Hi AUDIT | インタビュー掲載

Hi AUDITとはどのようなサービスですか？

当社TECHFUNDが「Hi AUDIT」というブランドで提供しているセキュリティ診断サービスです。Webサービスやアプリケーションの診断に加え、専門的なところではWeb3のスマートコントラクト監査、さらにIoT機器や医療機器といったハードウェアに対しても、セキュリティ上のリスクを発見する診断を行っています。

ただ、私たちが重視しているのは、リスクを発見して終わりにしないことです。「何件見つかりました」で終わるのではなく、どのように直せばよいかをアドバイスし、クライアント様のビジネスやご状況に寄り添ってリスクの解消まで進めていく。そこまでを含めて当社のサービスだと考えています。

Hi AUDITを立ち上げた背景を教えてください

当社TECHFUNDでは、2018年頃よりWeb3領域のセキュリティ監査事業をスタートしています。

Web3では、一つの脆弱性が直接的に資産流出につながることがあります。そのため、「コードに問題があるか」だけではなく、「実際に攻撃された場合、何が起きるのか」まで考えることが非常に重要でした。

その考え方をWeb2や一般的なWebサービスにも広げていったのが、現在のセキュリティ診断サービスにつながっています。

企業が事業を継続するうえでセキュリティは非常に重要ですが、開発が終わってから一度確認するだけでは十分ではありません。開発の最後に確認したうえで、その後も定期的に問題がないかをチェックする。それを私たちが担うことで、企業様が安心してサービスや事業を続けられる仕組みを提供しています。

Web3で培ったセキュリティの知見は、Web2の診断にも活きるものですか？

共通する部分と、特化する部分の両方があります。セキュリティという大きな概念では同じで、どこで脆弱性が起こるかという点には共通部分があります。一方で、Web3ならではの脆弱性もあれば、Webサービスならでは、ECサイトならでは、ゲームならではといった業界特有の部分もあります。そのため当社では、平たく同じ診断をするのではなく、業界ごとに特化したところまで押さえるようにしています。

他の脆弱性診断サービスと比較した際のHi AUDITの強みは何ですか？

強みは3つあります。1つ目は、ツールによる自動診断と、専門家によるマニュアル診断を組み合わせたハイブリッド診断です。ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。ツール自体も自社で開発していますので、新たな脆弱性が見つかればそれを組み入れて強化し続けている点もポイントです。

2つ目は、脆弱性の報告だけで終わらず、事業への影響まで考えてクライアント様に寄り添うところです。当社はファンドとして企業の新規事業立ち上げを支援するとともに、自社でも様々な技術研究や新規事業の立ち上げに取り組んできました。こうした経験から、技術的な問題を、そのサービスの仕組みや顧客への提供価値と結びつけて捉えられることが強みです。

脆弱性の報告だけでは、企業側からすると、何から対応すればいいのか分かりません。

「この問題を悪用されると、他ユーザーの情報を取得される可能性がある」「この脆弱性は認証を突破して管理者権限を取得される可能性がある」といった形で、攻撃シナリオと事業インパクトまで整理して説明することを重視しています。

3つ目は専門性です。Web3、Web、IoT、医療機器と幅広い業界を押さえていて、業界によって変わるセキュリティ要件に特化した部分まで対応できることが強みだと考えています。

リスクの優先順位は、業界ごとに変わるものですか？

業界でも個社ごとでも違いがあります。ポイントは「何を一番守りたいか」です。ブランド価値を毀損したくない、お客様の情報を絶対に漏らしたくない、フィンテックであれば預かっているお金を盗まれたくない、というように、企業ごとに一番強く求めるものがあります。そこを把握したうえで、診断を実行する際もそれを意識して進めています。

どのような立場の方からのご相談が多いですか？

大きく3つのパターンがあります。1つ目は、自社のサービスにどれくらい脆弱性があるのか分からないのできちんと調べたい、というケースで、ビジネスオーナーや経営層の方からのご相談が多いです。2つ目は、取引先からセキュリティを確認しているのかと聞かれた、新しい規制に対応できているか確認したい、といったケースで、こちらもビジネス側の方からご要望をいただきます。

そして最近増えているのが3つ目、開発組織からのご相談です。開発者の方がAIのコード支援ツールを使って開発スピードが上がっている中で、「脆弱性はあるだろうと思いながらも、第三者にきちんと見てほしい」「たくさんある中でどこを優先して直せばよいか分からない」という課題をお持ちで、CTOの方をはじめ開発組織の方からご相談をいただいています。

最近はどのような導入理由が増えていますか？

リリース前に、第三者によるセキュリティチェックを受けたい、開発途中・アップデートのたびにセキュリティを確認したいというのが多く増えています。

特に最近は、AIを活用して開発速度が上がっているため、セキュリティチェックをより短いサイクルで行いたいという相談が増えています。

その場合は、開発者向けにHi AUDIT Agentという自動診断ツールをお勧めし、DevSecOps*として開発サイクルの中にセキュリティチェックを導入していただいています。

*開発（Development）、セキュリティ（Security）、運用（Operations）の3つを統合し、ソフトウェア開発のライフサイクル全体にセキュリティ対策を組み込むアプローチ

監査会社への個別依頼や社内でのツール運用と比べたとき、決め手になる判断軸は何ですか？

決め手になるのは、自社の事業に即したリスクを把握できるか、修正の判断・実行につながるか、そして必要な確認を無理なく続けられるかだと考えています。

社内でツールを運用する場合、診断を実行するだけでなく、検出結果が実際に悪用可能なのかを見極め、対応の優先順位を決める専門性や工数も必要になります。また、監査会社へ個別に依頼する場合も、診断範囲に加えて、事業固有の仕組みをどこまで理解してくれるか、修正や再確認をどこまで支援してくれるかが重要です。

当社は、テックアクセラレーターとしての開発・事業立ち上げ経験と、さまざまな領域の監査経験を活かし、技術的な指摘を事業への影響や具体的な改善策につなげることを重視しています。AI・自動化と専門家のレビューを組み合わせることで、お客様の開発スピードや社内体制に合わせた監査・改善支援を提供できる点が、選んでいただく際の判断材料になると考えています。

Web3、フィンテック、医療機器、IoT機器などの特定業界の実績により積み重ねた専門性もご評価いただいています。

導入企業ではどのような効果が出ていますか？

当社はこれまで6〜7年で約150社の監査を実施してきました。一度ご依頼いただいた方には、継続的にお使いいただいているケースが多いです。件数で言うとスタートアップ企業が多いのですが、大企業様はプロジェクトの規模も大きいので、金額ベースではエンタープライズ企業が大きな割合を占めています。

特に効果が大きかったのは、金融やフィンテックの領域です。脆弱性を放置したまま攻撃を受けていれば数千万円から数億円規模の被害になり得たものを、事前に発見できた事例が複数あります。実際にインシデントが起きた場合、金銭的な被害で済めばまだよいのですが、間接的にはブランドの毀損につながります。お客様のブランドは金額では表せないものですので、それを未然に防いだ点についても高く評価いただいています。今は大企業でもこうしたことが起きていますので、慎重に進められている会社様が多く、当社もきちんと応えるようにしています。

最短3日で監査が完了するケースと、それ以上かかるケースでは何が違いますか？

対象となるシステムの規模、複雑性、既存システムからの変更点によって変わってきます。脆弱性を見つけてレポートを出すだけであればすぐに終わりますが、実際に再現するかという動作検証をしたり、手順を確認したり、その問題が本当に問題になるのかをヒアリングしたりする場合は期間が長くなります。

Hi AUDITはどのような企業に向いていますか？

当社は柔軟性を強みにしています。プロジェクトの規模が大きい、開発スケジュールが非常にタイト、予算や期間に制限がある、といったお困りごとがある場合に、診断期間を工夫したり内容を精査したりして柔軟に対応していますので、そうした制約をお持ちの企業様にはとても向いています。海外にも同様の会社はたくさんありますが、価格面で優位性を出せることと、日本語でスムーズにコミュニケーションできることも、日本の企業様に向いている理由です。

また、業界特有の規制や要件といった特殊なリクエストにも対応可能です。最近では、製造業で欧州に出荷する企業様から、欧州独自の規制に対応できるかというご相談もよくいただいています。要求事項を出したうえで、すべてに対応できているかをチェックできます。このように、既定のメニューを提供するだけではなく、顧客ごとの課題や要件に合わせて柔軟に診断を設計できる点が、Hi AUDITのメリットだと考えています。

レポート提出後のサポート体制について教えてください

見つけた脆弱性を放置せず、適切に対応していただくことが重要だと考えていますので、対応が終わるまで並走させていただくのが当社の方針です。多くの会社様から「珍しい」と言われますが、レポートを出して終わりという会社は結構多いのではないでしょうか。当社は、レポートの説明会、ご質問への回答、修正方法のご相談、「直したので見てほしい」というご依頼への対応を、追加料金なしですべて無料で行っています。ここが他社にない大きな特徴だと考えています。

脆弱性がたくさん出てくると、リソースがないために後回しになり、結局片付かないというケースは多いです。そこで、第三者が一緒にプランニングをすることが非常にポイントになります。「12週間の間にここを直しましょう」「3か月の間にここを直しましょう」といったプランを立てることもできますので、そこはとても喜ばれています。

料金体系はどのようになっていますか？

プロジェクトの現在の状況、リリーススケジュール、どこまでのセキュリティレベルを求めるかによって、最適なプランをご提案しています。基本的には、月額での自動診断と、最後に行う個別監査の両方をおすすめしています。小規模であれば最後に一度診断すればよい場合もありますが、規模が大きくなるほど後戻りも大きくなりますので、開発のたびに自動診断を回し、最後に個別診断を行う組み合わせをおすすめしています。

今後の展望を教えてください

AIによって開発速度が非常に上がり、エンジニアではない方も開発をしているという話をよく聞きます。スピードと人数が増えていく中で、セキュリティ側のキャパシティはあまり変わっていません。そこで当社でも、ツールによる自動化やツールでカバーできる範囲を広げる開発を日々進め、今の開発状況に合ったサービスを提供できるようにすることを目指しています。

また、開発効率とセキュリティの高さがますます重視されつつありますので、お客様の開発プロセスに向き合い、「開発の中のこのタイミングでセキュリティを見た方がよい」ということを浸透させていく取り組みも始めています。単なる診断サービスの提供者ではなく、開発プロセス全体を見据えてセキュリティ向上の活動を行うパートナーになっていきたいと思っています。

最後に、読者へのメッセージをお願いします

企業様と一緒にセキュリティの向上に取り組む中で、世の中にたくさんある悲しいインシデントを一つでも減らしていきたい、という思いでやっています。いろいろな会社とお話ししたいですし、サービスをお使いいただくことで当社も能力を磨いていきたいと思っていますので、ぜひお気軽にご相談ください。

まとめ・編集部コメント

Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。

強みは、自社開発の自動診断ツールと専門家によるマニュアル診断を組み合わせたハイブリッド診断です。ツールで効率的に大量の項目を検出しながら、ビジネスロジックに関わる複雑な脆弱性は人の目で押さえるという考え方は、AIによって開発スピードが上がる現在の開発現場に合っていると考えられます。約150社の監査実績に加え、レポート説明会や修正相談、修正後の再確認までを追加料金なしで対応するサポート体制も、導入検討者にとって安心できる材料です。

リリース前の最終確認にとどまらず、開発の都度セキュリティを確認するDevSecOpsの導入を検討している企業、フィンテックやWeb3のように高いセキュリティ水準が求められる領域で事業を展開する企業、そして予算やスケジュールに制約がある中で柔軟な診断設計を求める企業にとって、Hi AUDITは有力な選択肢となるサービスです。