セキュリティ
主張ではなく、証明できるセキュリティ
セキュリティ評価、セキュアな設計、コンプライアンス対応。日本・韓国・EU で個人情報を取り扱う場合、問われるのは「安全ですか」ではなく、ほぼ常に「それを示せますか」です。
提供内容
評価と脅威モデリング
実際に悪用しうる箇所を特定し、チームが順に着手できる並びでお示しします。
- チェックリストの記入ではなく、文書化された脅威モデルを成果物とするアーキテクチャ・データフローレビュー
- 開発者がそのまま再現できる手順を添えた、OWASP ASVS にもとづく認証済みアプリケーション診断
- クラウド構成レビュー：ID、ネットワーク境界、鍵管理、ログの網羅性
- 依存関係とサプライチェーンのレビュー。ビルドとリリースのパイプライン自体も対象に含めます
セキュアな設計と堅牢化
後から不在を指摘して所見にするのではなく、統制を最初から組み込みます。
- ID と認可の設計：セッション、トークン、サービス間の信頼、そして失効時の挙動
- シークレット管理、鍵のローテーション、通信時と保存時の暗号化。鍵の管理責任も明文化します
- データの分類と最小化、テナント分離、そして掲示ではなく実際に強制される保持ルール
- 脅威モデルに合わせたログと検知。対応すると誰かが合意したアラートだけを鳴らします
コンプライアンス対応と証跡
多くの審査は、統制そのものではなく証跡で落ちます。システムの構築と並行して証跡を積み上げます。
- 規程上の記述ではなく実際の稼働構成に対する、個人情報保護法・PIPA・GDPR・ISO 27001 の統制マッピング
- 赤・黄・緑の一覧ではなく、担当・工数・順序まで示したギャップ分析
- 自動化できる証跡収集は自動化し、できないものは手順として文書化します
- 委託先・再委託先のセキュリティ評価と、それに伴って必要になる記録の整備
進め方の原則
指摘には必ず対処案を
リスクを並べるだけで対処の道筋がない報告書は、問題を解決せず移し替えるだけです。私たちが挙げる指摘には、対処案と工数の目安を必ず添えます。
深刻度は文脈で決まる
どこからも到達できない構成要素の重大な脆弱性は、重大なリスクではありません。貴社のネットワークを見たことのないスキャナの既定値ではなく、実際の構成にもとづいて順位づけします。
月曜日を越えられる統制
業務を止める統制は、たいてい一か月以内に、それも静かに無効化されます。規程が想定する業務ではなく、実際に行われている業務に合わせて設計します。
証跡は副産物として
統制の証明にスクリーンショット一週間分が必要なら、二度目は行われません。監査のたびに集めるのではなく、システムから自然に出てくる形にします。
ご一緒する形
2 – 5 週間
セキュリティ評価
アプリケーション、クラウド環境、あるいはその両方を期間を区切って診断し、再現手順と対処案を添えた優先度付きの指摘一覧をご提出します。
4 – 12 週間
是正と堅牢化
指摘への対応を貴社チームとご一緒に、あるいは私たちだけで進め、再診断によって「移動」ではなく「解消」であることを確認します。
2 – 6 か月
コンプライアンス対応
監査、取引先のセキュリティ審査、日本や韓国の調達手続きに向けた、統制マッピング、ギャップの解消、証跡の整備。
取り扱う技術
案件ごとに選定します。どの案件にも当てはめる自社標準スタックは持ちません。お客様のチームがすでに保守されている技術に合わせます。
ID とシークレット
ご相談いただく事故の多くは、脆弱性の悪用ではなく認証情報から始まっています。力を注ぐべきはここです。
- Vault
- Okta
- AWS IAM
- Entra ID
- OIDC / SAML
- mTLS
診断と解析
自動化が有効な範囲は自動で、そうでない範囲は人の手で。スキャナは不具合の類型を見つけ、人はロジックの欠陥を見つけます。
- Kali Linux
- SonarQube
- GitHub Actions
- Python
- OWASP ASVS
- Burp Suite
- ZAP
- Semgrep
- Trivy
検知と証跡
障害対応の最中に問いへ答えられるログと、事後に必ず求められる記録を残す仕組み。
- Elasticsearch
- OpenTelemetry
- Cloudflare WAF
- Grafana
- ISO 27001
- APPI / PIPA / GDPR
プロジェクトの流れ
1 週目
範囲設定
対象資産、信頼境界、実施ルール、そして触れてはならない領域。診断を始める前に、すべて書面で合意します。
1 – 4 週目
診断
脅威モデリング、テスト、構成レビュー。確認できた指摘は最終報告書まで保留せず、その都度共有します。
3 – 10 週目
是正
深刻度の順に、貴社チームとご一緒に対処を設計・実装します。再診断の合格基準は着手前に合意します。
8 週目以降
証跡化
統制の文書化、証跡の収集、そして監査人や取引先のセキュリティ質問票に向けた提出用資料一式。
お手元に残るもの
- 各項目に深刻度、再現手順、対処案、工数の目安を添えた指摘報告書
- 契約終了後も使い続けられる、文書化された脅威モデル
- 解消済みと受容済みを区別した再診断結果。受容についてはその判断と責任者も記録します
- 実際の設定まで辿れる、個人情報保護法・PIPA・GDPR・ISO 27001 への統制マッピング
- 書き直さずにそのまま取引先や監査人へ提出できる、セキュリティ審査用の資料一式
この領域でご相談はありますか
課題の輪郭をお聞かせください。私たちが適任かどうか、正直にお答えします。