SHIFTは11月11日、中央省庁や地方公共団体が運用するシステムを対象とした「公共向け第三者セキュリティ診断サービス」の提供を開始したと発表した。AIによるソースコード解析や自律型ペネトレーションテストと、セキュリティ専門家による検証を組み合わせ、脆弱性の診断から改修方針の評価、再診断、継続的な脆弱性管理までを支援する。

AIによる診断結果を250人超の専門技術者が精査

公共向け第三者セキュリティ診断サービスでは、「政府機関等のサイバーセキュリティ対策のための統一基準群」と、デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン」（DS-221）に準拠して診断を実施する。

診断には、攻撃者の視点で侵入経路を自律的に検証する「AWS Security Agent」と、ソースコードの文脈やロジックの解析に用いる「Amazon Bedrock」を活用する。AIによる検出結果は、SHIFTに在籍する250人以上の専門技術者が精査し、脆弱性の有無や深刻度を判定する。

診断メニューには、自律型ペネトレーションテストやソースコード診断のほか、Webアプリケーション診断、プラットフォーム診断、クラウド診断を用意した。重大な脆弱性を検出した場合には、診断期間中であっても最短1日で速報する。

SHIFTによると、同社は金融や重要インフラ、大規模業務システムなどを対象に、2025年12月時点で累計1万5,000件以上のセキュリティ支援を手掛けている。今回のサービスでは、こうした実績を通じて蓄積した標準化のノウハウも活用するとしている。

改修方針の評価から再診断まで第三者として支援

脆弱性の検出後は、システム構築ベンダーが提示する恒久対応、暫定対応、代替統制などの改修方針が、根本原因に対応しているかを技術的に評価する。さらに、改修後に再診断を実施し、脆弱性が解消されたか、修正に伴うデグレードがないか、類似箇所にも対応を広げる必要があるかを確認する。

これらの結果を基に、瑕疵対応に関する協議の判断材料となる技術所見を整理。システム構築ベンダーから独立した第三者として、診断だけでなく、是正内容の検収まで支援するという。

サービスの提供工程は、計画策定、診断実施、結果分析・報告、報告・是正検収支援の4段階で構成する。まずシステム資産を棚卸しし、DS-221に準拠した診断計画を策定する。診断後は、脆弱性の深刻度を示すCVSSに基づいて評価し、対応の優先順位をTierとして提示する。

このほか、庁内の幹部やCISO、国家サイバー統括室（NCO）向けの報告資料作成も支援するとしている。