情報・通信業 <4398> 株式会社ブロードバンドセキュリティ 事業の内容

３【事業の内容】

当社は、企業における情報漏えいの予防や防止、セキュリティ機器の24時間365日体制での遠隔監視、未知のマルウエア（※１）検知によるネットワーク遮断等により、情報漏えいリスクから企業を守ることを目的としたセキュリティサービスを主要な事業としております。

サービス区分としては、「セキュリティ監査・コンサルティングサービス」、「脆弱性診断サービス」、「情報漏えいIT対策サービス」の３つに分類されます。

また営業形態としては、当社営業担当による直販及び代理店（パートナー）経由の二つの形態に分かれ、顧客は大企業を中心とした民間企業や官公庁等になります。

なお、情報漏えいIT対策サービスのうちセキュリティ機器マネージドサービスにおいては、顧客に対してセキュリティ機器を販売しており、当該機器をメーカから仕入れております。またセキュアメールサービスやマルウエア検知サービスにおいては、海外のセキュリティソフト会社からライセンスの提供を受けております。脆弱性診断サービスでは、スマートフォン向け脆弱性診断等の一部を外注することがあります。

（1）セキュリティ監査・コンサルティングサービス

① セキュリティ監査

当社はクレジットカード業界におけるグローバルセキュリティ基準であるPCI DSS（※２）の監査資格（QSA：Qualified Security Assessor）を法人として保有しており、クレジットカードデータを取り扱っている企業に対して、セキュリティ監査を実施しています。

また、企業がPCI DSS準拠監査を通過するために、実際の姿とあるべき姿に違いがある場合には、それが何であり（GAP分析）、どう対処するべきかといったコンサルティングサービスを提供しています。

② コンサルティングサービス

現状の情報セキュリティの分析から対策すべきポイントの抽出、社内体制や情報システムの改善施策とその実現まで、お客様のなすべき目標を明確にかかげ、企業の情報セキュリティ強化に向けた体制作りを、社内ルールおよび情報システム両方の視点から支援するコンサルティングサービスを提供しています。

また、オンラインビジネス成功に向けた調査分析サービスも行います。

（2）脆弱性診断サービス

企業のWebサイト（いわゆるホームページやEC（電子商取引）サイトなどインターネット上に公開されているすべてのWebページ）に対し、当社のエンジニアが、外部からの侵入や、内容の書き換えが可能かどうか、擬似攻撃をかける事で、Webサイトの安全性を診断するサービスを提供しています。

この診断サービスは、健康診断と同じように幾つかのサービスメニューを用意し、複合的なアプローチによりWebサイトを診断した上で、脆弱性の抽出とその解決策を提案しています。

企業にとって、その脆弱性を排除することは運営上、欠かせないことです。本サービスを利用することで、悪意ある攻撃を受ける前に、自社を防御する上での問題点を特定することが可能です。

（3）情報漏えいIT対策サービス

当社のサーバ群や独自に開発したソフトウエアなどを使用し、企業の情報漏えい対策（予防、監視、発見、遮断等）のためのサービスを提供しています。具体的には、以下の６つのサービスとなります。

① セキュリティ機器マネージドサービス

24時間365日体制でお客様の代わりに様々なセキュリティ機器を運用・監視するサービスであり、それらを総称して「マネージドサービス」と呼んでいます。その中心になるのがSOC（Security Operation Center）であり、SOCは地震やその他災害が発生した場合においても業務を継続できるインターネットデータセンターの中に設置されています。

② セキュアメールサービス

企業が安全かつ安心してメールをご利用いただけるように設計された様々な機能を搭載したクラウド型のサービスです。例えば、添付資料の自動暗号化、不正なメールを防止するフィルターの設置、悪性添付ファイルの自動停止など、企業ユースに特化したサービスを提供しております。クラウド型のため、利用者は大きな初期投資なくメールシステムを利用する事ができます。

③ マルウエア検知サービス、EDR-MSS（※３）

クラウド型のウイルス検知サービスです。マルウエアと呼ばれる悪性ウイルスのうち、未知のウイルスに対しては一般的なアンチウイルスソフトでは予防することができません。そのため当社では、未知のウイルスへの感染の可能性のあるファイルを一度仮想領域に展開し、コード自体を読みこんでウイルスに感染しているかどうかを判定するクラウド型のウイルス検知サービスを提供しています。このタイプの対策は、判定の専門性などの面で一般事業会社での内製化は困難であり、専門家でないと判定できない場合が多々あります。ここにクラウド型でのサービス提供のメリットがあり、当社のサービスは分析・報告までがセットになっている点が大きな特徴です。

④ 標的型メール攻撃訓練サービス（開封率調査）

顧客企業が「標的型メール攻撃（※４）」にどの程度耐性を持つのかを調査するサービスであります。具体的には当社が攻撃者になりすまし、悪性ウイルスを添付した偽のメールを送り、その会社で何人（何％）の社員が開封してしまうかを調べるサービスです。

⑤ SIEM（※５）構築及び運用支援サービス

ウイルスに感染した際、外部に送信される前にその動きを検知して漏えいを防ぐためのサービスです。これはファイアウォール（※６）やIPS（※７）などのネットワーク機器や、ソフトウエアやアプリケーションが出力するイベントログを一元的に保管して管理し、相関分析することにより、リアルタイムで不審なトラフィックを検知、感染端末を特定し、漏えいする前に遮断するというセキュリティポリシー監視とコンプライアンス支援を行うサービスです。

⑥ デジタルフォレンジック（※８）サービス（緊急駆けつけサービス）

万一企業が情報漏えいを起こしてしまった場合に、速やかにネットワークから該当端末やサーバを切り離して、それ以上情報が漏えいしないようにし、感染経路の特定（原因調査）および漏えいした情報の特定、影響範囲の特定等、企業が行うべき様々な漏えい対応に関するサポートを行うサービスです。なお、当社は、カード情報漏えい事故を取り扱う調査機関であるPFI（PCI Forensic Investigator）としての認定を受け、サービスを提供しております。

※１　不正かつ有害な動作を行う意図で作成された悪意のあるソフトウエアや悪質なコードの総称。悪意あるソフトウエアをマルウエア（malware＝malicious「悪意がある」とsoftware「ソフトウエア」を組み合わせた造語）と呼び、ウイルスもマルウエアに含まれる。

※２　Payment Card Industry Data Security Standardの略で、国際カードブランド５社（American Express、Discover、JCB、Master Card、VISA）が共同で設立したPCI SSC（PCI Security Standards Council）により運用・管理されているカード情報セキュリティの国際統一基準の名称。

※３　Endpoint Detection and Response Managed Security Serviceの略で、従来型アンチウイルス製品では検知が困難なファイルレス攻撃等に対応する、次世代型エンドポイントセキュリティ製品の24時間365日体制による運用監視サービス。

※４　特定のターゲットに絞ってメールなどでサイバー攻撃を仕掛ける「標的型攻撃」。その多くがメールを利用して行われるため「標的型メール攻撃」と呼ばれる。

※５　Security Information and Event Managementの略で、ファイアウォールやIPSなどのセキュリティ機器、ソフトウエアやアプリケーションが出力するイベント情報を一元的に保管して管理し、脅威となる事象を把握するテクノロジー。

※６　社内ネットワークとインターネットの境界に設置され、内外の通信を中継・監視し、外部の攻撃から内部を保護するためのソフトウエアや機器、システムなどのこと。

※７　Intrusion Prevention Systemの略で、サーバやネットワークの外部との通信を監視し、侵入の試みなど不正なアクセスを検知して攻撃を未然に防ぐシステムのこと。

※８　情報漏えいや不正アクセスなど、コンピュータが関わる犯罪が起きた際に、コンピュータ本体に記録された電子データを収集・分析して、証拠とするための技術のこと。