サイバーステップとNAXA、11月1日から攻撃者視点のセキュリティ診断

弱点の一覧だけでなく、侵入経路と対策の順序を示す診断

サイバーステップ株式会社とNAXA株式会社は、企業のSaaS、クラウド、業務システムを対象とするセキュリティ診断サービスを共同で提供します。サービス開始日は2026年11月1日です。両社は、東証スタンダード上場のサイバーステップホールディングス株式会社の100％子会社です。

本サービスの特徴は、個別の脆弱性を列挙するだけでなく、攻撃者の視点で複数のシステムや設定にまたがる弱点を組み合わせ、重要な情報や機能にたどり着く経路があるかを確かめる点にあります。検証結果をもとに、事業への影響や対策の優先順位を整理し、対応すべき問題と対策の順序を報告します。

企業では、Webサービス、クラウド、SaaS、認証基盤、外部委託先のシステムなどを連携させて使うケースがあります。管理者権限が過大に付与されている、外部共有の設定に不備がある、認証情報が長期間変更されていない、監査ログが整備されていないといった状態が重なると、一つの弱点を起点に重要情報への不正アクセスや業務停止につながるおそれがあります。

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位に挙げられています。また、2026年10月に公表されたPHPの重大な脆弱性、CVE-2026-109618およびCVE-2026-109619（通称PHP2Shell）は、認証なしのリモートコード実行が可能で、CVSSは9.2とされています。両社は、このPHP2Shell関連脆弱性を含めた経路検証と対策の優先順位付けにも対応します。

情報漏えいや業務停止の影響を抑えるには、脆弱性の重大度だけでなく、自社事業にどう影響するかを踏まえた対応順の判断が重要です。本サービスは、検出した問題と重要情報・機能への経路を結びつけて示し、人員や予算に制約がある企業が優先して取り組む箇所を判断できるよう支援します。

合意した範囲で検証し、是正と再評価まで支援

診断に先立ち、顧客と対象システムや検証範囲、実施時間帯、停止条件、緊急時の連絡手順などを合意し、許諾を得た範囲で検証を行います。評価する領域は、顧客のシステム構成や利用状況に応じて選定します。

対象の把握から経路の検証へ

まず、Webサービス、API、認証・権限管理、クラウド設定などを確認し、外部からアクセスできる箇所と保護すべき重要な情報・機能を整理します。そのうえでエンジニアが攻撃者を想定し、認証やアクセス権限などの弱点を組み合わせ、重要な情報や機能へ到達できるかを検証します。

確認するのは、弱点が単独で存在するかどうかに限りません。たとえば、一般利用者の権限で管理機能を利用できる経路や、顧客情報を取得できる経路がないかを、対象システムに応じて調べます。こうした確認により、外部からの接点から重要な情報・機能に至るつながりを把握します。

影響の整理、対策の実行、再評価

見つかった問題については、発生条件や想定される影響、対策の優先順位を整理します。技術担当者向けの報告書に加え、経営層向けの要約も作成し、優先すべき問題、対策の内容、対応する順序を示します。単に検出結果を伝えるのではなく、技術面と事業面の双方から対策判断を支える内容です。

その後、是正計画の策定から対策の実行までを支援します。設定変更を行う場合は顧客の承認を得たうえで、業務への影響と元に戻す条件を確認し、段階的に進めます。対策後には設定やログなどを再確認し、残るリスクと見直しが必要な事項を報告します。検証から是正、再評価までを一連のサービスとして提供する構成です。

なお、本サービスは顧客と合意した対象および条件に基づいて検証するもので、すべての脆弱性の発見や、サイバー攻撃による被害の防止を保証するものではありません。

ゲーム運営とシステム開発の経験を生かす共同体制

サイバーステップは、ゲームサービスの運営で蓄積した変更手順や運用経験を生かし、本サービスの提供主体となります。ゲームサービスを実際に運営してきた経験を、検証や対策を進める際の知見として活用します。

NAXAはテレビ・エンタメ業界に特化したAI・DX事業を展開しており、システム開発で培った知見をもとに、システム間の連携、認証、権限、データの流れを検証します。両社はそれぞれの経験を持ち寄り、システムを横断した確認を行う体制です。

サイバーステップは、自社グループが運営するゲームおよびオンラインクレーンゲームを対象に、検証手法の有効性を確認してきました。実際の運用環境で蓄積した知見をもとに、外部顧客へのサービス提供を始めます。

対象は業界を問わず、SaaS、クラウドまたは業務システムを利用する企業です。特に、複数のクラウドやSaaSを連携している企業、顧客情報や機密情報を扱う企業、外部委託先との接続が多い企業、継続稼働が求められるデジタルサービスを運営する企業を主な顧客として想定しています。顧客のニーズに応じ、今後も検証手法や報告書の内容を継続的に改善するとしています。

提供開始日は2026年11月1日で、提供形態などの詳細については別途案内するとしています。本件がサイバーステップホールディングス株式会社の連結業績に与える影響は軽微と見込まれています。開示すべき事項が生じた場合は速やかに知らせる方針です。

発表内容の要点

サービスの対象や提供体制、問い合わせ先など、発表された情報を以下にまとめます。IPAの資料と各社の公式情報もあわせて記載しています。

複数のサービスやシステムがつながる環境では、個別の設定確認に加えて、弱点がどう連鎖し得るかを把握することが重要になります。本サービスは、許諾された範囲で経路を検証し、対策の優先順位付けから再評価までを支援する取り組みです。