第二部
国内におけるSBOM(ソフトウェア部品表)
に関する実態調査結果について

2023年4月25日
タニウム合同会社

本調査実施の背景

タニウムの企業概要
Tanium Inc.

タニウム合同会社

設立：2007年 (2012年製品提供開始)
代表：Dan Streetman (CEO)
従業員数：2,200+名
本社：ワシントン州 カークランド
評価額：90億ドル

70 %

設立：2015年
代表：古市 力 (アジア太平洋日本地域
プレジデント 兼 日本法人代表執行役社長)
従業員数：約100名
本社：東京都千代田区
営業拠点：東京、大阪、名古屋

8

Fortune 100 企業 米国トップ 10 金融機関
における採用率
における採用数

753,000 万世界トップ 10 流通業
における採用数

米国軍組織
における採用数

グローバルで管理している
エンドポイント数

国内のお客さま（公開可能企業のみ。五十音順）
•
•
•
•
•
•

伊藤忠テクノソリューションズ株式会社
株式会社エイチ・アイ・エス
株式会社 荏原製作所
株式会社エヌ・ティ・ティ・データ
九州旅客鉄道株式会社
京セラ株式会社

•
•
•
•
•
•

• 全日本空輸株式会社• 株式会社ダイセル• 東急不動産ホールディングス株式会社• 東芝デジタルソリューションズ 株式会社• 西日本電信電話株式会社• 日本電気株式会社

鴻池運輸株式会社
株式会社 資生堂
セガサミーホールディングス株式会社
積水化学工業株式会社
積水ハウス株式会社株式会社 セゾン情報システムズ3• 福井県• 古野電気株式会社• 株式会社ベネッセホールディングス• 株式会社みずほフィナンシャルグループ• ローム株式会社© 20212023 Tanium. All rights reserved.

タニウム国内ビジネスアップデート（2022年2月〜2023年1月）

50+%

国内売上成長率
＊

99+%

更新率

7倍
＊エマージング

エンタープライズ領域
昨対成長率

エマージングエンタープライズ：従業員1,000〜10,000名までの企業群を意味する
4© 20212023 Tanium. All rights reserved.

お客様の DX 施策を強力に保護する XEM
DX の浸透に伴って拡大するアタックサーフェス

日々拡張するサプライチェーンネットワーク

多様化するエンドポイント

コンバージド・エンドポイント管理（XEM）- あらゆる変化に適応可能なワンストップ型エンドポイント管理ソリューション セキュリティ

IT 運用管理• IT 資産管理• 性能監視• 脆弱性管理• リスク分析• アプリ配信• パッチ管理• シャドー IT 管理• EDR• データ可視化• モバイル管理• 脅威ハンティング

5© 20212023 Tanium. All rights reserved.

いま何故SBOM（ソフトウェア部品表）が注目されるのか？
SBOM: Software Bill of Materials• BOM (Bill of Materials)とは、モノづくりの現場で古くから使われてきた「部品表」のこと：— 完成品を構成する各種部品を階層化・一覧化したリスト— 設計部門・生産部門・購買部門などにまたがってPLM（Product Lifecycle Management: 製品ライフサイクル管理）を実現するために不可欠な情報— BOM管理が徹底されることで部品不具合によるリコール対応などが迅速に行えるメリット• 自動車業界などでは部品共通化やモジュラー化の進展によるメガリコールが課題、BOMの重要性が向上• SBOMとは、BOMの考え方をソフトウェア領域に適用させること— 米国商務省 電気通信情報局 (National Telecommunications and Information Administration: NTIA)が下記の様に定義しています。※• SBOMとはソフトウェア構築において使用される多種多様なコンポーネントの詳細や、そのサプライチェーン関係を表した公式な記録のこと。これらのコンポーネントにはライ
ブラリやモジュールが含まれ、オープンソースかプロプライエタリか、商用か否か、データが一般公開されているかそうでないか、を問わない。

• ソフトウェア産業においてもサプライチェーンが複雑化することで部品表管理がより重要に— オープンソースソフトウェアや共有ライブラリの活用が進展— 近年話題となったLog4Jを起因とした脆弱性の問題ですが、これはJavaにおける１ロギングライブラリでしかないソフトウェア部品が引き起こした世界的な課題の一例※ SBOM FAQ (https://ntia.gov/sites/default/files/publications/sbom̲faq̲-̲20201116̲0.pdf)
6© 20212023 Tanium. All rights reserved.

ソーラーウィンズ事件を覚えていますか？
過去最大級のソフトウェアサプライチェーン攻撃

Q: ソーラーウィンズ事件とは？
A: 2020年12月に発覚した、米国のソフトウェア会社ソーラーウィンズが提供するネット
ワーク管理ソフトウェアがサイバー攻撃をうけた事件です。この事件は民間企業のみならず複数の政府機関などが長期間攻撃を受けました。この攻撃により、ソーラーウィンズの顧客が使用するソフトウェアに悪意のあるバックドアが組み込まれました。この攻撃は、SBOMの重要性を浮き彫りにし、ソフトウェアサプライチェーンのセキュリティに対する取り組み
がますます重要になっていることを示しました。

商用ソフトウェアに悪意のあるプログラムが混入

SBOMレベルでの脆弱性管理の必要性

7

大統領令へのきっかけ© 20212023 Tanium. All rights reserved.

SBOMの具体的なイメージ• ソフトウェア提供者が正しい製品であることを利用者に示すための仕組み• 食品表示ラベルのソフトウェア版と考えるとわかりやすい
SBOM（ソフトウェア部品表）の最小要素の定義※

食品表示ラベル
名称

チョコレート

サプライヤー名

コンポーネントを開発、定義及び識別するエンティティの名称

原材料名

カカオマス、砂糖、ココアバター、
脱脂ココアパウダー／乳化剤、香料（一部に乳成分・大豆を含む）

コンポーネント
名

サプライヤーによって定義された、ソフト
ウェアのある単位に対する名称

コンポーネントのバージョン

コンポーネントを識別するために使用されるバージョンに関する識別子

その他の一意な識別子

コンポーネントを識別するために使用される又は関連するデータベースの検索キーとして機能するその他の識別子

内容量

300g

賞味期限

2024.04.01

保存方法

直射日光、高温多湿を避けて保存し
てください

依存関係

コンポーネントがあるソフトウェアに含まれているという関係性の特徴づけの情報

製造者

株式会社XXXXXXX
東京都港区XXXXXXX

SBOM作成者

コンポーネントのSBOM を作成するエン
ティティの名称

タイムスタンプ

SBOM データを作成した日付と時刻の情報※経済産業省：参考資料 SBOM（Software Bill of Materials）の導入に関する手引（案）より抜粋※https://www.meti.go.jp/shingikai/mono̲info̲service/sangyo̲cyber/wg̲seido/wg̲bunyaodan/softwar
e/pdf/009̲s01̲00.pdf
8© 20212023 Tanium. All rights reserved.

ユーザー企業にとってのSBOM管理の難しさ
一言にSBOMといってもユーザー企業にとっては多岐にわたる検討が必要

OSS

自社開発
自社開発
App
自社開発
App
自社開発
App
App

クラウド
クラウド
サービス
クラウド
サービス
サービス

データセンター

OSS/クラウドサービス

稼働中のAppのSBOMどうする？

取引先

商用ソフ
商用ソフ
トウェア
商用ソフ
トウェア
商用ソフ
トウェア
トウェア

エンドユーザー端
末、モバイルは？

多岐にわたるエンドポイント

9© 20212023 Tanium. All rights reserved.

SBOMを取り巻く背景
企業経営に直結するソフトウェア・サプライチェーンに対する脅威が増大＋742％

・世界が増大する脅威に対し、ソフトウェア管理手法のSBOMに注目
・SBOMにより脆弱性やライセンスの管理のリスク及びコストを低減

Apache Log4j等のソフトウェア・
サプライチェーン攻撃の年間増加率※1

・2021年：大統領令(EO 14028)にてソフトウェア・サプライチェーン
セキュリティ強化を発表
・2022年：CISA、NSA、ODNIは共同で、ソフトウェア・サプライチェーンのセキュリティ保護に関するガイダンスを発表
・2022年：サイバーレジリエンス法にてSBOM作成や更新プログラム
提供等を含む、製品ライフサイクル全体でのセキュリティ対応を発表­11％・2019年：経済産業省よりサイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォースが発足

SolarWindsのサイバー攻撃を受けた年間収益額の平均損害額※2*1: Sonatype, 8th Annual State of the Software Supply Chain Reporthttps://www.sonatype.com/state-of-the-software-supply-chain/introduction・2023年：経済産業省よりSBOMの導入に関する手引(案)が公開*2: IronNet, 2021 Cybersecurity Impact Reporthttps://www.ironnet.com/hubfs/IronNet-2021-Cybersecurity-Impact-Report-June2021.pdf
10© 20212023 Tanium. All rights reserved.

SBOM(ソフトウェア部品表) に関する市場調査• 調査対象：主に大企業のＩＴ管理者と担当者（有効回答者：651名）• 調査方法：Webアンケート• 実施期間：2023年2月20日〜2023年2月28日

回答者プロフィール
業種

役員・経営者

公務員・公共サービス

CIO・CISO・CTO

役職

規模

2%

3%

7%

その他

一般

13%

15%

50,000
人以上

製造業

18%

32%

本部長・部長
係長・主任

31%

20%

サービ

4,999人人〜

45%

49,999

ス

人
建設業

24%

7%

金融業
10%

(N=651)1,000〜
10,000

流通・小売・商社

22%

次長・課長

9,999人29%

7%5,000〜15%(N=651)(N=651)

課長以上の役職者が65％、5,000名以上の大手企業が55％
12© 20212023 Tanium. All rights reserved.

SBOMの認知度
SBOM（ソフトウェア部品表）

米国の大統領令で政府系システ
ムに対してSBOMの構築が義務付けられたこと

経済産業省が“サイバー・フィジカル・
セキュリティ確保に向けたソフトウェ
ア管理手法等検討タスクフォースの検討の方向性”を公開していること

知らない

知らない
詳細な内容

7%
聞いたことがないまでよく主な機能を含め、よく知って

25%

いる

8%

聞いたことがある

詳細な内容
までよく

知っている

聞いたこと

知っている

24%

がある

23%

22%

26%

32%

名前は知っている

概要程度は知っている

43%

47%

概要程度は知っている
43%(N=486)(N=651)(N=486)

SBOMの認知度は75％に上り、国内外の動向も回答者の７割前後が認知していると回答した。
13© 20212023 Tanium. All rights reserved.

SBOMの導入状況
業種別結果

知らない
SBOMの導入・構築の

4%

予定はない

SBOM導入・構築済
14%

11%

全体（N=486）

14%

23%

23%

25%

11% 4%

製造業（N=163）

18%

20%

23%

23%

11% 5%

建設業（N=40）

13%

30%

8% 5%

流通・小売・商社（N=31）
SBOM導入・構

SBOMに

築作業中

ついて情

6%

20%
26%

25%
23%

29%

10% 6%

金融業（N=46）

11%

28%

サービス（N=111）

13%

20%

22%

25%

15% 5%

7%

30%

10%

37%

17% 0%

26%

17%

15% 2%

23%

報収集中

公務員・公共サービス（N=30）

25%
SBOM導

その他（N=65）

14%

32%

28%

22% 3%

入・構築

2%

を検討中
23%

（N=486）(N=486)

SBOM導入・構築済

SBOM導入・構築作業中

SBOM導入・構築を検討中

SBOMについて情報収集中

SBOMの導入・構築の予定はない

知らない

SBOM導入済みはわずか14％、ただしSBOM導入・構築検討中まで含むと６割が前向きな取り組みを実施中。業種別では製造業がトップとなり流通・小売の３倍の導入状況。
14© 20212023 Tanium. All rights reserved.

SBOM対象を特定システムに絞っている組織におけるSBOMの対象領域
わからない
1%

SBOM対象優先度の高いシステム
DMZなどに配置する外部との連携用サーバ
社内利用を前提とした業務系サーバ
ECサイトなどの商用サービス用サーバ
0%(N=124)

社内の特定の部署

SBOM（ソフトウェア部品表）の対象となるエンドポイント

またはシステム43%

10% 20% 30% 40% 50% 60% 70% 80%

0%

全社
56%

20%

40%

60%
57%
54%

貸与タブレットまたはスマートフォンのソフトウエア
社内システムで稼働しているソフトウェア

45%

貸与クライアントPCのソフトウエア

37%
31%
31%

BYOD（私用）端末上のソフトウェア
顧客向けのシステムで稼働しているソフトウェア（N=291）

クラウド上で動作しているソフトウェア
わからない（N=291）80%

3%

特定の部署やシステムをSBOM対象とする組織が４割強にとどまり、それらの組織の約８割がDMZ等外部と連携するシステムを対象としている。また、SBOM対象となるエンドポイントは幅広く分散しているが、設問にあげたすべてを対象としている組織は全体の10％にとどまる。つまり、全社でSBOM管理を徹底していると答えた組織においても一部のエンドポ
イントしか管理できてない組織が8割を超え、SBOM管理の徹底が難しいことが改めて浮き彫りになった。
15© 20212023 Tanium. All rights reserved.

SBOM管理の実態
内部構造・依存関係が不明なソフトウェアがあった場合のSBOM管理
0%

20%

40%

60%

使用しているクラウドサービスや委託先等の社外のソフトウェアのSBOM管理

80%
社外のソフトウェアに

リバースエンジニアリング等の解析手法を使用して調査・開発・保守先のベンダーに問サービス事業者や委ついては託先などに問い合わ

SBOM管理から除外しせて把握している,ている, 8%48%

65%

把握している

わからない, 3%

59%

い合わせて把握している

社外のソフトウェ

不明なソフトの使用を禁止し

14%

ている

アについては名称
のみSBOMに記載しているが、不明なままにしている

内容は把握してい13%

ない, 42%わからない（N=291）

社外のソフトウェアやクラウドサービスなどについては問い合わせ対応が約半数、内部構造・依存関係が不明な場合も半数以上が問い合わせ対応と属人的な状況が明らかになった。

3%（N=291）16© 20212023 Tanium. All rights reserved.

サプライチェーン企業に対するSBOM管理
0%

20%

40%

60%

80%

サプライチェーン企業に対し

25%

0%

全体（N=651）

25%

1,000〜4,999人（N=296）

23%

5,000〜9,999人（N=95）

29%

28%

10,000〜49,999人（N=141）

25%

36%

24%

15%

50,000人以上（N=119）

29%

34%

18%

20%

てSBOM構築運用の状況を調17%

査・把握している
サプライチェーン企業に対し

100%

0%
30%

26%

27%

17%

35%

1%
16%

22%

20%

てSBOM構築運用の依頼をしている
何も行っていない

28%

その他

30%

サプライチェーン企業に対してSBOM構築運用の状況を調査・把握しているわからない

サプライチェーン企業に対してSBOM構築運用の依頼をしている
何も行っていない（N=651）

その他
わからない

サプライチェーンのSBOMについては25%が調査・把握済、30%が依頼中となっている。
サプライチェーン企業に対するSBOM管理の需要が確認できた。
17© 20212023 Tanium. All rights reserved.

SBOM導入・運用時の課題と要望
SBOM導入・運用時の課題

0%

5%

10%

15%

20%

30%

35%

40%

45%

42%

ソフトウエア内部で使用されているライブラリやモジュール、依存関係を把握することが難しい

33%

内部の構造をブラックボックス化して公表していないソフトウェアがありSBOMを運用しずらい

33%

SBOMの知名度が低く、導入・運用についての理解が得られにくい

25%

IT資産情報や構成情報、脆弱性情報などSBOMと連携させることが難しい

10%

SBOMの必要性をあまり感じない

16%

わからない

（N=651）25%

SBOM導入・運用に関する要望
0%

10%

20%

SBOMとIT資産管理等のIT運用管理ツールとの自動連携ができるようにしてほしい

39%

SBOM用のツールが増えてほしい

38%

40%

50%

33%

SBOMに関する啓蒙活動をして、知名度を上げてほしい

26%

SBOMと脆弱性情報や脅威情報等との自動突合せができるようにしてほしい（N=651）

30%

18%

わからない

課題としては、詳細を把握しきれないという観点が上位を占める。
また、要望としては既存ツールとの連携、ツール不足と続く。
18© 20212023 Tanium. All rights reserved.

SBOMに期待する機能
SBOMに期待すること
44%

自社で保有するコンポーネントが脆弱性を有しているかを把握したい33%

アプリケーションの脆弱性を把握したい31%

どのようなコンポーネントを自社で保有しているかを把握したい31%

アプリケーションの依存関係を把握したい22%

サプライヤーから提供されたソフトウェア部品とデプロイされたアプリケーションとの整合性を確認したい

15%

全てのソフトウェア部品を Syft／Cyclonedx／SPDX2.2といった標準的なフォーマットに集約したい

10%

Containerイメージ用のソフトウェア部品表を生成したい

17%

0%

•
•

当てはまるものはない

20%

40%

60%

（N=651）

すでに自社で保有する脆弱性の把握に関する期待が最も高く44％となった
次点でアプリケーションの脆弱性把握に対する期待となり、脆弱性管理への期待値が高いことがわかる
一方で全てのSBOMを標準フォーマットに集約したいという期待は15%にとどまる
19© 20212023 Tanium. All rights reserved.

SBOM実態調査のまとめ
SBOMの認知度は一定程度あるものの、具体的な対策までできている組織はわずか14％

社外のソフトウェアやクラウドサービス、内部構造・依存関係が不明な場合は問い合わ
せ対応が主な対応となり、属人的な運用に課題感

サプライチェーンまで包含したSBOM対応を視野に入れた検討が進む

既存環境向けのSBOM導入・運用には、既存のIT運用ツールを活用せざるを得ない状況
であるがツール間のデータ連携に課題もあり、今後の連携、統合的ツールに期待

SBOM対応において脆弱性管理が最も検討優先度が高い

20© 20212023 Tanium. All rights reserved.

調査結果を踏まえてタニウムからの提言

2023年4月25日
タニウム合同会社

SBOM導入・運用の課題から見えてきたこと

ユーザー企業にとってSBOM管理を行う本来の目的とは？

ソフトウェア部品を
SBOM標準フォーマッ
トで管理すること

自社環境に潜在する脆弱性を把握すること22© 20212023 Tanium. All rights reserved.

なぜ脆弱性を把握することが難しいのか
ソフトウェア内部で利用されているラ
イブラリ、コンポーネントの把握する手段がないから

既存のIT資産管理ツール、脆弱性管理
ツール、構成管理ツール単体ではソフ
トウェア内部の脆弱性までを把握することが難しいからSBOM専用ツールは開発プロセスに特化していることが多く、運用プロセスにその機能を活用することが難しいから

アプリケーション実行環境は流動性があるため、納入時のSBOMを把握しているだけでは、現状と乖離がある可能性があるから

流動性の高いIT環境でリアルタイムにソフトウェア内部まで脆弱性を把握できるツールの必要性
23© 20212023 Tanium. All rights reserved.

SBOM管理の課題解決に向けた取り組み
Taniumのアプローチ
調査結果からも明らかなようにユーザーのSBOMに対する興味は、開発のアプリケーション環境のみならず、既存環境の脆弱性を把握することにある。しかしながら、既存のITツールのみでインベントリ管理に加え、ソフトウェアのサプライチェーン、ライセンスコンプライアンス、セキュリティや品質などのリスクを完全に把握することは困難である。当社ではエンドポイントの網羅的なリアルタイム情報収集能力に長けた
特徴を活かし、この課題解決に向け以下の機能提供を開始した。
端末の結果をQuestion、またAssetのReportで可視化する。可視化された情報はSIME製品等に連携可能。

• Tanium SBOM
— パッケージソフトウェアで使われているライブラリを可視化
例：OpenSSLのライブラリに脆弱性がでた時にどの製品がどのバージョンのライブラリを使っているか— SBOMの情報を取得・整形し、一覧で表示— 注視したいソフトをグラフ化しておくことも可能

表示可能なバイナリの種類は以下の通り。
— Java (JAR, PAR, SAR, WAR, EAR, JHI, JPI, LPKG)— JavaScript (NODE, NPM)
— Python— PHP (Composer)— Ruby (GEM)— GoLang— OpenSSL 共有ライブラリ

Tanium Server① 管理者による閲覧

ツ
ー

情

ル

報

配

収

布

集

② 外部製品と連携

端末上に存在するファイルをIndex化する。Index化されたファイルを定期スキャンし、SBOMの情報を端末上にまとめる。
端末① ファイルの辞書化

24② 辞書をもとにSBOMの情報を生成© 20212023 Tanium. All rights reserved.

SBOM対応に向けたプレーヤー別の成熟度モデル
IT資産・構成管理の領域

Build Time SBOMの領域

IT運用チーム

アプリ開発ベンダー
IT内製化(開発)チーム

セキュリティ運用チーム

開発プロセスのセキュリティ対策
レベル3

Runtime SBOMの領域
IT運用プロセスのセキュリティ対策
レベル4
・脆弱なSBOMの可視化
・可視化された脆弱性の対処

SBOMの可視化
・DevSecOpsによる脆弱性管理
・CI/CDプロセスの脆弱性対処 等

デバイス群の可視化

レベル1

レベル2

・ソフトウェア構成部品の一覧化

・全デバイス(PC/サーバ/コンテナ)の可視化と是正
・オンプレやクラウド、ゼロトラを包含した網羅性

25

アプリ開発ベンダー
IT内製化(開発)チーム
IT運用チーム
セキュリティ運用チーム© 20212023 Tanium. All rights reserved.

SBOM対応に向けたプレーヤー別の成熟度モデル
IT資産・構成管理の領域

Build Time SBOMの領域

IT運用チーム

アプリ開発ベンダー
IT内製化(開発)チーム

セキュリティ運用チーム

開発プロセスのセキュリティ対策
レベル3

Runtime SBOMの領域
IT運用プロセスのセキュリティ対策
レベル4
・脆弱なSBOMの可視化
・可視化された脆弱性の対処

SBOMの可視化
・DevSecOpsによる脆弱性管理
・CI/CDプロセスの脆弱性対処 等

デバイス群の可視化

レベル1

レベル2

・ソフトウェア構成部品の一覧化

・全デバイス(PC/サーバ/コンテナ)の可視化と是正
・オンプレやクラウド、ゼロトラを包含した網羅性

26

アプリ開発ベンダー
IT内製化(開発)チーム
IT運用チーム
セキュリティ運用チーム© 20212023 Tanium. All rights reserved.

過去事例から読み解くSBOM管理
国内企業におけるLog4j脆弱性調査結果から浮き彫りになったSBOM（ソフトウェア部品表）管理の難しさ
調査端末

Log4j 脆弱性の懸念がある端末数

3,534 台

194 台（5.5%）

F 社ソフトウェア

D 支店
Log4j 脆弱性
端末の所在

A 社ソフトウェア

E 社ソフトウェア

A 工場

D 社ソフトウェア

194 台

B 拠点

25 種類（14 ベンダー）
その他

在宅

C 工場

Log4j 脆弱性の懸念があるアプリ

C 社ソフトウェア

本社

Log4j 脆弱性
アプリの延べ台数

209 台
B 社ソフトウェア

ベンダーから得られた情報に基づく対処を実施したあとの調査にも関わらず、複数のソフトウェアで脆弱性を確認

調査対象とした全ての拠点で Log4j の脆弱性を確認
Source: 当社調べ
27

© 20212023 Tanium. All rights reserved.

タニウムはサイバーハイジーン
を推奨します中長期セキュリティ戦略策定に向けた考察
NISTサイバーセキュリティフレームに基づく施策(グローバル・ベストプラクティスの活用)
更なるセキュリティ強化の目的③グローバル
ITガバナンスの実現②発生したリスクの最小化①リスク発生の未然予防

中長期セキュリティ強化施策の骨子
各
種今
セ後
キ︑
ュ日
リ本
テ政
ィ府
施よ
策り
に公
も開
適予
宜定
順の
応

29

③サプライチェーンリスク管理
・セキュリティ評価基準(KPI)
・SBOM対応の実現(今後、重要度高)②サイバー・レジリエンス施策・導入した更なるEDRの有効活用
・リスク影響度分析/対処の迅速化①サイバー・ハイジーン施策
・動的なIT資産管理の実現
・動的な脆弱性管理の高度化© 2021
Tanium.
All rights© 2023
Tanium.
All rightsreserved.
reserved.

グローバルで加速化するサイバー・ハイジーンの最新動向
明示的にサイバー・ハイジーンを言及する 法令/戦略/ガイドライン/フレームワーク等
CISA : Cyber
Hygiene Service

CIS : Essential
Cyber Hygiene

CYBER HYGIENE SERVICES
REDUCING THE RISK OF A SUCCESSFUL CYBER ATTACK
Adversaries use known vulnerabilities and phishing attacks to compromise the security of organizations. The
Cybersecurity and Infrastructure Security Agency (CISA) offers several scanning and testing services to helporganizations reduce their exposure to threats by taking a proactive approach to mitigating attack vectors.
•

Vulnerability Scanning: Evaluates external network presence by executing continuous scans of public, static IPs foraccessible services and vulnerabilities. This service provides weekly vulnerability reports and ad-hoc alerts.

•

Web Application Scanning: Evaluates known and discovered publicly-accessible websites for potential bugs andweak configuration to provide recommendations for mitigating web application security risks.

•

Phishing Campaign Assessment: Provides an opportunity for determining the potential susceptibility of personnel tophishing attacks. This is a practical exercise intended to support and measure the effectiveness of security
awareness training.

•

Remote Penetration Test: Simulates the tactics and techniques of real-world adversaries to identify and validate
exploitable pathways. This service is ideal for testing perimeter defenses, the security of externally-available
applications, and the potential for exploitation of open source information.

EU : NIS 2 Directive(2023年1月施行)

NCSC : National
Cyber Strategy

National
Cyber
Strategy 2022

グローバルにおいては、
ITに先進的な諸外国が一斉に指示

Pioneering a cyber future withthe whole of the UK

FREQUENTLY ASKED QUESTIONS
How much does it cost? CISA cybersecurity assessment services are available at no cost.
Who can receive services? Federal, state, local, tribal and territorial governments, as well as public and private sector
critical infrastructure organizations.
When will my services begin? Vulnerability Scanning and Web Application Scanning typically begin within one week of
returning the appropriate forms.
Who performs the service? Cyber Hygiene services are provided by CISA’s highly trained information security experts
equipped with top of the line tools. Our mission is to measurably reduce cybersecurity risks to the Nation by providing
services to government and critical infrastructure stakeholders.

GET STARTED
Email us at vulnerability_info@cisa.dhs.gov with the subject line “Requesting Cyber Hygiene Services” to get started.

CONNECT WITH US
www.cisa.gov
For more information,email vulnerability_info@cisa.dhs.gov

Linkedin.com/company/cybersecurityand-infrastructure-security-agency@CISAgov | @cyber | @uscert_gov
Facebook.com/CISA

サイバーセキュリティ
戦略本部

金融庁

Singapore: Cyber
Security Strategy

Global Cybersecurity
Outlook 2022

日本においては、金融庁やサイバーセキュリティ戦略本部が指示

30© 20212023 Tanium. All rights reserved.

次回も面白い調査を企画中です。
乞うご期待ください。