■セキュリティポリシーや情報資産台帳が未整備だったA社に対し、Exasは社内セキュリティを強化する伴走型コンサルティングを提供。事業成長とコストのバランスを考慮し、優先度の高い業務をピックアップし推進。セキュリティポリシー策定から、社内で使用するPCやシステムなどの資産・脆弱性の洗い出し、リスクの完全解消までを支援しました。

■約4か月間の支援で計800件のリスクを特定し、緊急度の高い314件を改修。潜伏していたランサムウェア2件および重大な情報漏洩リスク1件も即日中に封じ込めを完了し、経営陣への直接報告体制を通じて組織全体のITガバナンス強化を推進しました。

【課題１】セキュリティ基準・ポリシーの不在
システム管理における統一された社内ルールがなく、何をどこまで守るべきかの基準が不明確だった。

【課題２】情報資産の把握不足（シャドーIT・管理台帳の形骸化）
管理外の端末や、退職者が独自開発したブラックボックス化ツールなど、現状の正確な資産把握ができていなかった。

【課題３】潜在リスクの放置と運用体制の未確立
クラウド設定の不備、ログ監視やEDRの未導入など、多層的な脆弱性を抱えながらも自社リソースだけで検知・対処する体制が整っていなかった。

Exasは一般的な「指摘だけして対応は担当者へ丸投げ」するアプローチとは一線を画し、担当者と一緒に社内業務を整理・把握し、リスクの特定から改修のクローズまで主導しました。

1.ビジネスに即した「仮セキュリティポリシー」のトリアージ策定
事業モデルとコスト制約を踏まえ、「死守すべき領域」「事業成長のために許容するリスク」「後回しにする改善」を選別し、現実的かつスピーディに運用可能な仮ポリシーを策定。

2.現場徹底調査による情報資産の網羅的な洗い出し
PC端末の実数確認や、退職者が残した未管理ツールの発掘など、社内に点在するすべての資産を可視化。

3.網羅的な脆弱性・考慮漏れリスクの抽出
優先度の高い資産から順に調査を実施。社内脆弱性に加え、AWSやGoogle Workspaceの設定不備、ネットワーク機器の設定漏れ、EDRや操作ログ未監視といった設計・運用の盲点を洗い出し。

4.リスク改修の実務・クローズまでの直接支援
発見したリスクをレポートするにとどまらず、設定変更や修正対応の完了までExasが責任を持って完遂。

5.経営直結のガバナンス報告体制
経営会議および月次の取締役会へ参加し、リスク状況と対策進捗をリアルタイムで共有。

・4か月で800件のリスク特定、314件の重要リスクを改修完了
→網羅的な診断を通じて事業継続を脅かす重大な穴を大幅に削減。

・緊急インシデントの即日封じ込め（当日完了）
→調査過程で発覚したランサムウェア感染（2件）および重大な漏洩危機（1件）に対し、即座に影響範囲を特定・当日中に対応を完了して実被害を防止。

・事業推進とセキュリティが両立する持続可能な体制へ
→「すべてを潰す」過剰な対策ではなく、リスクと投資対効果を見極めたセキュリティ運用基盤を提示。今後は定期的な見直しと継続的な運用モニタリングにより、事業拡大を支える強固な基盤を維持。

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

以上