NRIセキュアテクノロジーズは2023年7月25日、「リスクベースアセスメントサービス」を提供開始した。ランサムウェアや情報の不正な持ち出しなど、顧客企業と選定した特定の脅威に対するセキュリティ上の耐性を机上で評価し、必要な対策を提言する。オプションで実環境のログ分析も実施する。価格（税別）は450万円から。1種類の脅威を評価する場合、評価開始から約2～3カ月で結果を報告可能である。
NRIセキュアテクノロジーズの「リスクベースアセスメントサービス」は、ランサムウェアや情報の不正な持ち出しなど、顧客企業と選定した特定の脅威に対するセキュリティ上の耐性を机上で評価し、必要な対策を提言するサービスである（図1）。オプションで、実環境のログ分析も実施する。
図1：「リスクベースアセスメントサービス」の概要（出典：NRIセキュアテクノロジーズ）拡大画像表示
特定の脅威に焦点を当てて、セキュリティ対策状況について机上評価を行う。これにより、脆弱性や攻撃が成立するおそれのあるシナリオを可視化する。このうえで、脅威に対する企業の耐性を明らかにしたうえで、対策状況の改善策を提言する。
現実的なリスクシナリオを提示し、他社事例も考慮したうえで各社に適した水準かつ実効性のある対策を提案する。単に必要な対策を導出するのではなく、「何が起こるのか」「どのようにリスクシナリオが成立するのか」を明確にしたレポートを提供する（図2）。
図2：リスクシナリオごとの耐性と対策を可視化したレポートを提供する（出典：NRIセキュアテクノロジーズ）拡大画像表示
「重大なインシデントが発生したタイミングで、具体的な脅威やリスクの観点に立ち、自社の状況をすぐに点検したいという企業が増えている。従来は、セキュリティ関連のガイドラインを参照しながら対応状況を確認するベースラインアプローチが主だったが、状況が変わってきた」（同社）
オプションで、机上評価だけでなく、実際のセキュリティ機器のログを分析し、選定した脅威に関する攻撃の兆候がないかを評価する。直近1カ月程度のWebアクセスログなどについて、アナリストが分析する。
なお、ランサムウェア対策については、標準の対応となる「スタータープラン」のほかに、上位プランとして「アドバンスドプラン」を用意している（表1）。なお、ランサムウェアを除くその他の脅威の評価においては、スタータープランと同様のサービス内容を提供する。
| プラン | スタータープラン | アドバンスドプラン |
|---|---|---|
| 用途 | クイックに基礎的なランサムウェア対策状況を確認する場合 | 基礎的な対策状況に加えて、特に重要な環境等に対して、設計に踏み込んだ評価を行う場合 |
| 対象顧客（例） | ランサムウェアに対する対策をこれから検討する/対策をし始めたばかりの企業 | すでにランサムウェアに対する対策を実施しており、妥当性を評価したい企業 |
| 評価手法 | 包括的評価（ランサムウェアに対する広範な対策状況の評価が可能） | 技術的な実装評価（ランサムウェアに対する技術的な実装により踏み込んだ評価） |
| データバックアップなどの設計レビュー | ─（インタビューベースでの評価） | ○（インタビューに加え、設計書を査閲する評価） |
| 脅威分析レベル（攻撃手法に基づいた分析） | 典型的な攻撃シナリオを洗い出し、分析 | 典型的な攻撃シナリオをベースに最新 |
| 実環境でのログ分析（オプション） | ○ | ○ |
