SECURITY
セキュリティ診断と対策
Web・クラウド・ネットワークと、生成AI・AIエージェントを使ったシステムの弱点を、書面で合意した範囲で診断し、見つかった問題を直すところ、動かし続けるところ、監視と事故への対応、社内の規程と教育までを受け持ちます。AIを使った攻撃への備えと、AIを使ったシステムを守ることの両方を扱います。
セキュリティ診断とは、システムの弱点（脆弱性）を、決めた範囲・期間・手法で技術的に探し、危険度と直し方を報告するサービスです。アメリア・テクノロジーは、Web・クラウド・ネットワークと、生成AI・AIエージェントを使ったシステムを、公開された基準を参考に診断し、見つかった問題を直すところ、社内の規程と教育までを受け持ちます。診断は監査や認証ではなく、すべての弱点がないことを保証するものではありません。
最終更新日：
守る
支援の内容
診断から直すまで、AIの時代の守りを整えます。
- 脆弱性診断
- AIのセキュリティ診断
- 対策の実装と運用
- 監視と事故への対応
- 規程と教育
脆弱性診断（Web・クラウド・ネットワーク）
Webアプリケーション、APIの通信、クラウドの設定、外部に公開しているサーバーやネットワーク機器を、ツールと手作業を組み合わせて診断します。見つかった弱点ごとに、危険度、再現の手順、直し方をまとめます。
AIのセキュリティ診断
生成AI・LLMを使ったアプリ、社内の資料を参照するAI（RAG）、作業を代わりに進めるAIエージェントについて、プロンプトインジェクション、機密情報の漏えい、過剰な権限、システムプロンプトの漏えい、費用の使いすぎなどを確かめます。OWASP Top 10 for LLM Applications 2025 や、AIセーフティ・インスティテュートのレッドチーミング手法ガイドの観点を参考にします。
対策の実装と運用
診断で見つかった問題を、優先順位をつけて直します。他社が作ったシステムでも、開発元との調整を含めてお手伝いします。多要素認証、ログ、バックアップ、パッチの当て方、クラウドの設定を整え、必要に応じて技術者が現場に入って進めます（FDE）。
監視と事故への対応
ログと通知を見て、不審な動きを早く見つけられるようにし、事故が起きたときは、被害の範囲の確認、止めるかどうかの判断、復旧、関係先への連絡の準備までを一緒に進めます。夜間・休日の監視や、専門的な調査（フォレンジック）が必要な場合は、外部の専門の会社と連携してお受けします。
規程・体制・教育
情報セキュリティの方針、生成AIの利用のルール、委託先の管理の決まりを、会社の実情に合わせて整えます。AIを使ったなりすましのメールや偽の音声への備えを含む社員の訓練と、事故が起きたときの連絡と手順の準備も行います。
FOR YOU
こんな方に
- 公開しているWebサイトや業務システムに、知られた弱点が残っていないか確かめたい
- 生成AIを組み込んだアプリやAIエージェントを公開する前に、AIならではの弱点を確かめたい
- 診断を受けたことはあるが、指摘された問題を直す人と手順が決まっていない
- 開発した会社とは別の立場で、他社が作ったシステムの弱点を確かめ、直してほしい
- 不審な動きに早く気づき、事故が起きたときに慌てずに動ける体制をつくりたい
- AIを使ったなりすましのメールや偽の音声に備えて、社内のルールと訓練を整えたい
APPROACH
よくある状況と、進め方
取引先から、セキュリティ対策の状況を確かめる質問票が届いた
質問票の項目に沿って現状を確かめ、答えられることと、直してから答えることを分けます。必要に応じて、外部に公開しているシステムの診断を行い、結果をもとに説明の準備をします。
社内の資料を参照するAI（RAG）を作ったが、見せてはいけない情報が答えに出ないか心配
利用する人の権限と、AIが参照できる資料の範囲が合っているかを確かめ、プロンプトインジェクションや機密情報の漏えいを試します。権限の絞り方、出力の確かめ方、操作の記録を、直し方として示します。
以前の診断の報告書があるが、どれから直せばよいか分からない
指摘を危険度と影響の大きさで並べ直し、すぐ直すもの、計画して直すもの、運用で補うものに分けます。開発元との調整を含めて直すところまでお手伝いし、直した後に再診断します。
M&Aを控えて、譲渡の前にシステムの弱点を確かめておきたい
対象の会社の承諾のうえで診断し、譲渡の前に直せるものと、説明の準備をしておくものに分けます。結果を取引の相手方に示す場合は、システム監査の中立を保つための決まりにもとづいてお受けします。
PROCESS
進め方と、お渡しするもの
範囲を決め、書面で合意する
診断の対象、期間、手法、本番への影響を避ける取り決め、連絡の窓口を決め、書面で合意します。承諾をいただく方が、その対象を管理する立場にあることも確かめます。
お渡しするもの
- 診断の計画と範囲の合意書
診断する
ツールと手作業を組み合わせて、合意した範囲を診断します。生成AIを使ったシステムでは、AIならではの弱点も試します。危険の大きい弱点が見つかった場合は、報告を待たずにすぐお知らせします。
お渡しするもの
- 危険の大きい弱点の速報（見つかった場合）
報告する
見つかった弱点ごとに、危険度、再現の手順、影響、直し方をまとめます。経営者の方向けの要約と、担当の方向けの詳しい内容に分けてお渡しし、報告会でご説明します。
お渡しするもの
- 診断の報告書（要約と詳細）
- 直す順番の提案
直す
直す順番を決め、ご希望に応じて当社が直すところまで受け持ちます。他社が作ったシステムでは、開発元との調整もお手伝いします。直す担当は、診断の担当とは分けます。
お渡しするもの
- 直した内容の記録
再診断し、続ける
直した弱点が解消したかを、直す作業に関わっていない担当が再診断します。あわせて、規程・教育・定期の診断の計画を整え、守りを続けられる形にします。
お渡しするもの
- 再診断の報告
- 定期の診断と教育の計画
診断から、直して確かめるまで
診断の結果は確かめた時点のもので、すべての弱点がないことを保証するものではありません
OUR POLICY
大切にしていること
AIをつくる技術者の目で、AIの弱点を確かめる
生成AIのアプリやAIエージェントを設計・開発している技術者が、AIならではの弱点を確かめます。OWASP Top 10 for LLM Applications 2025 や、AIセーフティ・インスティテュートのレッドチーミング手法ガイドなど、公開された基準の観点を参考にします。
指摘で終わらせず、直すところまで
見つかった問題を、優先順位をつけて直すところまで受け持ちます。他社が作ったシステムでも、開発元との調整を含めてお手伝いします。直す作業をどこに頼むかは、お客様が自由に決められます。
書面の合意と、保証しないことの明示
診断は書面で合意した範囲だけで行い、結果は確かめた時点のものであることをはっきりお伝えします。すべての弱点がないことを保証するものではないため、再診断と定期の診断をおすすめしています。
診断と修正の担当を分ける
診断の担当と直す担当を分け、再診断も直していない担当が行います。当社が開発・運用に関わったシステムの診断は、自己点検として報告します。
期間と費用の目安
入口の現状チェック（20万円）、Webの脆弱性診断（50万円〜）、AIアプリのセキュリティ診断（80万円〜）、守りの継続（月20万円〜）の定額のパッケージをご用意しています（いずれも税別）。「〜」は、対象の規模や確かめる深さによって上下するため、範囲を決めたうえでお見積りします。まずは30分の無料相談で、対象と目的を整理します。診断の結果は確かめた時点のもので、すべての弱点がないことを保証するものではありません。
料金の目安を見るAI AND SECURITY
AIの時代のセキュリティで、確かめること
IPAの「情報セキュリティ10大脅威 2026」では、組織の脅威の3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。AIをめぐるセキュリティには、AIを使った攻撃に備えることと、AIを使ったシステムを守ることの2つの面があります。
AIを使った攻撃に備える
本物らしい文面のなりすましのメール、偽の音声や動画を使った送金の依頼、攻撃の自動化、公開された脆弱性を突く動きの速さなどに備えて、多要素認証、送金の確認の手順、外部に公開しているシステムの棚卸し、パッチを当てる順番、社員の訓練を整えます。
AIを使ったシステムを守る
生成AIを組み込んだアプリやAIエージェントには、プロンプトインジェクションや、参照できる情報・実行できる操作が広すぎるといった、従来のシステムとは違う弱点があります。設計の段階から、権限を絞る、人が確かめる工程を置く、操作を記録する、といった対策を組み込みます。
出典：IPA「情報セキュリティ10大脅威 2026」、OWASP Top 10 for LLM Applications 2025、AIセーフティ・インスティテュート「AIセーフティに関するレッドチーミング手法ガイド」、総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」
PLANS
定額のパッケージ
はじめての方は、入口の現状チェックから始めていただけます。
| パッケージ | 料金（税別） | 時間の目安 | 内容 |
|---|---|---|---|
| セキュリティの現状チェック | 20万円 | 約20時間・1〜2週間 | 聞き取り、外部に公開しているシステムの洗い出し、生成AIの使い方とルールの確認、優先順位をつけた報告書。はじめての方の入口です。 |
| Webの脆弱性診断 | 50万円〜 | 約50時間 | Webシステム1つ（画面・APIの数で上下します）。ツールと手作業、報告書・報告会、再診断1回まで含みます。 |
| AIアプリのセキュリティ診断 | 80万円〜 | 約80時間 | 生成AIのアプリ・RAG・AIエージェント1つ。OWASP Top 10 for LLM Applications 2025 の観点、報告書・報告会、再診断1回まで含みます。 |
| 守りの継続 | 月20万円〜 | 月20時間〜 | パッチの管理、ログの確認、ご相談、社員の訓練、事故のときの初動。AIタイムシェアと同じ時間の枠でお使いいただけます。監視と初動は営業時間内で、夜間・休日の監視や専門的な調査は外部の専門の会社と連携してお受けします。 |
時間単価1万円を基準にしています。「〜」は、対象の規模や確かめる深さによって上下します。範囲を決めたうえで、お見積りをご提示します。診断の結果は確かめた時点のもので、すべての弱点がないことを保証するものではありません。
OUR PROMISES
診断にあたっての約束
セキュリティ診断は、お客様のシステムに実際に試す作業を含みます。安心してお任せいただくために、次の決まりで行います。
書面で合意した範囲だけを、診断します
診断の対象（URL・IPアドレス・環境）、期間、手法、連絡の方法を、着手の前に書面で取り決め、その範囲だけを診断します。承諾をいただく方が、その対象を管理する立場にあることも確かめます。M&Aの前の診断では、譲り受ける側ではなく、対象の会社の承諾をいただきます（法令の扱いは、弁護士などの専門家にご確認ください）。
本番への影響と費用に、上限を決めます
本番の環境を診断する場合は、時間帯、止めてよい操作、連絡の窓口を決めて行います。生成AIのサービスを診断する場合は、利用料が想定を超えないよう、試す回数と費用の上限も決めます。
すべての弱点がないことは、保証しません
診断は、合意した範囲・期間・手法で確かめた時点の結果です。見つからなかった弱点が残ることや、その後に新しい弱点が見つかることがあります。そのため、直した後の再診断と、定期の診断をおすすめしています。
診断と修正の担当を分けます
診断の担当と、同じお客様のシステムを直す担当は分けます。直した後の再診断も、直す作業に関わっていない担当が行います。
当社が関わったシステムの診断は、自己点検として扱います
当社が開発・運用に関わったシステムの診断は、第三者の診断ではなく自己点検として報告します。第三者による確認が必要な場合は、その旨をお伝えし、範囲や依頼先を一緒に考えます。
結果と情報は、ご依頼者にだけお渡しします
診断の結果、診断の中で触れた情報、報告書は、ご依頼者にだけお渡しし、秘密として扱います。
診断
修正
再診断
当社が開発・運用に関わったシステムの診断は、自己点検として報告します
セキュリティ診断と、システム監査の違い
セキュリティ診断は、システムの弱点を技術的に探し、直し方を示すものです。システムとその管理の状態を、基準に照らして第三者の立場で評価して報告するシステム監査とは別のサービスです。M&Aのデューデリジェンスや上場の準備のように、結果を第三者に示す場面では、システム監査の中立を保つための決まりにもとづいてお受けします。
RELATED
関連するコラム
- AIを使ったサイバー攻撃と、会社の備え AIの悪用で、なりすましのメールや偽の音声・動画、攻撃の下準備が手軽になりつつあります。IPAの「情報セキュリティ10大…
- 生成AI・LLMアプリのセキュリティ診断で確かめること 生成AIを組み込んだアプリの診断では、従来のWebの脆弱性に加えて、プロンプトインジェクション、RAGの権限、AIエージ…
- 脆弱性診断の頼み方と、報告書の読み方 脆弱性診断を頼むときは、対象と範囲を決めて書面で合意し、ツールと手作業の使い分け、報告書の危険度の付け方、直した後の再診…
- 脆弱性診断の後、直すところまで 脆弱性診断は、見つかった問題を直して初めて役に立ちます。直す順番の決め方、他社が作ったシステムを直すときの保守契約の確か…
- 生成AIのセキュリティ：情報漏えいとプロンプトインジェクション 生成AIを業務で使うときの主なリスクである情報の漏えいとプロンプトインジェクションについて、OWASP Top 10 f…
- Webシステムのセキュリティ対策の基本 Webシステムのセキュリティは、つくるときに脆弱性を作り込まない対策、公開の前の脆弱性診断、動かし続ける間の更新・多要素…
- アクセス権の棚卸しと特権IDの管理の進め方 アクセス権の管理は、入社・異動・退職のときの手続きと、定期の棚卸しと、特権IDの管理の3つで考えると整理できます。監査で…
関連する用語
よくあるご質問
セキュリティ診断と、システム監査は何が違いますか。
セキュリティ診断は、攻撃に使われる弱点（脆弱性）がないかを技術の面から調べ、見つかった問題と直し方をお伝えするものです。システム監査は、経済産業省の「システム監査基準」「システム管理基準」を参考に、システムの管理と統制が目的に合って整っているかを、第三者の立場で確かめるものです。
どちらも、法令にもとづく監査（会計監査・内部統制監査）ではありません。診断の結果を取引先やM&Aの相手方など第三者に示す場面ではシステム監査と同じ中立の決まりを当てはめ、当社が開発・運用に関わったシステムの診断は「自己点検」として扱います。
診断を受ければ安全になりますか。
診断は、書面で合意した範囲を、その時点で調べるものです。すべての脆弱性がないことや、攻撃を受けないことを保証するものではありません。
範囲の外にあるシステム、診断の後の変更、新しい攻撃の手口は対象に入りません。見つかった問題を直した後は修正に関わっていない担当が再診断で確かめ、システムを大きく変えたときや定期的に、あらためて診断することをおすすめしています。
生成AIを使ったシステムの診断もできますか。
はい。生成AI・LLMを使ったアプリケーション、RAG、AIエージェントの診断をお受けしています。
OWASPの「OWASP Top 10 for LLM Applications 2025」とエージェント向けの「OWASP Top 10 for Agentic Applications for 2026」、AIセーフティ・インスティテュート（AISI）のレッドチーミング手法ガイドと評価観点ガイドの観点をもとに、プロンプトインジェクションや情報の漏えい、AIに与えた権限の広さなどを、つながるデータやツールまで含めて確かめます。AIの出力は同じ入力でも変わることがあるため、試した範囲で問題が見つからないことは、問題がないことの保証にはなりません。
DIAGNOSIS
まずは、無料の診断で確かめる
設問に答えると、点数と改善の手順をまとめたレポートをその場で表示し、PDFでもお渡しします。