性診断、脆弱性手動診断はPCI DSS要件に対応しており、ツールと手動をあわせて実施することで個人情報を取り扱っているサイトのセキュリティ対策が可能です。合わせてモバイルアプリの脆弱性診断を実施する場合も可能です。また、世界中の利用実態に基づいて悪用のしやすさ、検知のしやすさ、および影響についての共通認識の推計を組み合わせた上で、選択し、優先順位付けされたセキュリティ脅威であるOWASP Top 10、OWASP Mobile Top 10に基づいた診断項目により、自社保有の脆弱性診断方法論による実施と管理を徹底し、お客様のご要望に応じてIPA診断項目やクライアントサイド診断などにも柔軟に対応可能です。

4つのフェーズに分けて実施するAPIセキュリティ対策

APIセキュリティ対策では開発運用（DevOps）サイクルの中で各フェーズに合わせて4段階に分けて考えることがポイントです。フェーズ1では、Thread Modelingとデザインレビューを実施します。デザインレビュー時に、OWASP API Security - Top 10に、「How To Prevent(リスクと予防策)」が示されており、この内容を確認されることをお勧めします。また、OWASPよりREST Security Cheat Sheet/GraphQL Cheat Sheetも公開されており、この内容に沿ってレビューすることで、より具体的な対策の情報を得ることが出来ます。フェーズ2では、脆弱性診断やペネトレーションテストを実施することで、費用対効果の高い確実な対策につながると考えることが出来ます。フェーズ3では、APIの防御、脆弱性の管理を実施します。一般的に、Webアプリケーションの脆弱性診断(手動)と、API診断の診断項目に違いはありません。しかし、OWASP API Security - Top 10の中で、外部で検査が難しいものがありますが、デザインレビューで確認されるのも有効な対策です。フェーズ4では、不正アクセスのモニタリングとインシデント対応です。「OWASP API Top 10」の項目で「API4:2019 Lack of Resources & Rate Limiting - リソース不足と帯域（レート）制限」「API10:2019 Insufficient Logging & Monitoring - 不十分なロギングとモニタリング」の項目が存在するため着目することが重要です。

関連サービス対応表