情報システム部門だけでは目が届きにくい侵入口を、代わりに洗い出す
株式会社OVEL（本社：東京都渋谷区、代表取締役：岡昂正）は、新サービス「サイバー弱点総点検」を【2026年10月29日】より開始します。対象は、委託先や保守事業者の接続口、グループ拠点、工場やビルの設備など、情報システム部門だけでは目が届きにくい「ラストワンマイル」の侵入口です。これらを、情報システム部門に代わって洗い出します。
調査を担うのは、制御システム（OT／ICS）のセキュリティを本業とする同社のエンジニアです。対象企業の本社と生産拠点の両方に入り、稼働を止めずに調査します。調査結果は、重要事業が「どこから入られ、どこまで止まるか」を、情報システム部門が経営層に説明できる形にまとめて渡されます。製造業をはじめとする事業会社とそのグループ会社を対象に、先行導入企業を受け入れます。
本社の外側にある「ラストワンマイル」が狙われている
警察庁によると、2026年上半期のランサムウェア被害は123件で、半期として過去最多となりました。被害組織の約6割は、復旧に1,000万円以上を費やしています。感染経路の4分の3はVPN機器とリモートデスクトップで、侵入の多くは外部とつながる接続口から起きています。AIによって、脆弱性が公開されてから悪用されるまでの時間も短くなっています。多くの大企業はグループ全体でCSIRT・SOCを整え、本社のIT環境の守りを固めてきました。一方で、委託先が設置した保守回線、海外拠点の接続、工場の設備は、管理する部門や会社が異なるため、情報システム部門だけで実態をつかむのは容易ではありません。こうしたラストワンマイルが、いま攻撃者に狙われています。同社は、次の3つの領域を挙げています。
- 委託先・保守事業者の接続口：外部業者が保守のために設置したVPNや遠隔保守回線は、導入した部門や業者ごとに管理され、全社の資産台帳に載りにくい接続口である。国内では、給食委託事業者の保守用VPNを起点に基幹病院の電子カルテが約6週間停止した事例や、遠隔保守用のVPNから港湾ターミナルのシステムが停止した事例が起きている
- グループ会社・海外拠点：KPMGと日本経済新聞社の調査では、海外の取引先・委託先について、36.3%の企業が攻撃を受けたかどうかすら把握できていない。子会社が独自に設置したリモート接続機器や、グループ拠点のネットワーク機器を起点に、親会社や取引先の工場が全面停止した事例もある
- 工場・施設部門が管理する設備と機器：制御装置、入退室管理、監視カメラなどは工場や施設部門の管轄にあり、長年更新できない機器も残っている。こうした設備のセキュリティをCISOが統括する体制は近年ようやく広がり始めたところで、情報システム部門と工場・施設部門の間で責任の線引きが難しい領域である
重要事業1つを起点に、侵入から停止・復旧までを一続きで検証
このサービスでは、対象企業と協議したうえで「最も止まってはならない事業」を1つ選びます。そして、その事業を止めうる侵入経路を、本社のIT環境から委託先・保守事業者の接続口、グループ会社との接続、生産拠点の設備まで、境界をまたいで深く追跡します。全社やグループ全体への展開は、先行導入の結果を踏まえて個別に相談する形です。なお、既存のSOC・CSIRT・セキュリティベンダーを置き換えるものではありません。IT環境を担う既存の体制が機能していることを前提に、その守備範囲の外にある委託先の接続口・保守回線・拠点間の接続・設備と、各担当範囲のつなぎ目を検証します。
STEP 1：サイバー弱点総点検（2〜4週間）
秘密保持契約（NDA）を結んだ後、エンジニアが本社と主要生産拠点に入り、関係部門へのヒアリングと、業務に影響を与えない範囲での調査を行います。調査はヒアリング、設定・構成資料の確認、パッシブな通信観測が基本で、スキャンや機器の持ち込みは事前に書面で合意した範囲に限られます。確認する観点は次の3つです。
- どこから入られるか：外部公開資産、設備メーカー・保守業者のリモート保守回線、グループ会社・海外拠点・委託先からの接続経路、ITとOT（製造設備・物流・ビル設備）の境界
- どこまで広がるか：ID・権限管理（退職者・特権・委託先アカウント、多要素認証の適用）、クラウド／SaaSの設定、長期間更新されていない機器の所在
- どう戻すか：バックアップから実際に戻せるか、ログ監視・EDRの運用状況、本社・拠点間の初動手順と連絡体制
STEP 2：経営層向け報告会
見つかった弱点を「攻撃者から見た侵入経路」として整理し、どこから入られ、どの業務が止まり、復旧にどの程度かかるかを示します。報告内容は情報システム部門と確認したうえで経営層に伝えられ、報告書は2種類が用意されます。
- 取締役会・経営会議向けサマリー：事業停止リスク、対策の優先順位、概算費用
- CISO・情報システム部門・生産部門向け詳細報告：技術的な所見と是正手順。内部監査や開示対応の検討に使う基礎資料としても活用できる
STEP 3：対策支援・継続運用（有償・個別見積）
希望に応じて、優先度の高い弱点の是正支援（設定変更、アカウント整理、保守回線の見直し、バックアップ設計など）、点検範囲の他事業・他拠点・グループ会社への展開、サイバー攻撃を前提とした事業継続計画（サイバーBCP）の策定を支援します。STEP 2で終了することも可能です。
OTセキュリティの知見とデジタルツインが強み、先行導入は5社限定
同社の特徴は、設備メーカーの保守回線や委託先が設置したリモート接続機器、制御装置、更新できない旧OSの端末、設備固有の通信など、通常のIT診断とは別に扱われることが多い接続口と機器を、仕様と運用の両面から評価できる点です。また、デジタルツインを用いて本番設備に触れずに攻撃経路を再現・検証する手法を、工場だけでなく物流やビル設備、ITとの境界にも適用します。現場に入るフォワード・デプロイド・エンジニア（FDE）は、脆弱性の一覧ではなく「どの事業が、どこから入られ、どこまで止まり、どう戻すか」という判断材料を持ち帰ります。代表取締役の岡昂正氏は「見つけた弱点は、塞ぐ順番まで責任を持って経営の皆さまにお示しします」とコメントしています。
1社ごとに専任チームが本社と生産拠点の双方に入るため、先行導入企業は5社に限られ、個別の相談を経て決定されます。先行導入企業のうち、導入事例としての社名・ロゴの掲載と事例インタビューに協力できる企業には、STEP 1・STEP 2が無償または特別価格で提供されます。協力が難しい場合は、通常の有償サービス（個別見積）となります。主な募集要項は以下のとおりです。
- 対象：製造業をはじめとする事業会社およびそのグループ会社（本社と生産拠点、国内外のグループ拠点をまたぐ調査を想定）
- 受け入れ数：先行導入企業5社（個別の相談を経て決定）
- 期間：2〜4週間（経営層向け報告会を含む）
- 実施方法：オンサイト（本社＋主要生産拠点1か所）＋リモート（海外拠点・委託先との接続経路を確認）。対象拠点の追加やグループ会社を含む範囲は個別に相談
- 費用：導入事例としての社名・ロゴ掲載と事例インタビューに協力できる先行導入企業は、STEP 1・STEP 2を無償または特別価格で提供。協力しない場合は有償（個別見積）。STEP 3の対策支援は個別見積
- 実施条件：調査開始前にNDAを締結し、調査範囲と方法を書面で合意したうえで実施。取得した情報は合意した範囲でのみ取り扱い、終了後は合意した方法で削除
株式会社OVELは2026年3月設立で、OTセキュリティ診断（デジタルツインによる攻撃経路検証）、ITセキュリティ調査・対策支援、サイバーBCP事業、AI・サイバーセキュリティ研修などを手がけています。創業メンバーは法人設立以前から官公庁や大手通信事業者のセキュリティ支援に従事しており、「危機管理コンテスト2026」文部科学大臣賞の受賞、大学発スタートアップ支援プラットフォーム「GTIE」アクセラレーションプログラムへの採択、企業向けサイバーセキュリティ研修の18社への提供といった実績があります。
出典：株式会社OVEL
