サイバーセキュリティ エンジニアリング

「セキュア」とは一体どういう意味なのか？セキュリティは常にコンテキストに依存しています。例えば、パスワードに機密性は必要不可欠ですが、公開メッセージには関係ありません。そこで、可能性のある攻撃経路を特定し関連リスクを評価するリスク分析が必要となります。当社のセキュリティ専門家がお客様のチームとタッグを組み、サイバーセキュリティコンセプト策定時の指針となる、脆弱性に優先順位を付けたリスクアセスメントの策定を行います。

ITKの業務概要：

• 脅威シナリオの特定
• 攻撃ツリーのモデリング
• 再利用可能な成果物の納品
• UNECE r155、ISO/SAE 21434、EUサイバーレジリエンス法（CRA）、IEC 62443などの規格準拠確保

どのようなセキュリティメカニズムが必要なのか？これに答えるべく、定義されたセキュリティ目標を満たすセキュリティアーキテクチャのコンセプトを策定し、実装要件の概要をまとめます。共同でコンセプトを確定した後、適切な要件仕様策定に進むことができ、さらに実装要件の仕様策定を行います。

ITKにお任せください：

• セキュアブート、OTAセキュアアップデート、セキュア診断などの統合コンセプトをはじめとするセキュリティメカニズムの仕様策定
• セキュアな車載通信などセキュアな暗号プロトコルの実用化
• ポスト量子暗号（PQC）および暗号アジリティに関するコンサルティング
• セキュリティメカニズムの費用対効果評価

防御の抜けや攻撃を受ける危険性を見落としていないか？といったソフトウェアの信頼性を確認するテストが必要です。 セキュアシステムのテストも同様に必要です。ITKでは最先端の手法とツールを駆使し、攻撃者が悪用する可能性のある脆弱性が潜んでいないかシステムをテストし、検出された脆弱性の修正案の検討を行います。

ITKの業務概要：

• 組込みデバイスのペネトレーションテスト
• Webサービスバックエンドのペネトレーションテスト
• モバイルアプリのペネトレーションテスト
• ITネットワークのペネトレーションテスト（OSCP / OSEP認定）

お客様の製品の安全度は？企業が製品開発に着手するにあたり、セキュリティは重要ですが、セキュリティをどう設計し、構築するかという重要な課題には未対応の場合が多々あります。情報を得た上で決断し無駄な投資を避けるには、「適切なセキュリティレベルの実現にはどの程度投資すべきか？どういったステップを踏むべきか？ 」といったチェックアップの実施が非常に有効です。

ITKの業務概要：

• ご希望に応じ、パッケージプライス形式で実施（ワークショップなど）
• ギャップ分析、プロセス、製品、開発の実装成果物などを熟知した専門家を選び、お客様の設計の選択肢を拡大
• 企業を対象としたDIN SPEC 27076に準拠した「CyberRiskCheck」の実施

社員の能力向上、サイバーセキュリティに対する考え方を周知するためにぜひITKのトレーニングをご活用ください：

• サイバーセキュリティ担当エンジニアを対象とした基礎トレーニング

増加する一方のサイバーセキュリティ規格や法規への対応を要求される取引先があります。準拠を確実に行うには、サイバーセキュリティを製品に統合し、製品寿命を通してモニタリングし、組織に根付かせる必要があります。しかし、新たな規制や規格がどう影響するかは不透明な状況です。この取引先はサーバーセキュリティについてあまり詳しくなく経験もほとんどないかもしれません。セキュリティが担う責任、認証機関の要件、リードタイム、工数、コストについてきちんと理解している企業は多くありません。いずれにせよ、情報に基づく意思決定を行うためのサイバーセキュリティ戦略を立て、堅牢なセキュリティ体制を構築する必要があります。

ITKの業務概要：

• UNECE r155、EUサイバーレジリアンス法（CRA）、EU無線機器指令（RED）などの規制準拠確保
• 企業全体にサイバーセキュリティ対策を適用させる組織全体戦略の策定
• マイルストン計画、複雑度/コスト評価、認証機関とのやり取りをはじめとする認証プロセスのサポート、計画、実行

関心事の1つとして製品へのセキュリティの組込みが挙げられますが、各企業にはさらにサイバーセキュリティに関するプロセスと手法を採用し、再利用可能な成果物を作成することが求められます。取引先企業のエコシステムにおいてサイバーエンジニアリング技術関連業務で積み上げてきたITKの豊富な経験実績をご活用ください。新たなセキュリテプロセスや手法の導入サポートを実施しておりますので、ぜひ当社までお問い合わせください。要件、技術面の制約、レガシープロセスなどをセキュリティ評価手法で考慮しますので、ご安心ください。

ITKにお任せください：

• ISO/SAE 21434やEC 62443要件に基づくプロセスなどに関するアドバイス
• リスク分析手法を最大限活用
• セキュリティテストプロセスおよび手法の導入
• お客様の脆弱性管理支援
• サプライヤ管理のサポート

実際のところ、どうすれば「安全に」セキュリティメカニズムを導入できるのか？コンセプトや仕様の安全性が確保されていたとしても、ソフトウェアの脆弱性によりシステム全体の保護状態は簡単に危険にさらされてしまいます。そのため、開発者にとってあらゆるソフトウェアの脆弱性 を排除することが非常に重要となります。ハッカーから適切に保護するには、セキュリティメカニズムを実装するコンポーネントとその他ソフトウェア全てが対象となります。ITKは、セキュアコーディング手法および半自動コード解析により、コードの 適合性を担保しています。

ITKにお任せください：

• セキュリティモジュールのターンキー開発（クリティカルコード/暗号化関数のカプセル化など）
• ハードウェアセキュリティモジュール（HSM）の開発および統合
• ソースコードレビュー