GMOサイバーセキュリティ byイエラエ株式会社は8月4日、「地方公共団体向けペネトレーションテスト・パッケージ」の提供を開始すると発表した。
地方公共団体では、業務効率化や住民サービス向上のため、従来の強固な「三層分離モデル（αモデル）」から、クラウドサービス等を活用する新たなモデル（α’モデルやβ/β’モデル等）への移行が進んでいるが、ネットワーク構成の変更やクラウドとの連携は、システムを複雑化させ、設定不備や運用上の死角を生む要因となっており、これらの死角は、従来の自動化された脆弱性診断ツールだけでは発見が難しいという。
「地方公共団体向けペネトレーションテスト・パッケージ」は、地方公共団体運営に不可欠なシステム群に対し、実際の攻撃者目線で侵入テスト等の疑似攻撃を行う実践的なセキュリティ評価サービスで、表面的な脆弱性だけでなく、「侵入・横展開・情報漏えい」につながる現実的なリスクをあぶり出す。同サービスが解決する地方公共団体の課題は下記の通り。
・波及（横展開）リスクの遮断
三層分離（α’/βモデル等）の境界防御が突破され、インターネット接続層から総合行政ネットワーク（LGWAN）層等へ侵害される可能性がないかを検証。
・総務省ガイドライン準拠と改善
単なるリスクや課題の指摘に留まらず、総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」や各団体の優先度を踏まえた具体的な改善策まで提示。
・設定・運用上の「人為的リスク」の特定
システムの技術的な脆弱性だけでなく、Active Directory等の認証基盤の運用や、導入しているSaaS・外部サービスの設定不備など、運用設計に潜むリスクを特定。
同サービスでは、地方公共団体のシステム環境や予算に合わせて、下記のメニュー等から柔軟に組み合わせて実施可能。
・三層分離モデルの適切性調査
Α’モデルでのローカルブレイクアウト、β/β’モデルの侵害調査
・認証基盤セキュリティ調査
Active Directory等の権限奪取・内部侵入リスク評価
・外部侵入可能性調査
公開情報調査（OSINT）調査、VPN・ネットワーク端点等の調査
・外部サービス・サプライチェーン調査
LGWAN-ASPや利用中SaaSやセキュリティソリューションの設定調査
・住民サービス窓口調査
団体公式Webサイト、行政手続き、電子申請、施設予約等、「ぴったりサービス」連携等の脆弱性調査
・インフラ・閉域網調査
交通・水道などの閉域網ネットワークに対する侵入可能性の調査
