本連載では、筆者が「気になるIT（技術、製品、サービス）」を取り上げ、その概要とともに気になるポイントを挙げてみたい。今回は、NECが提供する「サイバー攻撃ルート診断サービス」を取り上げる。
NECが提供開始した「サイバー攻撃ルート診断サービス」とは
NECは先頃、システムのセキュリティリスクとその対策効果を可視化する「サイバー攻撃ルート診断サービス」を提供開始すると発表した。
新サービスは、現状のシステムのリスク分析を実施し、セキュリティリスクの全体像と危険度が高く対応を優先すべきリスクを明らかにするとともに、セキュリティ対策を実施した際の危険度の変化を可視化。これにより、優先順位に基づいた効率的なセキュリティ対策の実施を支援するものである。（図1）
図1：サイバー攻撃ルート診断サービスの概要（出典：NEC）
※クリックすると拡大画像が見られます
昨今では、新型コロナウイルスの感染拡大に対応するため、テレワークの導入やクラウドサービスの利用が急速に進んでいる。一方で、サイバー攻撃による被害が深刻化しており、情報漏えいをはじめとしたセキュリティリスクへの対応が事業継続のための経営課題となっている。
セキュリティリスクへの対応を素早く正確に、かつ効率的に行うためには、システムに内在するリスクとその危険度を理解し、対策の効果や妥当性を判断できることが求められる。
新サービスは、NECが開発した「サイバー攻撃リスク自動診断技術」を活用し、従来の製品、サービスでは難しかった、システム上に存在する実際に攻撃可能なルートを網羅的に検出するとともに、それぞれの危険度を可視化し、リスクの高いルートを明らかにする。なお、サイバー攻撃リスク自動診断技術とは、シミュレーションによりシステムのサイバー攻撃リスクを自動診断する技術のことである。
分析結果については、これもNECが開発した「分析シート作成自動化技術」により列記された全攻撃ルートをセキュリティ専門技術者が分析し、顧客が理解しやすい形の報告書に整理して提示する。なお、分析シート作成自動化技術とは、制御システムのセキュリティに関するリスクアセスメントと分析シート作成を自動化する技術のことである。
NECはこれらの技術について2019年から先行して複数の顧客と検証を進めており、リスク分析や対策効果可視化の有用性を確認しているという。
