セキュリティ評価サービスとは？種類（外部スキャンの評価型・脅威情報の監視型）の違いと、価格・チェックシートとの違い

セキュリティ評価サービスとは

取引先や委託先、グループ会社のセキュリティの状態を、外から集めた情報で評価するサービスです。相手に質問票を配らなくても、公開されたインフラや脅威の情報から状況をつかめます。

比較ページには、自社で開発・提供する会社のうち、日本語の公式ページで製品と日本法人を確かめた製品を載せています。

2つの種類

• 外部スキャンの評価型は、企業ごとに段階の評価を付けます。例はSecurityScorecardのTITAN AIで、A〜Fのレーティングです。TwoFiveのMXSCORE/25は、メールシステムに絞ってA〜Fの5段階で評価します。
• 脅威情報の監視型は、脅威の情報を見張って兆しを知らせます。例はRecorded Future サードパーティリスクで、恐喝サイトやダークウェブを見張ります。Cyberintはリアルタイムのスコアで示し、サイファーマのDeCYFIRは重要なサプライヤーの露出を知らせます。

チェックシートとの違い

• チェックシートは、取引先に答えてもらって社内の体制を確かめます。
• 評価サービスは、外から集めた情報で評価します。
• NRIセキュアのSecure SketCHは、アンケートと自動診断を組み合わせています。

見るデータと更新

• TITAN AIは、4.1億のIPアドレスとドメインを常時スキャンし、レーティングをリアルタイムで継続して更新します。
• Recorded Future サードパーティリスクは、認証情報の漏えいなどの情報を発生と同時に検知します。
• MXSCORE/25は、メールのサーバーとDNSレコードを約70項目以上調べます。

取引先の取引先

• TITAN AIのTITAN Watchには、第三者と第四者の自動の識別が入っています。
• Recorded Future サードパーティリスクは、重要なフォースパーティへの攻撃が自社に及んだ場合の状況を追跡できます。
• Cyberint、DeCYFIR、MXSCORE/25は、公式ページに取引先の取引先の見方を書いていません。

評価が低いときの動き方

• まず評価の根拠を読み、低い理由を確かめます。
• TITAN AIは、スコアカードから修復ロードマップを作れます。
• Recorded Future サードパーティリスクは、優先順位を付けた是正計画を今のベンダー管理の流れに渡せます。
• Cyberintは推奨事項、DeCYFIRは是正措置の推奨、MXSCORE/25は推奨する対策を示します。

価格

• 公式に出ている値段は、SecurityScorecardの自社ドメインのスコアカードが無料というものだけです。
• 取引先を見るプランの金額は、どの製品も公式ページに載っていません。問い合わせて見積もりを取ります。

注意する点

• 見えるのは外から集めた情報です。社内の体制や運用は質問票などで別に確かめます。
• 評価の出し方は製品で違います。違う製品の結果をそのまま比べません。