HIXOR
セキュリティ健康診断
健康診断の実施方法
セキュリティ健康診断で、実際に何を、どのように確認するかを公開しています。診断の中身が見えることが、信頼につながると考えています。
進め方
- ヒアリング — 事業の形、使っているサービスや機器、現在の対策をうかがいます（メール／チャット）。
- 現状確認 — 設定画面の共有など、お客様に無理のない方法で確認します。パスワード等の秘密情報は受け取りません。
- 報告書の提出 — 現在地と、優先順位つきの改善リストを報告書にまとめます。
- 宣言支援 — SECURITY ACTION自己宣言の手続きをサポートします（宣言自体は事業者が行う無料の自己宣言です）。
確認する項目
- アカウントと認証 — 主要アカウントの棚卸し、MFAの有効化状況、退職者アカウントの残存
- パスワード管理 — 使い回し・共有の有無、管理ツールの導入状況
- バックアップ — 取得状況、保管場所、復元テストの実施有無
- 更新（アップデート） — OSと主要ソフトの更新状況、サポート終了ソフトの有無
- 共有と権限 — ファイル共有の範囲、不要な外部共有や過剰な権限
- 方針と運用 — 情報セキュリティ基本方針の有無、担当と手順の定め方（IPAの自社診断25項目の観点を参照します）
優先順位の考え方
改善項目は、「被害の大きさ」と「起こりやすさ」の両面から並べ替えます。報告書では、まず着手すべき項目と、その理由が分かる形で提示します。形式はサンプルレポート（架空の事業者の例）でご確認いただけます。
この診断でしないこと
- ペネトレーションテストや脆弱性の攻撃的な検証
- 常時監視、インシデント対応
- 公式な認定の付与（SECURITY ACTIONは自己宣言であり、認定ではありません）
- 効果や補助金の採択の保証