中小企業のセキュリティ診断と対策

個人情報の流出は、規模の小さな会社でも起きています。「自社のシステムは個人情報を抜かれないか」という問いに、当社は3行で答えを出します。御社の個人情報がどこにいくつあるか。そこへ外から届く入口が何か所あり、いま塞ぐべきは何か所か。誰かが届こうとした形跡があるか。外からだけの診断でお答えできるのは、このうち2つ目です。3つすべてには、外と中を合わせた診断でお答えします。

進め方は、相談・診断・対策と実装・レポート・備えの5段です。相談は、何から聞けばいいか分からなくても大丈夫です。調べて終わりではなく、WAF(サイトの手前で不正な要求を止める仕組み)の構築や、Pマークの監査に出すレポートづくりのように、守る仕組みと備えまで当社がお受けします。対象は、顧客の情報を預かるサイトや業務システムがあり、専任の担当者がいない中小企業です。

なんでも聞いてみる　▶

こちらから気軽に質問してください。「Pマークの更新で、審査に何を見せればいいのか」など、質問一つからで大丈夫です。ご相談では、サイトや業務システムの構成と困りごとを伺い、何をどこまで調べるかと、お見積りをお出しします。

当社が運用しているサイトにも、ログイン画面を探る外からのアクセスが毎日届いています。その記録を全行読むために、当社は調べる作業にAIを使います。塞ぐ所と順番を決めるのは人です。

相談質問一つから伺い、調べる範囲をご提案します

「質問票のこの欄は、何を書けばいいのか」「ニュースで見た攻撃は、自社にも関係があるのか」。こうした質問一つからで大丈夫です。サイトや業務システムの構成と、いま困っていることを伺い、何をどこまで調べるか、どの段から始めるとよいかをご提案して、お見積りをお出しします。

相談の段では、サーバの中は見ず、アクセス権限(ID・パスワード)や個人情報もお預かりしません。頼むかどうかは、ご提案とお見積りをご覧になってから決めてください。

診断外からの調査と中のアクセスログで、抜け穴を総合的に探します

外から: 攻撃する側と同じ立場で、約30項目を調べます

書面で決めた範囲のサイト・ログイン画面・管理画面を、攻撃する側が最初に行う下調べと同じ立場で、外から約30項目調べます。外からの調査に、アクセス権限は要りません。調べる作業はAIが受け持つので、約30項目を毎回最後まで同じ基準で当て、何を・いつ・どの基準で調べたかが記録に残ります。基準を決めるのと、結果を判断するのは人です。攻撃そのものは行わず、攻撃する側が見つける弱点(脆弱性)が外から見えるかどうかを調べます。

中から: アクセスログを全行集計し、3つの抜け穴を探します

人が目で追えるのは記録の一部ですが、AIは期間内の全行を読み、件数・送信元・経路ごとに集計します。そのうえで、次の3つを見ます。

攻撃のブロック状況

不正な要求が、WAFなどサイトの手前の仕組みで止まっているか。止まらずにサーバまで届いた要求は、何件あるか

ネットワーク

手前の仕組みを通らずにサーバへ直に届く裏口や、サーバの住所(IP)を直に指す入口が残っていないか

設計上の抜け穴

誰がどこまで触れるか(権限)と、個人情報やバックアップの置き場が、決めた形のとおりになっているか

ネットワーク・インフラの設計: クラウドに限らず、設計そのものを診断します

誰が何を触れるか(権限)、操作の記録の残し方、WAFなど手前の仕組みの置き方、個人情報とバックアップの置き場、使っていないサーバやアクセス権限が残っていないか。クラウドでもサーバを借りている形でも、ネットワークとインフラの設計を決めた形と照らして診断し、直す順を対策案に入れます。

外と中を重ねて、塞ぐ順を決めます

外から見つけた入口に、中の記録で実際に何件届いていたかを重ねると、どこから塞ぐかが決まります。

当社の顧客で調査をしたところ、ログイン画面へ届く裏口が残っていると分かりました。同じ日のアクセスログを全行集計すると、その裏口に、115の送信元から約290回のログインの試みが届いていました。その晩に、サーバの住所(IP)を直に指して届く裏口を塞ぎ、ログイン名の露出も止めました。

診断の結果は、報告書の冒頭3行でお答えします(次の「レポート」)。外からだけの診断にするか、外と中を合わせた総合診断にするかは、相談の時に御社と決めます。費用は、範囲を伺ってお見積りします。

対策と実装塞ぐ所と順番を決め、WAFの構築まで当社が行えます

報告書では、見つかった穴を危ない順に並べ、「急いで止める所」と「早めに手当てする所」に分けます。穴ごとに、放っておくと何が起きるかと、直し方を書きます。

塞ぐのは、いまの保守会社でも当社でも

御社のいまの保守会社にそのまま渡せる作業依頼の書面を添えます。変える内容と戻し方を書いた書面です。当社に任せる場合は、次の形で塞ぎます。

• 塞ぐ前に、変える内容と戻し方を書面でお見せし、御社の承認の後に行います
• 手順書のある対処(設定の変更・使っていない名前の整理など)は、1件ごとの決まった額でお受けします。作りを変える改修は、個別にお見積りします
• 作業用のアクセス権限は作業の間だけお預かりし、終わったら消して、消した記録をお渡しします
• 塞いだ後に、外からもう一度確かめます。1回分は作業のお代に含みます

別のお客さまの会員サイトを調査したところ、ログイン名が外から読める状態と、そのログイン名を使ったパスワード再設定の申し込み(13分の間に12回)が見つかりました。先方がお気づきになる前に見つけ、被害はありませんでした。塞いだのはファイル1つを置く作業で、同じ日に終えました。戻す時は、そのファイルを消すだけです。

WAFの構築: 不正な要求を、サイトの手前で止める仕組みを置きます

WAF(ウェブアプリケーションファイアウォール)は、サイトに届く要求を検め、不正なものをサーバに届く前に止める仕組みです。当社の形は、サイトの手前に配信の仕組み(CloudFront)とWAFを置き、すべての要求をそこで検めてからサーバへ通す形です。管理画面は、登録した送信元からの要求だけを通します。止めた要求はすべて記録に残り、次の「レポート」の材料になります。

• 止める決まりを強める時は、先に4週間ほど記録だけを取り、普段のお客様の注文や問い合わせを止めないことを確かめてから切り替えます
• 切り替えは1サイトずつ行います。数分で元に戻せる手順を用意してから切り替えます

構築の実例: 当社の顧客から、サイトの手前で不正な要求を止めたいとご依頼をいただきました。複数のサイトの手前にWAFを置き、1サイトずつ切り替えました。管理画面は、登録した送信元だけを通す形に移しました。ある1か月では、74,538件の不正な要求をサイトの手前で止めました。

レポート取引先の質問票とPマークの監査に出せるレポートをお渡しします

診断の報告書は、冒頭の3行で「自社の個人情報は抜かれないか」に答えます。

塞いだ後には、取引先の質問票やPマークの監査に出せる1枚をお渡しします。何を・いつ・どの基準で調べ、どこを塞いだかを、根拠の記録とあわせて1枚にまとめたものです。取引先から質問票が届いている時は、どの欄に何が書けるかも、この1枚をもとに一緒に確かめます。回答するのは御社です。

Pマーク対応のレポート: アクセスログから、毎月の監査レポートを自動で作ります

当社はPマークの審査機関ではありません。取得・更新の可否は審査機関が判断します。当社は、監査で求められる記録づくりをお手伝いします。

備え守り続けるために、毎月の見張りまで整えます

一度塞いでも、新しい攻撃の型や、サイトの更新で穴はまた開きます。当社は、守る仕組みを続けて回すところまでお受けします。

毎月の見張り: 止めた記録を毎月読み、変化をお知らせします

WAFを手前に置いた当社の形のサイトでは、毎月1日に前月分のレポートが自動でできあがり、当社が読みます。止めた件数が急に増えた月は、記録をたどって中身を確かめます。2026年8月分では止めた件数が前月の約2.5倍に増えたため、当社が記録をたどり、海外の1つの送信元から会員フォームへの集中した探りを、すべて止めていたことを確かめました。

当社が行わないこと: 昼夜を通した張り付きの監視、駆け付け、パソコン1台ごとの監視、侵入された後の原因調査。診断と見張りは、書面で決めた範囲の中だけで行います。

中小企業のセキュリティ診断は、大阪でどこに頼める?

大阪市都島区の株式会社クロスウイングが、中小企業のセキュリティ診断と対策をお受けしています。ご相談は、オンラインでも承ります。診断は、外からの調査と中のアクセスログを合わせて総合的に行い、塞ぐ作業やWAFの構築までお受けします。

大阪の中小企業は、セキュリティ対策を何から始めればいい?

ご相談で、ホームページや業務システムの構成と困りごとを伺い、何から手を付けるかを一緒に決めます。大阪市都島区の当社が、診断から塞ぐ作業、WAFの構築、監査に出すレポートまで、セキュリティ対策を続けてお受けします。

取引先からセキュリティの質問票が届いた。何から始めればいい?

まず相談で、質問票の中身と御社の構成を伺い、どの欄に答えるために何を調べるかをご提案します。診断と対策の後にお渡しする1枚をもとに、質問票のどの欄に何が書けるかを一緒に確かめます。回答するのは御社です。

「自社のシステムは個人情報を抜かれないか」を、どう確かめればいい?

3つの問いに分けて確かめます。外から届く入口の数と、いま塞ぐべき数は、外からの調査で答えます。個人情報の置き場と、誰かが届こうとした形跡は、中の設定とアクセスログを読んで答えます。外と中を重ねると、どこから塞ぐかが決まります。

セキュリティ診断と対策について、よくあるご質問

聞くだけでも大丈夫ですか。

はい。構成と困りごとを伺って、何をどこまで調べるかをご提案するまでが相談で、そこで終わっても構いません。サーバの中は見ず、アクセス権限(ID・パスワード)や個人情報もお預かりしません。

アクセス権限を預けずに、何が分かりますか。

外からの約30項目で、外から届く入口の数と、いま塞ぐべき数が分かります。個人情報の置き場と、誰かが届こうとした形跡は、中の設定とアクセスログを読まないと言えません。中を読む時は、読み取り専用のアクセス権限を診断の期間だけお預かりし、終わったら消して、消した記録をお渡しします。

相談の後に、必ず頼まないといけませんか。

いいえ。ご提案とお見積りをご覧いただき、ご判断ください。診断を頼まれた後も、報告書と作業依頼の書面を、いまの保守会社にそのまま渡して塞いでいただけます。

取引先の質問票に使えますか。

使えます。診断と対策の後にお渡しする1枚に、何を・いつ・どの基準で調べ、どこを塞いだかを、根拠の記録とあわせてまとめます。質問票のどの欄に何が書けるかを、この1枚をもとに一緒に確かめます。回答するのは御社です。