伊藤忠テクノソリューションズ(CTC)は11月11日、企業のセキュリティ対策を評価するサービス「CTC アタックパス クイックアセスメント」の提供を開始すると発表した。

同サービスは、攻撃者がシステムに侵入してから事業に被害を及ぼすまでの経路(アタックパス)に沿って、企業のセキュリティ対策を評価するもの。対策が不足している箇所や優先的に取り組むべき課題を整理し、改善計画の策定から対策の実装までを支援する。

ランサムウェア・サプライチェーン攻撃・AI利活用の3領域を評価

近年、ランサムウェアによる被害や、取引先・委託先を経由したサイバー攻撃が相次いでおり、企業には自社だけでなく、サプライチェーン全体を含めたセキュリティ対策が求められている。

このような背景を受け、CTCはランサムウェア、サプライチェーン攻撃、AI利活用の3領域を対象としたアセスメントサービスを開発した。

ランサムウェア対策では、攻撃者の侵入から事業停止に至るまでの段階ごとに対策状況を評価し、強化すべき箇所を特定する。

サプライチェーン攻撃については、取引先や委託先を経由した侵入への対策を、契約上のセキュリティ要件や認証管理などの観点から確認する。

また、AI利活用の領域では、従業員が会社の承認を得ずにAIツールを利用する「シャドーAI」への対策や、AIに入力できる情報の基準など、社内の利用ルールの整備状況を評価する。

  • サービスイメージ

    サービスイメージ

事前の証跡提出は不要、約1カ月で評価結果を報告

同サービスでは、利用企業がCTCの提供する設問一覧に回答することで、セキュリティ対策の実施状況を評価する。

事前に証跡などの資料を用意する必要がなく、企業の担当者が設問に回答する形式で評価を進められることが特徴だ。

評価方法や設問は、米国国立標準技術研究所(NIST)のフレームワークや「CIS Controls」など、セキュリティ対策の代表的なフレームワークを参考にCTCが独自に設計した。

また、設問は「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」の「★3」の評価基準とも照合している。

これにより、企業は同制度への準備状況を参考情報として確認できる。ただし、同サービスの利用によって評価の取得が保証されるものではない。

利用企業向けの説明会から、評価結果を説明する報告会までの期間は約1カ月を想定している。

評価結果から重点課題を整理、対策の実装まで支援

評価結果は報告書として提供され、経営層向けには重点課題や優先的に取り組む方針を、担当者向けには評価の判定根拠を整理する。

さらに、対策が不足している項目ごとに推奨する対策や参考となるソリューションを提示し、企業の社内説明や予算化の検討に活用できるようにする。

また、評価結果に応じてRFP(提案依頼書)の作成も支援する。製品導入に必要な機能要件や判定根拠などを調達要件として整理することで、評価結果を具体的なセキュリティ対策の選定・実装につなげられるようにする。