入口が多すぎる
攻撃者は最も入りやすい経路を探します。公開されたサービス、使い回しのパスワード、未修正のサーバー、入力を無条件に信頼するアプリケーションなどです。多くの組織は弱点があることを把握していますが、どれが最も重要かを知る組織はわずかで、一覧はチームが修正できるより速く増えます。
信頼を前提に構築されたネットワークは事態を悪化させます。攻撃者が境界の内側に入り込むと、平坦なネットワークでは次のシステムへと自由に移動できてしまいます。
変わること
見える露出
到着時点で古くなる年次レポートではなく、攻撃者が到達できる範囲の最新で順位付けされた把握。
小さいままの侵害
すべての要求を検証し、システムを分割するため、1つのアカウントやサーバーが侵害されても他へ広がりません。
既定で安全なコード
すべてのパイプラインでセキュリティチェックを実行し、脆弱性をリリース後ではなく前に捉えます。
提供内容
継続的脅威露出管理
継続的脅威露出管理（CTEM）は、アプリケーション、クラウドアカウント、ネットワーク、アイデンティティ全体で、攻撃者が到達できる範囲を見つけ、順位付けし、修正し続ける常設のプログラムです。
自動露出修復と自動パッチ適用
パッチ、安全でない設定、期限切れの証明書など、よくある露出を試験済みのパイプラインで自動修正します。サービスを妨げうる操作には人の承認を求めます。
ゼロトラストネットワークアクセス
ゼロトラストとは、接続元の場所を理由にユーザー、端末、サービスを信頼しないことです。ゼロトラストネットワークアクセス（ZTNA）はすべての要求でアイデンティティと端末の健全性を検証し、広範なVPNアクセスを置き換えます。
マイクロセグメンテーション
何が何と通信してよいかの規則を明文化した小さなゾーンにシステムを分け、侵入者が自由に動けないようにします。
DevSecOps
シークレット保管庫、ビルドごとの自動ソフトウェア部品表（SBOM）、依存関係とコンテナのスキャン、デリバリーパイプラインに組み込んだコード監査。
継続的ペネトレーションテストとAPIセキュリティ
アプリケーション、API、インフラを、攻撃者と同じ方法で、重要な変更のたびに試験し、すべての指摘事項を再現できる形で記述します。
レッド・ブルーチーム演習
合意したルールの範囲でレッドチームが攻撃し、ブルーチームが防御することで、検知と対応が負荷のもとでどう機能するかを学べます。
進め方
範囲とルールの合意
対象システム、試験方法、誰に伝えるか、システムに危険が及んだ場合の停止方法を合意します。
露出の把握
アーキテクチャ、設定、アクセス、コードをレビューし、攻撃者と同じ方法でシステムを試験します。
指摘事項の順位付け
各指摘事項を発生可能性と影響で順位付けし、平易な言葉で説明し、修正の順序を合意します。
修正と自動化
お客様のチームとともに指摘事項を修正し、繰り返す修正を自動化し、ゼロトラストアクセスと分割を段階的に導入します。
継続的な再試験
すべての修正を再試験し、システムの変化に合わせて試験を続けます。
当社自身の業務での実証
当社は自らこの方法で働いています。XSISのすべてのエンジニアは、端末を継続的に検証するゼロトラストネットワークトンネルを通じ、ハードウェアセキュリティキーでサインインします。
- セキュリティと暗号
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- 標準と規制
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
始め方
今後の流れ
事前コンサルティングセッション
無料の30分オンライン事前相談です。目標、システム、制約を伺います。
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
トラックの選択
スコープが確定したプロジェクトには、拘束力のある提案書を3–5営業日以内にお渡しします。構想段階のプロジェクトはBlueprint Studioから始まります。稼働中のシステムに障害がある場合、文書化されていない場合、連携が必要な場合は、1–2週間の診断から始まります。Blueprint Studioと診断はそれぞれ固定料金で、提案書に記載します。
5段階での提供
体制の立ち上げ、ライブ実演を伴うスプリント、連携と堅牢化、受け入れと本番稼働、そしてマネージドサービス。ローンチ後は保証期間と、その後の任意のサポート・保守が待っています。
固定成果型プロジェクトと24時間365日のマネージドサービス
氏名を明示したデリバリーリードによる固定スコープ・マイルストーン型のデリバリーと、SLAガバナンスのもとで24時間365日運用するアプリケーションマネージドサービス。
組み込みスペシャリストと戦略的増強
ニアショア・オンサイトのプリンシパルエンジニアとスペシャリスト、および組み込みのソリューション・変革・PQC・連携アーキテクト。
最短の入口は、迅速なエンゲージメントパッケージの一つである耐量子（CBOM）・エージェントセキュリティ監査パッケージです。
始め方よくある質問
ゼロトラストを導入するにはVPNを置き換える必要がありますか。
すぐにではありません。ゼロトラストは段階的に導入し、通常は最も機密性の高いアプリケーションと管理者アクセスから始めます。VPNは必要な範囲で残し、依存するものがなくなってから廃止します。
SBOMとは何で、なぜ必要ですか。
ソフトウェア部品表は、ソフトウェア内のすべてのコンポーネントとライブラリをバージョンとともに列挙します。新しい脆弱性が公表されたとき、影響を受けるかどうか、どこが影響を受けるかを素早く示します。EUのCyber Resilience Act（CRA）などの規制や、多くの顧客が現在これを求めています。
御社のエンジニアは当社のシステムにどうアクセスしますか。
各エンジニアは業務に必要な権限だけを持つ個人アカウントを持ち、ハードウェアセキュリティキーでサインインします。管理者アクセスの手順があればそれに従います。セッションは記録され、作業の終了時またはプロジェクト離脱時にアクセスを削除します。
継続的脅威露出管理とは何ですか。
年1回の試験ではなく常設のプログラムです。攻撃者が到達できる範囲の最新一覧を保ち、各露出を悪用される可能性と被害額で順位付けし、すべての修正を完了まで追跡します。スキャンは継続的に実行し、試験は重要な変更のたびに行います。
レッド・ブルーチーム演習とは何ですか。
実際に近い条件での訓練です。レッドチームが合意したルール内でシステムを攻撃し、検知と対応を担うブルーチームが防御します。終了後、双方で発見された点、見逃した点、各手順の所要時間を振り返り、ギャップを埋める変更をお渡しします。
構築の準備はできていますか。提案をお求めください
要件またはRFPをお送りください。当社のアーキテクトが検証し、拘束力のある固定スコープの提案をお返しします。
今後の流れ
準備状況レビュー
無料の48時間準備状況レビューで、プリンシパルアーキテクトがプロジェクトを6項目のDefinition of Readyに照らして確認し、適切なトラックを提案します。
拘束力のある提案書
アーキテクチャ検証の後、マイルストーン、アーキテクチャ、チーム体制、SLAを含む、拘束力のある固定スコープの提案書を3–5営業日以内にお渡しします。ご要望があれば、要件をお知らせいただく前に秘密保持契約（NDA）を締結します。
立ち上げ
ご契約後、当社のエンジニアリングポッドが契約締結から5–10営業日以内にスプリント0を開始します。
5段階での提供
体制の立ち上げ、ライブ実演を伴うスプリント、連携と堅牢化、受け入れと本番稼働、そしてマネージドサービス。ローンチ後は保証期間と、その後の任意のサポート・保守が待っています。