ITシステム セキュリティ追加対策支援

標的型攻撃や内部不正等の緊急対策・再発防止策の策定支援

サービス概要

【運用中のシステムへの追加セキュリティ対策導入を支援】

ITシステムの重要性が高まる一方で、標的型攻撃の隆盛や内部不正等、ITシステムが対策すべきセキュリティ上の課題(リスク)は日々増え続けているといえます。
既に運用中のITシステムは、設計当初の想定リスクからこれらのセキュリティリスクが十分に考慮されていない場合も多く、業種業態・企業規模を問わずセキュリティ事故(セキュリティインシデント)が日々発生しつづけている原因のひとつとなっています。

ITシステムセキュリティ追加対策支援では、セキュリティ事故等の発生により運用中のシステムについて緊急の改修が必要になった場合の、追加的セキュリティ対策の導入を支援します。セキュリティ事故等の発生した背景、ビジネス要件、現状のセキュリティ対策やACL設定等をインタビューや設計書レビュー(または実機設定値レビュー)により把握し、リードタイムや費用対効果、次期システムへの切り替え等を考慮したセキュリティ対策の導入計画案を提示します。

サービス概要

特長

【豊富な経験に裏付けられた現実的な対策を支援】

情報セキュリティに関するトータル・ソリューションを提供する企業として、豊富な実績に基づく現実的なセキュリティ対策を支援します。セキュリティ事故等の発生したシステムに対し、必要に応じて即時性の高い暫定対策の検討・助言を行いながら、事故の再発防止により効果的かつ根本的な対策案を策定します。

対策案の策定に際しては、現状のビジネス要件やネットワーク構成、リプレース計画の有無等を勘案した対策導入優先度をあわせて検討し、最適な導入計画(ロードマップ)案を提示します。
ネットワーク構成設計やアクセス制御設計(ACL)、アクセス権限設計(認証・認可)等、汎用的なセキュリティ設定項目の一部については、実際の設定値に近い形式で設定方針を提示することも可能です。

【文書レビューから実機設定値レビューまで柔軟に対応】

評価に際しては、設計書の文書レビューや担当者へのインタビューに加え、実際のシステムに投入されている設定値(設定ファイル)やACL情報、ログ情報についても評価の対象とすることもできます(対応可能範囲についてはご相談ください)。

セキュリティ技術者の視点から設計値や設定値をレビューすることで、事故等の原因追跡や再発防止策を実態に即した形で効率的に検討でき、ITシステムのセキュリティ水準を高めることができます。例えば、標的型攻撃対策を検討されているお客様環境において、実機に投入されているACLを併せて評価することで想定外の許可ルールがないことを確認し、対策を確実に適用できる状態とすることができます。

特長

導入フロー

【ご要望に応じ、関係者へのインタビュー、文書レビューおよび設定レビューにより支援(評価・提言等)します】

  • お問い合わせ~ご提案
    • 対象となるITシステムの概要ヒアリング
    • お客様の目的や要望(課題)、対象となる範囲の定義
  • 導入(支援作業実施)
    • インタビュー(設計者様、開発者様、その他ご担当者様等)
    • 文書レビュー(要件定義書、設計書等)
    • 設定内容レビュー(ACL定義、ネットワーク構成等)
    • レビュー結果の整理、対策方針の摺り合わせ
  • 報告
    • 報告書の作成
    • 報告会の実施(必要時)
    • 電話・メールでのQ&A

サンプル

【標的型攻撃対策(内部対策・出口対策)観点からアクセス制御設計(ファイアウォールACL)の棚卸し評価を行った場合の報告サンプル】

標的型攻撃対策(内部対策・出口対策)観点からアクセス制御設計(ファイアウォールACL)の棚卸し評価を行った場合の報告サンプル

標的型攻撃対策(内部対策・出口対策)観点からアクセス制御設計(ファイアウォールACL)の棚卸し評価を行った場合の報告サンプル2

標的型攻撃対策(内部対策・出口対策)観点からアクセス制御設計(ファイアウォールACL)の棚卸し評価を行った場合の報告サンプル3

導入実績

【ケーススタディ】

標的型メール攻撃の増加を受け、いわゆる内部対策・出口対策の導入について、その必要性含めご検討中のお客様に対して以下の支援をご提供しました。

  • 社内通信および対インターネット通信に関するACL評価
  • 内部対策・出口対策観点からのACL全件棚卸し評価、改善提言
  • 社内ネットワークの構成評価
  • 内部対策・出口対策観点からのネットワーク分割・構成・アクセス制御の評価、改善提言
  • 標的型メール攻撃耐性向上のための追加施策の検討・提言

導入価格

対象となるITシステムの規模や複雑性、支援を要する範囲により異なります。詳しくはお問い合わせください。

本サービスは、ITシステム設計時に適用する「ITシステムセキュア設計支援」を、運用中システムに対する緊急対策支援の位置づけで拡張したサービスとなっています。「ITシステムセキュア設計支援」の紹介ページも併せてご参照ください。