Products & Services

セキュリティプランニングサービス

複雑化するセキュリティ対策、
何から着手すべきか。

リスクアセスメントから対策の洗い出し、ロードマップ策定まで。専門家が貴社に最適な「セキュリティ実施計画」の立案を支援します。

年間100〜150システムのリスクアセスメント実績
ISO27000/NIST SP-800シリーズ準拠の評価フレームワーク
計画策定後の対策実装・運用支援までワンストップで対応

お問い合わせはこちらセキュリティプランニング
資料ダウンロード

こんなセキュリティ課題を抱えていませんか？

複雑化・高度化するサイバー攻撃に対して、効率的に対応する必要がある一方、多くのご担当者様が次のような悩みを抱えています。

都度の対策で、全体像が見えない
システム更新やインシデント対応のたびに対策を導入してきたが、全体として適切に機能しているか不安。
解決策
「人・組織」「技術」「物理」の3側面から現状を網羅的に評価し、対策の位置づけと有効性を可視化します。
費用対効果の高い対策を判断できない
有効な対策が複数ある中で、何を優先すべきか、費用対効果を見極めるのが難しい。
解決策
リスク低減効果とコストを明確に評価し、
客観的な投資判断を支援します。
高度化する攻撃に対応する専門性が不足
高度化するサイバー攻撃への対応には高い専門性が必要となり、自社の知見だけでの検討が難しい。
解決策
MSS（マネージドセキュリティサービス）提供者としての最新知見に基づき、実効性の高い対策をご提案します。
業界標準との比較で立ち位置が分からない
業界標準と比較して自社の対策が適切か、今後何をすべきか知りたい。
解決策
ISO27000やNIST SP-800シリーズ等の
国際的フレームワークに基づき客観的に評価します。

セキュリティプランニングサービスとは

情報セキュリティ対策で必要な「人・組織」「技術」「物理」の3領域にわたり、現状のセキュリティリスクアセスメント、必要な対策の洗い出し、およびロードマップ策定を実行し、お客様にフィットしたセキュリティ実施計画の策定を支援するサービスです。

STEP01
リスクアセスメント
- 既存資料のレビューと関係者へのヒアリング
- セキュリティリスクの洗い出しと評価（ISO27000, NIST SP-800準拠）
詳しく見る
STEP02
対策洗い出し
- 評価結果に基づく具体的な対策の洗い出し
- 費用対効果や優先順位の検討
詳しく見る
STEP03
ロードマップ策定
- 短期・中期・長期の時系列に
  沿ったスケジュール案を作成
- 効果的なセキュリティ投資を支援
詳しく見る

対策領域	対策項目
人・組織	セキュリティポリシー、セキュリティマネジメントシステム（PDCA）、監査、教育、インシデント対応体制（CSIRT）、事業継続管理　等
技術（運用・技術）	ネットワーク、サーバー、データベース、アプリケーション、エンドポイント（PC）、クラウドサービス、認証、無線LAN対策、ログ/アラート監視、脆弱性/パッチ管理、バックアップ/障害復旧、暗号化、アカウント/アクセス権、運用・管理状況、等
物理・環境	ゾーニング、入退室管理、カード/生体認証、盗難/紛失対策、耐震・空調・電力設備、等

まずはサービス資料で全体像を
確認する

お問い合わせはこちらセキュリティプランニング
資料ダウンロード

NTTセキュリティ・ジャパンが選ばれる理由

マネージドセキュリティサービス（MSS）提供者としての知見を活かし、幅広い業種・規模のお客様に高品質なコンサルティングをご提供しています。

圧倒的な実績と豊富な知見
グループ内外で毎年100〜150システムのリスクアセスメントを実施し、
ITシステムのセキュリティリスク管理に関する豊富な知見を有しています。
最新動向への対応力
マネージドセキュリティサービス（MSS）提供者として、
サイバー攻撃の手法・傾向・検知技術の最新動向を熟知し、コンサルティングに応用します。
幅広い業種での対応実績
金融、保険、官公庁、エネルギー、製造など、業種・業界を問わず
数多くのセキュリティプランニング支援実績があります。
計画から運用まで一貫支援
プランニングだけでなく、その後のソリューション導入や運用、
人材育成まで、ワンストップでサポートします。

本サービスの対象範囲

全社的に利用されているOA用途の情報システムをはじめ、組織・人・物理環境におけるセキュリティ対策（サイバー攻撃対策、内部不正防止、障害耐性など）を標準的な対象範囲としています。

全社的な情報セキュリティマネジメントの運用（セキュリティポリシー、社員教育、監査、インシデント対応、事業継続性、保守委託先管理等）
インターネット接続部分（ファイアウォール、プロキシ、IDS/IPS等）における対策
インターネット公開システム（Webサーバー）における対策
OA用途ネットワーク（WAN/LAN/無線LAN、VLAN/セグメンテーション、リモートアクセス等）における対策
OA用途サーバー（ファイルサーバー、メールサーバー、ディレクトリサーバー等）における対策
OA用途PCにおける対策
お客様本社オフィス（オフィス内マシンルーム含む）等での物理的セキュリティ対策（入退館管理、カメラ監視、災害対策等）

上記は標準的な対象範囲です。OA用途以外の情報システムや、複数のグループ企業・グローバル環境等を対象としたセキュリティプランニングでも効果を得られる場合がございます。詳しくはお問い合わせください。

3つのステップと進め方

リスクアセスメント

既存資料のレビューと関係者へのヒアリングを実施し、セキュリティリスクの有無および度合いを評価します。

インプット

技術資料（ネットワーク/システム構成図等）
組織体制図/業務分掌
情報セキュリティポリシーおよび関連規程

アウトプット

評価報告書（概要・詳細、弊社指定フォーマット）

ヒアリング対象者

情報セキュリティ管理責任者・マネジャー
情報システムセキュリティ責任者/担当者
情報管理責任者

ヒアリング項目の内訳

組織的・人的セキュリティ対策：約50問
技術的セキュリティ対策：約100問
物理環境セキュリティ対策：約20問

評価は、ISO27000シリーズ・NIST SP-800シリーズ等をフレームワークとした弊社独自のリスク評価ツールを使用します。人・組織領域は「成熟度」、技術・物理領域は「対策強度」により評価します。

レベル	技術・物理（対策強度）	人・組織（成熟度）
5	最高レベルの対策：現実的に実施可能な最高水準	継続的改善：手続きが標準化・文書化され、継続的な改善が行われている
4	模範的な対策：高度・計画的な攻撃にも相当程度対応可能	事後検証可能：逸脱を管理し、是正措置を講じている
3	標準的な対策：既知の攻撃・不正への防御を一定程度備える	プロセス定義：手続きが標準化・周知されている
2	最低限の対策：条件が整えば深刻な事象が起こりうる水準	属人的：標準的手続きがなく個人依存度が高い
1	強度に問題あり：対策がほぼ機能していない水準	場当たり的：都度異なる方法で実施される傾向
0	未対応：対策が実施されていない

02
対策洗い出し
アセスメント結果を踏まえ、実施が必要なセキュリティ対策をリスク低減効果とともに洗い出し、お客様と協議のうえ決定します。
検討の進め方
- 対策効果（リスク低減度合い）に基づき対策の方向性を立案
- 実現性、未実施のリスク、緊急性、費用規模感、優先度を考慮
プロセス
- 弊社でドラフトした対策一覧表をお客様と合同でレビュー
- レビューで得たコメント・合意内容を反映し最終化してご提出
03
ロードマップ策定
洗い出した対策の実装・実施に向け、アクション項目を検討し、ロードマップへ落とし込みます。
- 短期施策：3〜6ヶ月
  サイバー攻撃対策など、外部からの脅威に関連したリスク低減を最優先で実施。
- 中期施策：6〜12ヶ月
  内部不正対策など、社員教育や業務改善を伴う施策として中期的に計画。
- 長期施策：1年〜
  グループガバナンス確立など、組織間調整を伴う長期的な取り組み。
最大3年程度の時系列に沿ったスケジュール案を策定し、お客様との検討（目安2回程度）を経て最終化します。対策間の相関・依存関係もあわせて検討します。
1. STEP.01リスクアセス
  メント
  資料等準備/資料レビュー/ヒアリング/分析・調査結果まとめ
2. STEP.02対策洗い出し
  対策一覧ドラフト/レビュー・最終化
3. STEP.03ロードマップ
  策定
  ロードマップドラフト/レビュー・最終化
上記はマスタースケジュールのイメージです。プロジェクトキックオフ以後の作業を総括した最終報告書の作成と、最終報告会の実施をもってプロジェクトクローズとなります。

サービス実施後のご支援について

弊社によるご支援は「報告書を出して終わり」ではありません。策定した計画に基づき、投資対効果の高い対策の実装・運用まで、シームレスにご支援します。

戦略的プランニング支援
アセスメント結果に基づき、対策をお客様の環境にどう実装していくかをプランニングします。
- 特定システムのリスク評価
- グループ会社リスク評価
- セキュリティベースライン策定
- 実装計画の立案
実行支援
前フェーズで立案した戦略に基づき、技術ソリューションや運用サービスの導入を支援します。
- ソリューション実装
- 運用サービス提供（監視等）
- グループガバナンス支援
- 人材育成支援（研修サービス等）