Inquiry icon

START A CONVERSATION

Share your requirements and we'll get back to you with how we can help.

Thank you for submitting your request.
We will get back to you shortly.

ITインフラサービスとアプリケーションセキュリティサービス

デジタル変革と技術進化のペースの速さから、堅牢なサイバーセキュリティへのニーズが高まっています。ますます量が増えるデジタルデータを覗き見ようと、悪意あるハッカーが繰り返し狙ってきます。安全な実施が行われていない場合、ソフトウェアがハイジャックされてデータが流出してしまったり、権限のない第三者にコードが転送されてしまうという事態が起こり得ます。厳格なポリシー、ベストプラクティスの確立、セキュリティ専門の担当者、これらが揃って初めてデータの機密性と完全性、アプリケーションの可用性が確保できます。

セキュリティ体制の評価

サイバーセキュリティの実施は、組織のセキュリティ体制を明確にすることから始まります。当社では、組織の極めて重要なリソースを、リスク許容度レベルで等級付けして特定します。当社では、各リソースの重要度に基づいて、また、標準のセキュリティフレームワークを参照しつつ、それぞれのリソースを保護するポリシーとプロセスを策定します。システムの変更に合わせて適切に変更を加えたセキュリティプラクティスを定期的に評価することで、健全なセキュリティ体制を確保できます。

包括的なセキュリティには、ビジネスを支えるソフトウェアアプリケーションに加え、サーバー、データベース、ネットワークや他のITインフラを守ることも含まれます。多層構造の管理を行う多重防御モデルは、セキュリティ戦略の特徴です。

Defense-in-Depth Strategy

Defense-in-Depth Strategy

セキュリティモデルの中核には、情報またはデータを保護するレイヤーがあり、その外側に、ファイヤーウォール、外部トラフィックを制限するプロキシなどのレイヤーがあります。多層モデルを導入すれば、1つのレイヤーに不具合があっても、システムへのさらなる侵入を他のレイヤーが防いでくれます。

ネットワークセキュリティのモニタリングと管理

ネットワークへの不正侵入や嫌がらせの改ざんが行われないよう保護することは、サイバーセキュリティ管理に欠かせません。エッジで、また、ポリシーや管理に基づくネットワークで多層防御を行うことで、セキュリティ上の抜け穴を防ぐことができます。

パブリックネットワークの場合も、プライベートネットワークの場合も、セキュリティ管理には、アクセス管理、ウイルス対策ソフトのインストール、ファイヤーウォール管理、Eメールセキュリティ、VPNやネットワークやネットワークのセグメント化といった対策が取られます。定期的かつ時宜を得たバックアップ、アクティブディレクトリの実行やネットワークの冗長性も、ネットワーク保護に役立ちます。

ネットワークセキュリティ対策は、組織の規模、事業の性質、扱うデータやシステムの種類などによってさまざまに異なってきます。中小企業の場合は、標準のファイヤーウォールとスパイウェア対策ソフトウェアによる基本的なセキュリティ管理だけで十分な場合もあります。大企業の場合には、効果的な脅威管理を行える追加のリソースが必要になってくる場合もあります。政府機関のネットワークには、不正な外部アクセスと不正な内部アクセスのいずれにも効果的な強力な保護対策を取る必要があります。リモートで作業を行うチームには、厳格なデータ保護ポリシーのさらなる強化のため、安全なオフショアデリバリーセンター(ODC)が必要になってくる場合すらあります。

当社は、ネットワーク管理者として、組織のネットワークのセキュリティ上のニーズを評価し、対策を実施します。また、ネットワークトラフィックを効率的に管理するための対策も講じ、リモートモニタリングによってネットワーク性能を向上させます。

安全なODC開発

機密データを扱うプロジェクトを行う場合、安全なODC設定を行うことで、業際を超えるデータの安全性を確保できます。

当社と協力してODCを構築する場合、プロジェクトで決められたセキュリティ要件とコンプライアンス要件を満たす開発センターの計画策定と構築を、経験豊富な当社にお任せください。物理的アクセスの制限された環境から、専用のセキュリティ運用センター(SOC)による本格的な開発ハブまで、幅広く対応いたします。

当社では、セキュリティ情報イベント管理(SIEM)ソリューションを活用し、ITインフラすべてからデータを収集して分析します。当社のセキュリティチームは、SIEMツールを活用し、脅威を検出し、セキュリティ侵害をピンポイントで特定し、警告の調査を行います。SIEMツールは、また、容量計画や規制順守(PCI、HIPAA、GDPRなど)の維持にも役立っています。

Secure ODC Development
SIEM Workflow

SIEMシステムはログを収集して解析し、定められた基準に基づいてそれらを可視化します。上記に示したスタックでは、エージェントは、スタックを活用してさまざまなコンピューティングシステムから定期的にログを引き出しています。これらのログは、エラスティックデータベースに保管されます。その後、このデータを解析してパターンや変化を特定すれば、悪意あるハッカーや攻撃の可能性のある対象領域を早期に検出できます。

サーバーセキュリティとハードニング

サーバーの階層にキュリティ対策を実行する取り組みには、さまざまなハードニング対策による、サーバー変数へのパブリックアクセスの制限に加え、侵入テストや脆弱性評価も含まれる場合もあります。当社のITテストチームとセキュリティテストチームは、共に協力してサーバーの階層ごとにセキュリティ対策を実施します。試験者は、さまざまなセキュリティ監査や侵入検出システムを用いて、スキャニングや分析プロセスを容易に行えるようにしています。一方、IT運用チームは推定に基づいて作業を進めます。サーバーのハードニングは、運用システムレベルにおいて、また、アプリケーションレイヤーでも実施されます。

サーバー侵入テスト

issaf

サーバー侵入テストの目的は、サーバーの脆弱性を特定することにあります。このテストは、試験者の分析の向上に役立つさまざまなツールを使って行うことができます。当社のセキュリティプロセスがIT業界基準に準じていることを保証するため、当社の侵入テストツール、評価戦略および監査チェックリストは、OISSGの情報システムセキュリティ評価フレームワーク(ISSAF)に基づいています。ほとんどの侵入テストサービスが、晒されている脆弱性とそれを排除するための助言を詳述した最終報告書の提示で終わりですが、当社では、これらに是正措置を講じ、プロセスを次のレベルへ進めます。

ハイブリッド環境およびマルチクラウド環境に対応するインフラセキュリティ

お客様がミッションクリティカルなワークロードをクラウドに移行するのに合わせ、当社は、お客様のセキュリティポリシーとセキュリティ対策をクラウドプラットフォームにまで拡張することで、データ漏洩に対する防御の計画策定と構築をサポートします。クラウドセキュリティの認証を受けた当社の専門家チームが、セキュリティ体制を評価し、セキュリティ対策を実施します。実践的なリスク管理とコンプライアンス管理能力に長け、さまざまなクラウドの活用経験を持つ当社のセキュリティコンサルタントは、クラウドネイティブ開発とパブリッククラウドマイグレーションのセキュリティ上の課題に対処する資質を十分に備えています。

当社の主なサービスには、次のようなものがあります。

  • クラウドセキュリティの評価とコンサルティング
  • 障害回復とDRMカスタムソリューション
  • 年中無休のテクニカルサポート

コンテナセキュリティ

コンテナ化されたアプリケーション環境では、コンテナパイプラインの保護、デプロイ環境とアプリケーションレイヤーが、コンテナの完全性の保護に役立ちます。コンテナが常に目的どおりに動作するようにするためには、自動化ツールとポリシーを開発プロセスに統合し、運用の基礎となるインフラのメンテナンスにまで拡大する必要があります。

コンテナ内のセキュリティの構築は、ベースイメージの信頼できるソースを見つけることから始まります。これらのイメージへのアクセスは、Amazon ECRなどのプライベートレジストリーを活用し、最小権限の原則を実施することで安全に管理できます。一般向けのオーケストレーションツールも、コンテナ管理スタックをリスクから保護するセキュリティ管理として機能します。CI/CDパイプライン、セキュリティ統合試験、自動化、ポリシーに基づくデプロイ、継続的モニタリングによる安全なホスト運用システムによる強力なアクセス管理戦略が、コンテナセキュリティ全般に役立ちます。

アプリケーションの保護

インターネット上で情報をやり取りするIoTなど、モバイルアプリやウェブアプリケーションは、ハッカーからさまざまな攻撃を受けやすくなっています。アプリケーションは、シェアリソースがクラウド環境にある場合、より脆弱性が高まります。アプリケーションセキュリティとは、これらのアプリケーションのセキュリティ機能を設計、開発、テストするプロセスのことです。脆弱性を最小限に抑え、侵入を防ぐためには、ソフトウェア開発ライフサイクルの早い段階からセキュリティを考慮する必要があります。

アプリケーションレベルのほとんどのセキュリティ対策は、アプリケーションにコードに組み込みます。たとえば、外部ユーザーから送信されるデータは適切に認証する必要があります。ファイルの許可、IP制限、ユーザー認証や権限の付与といった管理メカニズムへのアクセスをより一層厳しくすることで、不正アクセスを防ぐことができます。暗号化機能も、機密情報の保護に用いられます。適切なロギングやエラー処理、SSL暗号がや最新のサードパーティライブラリも、アプリケーションセキュリティの構築に役立ちます。

当社のセキュリティテストサービスは、アプリケーションレベルで脆弱性を明らかにし、ソフトウェアのデプロイに先立ってそれらを修正することに重点的に取り組みます。

データベースのハードニング

データベースは、重要な情報が含まれるため、悪意あるハッカーが狙う代表的な標的です。当社は、確立されたベストプラクティスに従って、お客様の事業と顧客情報を安全に保護するため、データ窃盗を防ぐサポートを行っています。

ハードニング対策には、データベースをアプリケーションをホストする装置とは異なる装置に移すといった、物理的なセキュリティ対策も含まれます。非物理的な対策には、ファイヤーウォール(WAFとデータベースファイヤーウォールの両方)、定期的なパッチのアップデート、データの暗号化、クラウドバックアップなどがあります。セキュリティステップが整えば、定期的な監査で、DBセキュリティの評価を行ったり、脆弱性を見極めることができます。定期的なモニタリングやログの見直しは、データベースアクティビティモニタリング(DAM)ツールを活用して効果的に行うことができます。

年中無休のテクニカルサポート

アプリケーションとそれに含まれるデータを守りつつ、正規ユーザーがそれらを利用できるようにすることが、事業を問わず非常に重要です。これは、24時間体制のモニタリングと時宜を得たトラブルシューティングによって、安全に構築された環境で容易に実現可能です。

当社のITチームはお客様と協力し、お客様のインフラをハードニング対策、継続的モニタリングや管理サポートによって守ります。問題が起きる前からも起きてからも、ITのベストプラクティスに裏打ちされたサポートを提供し、不具合の少ない安全なアプリケーション環境を確保します。

アプリケーションまたはインフラのハードニングをお考えなら、