サイバーステップとNAXA、侵入経路診断を11月開始

サイバーステップホールディングスは2026年10月29日、傘下のサイバーステップ株式会社とNAXA株式会社が、企業向けセキュリティ診断サービスを共同提供すると発表した。提供開始日は11月1日。対象はSaaS、クラウド、業務システムなどで、攻撃者の立場から重要情報や管理機能への侵入経路を調べる。両社は同持株会社の100％子会社で、システム開発やゲーム運営の経験を活用すると説明している。

単独の脆弱性ではなく「侵入経路」を検証

個々の脆弱性を列挙するだけでなく、複数の弱点が組み合わさった場合の影響を確認することが特徴だ。WebサービスやAPI、認証・権限管理、クラウド設定などを対象に、外部からアクセスできる接点を整理。一般利用者の権限で管理機能を利用できないか、顧客情報に到達できる経路がないかといったシナリオを検証する。顧客の許諾を得た範囲で実施するもので、無断の侵入試験ではない。

診断前には対象システム、実施時間帯、停止条件、緊急時の連絡方法などを合意する。発見した問題については、重要な情報や機能への到達可能性と事業への影響を踏まえ、対策の優先順位を報告する方針だ。設定変更や権限の見直しを含む是正計画の策定、対策の実行支援、修正後の再評価も提供範囲に含める。複数のSaaSを連携する企業や機密情報を扱う事業者、外部委託先との接続が多い組織などを主な顧客として想定している。

PHP関連の重大脆弱性にも対応方針

同社発表では、2026年10月に公表されたPHP関連の重大な脆弱性についても、侵入経路の検証と対策の優先順位付けに対応するとしている。ただし、今回のサービス発表自体は新たな被害発生を示すものではない。また、すべてのPHP利用環境に同じ問題があると断定できるものでもない。実際の影響は、利用中の製品・バージョンと正式なセキュリティ情報を照らして個別に判断する必要がある。

国内の脅威動向とサービスの位置づけ

情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、ランサム攻撃による被害が1位、サプライチェーンや委託先を狙った攻撃が2位、システムの脆弱性を悪用した攻撃が4位となった。複数のクラウドや業務サービスを連携させる環境では、個々の設定だけでなく、システム全体を通じて意図しないアクセス経路が生まれないかを確認する視点も重要になる。

一方、攻撃者視点の診断を導入しただけで安全性が保証されるわけではない。同社も、すべての脆弱性の発見やサイバー攻撃による被害の防止を保証しないと明記している。診断結果を継続的な更新、権限の最小化、監視、バックアップ、委託先管理などにどう結び付けるかが運用上の焦点だ。料金や具体的な提供形態の詳細は、10月29日時点で別途案内するとされており、利用条件の確認が必要になる。

今回の発表は、オンラインゲーム開発・運営に携わってきた企業グループが、企業システムのセキュリティ評価へ事業領域を広げる動きでもある。11月1日の提供開始後、診断範囲や報告書の実用性、是正支援の内容がどの程度明確になるかが注目点となる。親会社は連結業績への影響を軽微と見込んでおり、導入社数や実際の診断成果といった実績は、今回の発表からは確認できない。