脆弱性の監視サービス｜公開情報の確認とお知らせ・AIセキュリティ相談

脆弱性の監視サービスは、お使いの製品やサーバーに関係する脆弱性の情報を公開情報から確認してお知らせし、「自社が対象か」「何を確認すればよいか」の相談に乗るサービスです。クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティの相談・情報提供、AI研修の中でのセキュリティの学習の3つをお受けしています。お客様のシステムを操作する作業や、侵入を試す診断は行っていません。

脆弱性の監視でよくある悩み

脆弱性の情報は毎日のように公開されますが、社内で追いかけようとすると次のような壁に当たりがちです。

• 情報源が多く、追いきれない：公的機関、製品の提供元、Linuxの各ディストリビューションが別々に情報を出しており、同じ脆弱性でも書かれている内容や更新の時期が違います。
• 自社に関係するかの判断がつかない：ニュースで大きく取り上げられても、自社の版が対象か、修正版がもう出ているかは、公式情報を読み比べないと分かりません。
• 担当者が1人で、属人化している：確認が特定の人に頼っていると、その人が休んだときや異動したときに確認が止まります。
• 使っている製品と版の一覧がない：何を使っているかが整理されていないと、どの情報を見ればよいかも決められません。

提供している3つのサービス

脆弱性情報の監視とお知らせ

お使いのOS・サーバーソフト・ネットワーク機器・業務ソフトなどの製品名と版を伺い、その製品に関係する可能性がある脆弱性の情報を確認して、担当者がお知らせします。確認するのは、国内外の公的機関（JVN、IPA、米国のNVD、CISAの「悪用が確認された脆弱性」の一覧など）と、製品の提供元が公開しているセキュリティ情報です。

監視の対象にできる製品の範囲

公式のセキュリティ情報が公開されている製品が対象です。

• サーバーやパソコンのOS（Linuxの各ディストリビューション、Windowsなど）
• Webサーバー・データベースなどのサーバーソフト
• ルーター・VPN装置・ファイアウォールなどのネットワーク機器
• 業務ソフト、ブラウザ、オープンソースのライブラリ
• 生成AIのサービスやAIのライブラリ、クラウドサービス・SaaS（提供元が公開している情報の範囲）

インターネットからお客様の機器を探したり、外部に公開されている機器を調べたりする監視（ASM）は行いません。対象は、お客様にご申告いただいた製品と版です。製品と版の一覧がない場合は、一覧の作り方からご相談いただけます。

ソフトウェアの部品表（SBOM：製品に含まれるライブラリとその版の一覧）をお持ちの場合は、それをもとに対象を決めることもできます。SBOMがあると、製品の中に組み込まれたオープンソースのライブラリの脆弱性まで、対象かどうかを照らし合わせやすくなります。

なお、ASM（Attack Surface Management）は、インターネットから見える自社の機器やサービスを洗い出して管理する取り組みで、外部の調査を伴います。このサービスはASMではなく、ご申告いただいた製品と版の情報を見るものです。

お知らせの優先順位の付け方

出てくる脆弱性をすべて同じ重さで扱うと、本当に急ぐものが埋もれます。お知らせでは、公開されている次の指標をもとに、急ぐ順の目安を付けます。

お知らせに含める内容

• どの脆弱性か（CVE番号と、公式に発表された深刻度）
• お使いの版が対象になる可能性があるか（目安）
• 実際の攻撃に使われたという報告があるか
• 修正版や回避策が出ているか、出ていればどこで確認できるか
• 提供元が公開している確認の手順（版の確かめ方など）
• お使いの版のサポート終了（EOL）が近い、または終わっている場合はその旨（終了後は修正版が出なくなるため）

たとえば2026年10月に公表されたLinuxカーネルの脆弱性（CVE-2026-98432）では、Ubuntu・Red Hat・Debianなどで修正版の配布の状況が分かれ、同じLinuxでも「いま更新できるか」が環境ごとに違いました。こうした状況の違いを、お使いの環境に当てはめてお伝えします（この脆弱性の解説）。

お知らせの方法と頻度

お知らせはメールで行います。実際の攻撃に使われているものなど急ぐものは確認でき次第、それ以外は定期的にまとめてお送りするなど、頻度は対象の製品の数を伺ってご相談のうえ決めます。

このサービスでできないこと

お知らせは、公開された情報をもとにした判断の材料です。公開されていない脆弱性や、ご申告のない製品は対象になりません。対象かどうかの最終的な判断と、更新や設定変更などの作業は、お客様に行っていただきます。

監視とお知らせを外部に任せるメリット

• 確認の手間が減る：複数の情報源を読み比べる作業を任せ、社内では「自社に関係する」と分かったものの対応に時間を使えます。
• 担当者の不在で確認が止まらない：特定の人に頼らずに、公開された情報が届く仕組みになります。
• 判断の材料がそろう：対象かどうかの目安、悪用の報告、修正版の有無が1つのお知らせにまとまるため、更新の優先順位を社内で決めやすくなります。

脆弱性を見つけたり防いだりすることを約束するものではなく、公開された情報に気づき、判断するための材料を手元にそろえるためのサービスです。

脆弱性の管理に関係する法令・ガイドライン

• IPA「中小企業の情報セキュリティ対策ガイドライン」：中小企業が段階的に進める情報セキュリティ対策をまとめた手引きで、資産ごとに脅威と脆弱性を洗い出すリスク分析の方法も示しています（IPA）。
• 経済産業省「ASM（Attack Surface Management）導入ガイダンス」（2023年5月）：インターネットから見える自社のIT資産を把握し管理する考え方をまとめたものです。VPN装置などの侵入経路を把握する対策として参照されています（経済産業省）。
• EUのサイバーレジリエンス法（CRA）：EUで販売されるデジタル製品の製造者に、悪用が確認された脆弱性の報告を求める義務が2026年9月11日から適用されています。EU向けに製品を出している会社は、自社製品に関係する脆弱性の情報を早く把握する必要が高まっています（欧州委員会）。

AIセキュリティの相談・情報提供

「ニュースで見た脆弱性が自社に関係するか知りたい」「どの公式情報を見ればよいか分からない」「社内で生成AIを使うとき、何に気をつければよいか整理したい」といったご相談をお受けしています。公式情報の場所と読み方、確認するとよい点をお伝えします。

急ぎのご相談に備えて、対話AIが状況を伺い、担当者に引き継ぐオンライン相談ツールを準備中です。対話AIがお伝えするのは状況の整理と公式情報のご案内までで、システムの操作の指示は出しません。

AIを使った攻撃の手口と対策の考え方は、AIセキュリティ対策の解説やAIによる情報漏えいの解説にまとめています。

AI研修でAIセキュリティを学ぶ

AIセキュリティの学習は、単独の研修ではなく、法人向けの生成AI実務研修（15時間・全7章）の中で扱います。商談準備のリサーチの章では、顧客の情報のうち生成AIに入力してよい範囲を確認し、提案書を作る章では、社外秘情報の扱い方を学びます。業務で生成AIを使う手順の中でセキュリティの注意点を身につける形です。研修の内容・料金・助成金については、研修のページをご覧ください。

お引き受けしていないこと

次の作業は、現在お引き受けしていません。必要な場合は、専門の事業者をお探しいただく方法や、公的な相談窓口（IPA、JPCERT/CC）をご案内します。

• お客様のシステムやネットワークへの接続、操作、更新の適用、設定変更の代行
• 侵入を試す診断（ペネトレーションテスト）や、検査ツールを使った脆弱性診断
• 情報漏えいや不正アクセスが起きた後の調査・被害対応・復旧
• 攻撃の方法や悪用の手順のご説明

ご相談の流れ

1. お問い合わせ：フォームから、お使いの製品名と版、気になっている脆弱性、いま分かっていることをお送りください。
2. 担当者が公式情報を確認：公的機関と製品の提供元が公開している情報を確認します。
3. ご回答とお見積り：対象かどうかの目安と、公式の確認手順をお伝えします。継続して監視とお知らせをご希望の場合は、対象の製品の数を伺ってお見積りします。
4. 必要に応じてご提案：監視とお知らせ、スポット相談、AI研修の中から、ご状況に合うものをご提案します。

監視とお知らせを始めるときは、対象の製品と版の一覧（またはSBOM）をいただき、お知らせの送り先と頻度を決めてから開始します。システムへの機器の設置やソフトの導入は要りません。

料金の目安

料金はすべて税込で、初期費用はかかりません。お問い合わせへの最初のご回答とお見積りは無料です。最終的な金額は、対象の製品とご相談の内容を伺ってお見積りします。

よくある質問

使っている製品が対象かどうか、無料で教えてもらえますか？

お問い合わせへの最初のご回答として、公式情報をもとに対象かどうかの目安をお伝えします（無料）。目安は判断の材料で、最終的な判断はお客様に行っていただきます。設定や構成を伺ってより詳しく確認する場合は、スポット相談（1回5万円から・税込）になります。

脆弱性診断やパッチの適用も頼めますか？

現在はお引き受けしていません。お客様のシステムへの接続や操作、侵入を試す診断、事故が起きた後の調査は行っていないため、必要な場合は専門の事業者をお探しいただく方法をご案内します。

すべての脆弱性を知らせてもらえますか？

お知らせするのは、公開された情報のうち、ご申告いただいた製品と版に関係する可能性があるものです。公開されていない脆弱性や、ご申告のない製品は対象外で、すべてを漏れなくお知らせすることはお約束できません。

夜間や休日に急いで相談できますか？

対話AIが状況を伺って担当者に引き継ぐオンライン相談ツールを準備中です。現在はお問い合わせフォームで受け付け、担当者からご連絡します。

サーバーの情報を社外に渡しても大丈夫ですか？

ご相談に必要なのは、製品名と版、OSの種類などの情報です。パスワードやサーバーへの接続情報をお送りいただく必要はありません。秘密保持契約をご希望の場合はご相談ください。

社員数の少ない中小企業でも頼めますか？

はい。対象の製品の数に合わせてお見積りするため、セキュリティの専任担当者がいない会社や、確認を1人で担当している会社にも向いています。

脆弱性診断やペネトレーションテストとは何が違いますか？

脆弱性診断は、お客様のシステムに検査をかけて弱点を見つけるものです。ペネトレーションテストは、実際に侵入を試みて被害の範囲を確かめるものです。このサービスはどちらも行わず、公開された脆弱性の情報のうち、お使いの製品と版に関係するものをお知らせします。

料金に消費税や初期費用はかかりますか？

このページの料金は税込です。初期費用はかかりません。

提供会社について

クリスタルメソッド株式会社（2020年設立・東京都新宿区）は、対話AIとバーチャルヒューマンを自社で開発している会社です。AI・ディープラーニングに関する登録特許は16件あります。脆弱性やAIセキュリティのニュースも、公的機関と製品の提供元の公式情報をもとにブログで解説しています。