ITインフラとアプリケーションのセキュリティサービス

今日のデジタル変革と技術進歩のペースは、堅牢なサイバーセキュリティへのニーズを高めてきました。増え続けるデジタルデータを盗もうと、悪いハッカーは繰り返し狙ってきます。安全な実装が行われないと、ソフトウェアはハイジャックされデータ漏洩や権限のない第三者へコードが渡ってしまう恐れがあります。そこで厳格なポリシー、確立されたベストプラクティス、さらに真摯に対応するセキュリティの専門家をもって取り組むことで、データ機密性とデータ完全性、アプリケーションの可用性を確保することができるのです。

セキュリティ態勢の評価

サイバーセキュリティの実装は、組織のセキュリティ態勢を明確化することから始まります。当社では組織の中の重要リソースを特定し、それぞれのリスク許容度から順位付けをします。次に、各リソースの重要度とセキュリティの基準枠組みに基づき、それぞれを保護するポリシーとプロセスを策定します。システムの変更に合わせ適切な修正ができるセキュリティ対策の定期的評価は、健全なセキュリティ態勢を維持するに則り適切に取り扱い致します。

総合的なセキュリティ対策とは、お使いのサーバーからデータベース、ネットワーク、他のITインフラ、さらに事業を支えるソフトウェアアプリケーションの安全性を確保することを指します。多層の防御策を張った多層防護モデルが当社のセキュリティ戦略のトレードマークです。

Defense-in-Depth Strategy

このセキュリティモデルの核にあるのが情報/データ保護層で、最表面にあるのが外部トラフィックを制限するファイアウォールやプロキシです。この多層アプローチを使えば、たとえ一つの層が攻撃されても次の層でシステムの侵入を防ぐ対策を打つことができるのです。

ネットワークセキュリティの監視と管理

お使いのネットワークを第三者からの不正侵入や一方的な変更から回避、守ることはサイバーセキュリティ管理において非常に大事なことです。エッジに多層防護を置き、ネットワーク内ではポリシーや制御を利用することで悪用を防ぐことができます。

パブリック、プライベート関わらずあらゆるネットワークのセキュリティ管理策には、アクセス制御、アンチウィルスインストール、ファイアウォール管理、Eメールセキュリティ、VPN、ネットワークセグメンテーションが用いられています。さらに定期的かつ適時のバックアップ、アクティブディレクトリの実装、ネットワーク冗長性もまた、ネットワークの安全性向上に効果的です。

ネットワークのセキュリティ対策は組織の規模、事業内容、使用するデータやシステムの種類などにより様々です。スモールビジネスでは標準のファイアウォールとアンチスパイウェア対策ソフトによる基本的なセキュリティ管理体制で十分かもしれません。これが大企業となると、効果的な脅威管理のリソースを追加する必要となる場合もあります。政府機関のネットワークには、外部と内部両方からの不正アクセスを防ぐ強力な防護策を実装する必要があります。リモートで作業を行うチームについては、安全なオフショアディベロップメントセンター（ODC）を設置し、厳格なデータ保護ポリシーを施行することが求められることもあるでしょう。

当社ではネットワーク管理者として、組織のネットワークのセキュリティニーズを評価し適切な対策を実装いたします。さらに私たちはリモート監視を通じてネットワークトラフィックを効果的に管理し、ネットワーク性能を改善するお手伝いもいたします。

安全なODC開発

機密データを扱うプロジェクトを行う場合、安全なODC設置をすることで国境を行き来するデータの安全確保を実現します。

When you build your ODC with us, you can rely on our experience to plan and set up a development center meeting the security and compliance requirements dictated by the project. It could range from a physical access-restricted environment to a full-fledged development hub with a dedicated security operations center (SOC).

当社ではセキュリティ情報イベント管理（SIEM）ソリューションを使ってITインフラ全体からデータを収集、分析します。SIEMツールを使うことで、当社のセキュリティチームは脅威の検知やセキュリティ侵害の特定、アラートの調査を容易に行うことができます。さらにキャパシティプラニングや規制の遵守（PCI、HIPAA、GDPR等）においても有益なツールです。

SIEMシステムはログ収集、分析、特定の条件に基づいた可視化情報の提供をします。上記に示したスタックでは、異なるコンピューティングシステムから定期的にログを引き出す作業をするためにエージェントが使われます。その後ログはエラスティックデータベースに保管されます。このデータは後に分析されパターンや変化を特定することで、脅威や潜在的な攻撃対象領域の早期検出を実現します。

サーバーセキュリティとハードニング

Security implementation efforts on the server layer can involve penetration testing and vulnerability assessment along with restricting public access to server variables through various hardening measures. Our IT and security testing teams work together to implement security at the server strata. Testers employ various security audit and intrusion detection systems to facilitate the scanning and analysis process while the IT operations team acts upon the inferences. サーバーハードニングは運用システムレベル、そしてアプリケーション階層にて実装されるのです。

サーバー侵入テスト

サーバー侵入テストの目的はサーバーの脆弱性を特定することにあります。これは試験者の分析に効果的に働く色々なツールを使って実施されます。当社のセキュリティプロセスがIT業界基準に準拠することをお客様に保証するため、私たちが採用する侵入テストツール、評価戦略、監査チェックリストはOISSGの情報システムセキュリティ評価フレームワーク（ISSAF）に基づいています。多くの侵入テストサービスは暴露された脆弱性とその解決策に助言を記した最終報告書の提示で締められますが、当社サービスでは次の段階である是正措置の実施までをも行います。

ハイブリッドクラウドとマルチクラウド環境のためのインフラセキュリティ

As you move mission-critical workloads to the cloud, we help you plan and build protection against data breaches by extending your security policies and measures to the cloud platforms. Our team of certified cloud security professionals will assess the security posture and implement safety measures. With strong capabilities in pragmatic risk and compliance management and multi-cloud expertise, our security consultants are well-equipped to handle the security challenges of cloud-native development and public cloud migrations.

当社が提供する主なサービスはこちらです。

アプリケーションの保護

モバイルアプリや、インターネット上で情報交換をするIoTを含むウェブアプリケーションはハッカーによる多様な攻撃に脆弱です。クラウド環境にリソースを共有するアプリケーションはより脆弱です。アプリケーションセキュリティとはこういったアプリケーション向けのセキュリティ機能を設計、開発、試験することを示します。脆弱性を最小限に抑えつつ侵入を防ぐには、ソフトウェア開発ライフサイクルの早期段階からすでにセキュリティについて考えておくと良いでしょう。

アプリケーションレベルでのセキュリティ対策のほとんどはアプリケーションコードとして構築されます。例えば、外部ユーザが提出したデータは適切にその真偽を確認することが必要です。ファイル許可、IP制限、ユーザ認証、承認といったアクセス制御機構を厳格に実行すれば、不正アクセスを防ぐことができます。さらに、暗号化機能を機密データ保護に利用することも可能です。適切なロギングやエラー処理、SSL暗号化、最新のサードパーティライブラリの活用もまた、アプリケーションセキュリティの構築策の一つとなっています。

当社のセキュリティテストサービスの特徴は、アプリケーションレベルで弱点を明らかにし、ソフトウェアの展開前にその問題を修正することです。

データベースハードニング

悪質な攻撃者にとって、価値の高い情報が保存されているデータベースは格好の標的です。当社は確立されたセキュリティのベストプラクティスを実装しデータ流出を未然に防ぐことで、お客様のビジネスと顧客情報を安全に守ります。

ハードニング対策には、データベースをアプリケーションのホスト先とは別の装置に移す、といった物理的なセキュリティ対策も使われます。非物理的な手法には、ファイアウォール（WAFとデータベースファイアウォールの両方）の設置、定期的なパッチのアップデート、データの暗号化、クラウドバックアップといった策が挙げられます。セキュリティ対策の実装後は定期的監査を行い、DBのセキュリティとスポットの脆弱性診断をしましょう。定期的なログの監視や見直しはデータベースアクティビティ監視（DAM）ツールを用いて効果的に実施することができます。