Inquiry icon START A CONVERSATION

Share your requirements and we'll get back to you with how we can help.

Thank you for submitting your request.
We will get back to you shortly.

ITインフラとアプリケーションのセキュリティサービス

今日のデジタル変革と技術進歩のペースは、堅牢なサイバーセキュリティへのニーズを高めてきました。増え続けるデジタルデータを盗もうと、悪いハッカーは繰り返し狙ってきます。安全な実装が行われないと、ソフトウェアはハイジャックされデータ漏洩や権限のない第三者へコードが渡ってしまう恐れがあります。そこで厳格なポリシー、確立されたベストプラクティス、さらに真摯に対応するセキュリティの専門家をもって取り組むことで、データ機密性とデータ完全性、アプリケーションの可用性を確保することができるのです。

セキュリティ態勢の評価

サイバーセキュリティの実装は、組織のセキュリティ態勢を明確化することから始まります。当社では組織の中の重要リソースを特定し、それぞれのリスク許容度から順位付けをします。次に、各リソースの重要度とセキュリティの基準枠組みに基づき、それぞれを保護するポリシーとプロセスを策定します。システムの変更に合わせ適切な修正ができるセキュリティ対策の定期的評価は、健全なセキュリティ態勢を維持することにつながります。

総合的なセキュリティ対策とは、お使いのサーバーからデータベース、ネットワーク、他のITインフラ、さらに事業を支えるソフトウェアアプリケーションの安全性を確保することを指します。多層の防御策を張った多層防護モデルが当社のセキュリティ戦略のトレードマークです。

Defense-in-Depth Strategy

Defense-in-Depth Strategy

このセキュリティモデルの核にあるのが情報/データ保護層で、最表面にあるのが外部トラフィックを制限するファイアウォールやプロキシです。この多層アプローチを使えば、たとえ一つの層が攻撃されても次の層でシステムの侵入を防ぐ対策を打つことができるのです。

ネットワークセキュリティの監視と管理

お使いのネットワークを第三者からの不正侵入や一方的な変更から回避、守ることはサイバーセキュリティ管理において非常に大事なことです。エッジに多層防護を置き、ネットワーク内ではポリシーや制御を利用することで悪用を防ぐことができます。

パブリック、プライベート関わらずあらゆるネットワークのセキュリティ管理策には、アクセス制御、アンチウィルスインストール、ファイアウォール管理、Eメールセキュリティ、VPN、ネットワークセグメンテーションが用いられています。さらに定期的かつ適時のバックアップ、アクティブディレクトリの実装、ネットワーク冗長性もまた、ネットワークの安全性向上に効果的です。

ネットワークのセキュリティ対策は組織の規模、事業内容、使用するデータやシステムの種類などにより様々です。スモールビジネスでは標準のファイアウォールとアンチスパイウェア対策ソフトによる基本的なセキュリティ管理体制で十分かもしれません。これが大企業となると、効果的な脅威管理のリソースを追加する必要となる場合もあります。政府機関のネットワークには、外部と内部両方からの不正アクセスを防ぐ強力な防護策を実装する必要があります。リモートで作業を行うチームについては、安全なオフショアディベロップメントセンター(ODC)を設置し、厳格なデータ保護ポリシーを施行することが求められることもあるでしょう。

当社ではネットワーク管理者として、組織のネットワークのセキュリティニーズを評価し適切な対策を実装いたします。さらに私たちはリモート監視を通じてネットワークトラフィックを効果的に管理し、ネットワーク性能を改善するお手伝いもいたします。

安全なODC開発

機密データを扱うプロジェクトを行う場合、安全なODC設置をすることで国境を行き来するデータの安全確保を実現します。

お客様が当社を通じてODC構築をされる場合、プロジェクトで規定されるセキュリティ要件とコンプライアンス要件を満たす開発センターの計画策定と構築には経験のある私たちにお任せください。物理的アクセス制御環境から、専有セキュリティ運用センター(SOC)を備える完全な開発ハブまで、幅広く対応いたします。

当社ではセキュリティ情報イベント管理(SIEM)ソリューションを使ってITインフラ全体からデータを収集、分析します。SIEMツールを使うことで、当社のセキュリティチームは脅威の検知やセキュリティ侵害の特定、アラートの調査を容易に行うことができます。さらにキャパシティプラニングや規制の遵守(PCI、HIPAA、GDPR等)においても有益なツールです。

Secure ODC Development
SIEM Workflow

SIEMシステムはログ収集、分析、特定の条件に基づいた可視化情報の提供をします。上記に示したスタックでは、異なるコンピューティングシステムから定期的にログを引き出す作業をするためにエージェントが使われます。その後ログはエラスティックデータベースに保管されます。このデータは後に分析されパターンや変化を特定することで、脅威や潜在的な攻撃対象領域の早期検出を実現します。

サーバーセキュリティとハードニング

サーバー階層でのセキュリティ対策の実装は、様々なハードニング対策からサーバー変数へのパブリックアクセスの制限に加え、侵入テストや脆弱性診断の実施が行われます。当社ITテスト・セキュリティチームは共同でサーバー階層でのセキュリティ対策の実装をします。テストチームは様々なセキュリティ監査や侵入検知システムを用い、スキャニングやプロセス分析を進めます。その間IT運用チームでは推論に対応します。このようにサーバーハードニングは運用システムレベル、そしてアプリケーション階層にて実装されるのです。

サーバー侵入テスト

issaf

サーバー侵入テストの目的はサーバーの脆弱性を特定することにあります。これは試験者の分析に効果的に働く色々なツールを使って実施されます。当社のセキュリティプロセスがIT業界基準に準拠することをお客様に保証するため、私たちが採用する侵入テストツール、評価戦略、監査チェックリストはOISSGの情報システムセキュリティ評価フレームワーク(ISSAF)に基づいています。多くの侵入テストサービスは暴露された脆弱性とその解決策に助言を記した最終報告書の提示で締められますが、当社サービスでは次の段階である是正措置の実施までをも行います。

ハイブリッドクラウドとマルチクラウド環境のためのインフラセキュリティ

業務上必須な作業負荷をクラウド移行するにあたって、当社ではお客様のセキュリティポリシーとセキュリティ対策をクラウドプラットフォームに対応するよう拡張し、お客様のデータ漏洩に対して計画策定と保護対策を支援いたします。当社が誇る認定クラウドセキュリティ専門家チームがお客様のセキュリティ態勢を評価し、必要なセキュリティ対策を実装いたします。

当社が提供する主なサービスはこちらです。

  • クラウドセキュリティの評価とコンサルティング
  • 災害復旧とカスタムDRMソリューション
  • 24時間365日対応のテクニカルサポート

コンテナセキュリティ

コンテナ化されたアプリケーション環境において、コンテナパイプライン、デプロイ環境、アプリケーション階層に防御策を講じることはコンテナの完全性の保護につながります。お使いのコンテナが常に目的通りに実行することを確実にするためには、自動化ツールとポリシーを開発プロセスに統合し、基盤となるインフラのメンテナンスにまで拡大させる必要があります。

コンテナパイプラインのセキュリティ構築の第一ステップはベースイメージの信頼できるソースを見つけることです。これらイメージへのアクセスの安全な管理はAmazon ECRのようなプライベートレジストリを使う、もしくは最小権限の原則を実装することで可能になります。また一般向けのオーケストレーションツールを使って、コンテナ管理スタックをリスクから守るセキュリティ制御を有効化させることもできます。CI/CDパイプライン、統合セキュリティテスト、自動化されたポリシーベースのデプロイ、継続的な監視による安全なホスト運用システムといった全体の強力なアクセス制限戦略を持つことで、コンテナセキュリティ全体に有益な結果をもたらします。

アプリケーションの保護

モバイルアプリや、インターネット上で情報交換をするIoTを含むウェブアプリケーションはハッカーによる多様な攻撃に脆弱です。クラウド環境にリソースを共有するアプリケーションはより脆弱です。アプリケーションセキュリティとはこういったアプリケーション向けのセキュリティ機能を設計、開発、試験することを示します。脆弱性を最小限に抑えつつ侵入を防ぐには、ソフトウェア開発ライフサイクルの早期段階からすでにセキュリティについて考えておくと良いでしょう。

アプリケーションレベルでのセキュリティ対策のほとんどはアプリケーションコードとして構築されます。例えば、外部ユーザが提出したデータは適切にその真偽を確認することが必要です。ファイル許可、IP制限、ユーザ認証、承認といったアクセス制御機構を厳格に実行すれば、不正アクセスを防ぐことができます。さらに、暗号化機能を機密データ保護に利用することも可能です。適切なロギングやエラー処理、SSL暗号化、最新のサードパーティライブラリの活用もまた、アプリケーションセキュリティの構築策の一つとなっています。

当社のセキュリティテストサービスの特徴は、アプリケーションレベルで弱点を明らかにし、ソフトウェアの展開前にその問題を修正することです。

データベースハードニング

悪質な攻撃者にとって、価値の高い情報が保存されているデータベースは格好の標的です。当社は確立されたセキュリティのベストプラクティスを実装しデータ流出を未然に防ぐことで、お客様のビジネスと顧客情報を安全に守ります。

ハードニング対策には、データベースをアプリケーションのホスト先とは別の装置に移す、といった物理的なセキュリティ対策も使われます。非物理的な手法には、ファイアウォール(WAFとデータベースファイアウォールの両方)の設置、定期的なパッチのアップデート、データの暗号化、クラウドバックアップといった策が挙げられます。セキュリティ対策の実装後は定期的監査を行い、DBのセキュリティとスポットの脆弱性診断をしましょう。定期的なログの監視や見直しはデータベースアクティビティ監視(DAM)ツールを用いて効果的に実施することができます。

24時間365日対応のテクニカルサポート

アプリケーションやそのデータの保護をしながら、同時に正規のユーザにそれらの利用環境を提供する、ということは事業を問わずとても重要となる条件です。これは安全に構築された環境における24時間体制の監視と適時なトラブルシューティングの実施によって、容易に実現させることができます。

当社のITチームはお客様のインフラをハードニング対策、継続的な監視措置、マネージドサポートを通じてお守りいたします。率先した未然防止策と反応的なセキュリティ支援をITのベストプラクティスと併用することで、安全で欠陥の少ないアプリケーション環境を維持することができるのです。

アプリケーション/インフラのハードニングをお考えなら