既存の評価に、
決めるための層を加える。
脆弱性診断や外部評価を置き換えるものではありません。それらの結果を、経営が決められる判断材料に変えます。
「どこに問題があるか」から、「何を先に決めるか」へ。
既存の診断・評価・外部観測
どこに問題があるか
脆弱性の一覧、スコア、公開資産の状況
サイバーインサイト
事業にどう影響し、何を先に決めるか
攻撃シナリオ、推定損害額、対応の優先順位
経営・投資委員会
実行／条件付き／見送り
判断の根拠と記録
セクターごとのサービス。
SaaS／DaaSで提供しています。各サービスのページから、サインアップとログインができます。
Cyber Insight Portal for Finance
金融機関向け
PEファンド、投資銀行、銀行、証券、保険の、投融資先・取引先の評価と継続モニタリング。
サービスページへCyber Insight Portal for Logistics
物流統括管理者（CLO）向け
委託先や接続経路に起因する停止リスクをとらえ、代替と優先順位の判断を支えます。
サービスページへCIP Essentials
取引先・委託先の管理向け
取引先や委託先のサイバーセキュリティの健全性を、色の変化で直感的に把握。総合評価と、技術・組織・外部脅威の内訳、30日間の変化率を確認できます。
サービスページへThreat Monitor by Cyber Insight
全業種向け
紛争やDDoS攻撃の標的動向、新たに悪用が確認された脆弱性など、地政学とサイバーの脅威シグナルを地域別・セクター別につなげて読める脅威インテリジェンス。日本の組織が優先して見るべき脅威も確認できます。
サービスサイトへ
サイバーリスクを、企業価値につなげる助言。
より手厚い対応が必要なお客様には、サービスに加えてアドバイザリを提供します。
判断スプリント
M&A・投融資や重要委託先の選定など、特定の対象の採否を早く決める場合に。
- 標準期間
- 1〜2週間
- 成果物
- リスク評価・採否推奨レポート（実行・条件付与・見送りの推奨と未確認事項）
基準策定
案件ごとの判断のぶれをなくし、全社・投資先に共通の基準を定める場合に。
- 標準期間
- 6〜12週間
- 成果物
- リスク判断基準書、優先対処・見送り判断リスト、経営会議向けサマリー
いずれも範囲を定めた固定報酬です。策定した基準はサイバーインサイト基盤に実装でき、以後の継続評価に引き継がれます。
判断の場面ごとの、支援の例。
守秘義務により、業種と支援の内容のみを記載しています。
- 01
投資会社投資検討先の評価
- 課題
- 投資委員会の前に、対象企業の協力を得ずに、サイバーリスクの論点を把握したい。
- 支援
- 外部観測をもとに、投資判断の要約と技術的な詳細を一つの報告書にまとめました。確認事項ごとに、どの回答で評価が変わるかを示し、デューデリジェンスでの質問に変えました。
- 02
投資会社投資先全体の把握
- 課題
- ブティック型のファームとして、少数の投資先の状況を、少ない負担で把握したい。専任のIT・セキュリティ人材は投資先にもほとんどいない。
- 支援
- まず外部評価で全社を同じ基準で見渡し、脆弱性診断などの深い検査を行う対象と順番を決める進め方を示しました。報告書の読み方の手引きを添え、投資会社の中で判断できるようにしました。
- 03
製造業海外拠点を含む継続評価
- 課題
- 日本・米国・欧州の拠点ごとに分かれた評価を、一社として把握し、委託先の対応を確かめたい。
- 支援
- 3地域の評価を重複なく一社に集約しました。外部で検出された指摘と、委託先の「対応済み」「影響なし」の回答を、資産と脆弱性の単位で照合して台帳にしました。影響が限定的な項目は、条件付きのリスク受容として記録し、再評価の条件を明記しました。
- 04
金融機関与信管理への応用
- 課題
- サイバーリスクの評価を、与信先の管理に使えるかを確かめたい。
- 支援
- 大手金融機関と、サイバーリスクの指標が信用リスクの先行指標となりうるかを検証しました。
評価手法の検証
評価の値が実際の事故や企業価値の変化と結びつくかを、上場企業のデータで検証しています。対象はS&P500、FTSE100、日経225の全構成企業と、それとは別に選んだ米国上場の非金融企業約300社の合計およそ1,100社です。期間は2023年1月から2026年2月です。
検証に用いた日米英の上場企業の数
米国で重大なサイバーインシデントを開示した企業の、開示後20営業日の平均累積超過リターン
開示前の評価値と、開示直後の株価の反応との相関係数。評価が低い企業ほど、下落が大きい傾向がありました。
重大なインシデントは、米国証券取引委員会（SEC）の様式8-K第1.05項に基づく開示です。対象は14件と少ないため、初期的な結果として扱っています。サイバー関連の開示全般（約470件）では、平均して有意な株価の反応はみられませんでした。また、評価値と財務健全性の指標（Altman Z-Score）との相関は弱く、財務諸表とは異なる情報を持つことを確認しています。
観測から、損害の幅まで。
損失が起きる頻度と、起きた場合の規模を分けて推定し、組み合わせて年間の想定損失を求めます。考え方は、FAIRなど国際的に用いられるリスク定量化の枠組みを参照しています。
観測
公開情報から、対象企業がインターネット上に持つ資産と、その状態を観測します。公開しているサービス、設定、既知の脆弱性、漏えいした情報などです。
攻撃シナリオ
観測結果を、ランサムウェア、情報漏えい、委託先経由の侵害、送金詐欺などの攻撃シナリオに対応づけます。
頻度と規模
頻度は、観測結果と業種ごとの事故の傾向から推定します。規模は、売上高、業種、止まると影響の大きい業務から推定し、復旧・調査、事業停止、通知・法的対応、賠償などの費用を含めます。観測結果と事故の起きやすさとの関係は、上場企業の開示データで検証しています（評価手法の検証）。
幅と前提
結果は低位・中位・高位の幅で示し、置いた前提を併記します。売上の構成や停止時の影響などをご提供いただくと、前提を置き換えて推定を絞り込めます。
推定は、将来の損害を予測・保証するものではありません。また、外部から観測できない内部統制や運用の状況は、推定に反映されません。会社への確認や診断の結果で補います。
判断に使える形で示すために。
前提と幅を併記する
想定損失は単一の数値ではなく、前提条件を示した幅で提示します。
分かることと未確認を分ける
外部観測で判明する事実と、内部確認が必要な事項を区別し、推測で補いません。
判断はお客様に
当社は分析と推奨を担います。最終決定と責任は、お客様の経営に帰属します。
