サイバーセキュリティコンサルティング
規制業界の企業のためのサイバーセキュリティコンサルティング
攻撃者に悪用されかねない隙を見つけ、優先順位をつけて塞ぎ、監査人や顧客にコンプライアンスを証明します。SoftSapienのセキュリティスペシャリストが、事業を支えるシステムを評価、設計、強化します。
最終更新日：
主なお客様
概要
事業のあらゆる層に組み込むセキュリティ
侵害が高度な攻撃から始まることはまれです。公開されたままのストレージバケット、権限が過剰なサービスアカウント、誰も管理を覚えていないパッチ未適用のシステムから始まります。クラウド移行が進み、つながるシステムが増えるほど、攻撃対象領域は多くのセキュリティチームが追いきれない速さで広がります。
セキュリティ評価では、監査とペネトレーションテストに、重要な業務プロセスの脅威モデリングを組み合わせます。結果は実際のリスクで順位づけし、エンジニアリングチームが実行できる是正ロードマップに落とし込みます。
規制対象の組織に対しては、統制をSOC 2、HIPAA、ISO 27001、PCI DSS、GDPRにマッピングし、監査人が求める証跡を準備します。
私たちが解決する課題
私たちが答えるセキュリティの課題
把握できていないリスク
本当の弱点がどこにあるのか分からない。
監査、ペネトレーションテスト、クラウドの設定状況のレビューで実際の攻撃対象領域を把握し、すべての検出事項をビジネスへの影響と悪用のしやすさで順位づけします。
監査の期限
大口顧客から、今年中にSOC 2レポートを求められている。
統制をSOC 2、ISO 27001、HIPAA、PCI DSS、GDPRにマッピングし、優先順位に従ってギャップを解消しながら、監査人が求める証跡を是正の進行に合わせて準備します。
無秩序に広がったクラウド
クラウド環境の拡大に、セキュリティ統制が追いついていない。
クラウドセキュリティポスチャ管理、最小権限のID管理、ゼロトラストアーキテクチャにより、すべてのアカウントとワークロードを一貫した監視付きのポリシーのもとに置きます。
インシデントへの備え
明日侵害を受けたら、場当たり的に対応するしかない。
インシデント対応計画、プレイブック、机上演習により、規制で定められた期限内にインシデントを封じ込め、調査し、報告できるようチームを準備します。
含まれる内容
サイバーセキュリティコンサルティングの機能
セキュリティ成熟度のあらゆる段階に対応する、評価、設計、コンプライアンスのサービス。
セキュリティ監査 & リスク評価
ポリシー、設定、統制を体系的にレビューし、リスク順に検出事項を整理します。
ペネトレーションテスト
悪用可能性を実証するため、アプリケーション、ネットワーク、クラウド環境に対して許可を得たうえで攻撃を行います。
脅威モデリング
重要なプロセスがどのように攻撃されうるか、そしてどの統制がそれぞれの経路を防ぐかを構造的に分析します。
ゼロトラストアーキテクチャ
ID中心のアクセス制御、マイクロセグメンテーション、ユーザーとデバイスの継続的な検証。
クラウドセキュリティポスチャ
AWS、Azure、Google Cloud環境の設定レビューとガードレール。
コンプライアンス対応準備
SOC 2、HIPAA、ISO 27001、PCI DSSに向けたギャップ分析、統制の導入、証跡の準備。
ビジネス成果
より強固で証明可能なセキュリティ体制
解消した検出事項、統制のカバー率、監査結果で進捗を追跡します。
攻撃対象領域の縮小
公開されたサービス、過剰な権限、設定ミスを見つけて解消します。
優先順位をつけた是正
実際に被害をもたらす可能性が最も高いリスクから、エンジニアリングの工数を割り当てます。
監査の迅速化
マッピング済みの統制と整理された証跡により、認証取得や顧客によるセキュリティ審査の期間を短縮します。
顧客からの信頼の向上
コンプライアンスを実証できれば、セキュリティの保証を求める企業との契約を獲得しやすくなります。
すぐに使える対応計画
インシデント対応のプレイブックと机上演習で、事象が起きる前にチームを準備します。
業界
業界別のサイバーセキュリティコンサルティング
各業界の規制、データ、顧客に合わせて、この領域をどう適用するか。
金融 & コマース
PCI DSSへの対応準備、不正に強いアーキテクチャ、安全な決済フロー。
- フィンテック
- 銀行
- 保険
- Eコマース
- 消費財
- アパレル小売
ヘルスケア & ライフサイエンス
HIPAAのリスク分析、保護対象医療情報（PHI）の保護、医療機器のセキュリティレビュー。
- ヘルスケア & 病院
- ヘルス & ウェルネス
- 歯科
エンタープライズ & テクノロジー
SaaS企業やB2Bテクノロジー企業向けのSOC 2対応準備とセキュアなSDLCの実践。
- IT
- B2Bサービス
- 通信
公共 & コンシューマーサービス
公的機関や教育機関向けのセキュリティ評価と強化。
- 官公庁
- EdTech
- メディア & エンターテインメント
- 不動産
- 旅行・観光
- 食品・飲料
- 飲食店
- スポーツ・フィットネス
- 非営利団体
- 法律サービス
デリバリーのアプローチ
サイバーセキュリティ案件の進め方
-
範囲
重要資産、コンプライアンス義務、作業のルールを合意します。
-
評価
監査、スキャン、ペネトレーションテストで、脆弱性と統制のギャップを特定します。
-
優先順位づけ
検出事項を発生可能性と影響度で順位づけし、明確な是正ロードマップにまとめます。
-
強化
統制、設定、アーキテクチャの変更を、お客様のチームと一緒に実装します。
-
検証 & 監視
再テストで修正を確認し、監視によってセキュリティ体制の劣化を防ぎます。
テクノロジー
利用するプラットフォームとツール
既存の環境、ライセンス、チームのスキルに合わせて、案件ごとに選定します。
テスト
- Burp Suite
- Metasploit
- Nessus
- OWASP ZAP
- Nmap
クラウドセキュリティ
- AWS Security Hub
- Microsoft Defender for Cloud
- Wiz
- Google Security Command Center
ID管理
- Okta
- Microsoft Entra ID
- CyberArk
- HashiCorp Vault
検知 & 対応
- CrowdStrike Falcon
- Splunk
- Microsoft Sentinel
- Elastic Security
フレームワーク
- NIST CSF
- ISO 27001
- SOC 2
- HIPAA
- PCI DSS
- MITRE ATT&CK
契約モデル
SoftSapienとの協業の形
小さく始めて広げることも、プログラム全体を最初から依頼することもできます。どのモデルでも、所有権、セキュリティ、レポーティングの基準は同じです。
-
約4週間から
パイロット
本格的な投資の前に、単一の業務フロー、キャンペーン、またはPoCで価値を実証します。
-
固定料金
範囲確定型デリバリー
合意した受け入れ基準に沿った、範囲が明確な成果物。
-
月額制（ディスカバリー後に範囲を確定）
プログラム・リテイナー
サイクルごとに優先順位を見直す継続的なデリバリー。
-
応答時間を明確に規定
マネージドサポート
ローンチ後もプラットフォームとキャンペーンの成果を維持するサポート契約。
SoftSapienが選ばれる理由
企業がSoftSapienを選ぶ理由
SoftSapienのサイバーセキュリティコンサルティング案件で、すべての組織が期待できること。
引き継ぎ時の所有権
ソースコード、設定、ドキュメント、戦略資産は、案件終了時にお客様の組織へ移管されます。
標準で備わるセキュリティとコンプライアンス
初日から、お客様のID、アクセス、データ所在地の範囲内で作業し、コンプライアンス要件をデリバリーに組み込みます。
2営業時間以内に回答
すべてのお問い合わせはスペシャリストに届き、2営業時間以内に回答します。
キックオフから引き継ぎまで同じスペシャリストが担当
案件の範囲を定めたエンジニアとストラテジストが、デリバリーと引き継ぎまで担当し続けます。
すべての専門領域を連携
案件が複数の領域にまたがる場合は、エンジニアリング、AI、クラウド、ビジネス、マーケティングの専門性を組み合わせます。
タイムゾーンをまたぐデリバリー
北米、欧州、中東、アジア太平洋のチームが、お客様の勤務時間に合わせてデリバリーを行います。
よくあるご質問
サイバーセキュリティコンサルティングに関するよくあるご質問
該当する質問はありません。
コンプライアンス認証まで提供していますか？それともセキュリティ対策のみですか？
私たちが担うのはセキュリティアーキテクチャと是正の作業です。特定のフレームワークに基づく正式な認証は通常、認定を受けた第三者の監査機関が発行するもので、その準備を支援できます。
脅威モデルはどのくらいの頻度で見直すべきですか？
少なくとも大きなアーキテクチャ変更の後に、また脅威の状況自体が変化するため、変更がなくても通常は年に一度見直します。
サイバーセキュリティコンサルティングでは、具体的に何を行いますか？
規制の枠組みに合わせたセキュリティ監査と脅威モデリングを行い、そのうえで堅牢なアーキテクチャの設計と、実際のリスクに基づいて優先順位をつけた是正ロードマップを作成します。
サイバーセキュリティコンサルティング案件の費用はどのくらいですか？
費用は、規制の範囲と現在のアーキテクチャによって異なります。まず初期監査を行い、その結果に基づいて費用を算定します。
セキュリティ監査と是正にはどれくらいかかりますか？
対象を絞った監査には通常2～4週間かかります。是正の期間は監査の結果によって異なり、優先順位をつけたロードマップとしてご提示します。
監査の結果と是正に関する文書の所有権は誰にありますか？
お客様にあります。監査報告書、脅威モデル、是正に関する文書は、引き継ぎ時にお客様の組織へ移管されます。
どのような規制フレームワークに対応していますか？
SOC 2、HIPAA、GDPR、ISO 27001など、業界と地域に適用されるフレームワークに合わせて対応します。
どの業界で最も必要とされていますか？
金融サービス、ヘルスケア、そして規制対象の顧客データを扱う、または厳格なコンプライアンス要件のもとで事業を行うすべての企業です。
他社が設計したアーキテクチャのレビューもできますか？
はい。既存アーキテクチャの独立したセキュリティレビューは、単独の案件としてもよくご依頼いただきます。
サイバーセキュリティコンサルティング案件はどれくらいで開始できますか？
すべてのお問い合わせに2営業時間以内に回答します。
実際のセキュリティリスクを把握する
環境とコンプライアンスの目標をお聞かせください。SoftSapienのセキュリティスペシャリストが評価の範囲をご提案し、最終的にお渡しする成果物をご説明します。