ニュース
「自社では見えず、攻撃者にだけ見えるセキュリティリスク」をなくす、ASMサービス「Mitokude」でDTSとグランセキュノロジーが協業
社外視点の「.pub」、社内視点の「.local」の組み合わせでリスクを可視化
2026年9月8日 07:00
株式会社DTSとグランセキュノロジー株式会社は9月7日、協業によるセキュリティサービスの高度化についての説明会を実施した。同日、グランセキュノロジーではASM（Attack Surface Management：攻撃対象領域管理）サービス「Mitokude」（ミトクデ）において、インターネットからアクセス可能なIT資産を可視化する既存の「Mitokude .pub」に加え、社内のシャドーITなどのセキュリティリスクを検出する「Mitokude .local」の提供も発表した。
両社は7月に協業を発表しており、今回の「Mitokude .local」提供開始を受け、本格的な展開に着手する。
ポイントとなるのは、まだ耳慣れない「ASM」サービスであるMitokudeを、高い実装力・運用力と豊富な実績を持つDTSが展開し、普及を図っていく点だ。ASMが従来のセキュリティのあり方を大きく変えるサービスであるとも言え、セキュリティの検討を「何を導入するか」ではなく「どのようなリスクがあるか」と、現実にあるリスクの確認から始める「リスク起点」に進化させる、などの説明が行われた。
リスクを可視化・事前把握してプロアクティブなセキュリティへ
はじめに、DTSの則包浩行氏（上席執行役員 テクノロジー＆ソリューションセグメント長 兼 デジタルソリューション事業本部長）より、協業の全体像について説明が行われた。
DTSは、金融・情報通信・製造のほか公共機関など、幅広い業種の法人を顧客とするSI事業者であり、グループ全体で年間3500社以上の顧客基盤を持つ。さまざまな事業領域を手掛ける中でも、セキュリティ領域は集中投資により成長を目指す「フォーカスビジネス」の1つと位置づけられており、従来のソリューション導入・システム構築・運用といった事業から、リスクの可視化による事前把握から、継続的な管理および対策を行う、プロアクティブ（能動的）なセキュリティへと転換することを目指している。
「Mitokude」は、このようなビジョンの「リスクの可視化による事前把握」部分を担うソリューションとなる。グランセキュノロジーとの協業により、DTSのケイパビリティ（強み）を強化し、顧客に新たな価値を提供できるとした。
「守る側に道具が足りていない」現場の危機感
続いて、グランセキュノロジーの横濱友一氏（代表取締役）が、Mitokudeのコンセプトを説明し、「守る側に、現場で使える道具が足りていない」と述べた。
学校法人聖徳学園のほか、複数の組織のCISOを務め、実際にセキュリティインシデント対応にあたった経験を持つ横濱氏は、現場において高度な攻撃以前に「自社に何があるか分からない」という問題に、まず直面したという。
サイバー攻撃を行う側は、AIなどのツールを使い、攻撃対象組織の脆弱性や設定の不備などを検知する。しかし、防御にあたるべき組織には、まず「何を守るべきか」を把握する十分な手段がない。組織のIT資産を機械的にリストアップし、それらのリスクを評価して優先順位を付けられるようにするのが、ASMサービスである「Mitokude」の役割となる。
直近のインシデントも「事前対策しとけばよかったね！」
サイバー攻撃を受ける前のリスク可視化および対策の重要性が分かる例として、グランセキュノロジーの守井浩司氏（CISO）が、2026年上半期に発生したセキュリティインシデントを振り返った。
ホワイトハッカーとして、ウェビナー「教えて！ホワイトハッカー守井さん」などの活動も行う守井氏は、深刻なセキュリティの話題を扱いながらも、ところどころにジョークを挟み込むファニーなキャラクターでも知られる。数々の事例を、リスクの適切な可視化および把握、および優先順位を付けるなどの評価をして「事前対策しとけばよかったね！」と、振り返った。
例えば、ランサムウェア攻撃の事例では、侵入に対する防御とともに、イミュータブル（書き換え不能な）バックアップなどサイバーレジリエンスを強化する対策が、公開ウェブシステムの脆弱性を突いての侵入に対しては、使用しているシステムおよびバージョンを、脆弱性の存在を適切に把握する対策が、それぞれ重要だとした。
社内にあるデバイスは100台のはずが、「108台」見つかった
ふたたびグランセキュノロジーの横濱氏が登壇し、Mitokudeについて説明した。
現在のセキュリティの現場には「攻撃者に見えているのに、企業には見えていない」情報がある。「現場で使える道具が足りていない」をさらに具体的に指摘するものだが、攻撃者はAIを含むツールを使い、組織のネットワークをスキャンして、攻撃可能な脆弱性や設定の不備などを見つけ出す。もしも防御側が同等のツールを使っておらず、機材管理表などを使った管理のみであれば、脆弱性などの把握漏れを防ぐのは難しい。
ASMは、攻撃者が使うスキャンと同様の仕組みにより、自社のIT資産をスキャンする。さらに、資産の価値および脆弱性の深刻度からリスク評価を行い、想定される攻撃シナリオから、対応の優先度を決める。
Mitokudeは、この先にホワイトハッカーに「相談する」機能まで備えているのが特徴だと、横濱氏は説明した。これにより、高度なセキュリティの知識・技術を持つ専門人材がいない企業でも、発見したリスクに対して適切な対策を行うことが可能になる。
Mitokudeのデモンストレーションも行われた。.pubでは、自社のドメインを入力するだけで、インターネットからアクセスできるドメインにつながったネットワーク資産のスキャンが行われる。結果、サブドメインで運用していたかつての（誰も管理しなくなっていた）キャンペーンサイトや、CMSなど使われているシステムの脆弱性の存在が検知された。
.localは、社内にスキャン用のデバイスを設置することで運用できる。起動すると、PCやスマートフォン、NAS、複合機など社内ネットワークに接続されたデバイスがリストアップされ、OSのバージョンから、既知の脆弱性が存在していれば警告される。PoC（実証実験）のため導入した企業では、システム管理部門では社内で使用中のデバイスは100台だと把握していたが108台見つかり、セキュリティ責任者が驚いた事例もあったという。
質疑応答において、こうした機能は企業のセキュリティに関わる作業をどの程度効率化するのか？ との質問がされたが、このようなASMによるスキャンは、効率化というよりは、手作業によるIT資産管理で生じてしまう把握漏れをなくすものだと考えた方がよい。例えば、各部署のリーダーに使用している機材のリストを提出させても、リーダーに報告せずに誰かがネットワークに接続しているデバイス（これがシャドーITとなる）はリストに載らない。しかし、ネットワークを通じて機械的にスキャンすれば、その存在を把握できる。
検知した脆弱性などはセキュリティリスクとして評価し、重要度や想定される攻撃シナリオとともに可視化される。既知の脆弱性との紹介やリスク評価などに関しては、作業の大幅な効率化が見込める、または専門家のいない組織でもそれらが可能になると言える。
企業のセキュリティを、リスク可視化から始める「リスク起点」型へ転換
最後にDTSの小川真太郎氏（デジタルソリューション事業本部 デジタルビジネス事業部 セキュリティ担当 担当課長）が、Mitokudeを使って展開するサービス像について説明した。
従来、セキュリティは「対策起点」だったという。顧客の課題や要望をヒアリングし、必要と思われる対策を導入する形だ。ところがMitokudeを利用することで、まずIT資産の可視化・把握およびリスク評価から始めることができ、実際に存在するリスクに対して手を当てる、合理的かつ効果的なセキュリティが可能になる。
小川氏は、DTSの取り組みについて「（ASMによる）見える化」だけでなく、「（DTSの開発力や運用力を組み合わせた）守れる化」を実現するものだと説明した。
Mitokudeは「CAASM」の領域へ
グランセキュノロジーは、従来のMitokude .pubについて、ASMにリスク管理機能も備えたASRM（Attack Surface Risk Management）サービスであるとしていた。今回、Mitokude .localの提供開始により、今後はCAASM（Cyber Asset Attack Surface Management：サイバー資産攻撃対象領域管理）として展開するとしている。
CAASMとはガートナーが定義する概念で、攻撃対象となる脆弱性などを可視化・把握できるようにするだけでなく、サイバー資産としての把握、およびリスク評価まで行えるものだと捉えるのがよい。Mitokude .localは、一般的なオフィスだけでなく、工場で使われる産業用PCやPLC（Programmable Logic Controller）、SCADA（Supervisory Control and Data Acquisition）、HMI（Human Machine Interface）といった制御システムなどの機器も想定している。加えて、導入企業の環境や要望に応じたカスタム対応も可能だという。