データを守る。ファイルを検査する。ソフトウェアを堅牢にする。

まず、どの情報、アプリケーション、業務プロセスを保護する必要があるかを見極めます。そこから、把握しやすい順序を導き出します。例えば、アクセス権と復旧の整理、モバイル端末の暗号化、公開されているファイルアップロードの保護などです。ペネトレーションテストは、その結果が具体的な意思決定につながる場面に組み込みます。貴社には、責任分担と確認可能な作業成果を伴う、範囲の明確な着手点をご提供します。

両者は、異なる状況を保護するものです。ディスク暗号化は、各ソリューションの範囲内で、電源が切られた、あるいは正しくロックされた記憶媒体上の保存データを保護します。ファイル暗号化は、保存場所や転送経路をまたいで権限を適用できます。両方を導入する意味があるかどうかは、機器の運用方法、共同作業のあり方、データ経路、保護要件によって異なります。すでにログイン済みの正規ユーザーは、それとは別のセキュリティ上の課題です。

対応範囲は、用途に応じて調整します。小規模な企業ネットワークから、機密指定された情報を扱うプロジェクトまで対応します。VS-NfDやNATO RESTRICTEDについては、具体的な製品、バージョン、使用条件、運用コンセプトを検証します。案件にセキュリティクリアランスを取得した要員が必要な場合は、必要な証跡とアクセス権をプロジェクトごとに事前に確認しておく必要があります。Ü3は人物に対するセキュリティクリアランスを指すものであり、暗号化のレベルを表すものではありません。

開始前に、決まった金額と、許可された検証範囲の中で再現可能な形で証明すべき具体的なセキュリティ上の指摘事項を合意します。この合意した証跡が得られなかった場合、合意した成功報酬型のペネトレーションテスト費用は発生しません。成果の基準、前提条件、検収は文書で定めます。修正対応、追加のコンサルティング、再検証は、別途ご依頼いただいた場合にのみ費用が発生します。該当する指摘事項が見つからないテストは、完全な安全性を保証するものではありません。

これはアーキテクチャを決定する前に明確にします。MetaDefenderは、エディションによっては貴社自身の環境でも運用できます。データ転送、外部での分析、テレメトリ、更新経路は、それぞれのデータ区分に適合している必要があります。オンプレミスのスキャナーがあるからといって、機密指定されたネットワーク間のデータの受け渡しが許可されるわけではありません。そのため、承認プロセス全体と責任部署を考慮に入れます。

実用的な指摘事項には、前提条件、影響を受ける機能、再現手順、技術的な影響、業務プロセスにおける位置づけを記載します。原因をどこで修正すべきかについては、貴社のチームと協議します。合意した場合は、再検証によって具体的な修正内容を確認します。AIアプリケーションについては、モデルの応答のばらつき、データソース、連携するツールの権限もあわせて考慮します。