先月の11日(火)～14日(金)にわたって開催された東京開催では、インシデント対応の演習やハンズオンセミナーを行うワークショップが開催された。そして展示会では、出展各社のイチオシ製品やソリューションの説明が受けられる。
2025年3月の東京開催では、65社が出展して自社製品のアピールを行っていた。
本記事では、展示編（１）として、対策や技術ごとに特徴のあったソリューションを4つ（4社）紹介する。※全2回 計9社
●AI時代の脆弱性診断ツール「AeyeScan」：エーアイセキュリティラボ
セキュリティ対策におけるAI技術の導入は、ベンチャー発の企業の参入を大きく促した。エーアイセキュリティラボもそのひとつだが、同社の特徴は創業者やコアメンバーに、セキュリティ業界のベテランが多く集まっている点だ。
「AeyeScan」はAIの技術を利用したWebアプリケーションの脆弱性診断ツールである。クラウドサービスなので、利用者は診断したいサイトのURLと基本的な情報を設定するだけでよい。そのため、最短で10分ほどで診断結果を見ることができるという。
脆弱性診断では、設定されたURLやIPアドレスから対象ページをアクセスしていく。途中の入力フォームなどもAIが適切に判断するので、例えばクレジットカード登録や画像アップロードのような複雑なフォームにも対応している。また、診断過程でキャプチャした画像を使って画面遷移図も作成してくれる。この自動巡回機能によって、診断範囲が可視化される。画面遷移もトラッキングされているので、脆弱性が見つかったとき、どんなページと入力でたどり着いたのかも確認できる。
レポートは、OWASPやIPAが推奨しているガイドラインに準拠したものになるので、客観的な指標としても使える。生成AI機能を活用すれば、経営層向けの言葉でまとめたエグゼクティブサマリも生成可能だ。同社によれば、顧客は大手企業が多いがECサイトなどでも、脆弱性診断の項目にOWASPが求められたりするので、引き合いが増えているという。
AeyeScanが大手企業での利用が多いのは（国内屈指のセキュリティベンダーも利用している）、クラウドサービスやアプリを展開しているような大手企業、自社セキュリティ部門が脆弱性診断や対応を行っているような企業でのニーズを満たせるからだ。Webサイトやアプリが外部サイトやサービスを使っている場合も、APIで連携している範囲で診断することができる。
昨年秋には生成AIを活用したWeb-ASM機能をリリースするなど、脆弱性診断だけでなく、Webセキュリティの課題解決をトータルで支援するサービスも用意されている。
●可用性・利便性重視のセキュリティ対策：SB C&S / Omnissa
セキュリティ対策の課題のひとつに、セキュリティの3要素のうちの可用性とのバランス問題がある。安全方向に対策を強化するほど利便性・可用性が悪化する。あまり制限や規制を強くすると、業務効率は落ちてしまい、社員のモチベーションにもかかわってくる。
可用性が悪化すると、現場で例外運用やポリシー違反の言い訳となってしまい、結局セキュリティレベルが上がらないことが最大の問題だ。対策を強化したのに、返ってセキュリティレベルが下がってしまい、インシデントを発生させてしまっては本末転倒だ。
SB C&S / Omnissaが展示していたのは MDM/UEM 「Workspace ONE」と仮想デスクトップ(VDI)「Horizon」を組み合わせることで高セキュアかつ、使い勝手のよい業務環境を提供するソリューションだ。Workspace ONE と Horizon はOmnissaという米国のセキュリティベンダーが開発したもの。
特徴は Windows, MAC, iOS, Android といった主だったOSだけでなく、特定機器向けのOSにも対応している点だ。端末にインストールしたエージェントを経由して、PC、サーバー、スマートフォン、タブレット、業務端末や専用機器までクラウドから一元管理ができる。Workspace ONEは、企業ごとのポリシー違反や未承認端末を検知、遮断などを行うが、可用性を重視しているので、たとえばWi-Fiの接続状況、バッテリーの残量、セキュリティパッチの状態などもモニタリングして、業務効率の改善にもつなげられる。
電波状況のわるいデバイスや場所を調べたり、バッテリーの状態やデバイスの状態からメンテナンスや機器のリプレースなどに役立てたりできるという。
VDI機能は、高度なセキュリティが要求される用途においては健在なソリューションだ。テレワークやクラウド利用が進む中、VPN接続やゼロトラストネットワークを導入しても端末に機密データを置くことに対する安全が完全に確保できるわけではない。クラウドやデータセンター上に業務環境を用意して、ローカルのPCやデバイスにはいっさいのデータやファイルを残さないVDIのニーズは高い。
しかし、いままでの VDI は GPU を搭載しないで導入されているケースが多く、このような環境で最新のOSやアプリを利用しようとしても、GPU パワーが活用できずストレスフルな環境になってしまう。現在では、VDI サーバー側に NVIDIA の GPU ソリューションを実装するケースが増えている。これにより Windows 11 や Office アプリ、ビデオ通話などに最適な VDI 環境が利用できるようになる。描画はすべてサーバー側で行われ、端末側は動画ストリーミングを見ているのと変わらない応答性が期待できる。
●日本発ベンチャーによるAIを活用したCNAPP：Cloudbase
クラウドセキュリティは究極のポスチャマネジメントであるといえる。SASEがそうであるように、まとめて一貫した管理をするのが理想なのだが、さまざまなサービスの集合であるクラウドシステムの特性から、また責任分界点の問題から、それは難しい。
面倒なクラウドの設定管理（CSPM）、各機能やリソース（コンテナや仮想インスタンスなどワークロード）の脆弱性管理と保護（CWPP）、適切なアカウント管理と連携、アクセス制御（CIEM）、SBOMを使ったライブラリやソフトウェアモジュールの管理（SCA）といった機能をまとめてCNAPP（Cloud Native Application Protection Platform）という。
Cloudbaseは、このうちCSPM、CWPP、CIEMについて統合的なセキュリティ機能を提供するソリューションを持っている。設定管理やリソースの脆弱性診断などは、類似のソリューションもある。SASEの機能でも一部はカバーできるはずだ。だが、Cloudbaseのソリューションは、脅威が発見されたときの対応策や、脅威の排除方法などの情報を一部AIを活用してまとめており、製品上で閲覧できる。
Cloudbaseは、20代の若者が興した国産のクラウドセキュリティプラットフォームだ。同社のソリューションは、高度な知識と技術が必要なセキュリティ運用業務をわかりやすいドキュメントとトリアージ機能で効率化し、ユーザーによるリスク修復の体験を向上してくれる。
●SASEは高い？エンタープライズブラウザーにできることがある：キヤノンITソリューションズ
クラウドセキュリティでは、SASEのような複数のクラウドサービスのセキュリティを統合的に管理できるソリューションが注目されている。アカウント管理、ポスチャマネジメントを一元管理する考え方だ。
だが、多種多様な機能を持ちプロバイダーもばらばらとなると、一貫性のある網羅的な管理を行うのは難しい。また一般的に高額なソリューションとなるため導入ハードルが高い。中小企業などには手が出しにくい現実がある。
キヤノンITソリューションズが展示していた「Mammoth Cyber Enterprise Browser」は、その問題に対応する企業向けエンタープライズブラウザーだ。
Mammoth Cyber Enterprise Browserを利用すれば、企業の管理者は、EntraID等のIdPと連携させることで、ユーザーベースのアクセス制御やアクセス先で実行できる操作内容の制御が可能だ。さらにAWSやAzure、オンプレミスのネットワークに対してブラウザを介して接続することができる。また、ユーザーごとにアクセス先や実行された操作、やり取りしたファイル、コピー&ペーストした内容などをログ上から確認することができるため、万が一インシデントが発生した場合にも役立てることができる。
SASE機能のすべてを賄うことはできないが、テレワーク環境、クラウドベースのビジネス環境でちょうどよいセキュリティを実現することができる。Mammoth Cyber Enterprise BrowserはChromiumベースで作られているので、UIや互換性の問題などで業務を妨げることもない。
また、会場5階のカンファレンスルームでは、仮想企業を題材にしたインシデント対応を行う机上演習や、ハンズオンセミナーなどを行うワークショップが4日間通して開催され、賑わいを見せた。
ライター：中尾真二
イベントレポート 展示編（２）につづく
講演編はこちら↓
（１）：https://nanooptmedia.jp/news/news-1788/
（２）：https://nanooptmedia.jp/news/news-1794/
次回のSecurity Daysは10月に東京、名古屋、大阪、福岡の4都市で開催。
公式サイト >> https://f2ff.jp/event/secd