技術の脆弱性
システムや機器が、攻撃の糸口を持っていないか。
既知脆弱性・更新漏れ認証・権限の設定公開サービス・アクセス制御バックアップ構成の確認
VULNERABILITY ASSESSMENT
システムだけでなく、人と運用の弱点まで。
攻撃者の視点で、技術・人・運用を包括的に診断します。
攻撃の入口は、システムの脆弱性だけとは限りません。利用者の判断や日々の業務手順、権限管理、更新・点検の運用にも、攻撃につながる隙が生まれます。クロイツはシステム、利用する人、組織の運用を一体として確認し、実際に機能する改善策と優先順位を整理します。
診断対象や範囲が決まっていない段階でもご相談いただけます。
THREE AREAS, ONE ASSESSMENT
01
技術の弱点システム・設定・更新・公開範囲
02
人の弱点利用者の判断・知識・行動
03
運用の弱点権限・手順・点検・委託先との連携
04
改善につなげる弱点の関係を整理し、対策を優先
確認項目と方法は事前に協議し、対象・実施範囲を合意します。
WHAT IS VULNERABILITY ASSESSMENT?
脆弱性診断とは
一般的な技術的脆弱性診断では、Webサイト、サーバー、ネットワーク機器の既知脆弱性や設定不備を中心に調べます。こうした確認は重要ですが、それだけで組織の安全性を判断できるとは限りません。
クロイツの脆弱性診断では、技術面に加えて、システムを使う人の判断・行動、日々の管理や点検の運用が実際に機能しているかも確認します。例えば、適切な認証設定があっても認証情報の取り扱いに問題があれば、攻撃の入口が残る可能性があります。
高度なセキュリティ製品を導入していても、アラートを確認しない、権限を見直さない、手順が守られていない状態では、本来の効果を発揮できません。システムの弱点と、それを生み出す人・運用の状況をつなげて評価することを重視しています。
設備が整っていることと、守れる状態であることは違います。
製品の導入状況だけでなく、攻撃者が利用できる弱点と、それを防ぐ仕組みが現場で機能しているかを確かめます。
THREE PILLARS
診断するのは、技術・人・運用の3つ。
弱点は個別に存在するだけではありません。技術の設定、人の判断、組織の手順が重なって、攻撃経路が生まれることもあります。
人に関わる脆弱性
利用者が攻撃の入口となる状況を放置していないか。
不審メールへの対応・報告認証情報の取り扱い情報持ち出し・共有の判断教育内容と理解・定着状況
運用の脆弱性
決められた対策が、日々の業務で機能しているか。
アカウント・権限の棚卸し更新・パッチ適用の手順ログ・アラートの確認体制インシデント初動・連絡方法
確認方法は、設定・資料の確認、担当者へのヒアリング、運用記録のサンプル確認などを組み合わせます。訓練・模擬攻撃等を行う場合は、別途内容を協議し、明示的な許可を得て実施します。
WHEN TO USE
こんな悩みがあれば、脆弱性診断を。
技術対策はあるのに不安が残る、社内ルールはあるのに実際の運用が見えない。そうした段階から確認できます。
システムの弱点と、利用者の行動をまとめて確認したい
更新や設定だけでなく、不審メールへの対応、認証情報の扱いなども含めて弱点を見つけたい。
セキュリティ製品を導入したが、十分か分からない
導入後にアラートを確認できているか、担当者が対応できるかまで確かめたい。
ルールを作ったものの、実際に守られているか不安
アカウントの管理、権限変更、更新作業、情報共有の手順などが現場で運用されているか確認したい。
情報システム担当者が少なく、確認が後回し
管理台帳、更新・ログ確認、問い合わせ対応などが属人化し、誰が何を実施しているか把握できていない。
Web・VPN・サーバーの安全性を調べたい
既知脆弱性、不要な公開サービス、設定不備を確認し、改善の優先順位を決めたい。
何から改善すべきか、経営層に説明したい
技術・人・運用の弱点をまとめ、業務影響と実行可能性を踏まえた改善計画にしたい。
ASSESSMENT TARGETS
技術面で確認する主な診断項目
技術面では、Web・サーバー・ネットワークなどの弱点を確認します。人・運用の確認項目は上の3領域と組み合わせて、組織の状況に応じて調整します。
Webサイト・Webアプリケーション
認証・認可、入力処理、セッション管理、情報露出、セキュリティ設定などの問題を確認します。
サーバー・公開サービス
OS、ミドルウェア、公開ポート、サービス、管理インターフェースの状態や既知の脆弱性を確認します。
VPN・ネットワーク機器
VPN装置、ファイアウォール、ルーターなどについて、外部露出、製品の更新状況、設定上の懸念を確認します。
内部ネットワーク・端末
許可された内部環境で、サーバー、端末、NAS、ネットワーク機器などの弱点を確認します。
設定・暗号化・公開範囲
TLSなどの通信設定や不要なサービスの公開、アクセス制御の設定について確認します。
サポート終了・更新漏れ
OS・アプリケーション・機器のサポート状況、既知脆弱性に関係する更新漏れを確認します。
システムの検査だけで終わらせません。
確認された技術上の問題が、利用者の行動や管理手順と結びついていないかも評価します。診断範囲と方法は、対象・業務影響・機器の特性を踏まえて事前に協議します。
KREUZ APPROACH
攻撃者が利用する隙を、組織全体から見つける。
技術的な欠陥だけではなく、「人がどう使い」「組織がどう運用しているか」まで確認することがクロイツの考え方です。
攻撃者は、人の判断も狙う
不審メール、認証情報の取り扱い、誤った共有など、システムの外側にある入口にも目を向けます。
導入した対策が機能するか確認
設定やルールの有無だけでなく、アラートの確認、権限の見直し、日常点検が実際に行われているかを確かめます。
技術・人・運用をつないで改善
問題を単独で列挙せず、攻撃につながる組み合わせ、業務への影響、現場で実施可能な改善策を整理します。
なお、組織内での実際の侵入試験や人を対象とした模擬攻撃を行う場合は、通常の確認と区別し、実施対象・方法・安全条件を事前に合意します。
CHOOSE THE RIGHT SERVICE
ASM・脆弱性診断・侵入テストの違い
クロイツの脆弱性診断は、技術面だけに範囲を限定しない包括的な確認を重視します。
外から何が見えるか
ドメイン、公開サービス、管理画面など、攻撃者から見える資産を把握します。
ASMの詳細を見る技術・人・運用にどんな弱点があるか
システムの脆弱性だけでなく、人の判断や業務手順にある弱点も確認し、組織全体の改善につなげます。
このページのサービス実際に侵入できるか
攻撃者の目線で侵入経路をたどり、複数の弱点を組み合わせた攻撃成立性を検証します。
侵入テストの詳細を見るどれか一つに決める必要はありません。技術支援サービスの一覧から、現在の状況に合う支援を確認できます。
PROCESS
脆弱性診断の実施の流れ
対象システムだけでなく、担当者・管理手順・運用記録の確認方法も含めて計画します。
ご相談・現状の整理
システム構成、業務、利用者、管理体制、懸念事項を確認します。
診断範囲・方法の合意
技術確認、ヒアリング、資料・運用記録の確認範囲、実施日時、停止条件を決めます。
技術面の確認
許可された範囲で、既知脆弱性、設定、更新状況などを調べます。
人・運用面の確認
担当者へのヒアリングや記録確認などで、対策と実運用の差を調べます。
弱点の関係とリスク評価
技術・人・運用の問題が組み合わさる可能性、業務影響、改善優先度を整理します。
報告・改善の方向づけ
対策と担当・優先順位を示し、実施可能な改善方法をご説明します。
REPORTING
技術だけに偏らない、実行できる改善提案へ。
問題を件数だけで列挙しても、対策は進みません。技術・人・運用の確認結果を関係づけ、攻撃者に利用され得る経路、業務への影響、具体的な改善策とその優先順位を整理します。
01技術・人・運用それぞれの確認結果
02弱点のつながりと業務上のリスク
03対策の優先順位と運用改善の提案
ASSESSMENT SUMMARY記載例
優先
外部公開機器の更新管理
更新状況と公開範囲を確認し、担当者と実施手順まで整理。
確認
不審メールを受けた際の報告方法
受信時の判断・連絡先・報告手順が定着しているか確認。
改善
権限棚卸しとアラート確認
定期的な権限見直しやログ確認が実施・記録されているか確認。
画面は報告内容を説明するための概念例です。
SAFE ASSESSMENT
業務を守るために、安全な実施を優先。
技術的な診断に加え、担当者へのヒアリングや業務記録の確認も、対象・方法・情報の取り扱いを事前に合意したうえで実施します。個人の責任追及が目的ではなく、組織として再発しにくい仕組みを見つけるための調査です。重要システムへの負荷を避け、必要な確認を段階的に進めます。
実施前に確認すること
システム管理者からの明示的な許可
診断対象・除外対象と時間帯
システム特性と許容できる負荷
異常時の中止基準と連絡方法
診断結果・証跡の取り扱い
パスワードの聞き取り、無断の模擬攻撃、DoS・負荷攻撃、許可範囲外への診断は行いません。実践的な訓練・侵入試験などが必要な場合は別途協議します。
AFTER ASSESSMENT
診断後の改善も、相談できる体制へ。
診断結果を受け取って終わりにせず、技術上の修正だけでなく、利用者への周知、権限管理や点検の仕組みづくりなど、運用改善につながる内容をご相談いただけます。
継続的な運用の見直しや教育・訓練などを含む支援をご希望の場合は、情報セキュリティコンサルティングと連携してご案内します。
SUPPORT
単発診断・継続支援
単発診断
報告内容に関するご質問にも対応します。対応期間や範囲は事前にご案内します。
継続支援
再診断、定期的な確認、運用上の改善などは、内容に応じてご相談いただけます。
対応範囲・期間・費用はお見積り時にご確認ください。
PRICING
脆弱性診断の料金
Web・ネットワークなどの技術的な検査だけでなく、人・運用の確認をどの範囲で実施するかによって工数が異なります。システム規模、対象部門、ヒアリング・記録確認の範囲を踏まえて個別にお見積りします。
診断料金の目安
5万円〜
こちらは診断範囲を限定した場合などの参考価格です。技術・人・運用のすべてを含む一律料金ではありません。対象システム・部門・確認方法に応じて個別にお見積りします。
診断範囲と費用を相談するFAQ
脆弱性診断のよくあるご質問
ASMと脆弱性診断は何が違いますか？
ASMは、外部から見える公開資産やサービスを把握することが中心です。クロイツの脆弱性診断は、対象となるシステムの弱点に加え、それを利用する人の行動や組織の運用まで確認し、改善につなげる点を重視します。
ペネトレーションテストとの違いは何ですか？
脆弱性診断は弱点を見つけ、リスクや改善の優先順位を整理します。ペネトレーションテストは、事前に合意した範囲で攻撃者の手法を実際に試し、侵入や権限取得などの攻撃が成立するかを検証します。
Webサイトだけでも依頼できますか？
ご相談いただけます。対象のURL、利用技術、認証の有無、確認したい範囲などを伺い、適した診断方法を検討します。
診断中にシステムが止まることはありませんか？
業務影響を避けるため、事前に実施方法や停止条件を決め、システム特性に合わせて診断します。ただし、システムへの影響を完全にゼロと保証できるものではありません。停止できないシステムや医療機器などは慎重に取り扱います。
診断ツールの結果だけが納品されますか？
いいえ。技術的な検出結果の根拠を確認するだけでなく、人・運用の確認結果と併せて、リスク、業務への影響、改善の優先順位を整理してご報告します。実際の成果物の範囲は契約前に合意します。
診断後に改善した内容を再確認できますか？
再診断や継続的な確認についてもご相談いただけます。実施範囲と費用は、修正内容や対象システムに応じて個別にご案内します。
一般的な脆弱性診断との違いは何ですか？
一般的な技術診断で扱う既知脆弱性や設定不備だけでなく、利用者の判断・認証情報の扱い、権限管理、更新、ログ確認、初動手順など、人・運用面も確認対象として組み合わせます。
人に関する診断では何をしますか？
担当者へのヒアリング、教育・報告手順の確認、利用状況や運用記録の確認などを組み合わせます。個人の責任追及や、事前合意のない抜き打ちの模擬攻撃を行うものではありません。
運用に問題があった場合、改善方法も示してもらえますか？
確認された問題に応じて、責任分担、権限棚卸し、アラート対応、更新・教育の仕組みなど、組織が取り組める改善の方向性と優先順位を整理します。
5万円から技術・人・運用のすべてを診断できますか？
包括的な診断の費用は、システム数や対象部門、ヒアリング・確認範囲などによって変わります。ご相談時に対象と費用をご案内します。
SECURITY ASSESSMENT CONSULTATION
技術・人・運用の弱点を、一緒に整理します。
システムの診断だけでよいのか、利用者や運用も見直すべきか。現在の対策状況やお困りごとを伺い、必要な確認範囲をご案内します。