システムをまたぐ弱点から「不正アクセスの経路」を見つける新サービス
東証スタンダードに上場するサイバーステップホールディングス株式会社の100％子会社、サイバーステップ株式会社とNAXA株式会社は、2026年11月1日に新しいセキュリティ診断サービスの提供を共同で始めます。対象は企業のSaaS、クラウド、業務システムで、攻撃者の視点に立って侵入経路を検証するサービスです。
このサービスでは、複数のシステムにまたがる設定や権限の弱点を調べます。そのうえで、重要な情報への不正アクセスにつながる経路と、対策の優先順位を報告します。検証は顧客と合意した範囲で行い、是正計画の策定、対策の実行支援、対策後の再評価までをサービスに含めています。
背景にあるのは、複数のシステムを連携して使う環境のリスク
企業では、Webサービス、クラウド、SaaS、認証基盤、外部委託先のシステムなどを連携して利用しています。こうした環境では、管理者権限の過大な付与、外部共有の設定不備、長期間変更されていない認証情報、監査ログの未整備などが重なることで、一つの弱点を起点として、重要な情報への不正アクセスや業務停止に至るおそれがあるといいます。
独立行政法人情報処理推進機構（IPA）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織向け順位では、「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位でした。また、2026年10月にはPHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619。通称PHP2Shell）が公表されています。認証なしでリモートコード実行が可能で、CVSSは9.2です。多くの企業システムに影響を及ぼしており、現在も対応が求められています。
両社は、情報漏えいや業務停止の影響を抑えるには、個々の弱点の重大度だけでなく、自社の事業にどのような影響が及ぶかを踏まえて対策の順序を決める必要があるとしています。そのため、このサービスでは検出した弱点の一覧に加えて、重要な情報や機能に至る経路と対策の優先順位を示します。人員や予算の制約を踏まえて、顧客が対応すべき箇所を判断できるようにすることが目的です。
診断は4つのステップで進む
検証の前には、対象システムとその範囲、実施時間帯、停止条件、緊急時の連絡手順などを顧客と合意し、許諾を得た範囲で実施します。2026年10月に公表されたPHP2Shell関連脆弱性を含め、攻撃者視点での経路検証と対策の優先順位付けにも対応します。評価する領域は、顧客のシステム構成や利用状況に応じて選定します。
- 対象システムと外部からの接点の確認：Webサービス、API、認証・権限管理、クラウド設定などを確認し、外部からアクセスできる箇所と、保護すべき重要な情報・機能を整理します。
- 重要な情報や機能に至る経路の検証：エンジニアが攻撃者を想定し、認証やアクセス権限などの弱点を組み合わせて、重要な情報や機能に到達できるかを検証します。たとえば、一般利用者の権限で管理機能を利用したり、顧客情報を取得したりできる経路がないかを、対象システムに応じて調べます。
- 事業への影響と対策の優先順位の報告：確認した問題について、発生条件、想定される影響、対策の優先順位を整理します。技術担当者向けの報告書と経営層向けの要約を作成し、優先して対応すべき問題、対策の内容、対応の順序を示します。
- 是正の支援と再評価：是正計画の策定から対策の実行までを支援します。設定変更は顧客の承認を得たうえで、業務への影響と元に戻す条件を確認し、段階的に進めます。対策後は設定やログなどを再確認し、残るリスクと見直しが必要な事項を報告します。
ゲーム運営とシステム開発の知見を組み合わせる
サービスの提供主体はサイバーステップです。ゲームサービスの運営で蓄積した変更手順や運用経験を活かします。テレビ・エンタメ業界に特化したAI・DX事業を展開するNAXAは、システム開発で培った知見を活かし、システム間の連携、認証、権限、データの流れを検証します。
サイバーステップは、自社グループが運営するゲームやオンラインクレーンゲームを対象に、検証手法の有効性を確認してきました。実際の運用環境で蓄積した知見をもとに、外部の顧客への提供を始めます。
対象は、業界を問わず、SaaS、クラウド、業務システムのいずれかを利用する企業です。特に、複数のクラウドやSaaSを連携している企業、顧客情報や機密情報を扱う企業、外部委託先との接続が多い企業、継続稼働が求められるデジタルサービスを運営する企業を主な顧客として想定しています。今後は顧客のニーズに応じて、検証手法や報告書の内容を継続的に改善していく方針です。提供形態などの詳細は、別途案内するとしています。
なお、サイバーステップホールディングスは、この件が同社の連結業績に与える影響は軽微と見込んでいます。また、このサービスは顧客と合意した対象と条件に基づく検証を想定したもので、すべての脆弱性の発見やサイバー攻撃による被害の防止を保証するものではないとしています。
