BIMSTOK、Early IO開発のアーリーリフレクション、エンタープライズシステム開発時のセキュリティ品質可視化と継続的脆弱性管理サービスを提供開始

～ SAST・DAST・SBOM等の開発時セキュリティ対策を体系化し、検証レポートの提供からリリース後の継続的なセキュリティ保守まで対応 ～

株式会社アーリーリフレクション（本社：東京都千代田区、代表取締役：田中喜之、以下：アーリーリフレクション）は、ソフトウェア開発におけるセキュリティ対策の透明性向上と、お客様によるセキュリティリスク管理の支援を目的として、「セキュリティ検証レポーティングサービス」および「継続的セキュリティ保守サービス」の提供を開始します。

アーリーリフレクションではこれまでも、自社プロダクト開発、エンタープライズ向けシステム開発を中心に、ソースコードの静的解析（SAST）、動的脆弱性診断（DAST）、ソフトウェア部品構成表（SBOM）の管理、依存コンポーネントの脆弱性検査など、開発工程におけるセキュリティ対策を実施してまいりました。

今回、これらの取り組みをセキュア開発プロセスとして体系化するとともに、お客様がセキュリティ品質を客観的に確認できるレポーティングサービスと、リリース後の脆弱性管理を継続的に支援する保守サービスを、正式なサービスメニューとして提供します。

背景

近年、ソフトウェアの脆弱性を悪用したサイバー攻撃や、オープンソースソフトウェア（OSS）を含むソフトウェアサプライチェーンを標的とする攻撃への対策が、企業の重要な経営課題となっています。

また、ソフトウェアはリリース時点で安全性を確認するだけでは十分ではありません。開発後に新たな脆弱性が発見されることもあり、システムを構成するソフトウェアや依存ライブラリを継続的に把握し、適切に管理することが求められます。

こうした背景から、ソフトウェア開発企業には、開発時のセキュリティ対策の実施だけでなく、その実施状況や検証結果について、お客様に対して客観的に説明できることが一層重要になっています。

アーリーリフレクションでは、従来から実施しているセキュリティ対策をより明確な形でお客様へ提供し、開発時から運用時まで一貫したセキュリティ品質の確保を支援するため、今回のサービス提供を開始します。

1. セキュア開発プロセスの体系化

アーリーリフレクションでは、ソフトウェアの設計・開発・検証・リリースに至る各工程で、システムの特性やリスクに応じたセキュリティ対策を実施しています。主な取り組みは以下のとおりです。

• Secure by Design（セキュア設計）：認証・認可、データ保護、アクセス制御などを考慮した設計

• SAST（静的アプリケーションセキュリティテスト）：ソースコードに潜在する脆弱性の検出

• SCA（ソフトウェア構成解析）：OSSや外部依存ライブラリに含まれる既知の脆弱性の検査

• Secret Scanning：ソースコードなどに混入した認証情報や秘密鍵の検査

• DAST（動的アプリケーションセキュリティテスト）：実際に動作するアプリケーションに対する脆弱性診断

• SBOM（ソフトウェア部品構成表）：使用するソフトウェアコンポーネントと依存関係の把握

• Security Review：セキュリティ上のリスク評価、修正、再検証

これらの取り組みを開発プロセスの中に組み込み、セキュリティリスクの早期発見と低減を図ります。

2. セキュリティ検証レポーティングサービス

アーリーリフレクションでは、ご希望のお客様に対し、開発時に実施したセキュリティ検査の結果や、ソフトウェア構成情報を正式なレポートとして提供するサービスを開始します。

• SASTによるソースコード解析結果

• SCAによる依存ライブラリの脆弱性検査結果

• DASTによるアプリケーション脆弱性診断結果

• SBOMによるソフトウェア構成情報

• 検出された脆弱性のリスク評価と対応状況

• セキュリティ検証結果の総括レポート

これにより、お客様は開発されたソフトウェアのセキュリティ検証状況を客観的に把握でき、社内のセキュリティ審査、システム監査、情報システム部門への説明などにも活用いただけます。

レポートの提供範囲、診断内容、実施時期については、システムの規模や特性、お客様のご要望に応じて個別にご提案します。

3. 継続的セキュリティ保守サービス

ソフトウェアの安全性は、リリース時点の検証だけで完結するものではありません。アーリーリフレクションでは、ご希望のお客様に対し、従来のシステム保守契約に加えて、継続的なセキュリティリスク管理を支援するサービスを提供します。

• CVE監視：公開される脆弱性情報の継続的な収集

• 影響分析：対象システムや依存ライブラリへの影響の調査

• リスク評価：脆弱性の深刻度、悪用可能性、システムへの影響を踏まえた優先順位付け

• 対策提案：ソフトウェア更新、設定変更、緩和策などの提案

• 定期セキュリティ診断：必要に応じた再診断と安全性の確認

• 定期レポーティング：脆弱性の検知状況、影響分析結果、対応状況の報告

本サービスにより、お客様のシステムについて、運用開始後も変化するセキュリティリスクを継続的に把握し、適切な対応を判断できるよう支援します。

4. 今後の取り組み

アーリーリフレクションは、ソフトウェアの品質を機能や性能だけでなく、セキュリティや継続的な保守性も含めて評価すべきものと考えています。

今後も、NIST SSDFやOWASPなどのセキュア開発に関する国際的な指針を参考に、開発プロセスの改善とセキュリティ対策の高度化に取り組んでまいります。

また、セキュリティ検査の自動化や開発・運用プロセスとの連携を推進し、お客様にとって透明性が高く、安心して継続利用できるソフトウェアの提供を目指します。

サービス提供について

• 対象：アーリーリフレクションが受託開発するソフトウェア、およびアーリーリフレクションが保守を担当するシステム

• セキュリティ検証レポート：ご希望に応じた有償オプション

• 継続的セキュリティ保守：保守契約に付帯するオプションサービス

• 提供内容・費用：システム構成、規模、監視対象、診断範囲に応じて個別見積もり

※本サービスはセキュリティリスクの低減と管理を目的とするものであり、すべての脆弱性の検出や、セキュリティインシデントの完全な防止を保証するものではありません。

株式会社アーリーリフレクションについて

株式会社アーリーリフレクションは、「世界を変えるはじめの反響となる」をミッションに、情報技術とデータ解析技術で社会課題に向き合う会社です。

モバイルデータをはじめとするビッグデータの取り扱い、大手ナショナルクライアント向けに、国内最大規模のユーザー数のシステムの設計から開発まで一貫して手がけてきた実績に加え、グローバルトップクラスの開発チームによる高品質・高セキュリティな開発を実現。さらに、建設コンサルタント業界での経営経験や、ダム・河川・下水など各種インフラ領域の重要業務経験者による、実務に沿ったアドバイスで建設DX分野の課題解決や業務改善を支援します。

社名 ：株式会社アーリーリフレクション

所在地 ：東京都千代田区神田神保町1-22-2

設立 ：2007年

代表者 ：代表取締役　田中喜之

URL ：https://earlyref.com

【本件に関するお問い合わせ】

株式会社アーリーリフレクション　事業開発本部

Mail ：[e-mail]

Webフォーム ：https://earlyref.com/ja/contact