21件の質問
量子コンピュータはまだ暗号を破れません。なぜ今動くのですか。
「今収穫し、後で復号する」攻撃があるためです。今日記録された通信は、高性能な量子コンピュータが登場した時点で復号されます。長年秘匿すべきデータはすでに危険にさらされています。大規模な環境では移行に数年かかり、各国のPQC移行ロードマップも期限を定めています。
暗号技術の部品表（CBOM）とは何ですか。
CBOMは、システム内のすべての暗号アルゴリズム、鍵、証明書とその使用箇所を、ソフトウェアの部品表が構成要素を列挙するのと同じように列挙します。何を変えるべきかが分かり、脆弱なものが残っていないことを監査人に示せます。
耐量子アルゴリズムで既存システムが壊れませんか。
段階的に進めれば壊れません。耐量子の鍵と署名はサイズが大きく、一部の古い機器や取引先はまだ対応できません。移行期間中はハイブリッド方式とデュアルスタックPKIを使い、各システムを取引先と接続して試験し、ロールバック手段を確保します。
どの標準へ移行しますか。
NISTの耐量子標準であるFIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）を、TLS 1.3などのプロトコルで適用します。中東、欧州、アジアでお客様に適用される各国のPQCロードマップと業界規則に計画を合わせます。
非人間アイデンティティとは何で、なぜAIで重要ですか。
非人間アイデンティティとは、人ではなくソフトウェアが使うアカウント、鍵、トークンのことです。サービスアカウントやAPIキー、そして今はAIエージェントも含まれます。作成も忘れるのも容易で、失効しないものも多くあります。そのような鍵で自律的に動くAIエージェントは、誤って誘導されたり鍵が盗まれたりすると、大きな被害を出しかねません。
プロンプトインジェクションとは何ですか。
AIモデルが読む内容、たとえばメール、文書、Webページに指示を隠し、モデルがユーザーではなく攻撃者に従うようにする攻撃です。モデルだけでは防げません。入力と出力のガードレール、アクセスを限定したエージェント、機密操作に対する人の承認を組み合わせて防御します。
エージェントのジャストインタイム認証情報はどう動きますか。
恒久的な鍵の代わりに、エージェントはタスクの開始時にアクセスを要求します。受け取る認証情報はそのタスクとその時間に限定され、タスクの終了時に失効します。すべての要求が記録されるため、どのエージェントが誰のために何をしたかを確認できます。
AIのレッドチーム演習では何をしますか。
範囲とルールを合意したうえで、攻撃者と同じ手法でモデルとエージェントを攻撃します。ジェイルブレイク、プロンプトインジェクション、ツールポイズニング、データ抽出の試みなどです。指摘事項はすべて、再現手順とリスク順位を付けてお渡しし、修正後に再試験します。
大手プロバイダーのホスト型モデルを使っています。データは安全ですか。
プロバイダーの契約条件、稼働リージョン、送信内容によって変わります。この3点を確認し、モデルの手前に漏えい対策を追加します。データを管轄外に出せない場合は、ソブリンまたはプライベートモデルを推奨します。
ゼロトラストを導入するにはVPNを置き換える必要がありますか。
すぐにではありません。ゼロトラストは段階的に導入し、通常は最も機密性の高いアプリケーションと管理者アクセスから始めます。VPNは必要な範囲で残し、依存するものがなくなってから廃止します。
SBOMとは何で、なぜ必要ですか。
ソフトウェア部品表は、ソフトウェア内のすべてのコンポーネントとライブラリをバージョンとともに列挙します。新しい脆弱性が公表されたとき、影響を受けるかどうか、どこが影響を受けるかを素早く示します。EUのCyber Resilience Act（CRA）などの規制や、多くの顧客が現在これを求めています。
御社のエンジニアは当社のシステムにどうアクセスしますか。
各エンジニアは業務に必要な権限だけを持つ個人アカウントを持ち、ハードウェアセキュリティキーでサインインします。管理者アクセスの手順があればそれに従います。セッションは記録され、作業の終了時またはプロジェクト離脱時にアクセスを削除します。
継続的脅威露出管理とは何ですか。
年1回の試験ではなく常設のプログラムです。攻撃者が到達できる範囲の最新一覧を保ち、各露出を悪用される可能性と被害額で順位付けし、すべての修正を完了まで追跡します。スキャンは継続的に実行し、試験は重要な変更のたびに行います。
レッド・ブルーチーム演習とは何ですか。
実際に近い条件での訓練です。レッドチームが合意したルール内でシステムを攻撃し、検知と対応を担うブルーチームが防御します。終了後、双方で発見された点、見逃した点、各手順の所要時間を振り返り、ギャップを埋める変更をお渡しします。
運用を妨げずにOTネットワークを監視できますか。
はい。監視は、制御通信を変更せず観測するよう、お客様の制御エンジニアとともに設計し、プラントシステムへの変更はお客様の変更・安全手順に従います。安全と稼働率を最優先します。
クリーンルーム復旧とは何ですか。
まず隔離された環境にシステムを復元し、復元したシステムとデータに攻撃者の痕跡がないことを確認してから、本番に戻します。復旧がネットワークを再感染させるのを防ぎます。
サイバーセキュリティはどこから始めるべきですか。
攻撃された場合に最も大きな損害が出るシステムから始めてください。通常は、顧客データや決済データを保持し、資金を動かし、業務を継続させるシステムです。それらを重点的に評価すると、重要な弱点が分かり、優先順位付きの計画が得られます。AIエージェントを利用している場合や、長期間秘密にすべきデータを保持している場合は、耐量子・エージェントセキュリティ監査が自然な第一歩です。
XSIS自身はISO 27001やSOC 2の認証を取得していますか。
当社自身の認証取得を主張することはありません。当社の運用、ソースコード、お客様向けに運用するクラウドワークロードは、そうした証明を保有するプロバイダーのインフラストラクチャ上にあります。当社は、お客様が受ける監査に合格するようシステムを構築します。詳細はセキュリティと信頼のページで説明しています。
セキュリティ標準や規制への対応を支援できますか。
はい。お客様の統制を、準拠すべき標準や規制（DORA、NIS2、サウジアラビアのNCA ECC、SAMA規則など）と比較し、ギャップを示し、解消を支援します。監査人が確認できる証跡はお客様が保持します。当社が認証を付与することはありません。認証は認定機関が付与するものであり、当社はその監査への準備を支援します。
セキュリティ評価とペネトレーションテストの違いは何ですか。
評価は、システムの設計、構成、運用をレビューし、広く認められた優れた実務とのギャップを見つけます。ペネトレーションテストは、合意したルールの範囲内でシステムを攻撃し、攻撃者が実際に到達できる範囲を示します。2つは組み合わせると最も効果的です。評価は問題の広がりを、テストは深さを示します。
セキュリティテストで稼働中のシステムに害が出ますか。
害を避けるようテストを計画します。対象システム、時間、方法は事前に合意します。本番環境に十分近い場合は非本番環境でテストし、お客様の承認がない限り破壊的なテストは行いません。お客様側の指定窓口がいつでもテストを中止できます。
その他の質問
- XSISとの協働お客様のシステム、コード、データの保護方法、データの保存場所、AIコーディングツール、必要なアクセス。13件の質問
- ソフトウェア、AI、データAIモデル内のデータ、説明可能性とバイアス、データウェアハウス、Web・モバイル・クラウドのセキュリティ、安全な移行。6件の質問
- AIとデータAIモデルとマネージドサービスでデータがどこへ行くか、鍵の保有者、テストデータの作成方法、満たすべきルール。15件の質問
- システム連携と業界ERPアクセス、支払ファイル、PCI DSSスコープ、カード・患者データ、同意、Webhook、各業界のルール。24件の質問
- コストと価格プロジェクトやチームのコストを決める要因と、当社の見積もり方法。29件の質問
- 期間作業開始と納品までの期間、それを変える要因。10件の質問
- 所有権と契約コード、データ、成果の所有者と、契約の仕組み。22件の質問
- チームと人員プロジェクトの担当者、選定方法、チームの変化。30件の質問
- プロセスとコミュニケーション作業の計画、報告、受け入れ方法。121件の質問
- テクノロジー当社が扱うプラットフォーム、標準、ツール。144件の質問
- サポートと運用本番稼働後に何が起きるか。サポート、監視、変更。29件の質問
- XSISについて当社が誰か、どこにいるか、連絡方法。6件の質問
契約ではなく、対話から始めましょう
構築、接続、保護のどれが必要かを教えてください。アーキテクトが内容を一緒に整理し、どこから始めるべきかを提案します。
今後の流れ
日程の調整
セッションの日程を調整するため、当社チームからメールをお送りします。
事前コンサルティングセッション
無料の30分オンライン事前相談です。目標、システム、制約を伺います。
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
トラックの選択
スコープが確定したプロジェクトには、拘束力のある提案書を3–5営業日以内にお渡しします。構想段階のプロジェクトはBlueprint Studioから始まります。稼働中のシステムに障害がある場合、文書化されていない場合、連携が必要な場合は、1–2週間の診断から始まります。Blueprint Studioと診断はそれぞれ固定料金で、提案書に記載します。