Security Baseline Reviewとは？

Security Baseline Reviewは、企業のシステム、認証情報、アクセス制御、日常的なセキュリティ設定が現在どのように構成されているかを、期間を区切って体系的に評価するものです。成果物は、優先度付きの指摘事項と実践的な次のステップをまとめた書面の報告書です。事業が急成長した場合、サプライヤーを変更した場合、システムを移行した場合、あるいはセキュリティ上の判断のためにより確かな出発点が欲しい場合に役立つことが多くあります。どこから手を付けるべきかをチームに推測させるのではなく、合意した環境の特定時点における実践的な全体像を示します。

何であるのか

このレビューでは、貴社がすでに導入している管理策を確認し、合意した領域を一貫したセキュリティモデルと照らし合わせます。スコープは作業開始前に書面で確定します。選択するサービスに応じて、認証設定、アクセス権限、アカウント復旧、データの取り扱い、外部連携、更新状況、対象システムに関する基本的な運用体制などが含まれます。作業は設定と証跡を確認するためのものであり、本番環境の顧客データを閲覧したり、通常業務を妨げたりするものではありません。何が観察されたか、その状況でなぜ重要か、妥当な次の一手は何かを説明する体系的な報告書をお届けします。指摘事項は、意思決定者が「直ちに対応すべき優先事項」「計画的に対応する項目」「別スコープや専門家の知見が必要な課題」の違いを把握できるよう整理されます。評価期間中、環境は貴社チームが構成したままの状態に保たれ、変更は評価後に貴社が判断します。

誰のために

Security Baseline Reviewは、次のような企業に適しています。

デジタル製品やサービスを運営しているものの、セキュリティ設定の正式なレビューをまだ受けていない企業
最近、担当者、システム、ホスティング体制、外部委託先を変更し、責任範囲やアクセス権が想定からずれていないかを確認したい企業
より詳細なセキュリティ施策を準備しており、次のサービスを選ぶ前に文書化された出発点が必要な企業
監査人、取引先、顧客、取締役、保険会社からの質問に対し、現状を誇張せずに慎重に回答する必要がある企業

明確にするのに役立つこと

ベースラインレビューでは、次の点が明確になります。

合意した管理策のうち、導入されていると見られるものと、証跡が不十分なものや設定をより詳しく確認すべきもの
アクセス権限、共有アカウント、過去の設定が、現在の業務のあり方と合わなくなっている可能性がある箇所
担当者の明確化、追加の確認、別途の技術レビューが必要な外部接続や依存関係
最初に対処すべきこと、監視を続けるべきこと、別スコープの作業として検討すべきこと

含まれる内容

作業開始前の書面によるスコープ確認（レビュー対象のシステムと証跡の情報源を含む）
合意した設定領域と、貴社チームから提供された補足情報のリモートレビュー
一貫した深刻度モデルと明確な判断材料を備えた、体系的な指摘事項報告書
各指摘事項に対する平易な言葉での是正メモ（別の担当者やサービスが必要となる場合の説明を含む）
説明のない専門用語に頼らず、社内で共有できる経営層向けサマリー
報告書、優先順位、妥当な次のステップについて話し合うフォローアップの打ち合わせ1回

含まれていないもの

能動的な攻撃の実施、ペネトレーションテスト、管理策の回避の試み
コンプライアンス認証、規制当局向けの監査意見、該当するすべての要件を満たしているという表明
レビュー期間中の貴社環境における設定変更、コード変更、是正作業
合意した業務の終了後の継続的な監視、アラート対応、再テスト
書面のスコープに含まれていないシステム、ドメイン、アプリケーション、サプライヤーのレビュー

それを選ぶべきとき

大規模な施策にすぐ着手するのではなく、現状を明確かつ文書化された形で把握したい場合は、Security Baseline Reviewをお選びください。セキュリティの状況が把握しにくくなったとチームが感じている場合、責任範囲が変わった場合、関係者からの質問にまだ証跡をもって答えられない場合に、有効な第一歩となります。サービス開始、移行、サプライヤーの切り替え、社内の計画サイクルの前にも役立ちます。一方、具体的な技術課題がすでに分かっていて、決まった変更を迅速に適用する必要がある場合は、対象を絞ったハードニングや専門的な支援のほうが通常は適しています。ベースラインの価値は、次の判断をより熟慮されたものにできる点にあります。

私たちのアプローチ

まず、レビューの範囲を書面で確定します。何を確認するか、何がスコープ外か、どのようなアクセスや証跡が必要か、引き渡し時に何を受け取れるかを平易な言葉で説明した概要書をお渡しします。担当者は、合意した設定の確認に必要な範囲に限った読み取り専用アクセスを使用します。入手できる証跡で未解決の質問が残る場合は、フォローアップできるよう報告書に明確に記録します。指摘事項は実践的な観察として記述します。すなわち、確認された設定の状態、それが問題となり得る状況、そして釣り合いのとれた推奨事項または次に確認すべき問いです。報告書は、技術担当者と非技術者の対話を支えるためのものであり、不要な不安をあおるものではありません。引き渡し時には貴社と一緒に優先順位を確認し、報告書が対応しにくい一覧ではなく、実務で使える参照資料となるようにします。

Security Baseline Reviewのサービスページを見る