JBCC、Web上に公開されている企業のIT資産の脆弱性を評価するサービス

JBCCが1月23日、インターネット上に公開されている企業のIT資産を検出し、脆弱性の有無や危険性を診断する「Attack Surface診断サービス」を提供開始すると発表した。

同サービスは、パロアルトネットワークスのAttack SurfaceマネジメントソリューションであるCortex Xpanseを用いて、IT資産を実環境から見つけ出し、脆弱性の有無や危険性の診断と、診断結果に基づく最適なセキュリティ対策の提案を定期的に実施するもの。

「Attack Surface診断サービス」の概要

執行役員セキュリティサービス事業部長桐原泰二氏は、同社のセキュリティサービス事業では「セキュリティの脅威を可視化する『見える化サービス』」、「セキュリティソリューション」「クラウドセキュリティサービス」「マネージドセキュリティサービス」を提供しており、新サービスは「見える化サービス」に属するものと説明した。

JBCC 執行役員セキュリティサービス事業部長桐原泰二氏

桐原氏は、「セキュリティは入れたら終わりではなく、その後の運用が重要。そのため、当社はセキュリティソリューションをマネージドサービスとして提供している。攻撃者は外部の公開されているIT資産の弱点を突く傾向がある。だから、われわれは企業に対し、こうした弱点を見つけて、対策を提言していく」と、新サービスを提供する背景を説明した。

続いて、セキュリティサービス事業部リスクアセスメント萩原晋平氏が「アタックサーフェス」と新サービスの詳細を説明した。

JBCC セキュリティサービス事業部リスクアセスメント萩原晋平氏

アタックサーフェスとは、攻撃される可能性のある領域を指す。萩原氏は、「アタックサーフェスは本来、堅牢に管理されているはずだが、実際には管理外の領域が発生している。昨今、管理が行き届いていないところがサイバー攻撃者に狙われている傾向がある」と語った。

Attack Surfaceとは「攻撃される可能性のある領域」

新サービスでは、パロアルトネットワークスの「グローバルIPアドレス/セグメント」「デジタル証明書」「ドメイン/サブドメイン」「サービス(ポート番号)」を検出する。これらを分析して、リスクを問題として評価する。

「Attack Surface診断サービス」で検出できる資産とリスク

続いて、萩原氏は新サービスの特徴を説明した。1つ目の特徴が「セキュリティのスペシャリストが攻撃者目線で実環境を可視化すること」だ。2つ目の特徴は「独自診断レポートを定期的に報告すること」だ。定期的に報告するため、環境の変化にも柔軟に対応できるという。3つ目の特徴が、「企業規模に応じて選択可能なプランが用意されていること」だ。

同サービスは、3つのプランが用意されている。ライセンスと診断・運用サービスを含むMSSPサービスは、2つのプランがある。「Attack Surface 診断サービス Plus Lightプラン」は従業員数5,000人未満の企業を対象としており、費用は一律。「Attack Surface 診断サービス Plus Standardプラン」は従業員数の制限はなく、IT資産数が1,000 からの課金となっている（資産数によって費用変動)。3つ目のプラン「Attack Surface 診断サービス」は診断・運用サービスのみとなっている。