概要
XSISサイバー＆量子は、金融機関、政府省庁、重要インフラストラクチャを、差し迫ったサイバー脅威と近づく量子復号の地平から保護します。
KONG GROUPの暗号ソフトウェアエンジニアリングを活かし、暗号技術の部品表（CBOM）の自動検出を運用し、NIST標準の耐量子暗号へのフルスタック移行を設計・実施します。
対象となる方
最高情報セキュリティ責任者（CISO）
耐量子移行計画、AIエージェントのセキュリティ、リスク順に整理したエクスポージャーを、監査人向けの証跡とともに提供します。
サイバー防御責任者
24時間365日監視する統合SOC・NOC、脅威ハンティング、自動対応。
重要インフラストラクチャまたはOT担当ディレクター
プラントの安全と稼働率を尊重するOT・SCADA・IoT防御。
最高リスク責任者（CRO）
DORA、NIS2、各国のサイバールールに対するレジリエンスと、演習済みの復旧計画。
提供内容
耐量子暗号と量子安全暗号
暗号の検出とCBOM監査、NIST PQC移行（FIPS 203、204、205）、量子安全TLS、VPN、PKI、暗号アジリティ、HSM統合。
エージェント型AIセキュリティとAIエージェントID
AIエージェント向けの非人間IDとジャストインタイム認証情報、AIレッドチーミングとプロンプトインジェクション防御、LLMデータ漏えい防止。
エクスポージャー修復、ゼロトラスト、DevSecOps
継続的な脅威エクスポージャー管理、ゼロトラストネットワークアーキテクチャ、SBOMとスキャンを備えたDevSecOps、継続的ペネトレーションテスト。
統合SOC・NOC、サイバーレジリエンス、OT・IoT防御
AI駆動のSOCとNOCが24時間365日監視し、脅威ハンティング、OT・SCADA・IoTセキュリティ、ランサムウェア耐性とインシデント対応リテイナーを提供します。
セキュリティの始め方
多くの組織は弱点があることを認識しています。どの弱点が最も重要で、どの順序で修正すべきかを知る組織は少数です。以下は一般的な起点と、それぞれを担うサービスです。
評価、テスト、修復
アプリケーション、API、クラウド、ネットワークを攻撃者の視点でレビュー・テストし、各所見をリスク順に整理し、お客様のチームと修正します。継続的ペネトレーションテスト、レッドチーム・ブルーチーム演習、エクスポージャー管理は、エクスポージャー修復・ゼロトラスト・DevSecOpsに含まれます。
脅威モデリング
重要システムごとに、攻撃者が狙うもの、試す方法、それを止める統制を、エクスポージャー修復・ゼロトラスト・DevSecOpsを通じて明らかにします。
ハードニングと脆弱性管理
サーバー、コンテナ、クラウドアカウントの安全なベースラインと、既知の脆弱性ごとの担当者・期限を、継続的脅威エクスポージャー管理と自動パッチ適用で実現します。
IDとアクセス
人とデバイスのゼロトラストアクセス、エージェント型AIセキュリティにおけるAIエージェントやその他の非人間ID向けジャストインタイム認証情報。
セキュア開発
シークレットボールト、ビルドごとのSBOM、デリバリーパイプラインでの依存関係・コンテナスキャンをDevSecOpsの下で行います。
検知とインシデント対応
調査に必要な情報を保持するログ、対応できる担当者に届くアラート、チームが演習済みの対応計画を、統合SOC・NOCとインシデント対応リテイナーで支えます。
データセキュリティ
機微データの暗号化、トークン化、マスキングは、AI＆データ部門のデータガバナンス、ソブリン、プライバシーに属します。
強みとして知られる領域
- サイバー＆量子
- 自動CBOMを備えたNIST FIPS 203、204、205
- AIエージェント向けの動的ジャストインタイム認証情報
- ゼロトラストアーキテクチャとDevSecOps
- 24時間365日の統合SOC・NOC・OT防御
標準とその保証
| 領域 | 標準と基盤要素 | 依拠できること |
|---|---|---|
| 耐量子暗号 | NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、自動CBOM | KONG GROUP（DCTL）のRust暗号エンジニアリングに裏付けられています |
| エージェント型AIと非人間IDの防御 | 動的ジャストインタイム認証情報、ツールポイズニングファイアウォール、プロンプトインジェクションガードレール | 自律型AIエージェントに常設権限を付与しません |
標準と基盤要素
- 耐量子暗号
- NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、自動CBOM
- エージェント型AIと非人間IDの防御
- 動的ジャストインタイム認証情報、ツールポイズニングファイアウォール、プロンプトインジェクションガードレール
依拠できること
- 耐量子暗号
- KONG GROUP（DCTL）のRust暗号エンジニアリングに裏付けられています
- エージェント型AIと非人間IDの防御
- 自律型AIエージェントに常設権限を付与しません
始め方
今後の流れ
事前コンサルティングセッション
無料の30分オンライン事前相談です。目標、システム、制約を伺います。
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
トラックの選択
スコープが確定したプロジェクトには、拘束力のある提案書を3–5営業日以内にお渡しします。構想段階のプロジェクトはBlueprint Studioから始まります。稼働中のシステムに障害がある場合、文書化されていない場合、連携が必要な場合は、1–2週間の診断から始まります。Blueprint Studioと診断はそれぞれ固定料金で、提案書に記載します。
5段階での提供
体制の立ち上げ、ライブ実演を伴うスプリント、連携と堅牢化、受け入れと本番稼働、そしてマネージドサービス。ローンチ後は保証期間と、その後の任意のサポート・保守が待っています。
最短の入口は、迅速なエンゲージメントパッケージの一つである耐量子（CBOM）・エージェントセキュリティ監査パッケージです。
始め方よくある質問
サイバーセキュリティはどこから始めるべきですか。
攻撃された場合に最も大きな損害が出るシステムから始めてください。通常は、顧客データや決済データを保持し、資金を動かし、業務を継続させるシステムです。それらを重点的に評価すると、重要な弱点が分かり、優先順位付きの計画が得られます。AIエージェントを利用している場合や、長期間秘密にすべきデータを保持している場合は、耐量子・エージェントセキュリティ監査が自然な第一歩です。
XSIS自身はISO 27001やSOC 2の認証を取得していますか。
当社自身の認証取得を主張することはありません。当社の運用、ソースコード、お客様向けに運用するクラウドワークロードは、そうした証明を保有するプロバイダーのインフラストラクチャ上にあります。当社は、お客様が受ける監査に合格するようシステムを構築します。詳細はセキュリティと信頼のページで説明しています。
セキュリティ標準や規制への対応を支援できますか。
はい。お客様の統制を、準拠すべき標準や規制（DORA、NIS2、サウジアラビアのNCA ECC、SAMA規則など）と比較し、ギャップを示し、解消を支援します。監査人が確認できる証跡はお客様が保持します。当社が認証を付与することはありません。認証は認定機関が付与するものであり、当社はその監査への準備を支援します。
セキュリティ評価とペネトレーションテストの違いは何ですか。
評価は、システムの設計、構成、運用をレビューし、広く認められた優れた実務とのギャップを見つけます。ペネトレーションテストは、合意したルールの範囲内でシステムを攻撃し、攻撃者が実際に到達できる範囲を示します。2つは組み合わせると最も効果的です。評価は問題の広がりを、テストは深さを示します。
セキュリティテストで稼働中のシステムに害が出ますか。
害を避けるようテストを計画します。対象システム、時間、方法は事前に合意します。本番環境に十分近い場合は非本番環境でテストし、お客様の承認がない限り破壊的なテストは行いません。お客様側の指定窓口がいつでもテストを中止できます。
セキュリティインシデントが発生した場合はどうなりますか。
対応計画に従い、記載された窓口に連絡してください。当社がお客様のシステムを支援している場合、XSISの担当者も窓口の1人です。お客様のチームとともにインシデントを封じ込め、証跡を保全し、サービスを復旧し、原因を特定します。その後、何が起きたかと再発防止の変更に関する書面レビューを提供します。
1回の評価で十分ですか。
良い出発点ですが、システム、人、攻撃者は変わります。そのためエクスポージャー管理は継続的です。絶え間ないスキャン、重要な変更後の再テスト、定期的なアクセスレビューを行います。マネージドサービス契約の下で当社が行うか、お客様のチームが行えるようトレーニングします。
所見は誰が見ますか。レポートの所有者は誰ですか。
お客様が指定した人だけです。所見はお客様が承認した暗号化チャネルで共有し、暗号化されていないメールでは送信しません。レポートはお客様のものです。証跡は契約が許す期間だけ保持し、終了時に削除します。
セキュリティ作業のコストを決める要因は。
主な要因は、対象システムの数と規模、テストの深さです。また、発見した問題を当社が修正するかどうか、準拠すべき標準や規制にもよります。少数の重要システムの重点評価は、IT資産全体を対象とするプログラムより小規模な作業です。スコープが明確になったら、方法と価格を含む提案書を提出します。
構築の準備はできていますか。提案をお求めください
要件またはRFPをお送りください。当社のアーキテクトが検証し、拘束力のある固定スコープの提案をお返しします。
今後の流れ
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
拘束力のある提案書
アーキテクチャ検証の後、マイルストーン、アーキテクチャ、チーム体制、SLAを含む、拘束力のある固定スコープの提案書を3–5営業日以内にお渡しします。ご要望があれば、要件をお知らせいただく前に秘密保持契約（NDA）を締結します。
立ち上げ
ご契約後、当社のエンジニアリングポッドが契約締結から5–10営業日以内にスプリント0を開始します。
5段階での提供
体制の立ち上げ、ライブ実演を伴うスプリント、連携と堅牢化、受け入れと本番稼働、そしてマネージドサービス。ローンチ後は保証期間と、その後の任意のサポート・保守が待っています。