サイバーステップホールディングス株式会社（東証スタンダード上場、本社・東京都杉並区）は2026年10月29日、100％子会社のサイバーステップ株式会社とNAXA株式会社が、企業のSaaS、クラウド及び業務システムを対象に、攻撃者の視点から侵入経路を検証するセキュリティ診断サービスを11月1日から共同で提供すると発表しました。複数のシステムにまたがる設定や権限の弱点を調べ、重要な情報への不正アクセスにつながる経路と対策の優先順位を報告するサービスです。顧客と合意した範囲で検証し、是正計画の策定、対策の実行支援、対策後の再評価までをサービスに含めるとしています。
設定や権限の弱点が重なると何が起きるか
リリースによると、Webサービス、クラウド、SaaS、認証基盤、外部委託先のシステムなどを連携して使う企業では、管理者権限の過大な付与、外部共有の設定不備、長期間変更されていない認証情報、監査ログの未整備などが重なると、一つの弱点を起点に重要な情報への不正アクセスや業務停止に至るおそれがあります。リリースはIPA「情報セキュリティ10大脅威 2026」の組織向け順位で「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位だったことも引いています。そのうえで、個々の弱点の重大度だけでなく、自社の事業にどのような影響が及ぶかを踏まえて対策の順序を決める必要があるとしています。
侵入経路の検証から再評価までの4工程
サービスは4つの工程で進みます。まず、Webサービス、API、認証・権限管理、クラウド設定などを確認し、外部からアクセスできる箇所と保護すべき重要な情報・機能を整理します。次に、エンジニアが攻撃者を想定し、認証やアクセス権限などの弱点を組み合わせて、重要な情報や機能に到達できるかを検証します。例として、一般利用者の権限で管理機能を使ったり顧客情報を取得したりできる経路がないかを調べるとしています。
3つ目の工程では、確認した問題の発生条件、想定される影響、対策の優先順位を整理し、技術担当者向けの報告書と経営層向けの要約を作ります。最後に是正計画の策定から対策の実行までを支援し、設定変更は顧客の承認を得たうえで、業務への影響と元に戻す条件を確かめながら段階的に進めます。対策後は設定やログなどを再確認し、残るリスクを報告します。
検証の前には、対象システムとその範囲、実施時間帯、停止条件、緊急時の連絡手順などを顧客と合意し、許諾を得た範囲で実施します。2026年10月に公表されたPHPの重大な脆弱性（通称PHP2Shell）を含む経路の検証と対策の優先順位付けにも対応するとしています。
サイバーステップとNAXAの役割分担
ゲームサービスの運営で蓄積した変更手順や運用経験を持つサイバーステップがサービスの提供主体となり、NAXAがシステム間の連携、認証、権限及びデータの流れを検証します。NAXAはテレビ・エンタメ業界に特化したAI・DX事業を展開しています。サイバーステップは、自社グループが運営するゲームとオンラインクレーンゲームを対象に、検証手法の有効性を確認してきたとしています。
主な顧客としては、複数のクラウドやSaaSを連携している企業や、外部委託先との接続が多い企業などを想定しています。提供形態などの詳細は別途案内するとしています。
脆弱性診断サービスを比べるときに見ておきたい点
編集部では、検出した弱点の一覧で終えず、重要な情報に至る経路と対策の順序を、経営層向けの要約も添えて報告する点に注目しています。リリースはこのサービスについて、顧客と合意した対象と条件に基づく検証で、すべての脆弱性の発見やサイバー攻撃による被害の防止を保証するものではないと注記しています。脆弱性診断ツール/サービスを比べる際は、診断の対象を自社のどのシステムまで含めるか、報告の後に是正の支援や再評価まで頼めるかを確かめておきたいところです。
出典: サイバーステップホールディングス株式会社プレスリリース（PR TIMES・2026年10月29日配信）
https://prtimes.jp/main/html/rd/p/000000414.000113626.html