見えないサイバーリスクを、
意思決定できる情報へ

はい。すべての製品プランで、AI が評価・分析・レポート作成までを自走し、人を介さず結果が出ます。セキュリティコンサルタントによる承認や、外部 CISO としての伴走が必要な場合は、アドオンとして追加できます(専門家レビュー = 実行プラン以上、専任CISO伴走 = 統制プラン以上)。情報システム部門が兼務で対応されている体制でもご利用いただけます。

はい。評価結果は経営層向けの PDF レポートに自動でまとまります。可視化プランではスコアサマリーとリスク一覧までが対象で、経済分析の章と改善ロードマップの章は実行プラン以上のプランでご利用いただけます。リスクの状況と投資の根拠を、定量的なデータとともに報告できます。

必要な機能と規模に応じて選べます。可視化プランはアセスメントを随時実施でき、透かしなしの PDF レポートを出力できます。実行プランは経済分析・施策管理・インシデント対応まで含みます。統制プランは親子テナント 15 社・SSO・監査ログ出力を備えたグループガバナンス向けです。エンタープライズプランはグループ横断・規制対応を個別設計します。人による一次評価の承認や四半期レビュー、専任のセキュリティコンサルタントによる外部 CISO 伴走が必要な場合は、アドオン(専門家レビュー・専任CISO伴走)として別途追加できます。

各プランに月次の AI 利用量の上限があります。目安として、CIS Controls の IG1 相当の標準的なアセスメント 1 回分を基準にすると、可視化プランは月に概ね 4〜6 回分、実行プランは概ね 15〜25 回分、統制プラン・エンタープライズは概ね 40〜60 回分に相当します。利用量は日本時間の暦月単位で集計され、毎月 1 日にリセットされます(未使用分の翌月への繰り越しはありません)。あくまで目安であり、設問数の多いフレームワークや CIS Controls の IG2 / IG3 の評価、ROI 推定・レポート作成・ロードマップ生成・CISO アドバイザーなどの AI 機能も同じ枠から消費するため、実際の回数は利用状況で変わります。上限の 80% に達すると画面上でお知らせし、100% に達すると画面表示に加えメールでもお知らせします。上限到達後は、上位プランへの移行や追加枠の確保をお問い合わせください。

トライアルはお問い合わせいただいたお客様に、当社が個別に発行します(カード登録は不要で、自動課金は行いません)。ご検討中のプランと同じ機能を所定の期間(本サイト掲載時点では 30 日間)お試しいただけます。トライアル中はアセスメント 1 回(累計)・ユーザー 3 名まで・AI 利用量に上限があり、PDF レポートには評価用の透かしが入ります。トライアル期間の終了後、有料契約へ移行されない場合は、終了日の翌日から 14 日間は閲覧のみ可能となり、その後はログインできなくなります。有料契約へ移行される場合、アセスメント結果・レポートはそのまま引き継がれます。詳細は下記の特定商取引法に基づく表記をご確認ください。

標準では、AI が一次評価から結果の確定までを自動で行い、専門家のチェックは入りません。専門家による確認を加えたい場合は、専門家レビュー アドオン（実行プラン以上）をご契約いただくと、確定前に当社のセキュリティコンサルタントが内容を承認する二段階フローになり、承認後にスコア・リスク分析・レポートが確定します。

はい。承認済みのアセスメント結果を根拠に、AI が受領した Excel チェックシートの設問を自動抽出し、適合状況・確信度・根拠つきの回答草案を生成します。確定は人が行います(専門家レビュー アドオンをご契約の場合)。セキュリティチェックシート回答支援は実行プラン以上でご利用いただけます。

はい。エビデンスライブラリに規程類・手順書(PDF・Word・Excel・PowerPoint)をまとめて投入すると、AIがアセスメント設問と突合し、AIヒアリング時に設問ごとの参考情報として表示・活用されます。回答やスコアの自動入力は行わず、回答は人が行います。エビデンスライブラリは、実行プラン以上・追加費用なしで利用できます。

「1 アセスメント(1 回の評価)につき、確定前に 1 回」の一次評価承認を指します。専門家レビュー アドオンには、この一次評価の承認に加えて、生成成果物(投資対効果の推定・施策・レポート)のレビュー、四半期ごとのレビュー、第三者評価への対応に必要な専門家の確認が含まれます。月ごと・契約期間ごとの回数ではなく、同一テナントで複数のアセスメントを実施する場合は、それぞれの確定前にレビューが入ります。

リスクは独自手法 ACRA(MITRE ATT&CK 準拠)で攻撃チェーン上に定量化し、想定損失額は国際標準 FAIR(Factor Analysis of Information Risk)とモンテカルロ・シミュレーションにより「確率分布」として算出します。「年間損失は 95% の確率でいくらの予測範囲に収まり、P95・P99（20年・100年に1度級の年の目安）でいくらを超えるか」まで提示するため、単一の予測値より確度の高い投資判断材料になります。投資額については、情報セキュリティ経済学の Gordon-Loeb モデルに基づき、年間の想定損失額に対する推奨投資上限の目安を算出します(上限の目安であり、必要投資額を保証するものではありません)。これらの経済分析は実行プラン以上でご利用いただけます(可視化プランは対象外)。

はい。CIS Controls v8.1.2 / NIST Cybersecurity Framework (CSF) 2.0 / ISO 27001:2022 / サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）/ OWASP Top 10 for LLM / AIガバナンス成熟度評価 の 6 フレームワーク、計 628 評価項目を同一テナント内で並行アセスメントできます。アセスメントごとに別の IG / ★ レベルを選択することも可能です。

はい。OWASP Top 10 for LLM Applications 2025(MITRE ATLAS の攻撃戦術タグ付き)に対応しており、プロンプトインジェクション・機密情報漏洩・データ/モデルポイズニング・過剰なエージェンシー等の AI 固有リスクを、既存のサイバーリスク分析(ACRA)・投資対効果(ROI)と同じ枠組みで可視化できます。ROI 分析は実行プラン以上でご利用いただけます。社内チャットボット・RAG・AI エージェント等を業務利用・開発・提供している組織向けです。

はい。NIST AI RMF 1.0 と ISO/IEC 42001:2023 の観点を参照して当社が独自に構成した「AIガバナンス成熟度評価」(10 管理領域・68 設問)で評価できます。OWASP Top 10 for LLM が個々の AI システムの技術的リスクを扱うのに対し、本フレームワークは『組織として AI をどう統治・管理するか』という組織・ポリシー層を、0〜5 の成熟度として可視化します。全プランでご利用いただけます。NIST・ISO/IEC が公式に提供する規格そのものではなく、認証を保証するものではありません。

ロードマップの各フェーズを終えたと仮定したときに、攻撃者にとって狙いやすい領域がどこへ相対的に移るかを、セキュリティゲーム理論(Stackelberg Security Games; Tambe ほか, 2011)の考え方を応用した独自モデルで先読みし、AI が解説を添える機能です。実際の攻撃発生確率を予測するものではありません。統制プラン・エンタープライズプランで提供します。詳しい算出根拠と参考文献(DOI 付き)はヘルプの「残存リスク・シフト分析 算出根拠」セクションをご覧ください。

可能です。実行プランには親子テナント機構がなく、単一テナントでのご利用となります。統制プランでは標準で最大 15 社のグループ会社を管理・参照でき、より大規模なグループ構成はエンタープライズプラン(個別契約)で対応します。親テナントの管理者・閲覧者は各テナントのスコア・リスク・契約状況を横断的に閲覧・集計でき、データはテナント間で完全分離されます。

AWS 東京リージョン内に保存されます。テナント間でデータは完全分離され、ログインから評価・レポート生成までの主要操作はすべて監査ログに記録されます(1 年間保持)。監査ログの閲覧と改ざん検知は全プランで提供し、CSV / JSON でのエクスポートは実行プラン以上でご利用いただけます。

いいえ。AI ヒアリング・リスク分析・レポート生成に AI(大規模言語モデル)を利用しますが、本サービスを通じて送信されたデータが AI の学習に使われることはありません。データは AWS 東京リージョン内に保存され、テナント間で完全に分離されます。詳細はプライバシーポリシーに記載しています。

多要素認証、強固なパスワードポリシー、ブラウザセキュリティ対策、機能別のレート制限、全主要操作の監査ログ保持と改ざん検知(CSV / JSON でのエクスポートは実行プラン以上)、エラー監視を実装しています。テナント間のデータは完全に分離され、相互参照できない設計です。

はい。CISOaaS では SCS 評価制度の ★3・★4 の評価基準をアセスメントのフレームワークとして選択でき、基準に沿った現状の可視化と改善計画の立案に使えます。SCS 評価制度は企業が任意で参加する制度です。参加や評価の申請はお客様ご自身の判断で行っていただきます。また、CISOaaS は評価基準に沿った準備を支援するものであり、★ の取得(制度上の評価・認定)を保証するものではありません。

いずれのプランも、お問い合わせのうえ当社と個別に締結する契約書に基づくご契約となり、契約期間・最低利用期間・解約条件は契約書で定めます。詳細はお問い合わせください。