SECURE AQ 調査レポート
1. 基本情報
- ツール名: SECURE AQ (セキュア エーキュー)
- ツールの読み方: セキュア エーキュー
- 開発元: 株式会社SHIFT
- 公式サイト: https://service.shiftinc.jp/service_cat/security/
- 関連リンク:
- カテゴリ: セキュリティ
- 概要: SECURE AQは、株式会社SHIFTが提供する総合セキュリティサービスブランドである。脆弱性診断、ペネトレーションテスト、セキュリティ監視・分析（SOC）、インシデントレスポンス、そしてセキュリティ態勢構築コンサルティングまで、企業のセキュリティ課題に対する包括的なソリューションを提供する。
2. 目的と主な利用シーン
- 解決する課題: サイバー攻撃の高度化・複雑化に伴う情報漏洩リスク、セキュリティ人材不足、クラウド移行や開発の高速化に伴うセキュリティ対策の遅れ。
- 想定利用者: 企業のCISO、セキュリティ運用担当者（CSIRT/SOC）、システム開発部門、ITインフラ管理者。
- 利用シーン:
- Webアプリケーションやネットワークのリリース前・定期的な脆弱性診断
- ペネトレーションテストやレッドチーム演習による組織的なインシデント対応力の検証
- 24時間365日のセキュリティ監視（SOC）のアウトソース
- インシデント発生時の緊急対応（デジタルフォレンジック、IR初動支援）
- セキュリティガイドライン準拠やDevSecOps体制構築のためのコンサルティング
3. 主要機能
- 脆弱性管理・診断: 国際基準に準拠したWeb・ネットワーク・スマホアプリ等の脆弱性診断や、ワンショットASM（隠れたIT資産の洗い出し）、脆弱性管理ツール「S4」の提供。
- 実践的テスト（オフェンシブセキュリティ）: ペネトレーションテスト、レッドチーム演習、脅威ベースペネトレーションテスト（TLPT）による、実際の攻撃シナリオに基づく防御・検知・対応能力の評価。
- セキュリティ監視・分析（SOC）: あらゆる環境に対応し、費用や対象を柔軟に設定可能な24時間365日の継続的なセキュリティ監視。
- インシデント対応（IR）: 年間契約型インシデントレスポンス（IR-1）による初動対応支援、およびフォレンジック調査による原因究明と被害状況の特定。
- コンサルティング・導入支援: CSIRT/PSIRT構築支援、DevSecOps支援、セキュリティアセスメント（Security Smart Start）、AWSセキュリティアセスメント、各種ガイドライン対応支援。
- 最先端脅威への対応: AIによる攻撃コード生成などの最新脅威に対抗する「フロンティアAI脆弱性即応支援」。
4. 動作原理・システム構成
- アーキテクチャ: サービス（診断・コンサルティング等の人的サービス）とSaaSツール（S4等）のハイブリッド構成。
- 主要コンポーネントとデータフロー:
- 脆弱性診断やペネトレーションテストでは、SHIFTの専門家が外部または内部ネットワークから対象システムに対してテストツールおよび手動による検査を実行し、結果をレポート化する。
- SOCサービスでは、顧客環境のログやアラートをセキュアな経路でSHIFTの監視センターに転送・集約し、アナリストが相関分析を行う。
- 脆弱性管理ツール「S4」などのSaaSは、クラウド上で提供され、顧客がインベントリ情報を登録することで自動的に脆弱性情報と突合・分析する構成と推測される。
- 特筆すべき要素技術:
- 各種脆弱性スキャナやペネトレーションテスト用フレームワークの活用。
- デジタルフォレンジック用の高度なデータ保全・解析ツール。
5. 開始手順・セットアップ
- 前提条件:
- 各種サービス・ツールとも、事前のヒアリング・要件定義が必要。
- インストール/導入:
- （コンサルティング・診断等のプロフェッショナルサービスのため、ソフトウェア的なインストール手順は個別SaaSツールを除き存在しない）
- Webサイトの問い合わせフォーム（https://service.shiftinc.jp/contact/）から相談を行う。
- 初期設定:
- サービス内容に応じて、機密保持契約（NDA）の締結、対象システムのリストアップ、監視用ログの転送設定、テスト環境へのアクセス権限付与などを行う。
6. 特徴・強み (Pros)
- 包括的なサービスラインナップ: 診断から運用、事故対応、教育まで、セキュリティのライフサイクル全体を1社でカバーできる。
- 柔軟性とコストパフォーマンス: SOCサービスなどにおいて、顧客の予算や環境に合わせた柔軟なカスタマイズが可能であり、「ワンショットASM」のように手軽に始められるパッケージも用意されている。
- 「自走化」の支援: DevSecOps支援や育成型アセスメント（Security Smart Start）など、外部に丸投げするだけでなく、顧客企業自体がセキュリティ対策を内製化・自走できるような支援に力を入れている。
- 品質保証のバックグラウンド: ソフトウェアテストに強いSHIFTのノウハウが活かされており、高品質な診断やテストが期待できる。
7. 弱み・注意点 (Cons)
- 属人性の高さ: セキュリティ専門家の知見に依存するサービスが多いため、担当者のスキルによって品質にばらつきが出る可能性がある（ただしSHIFT独自の標準化プロセスでカバーしていると推測される）。
- 価格の不透明性: 多くのサービスが個別見積もりであるため、Webサイト上から具体的な導入費用を把握しづらい。
- 導入のリードタイム: プロフェッショナルサービスであるため、要件定義から実働までに一定の期間を要する。
8. 料金プラン
| プラン名 | 料金 | 主な特徴 |
|---|---|---|
| 各種サービス | 要問い合わせ | 診断対象の規模、監視対象デバイス数、コンサルティング期間等に応じて個別見積もり |
| ワンショットASM等 | 個別設定 | パッケージ化された低価格・単発サービスとして提供されている（具体的な価格は要問い合わせ） |
- 課金体系: サービスにより異なる（単発契約、年間契約、月額課金等）。
- 無料トライアル: 不明（要問い合わせ）。
9. 導入実績・事例
- 導入企業: 株式会社ADKホールディングス、ビッグローブ株式会社、株式会社ニッセンホールディングス 等
- 導入事例:
- 株式会社ADKホールディングス: CSIRT構築からISMS取得まで、包括的なセキュリティ態勢の構築を支援。
- ビッグローブ株式会社: ゼロベースからのテスト支援および脆弱性診断を通じたマルチベンダーコントロール。
- 株式会社ニッセンホールディングス: ECサイト等に対するコスト・スケジュール・品質を満たす脆弱性診断の実施。
- 対象業界: 情報・通信・メディア、物流・EC、金融、製造など幅広い業界。
10. サポート体制
- ドキュメント: コーポレートサイト内に「脆弱性診断ガイド」「AWSマルチアカウント統制」「セキュリティベンダー選定比較チェックシート」など、豊富なホワイトペーパー・お役立ち資料を提供。
- コミュニティ: 公式なユーザーコミュニティの存在は確認できない。
- 公式サポート: 問い合わせ窓口（メールフォーム）、および緊急時のインシデントレスポンス窓口（フリーダイヤル対応）を設置。
11. エコシステムと連携
11.1 API・外部サービス連携
- API: 脆弱性管理ツール「S4」など一部SaaSにおいて提供されている可能性があるが、全体的なAPI公開状況は要問い合わせ。
- 外部サービス連携: AWS（AWSセキュリティアセスメント）、各種クラウド基盤（クラウド診断）、その他顧客が利用中のSIEMやログ基盤との連携（SOCサービス）。
11.2 技術スタックとの相性
| 技術スタック | 相性 | メリット・推奨理由 | 懸念点・注意点 |
|---|---|---|---|
| AWS | ◎ | AWS認定ソリューション「AWSセキュリティアセスメント」を提供 | 特になし |
| マルチクラウド環境 | ◯ | 幅広い環境に対するクラウド診断やSOC対応が可能 | 環境が複雑になるほど初期構築の要件定義に時間がかかる |
12. セキュリティとコンプライアンス
- 認証: SHIFTとしてISMS（ISO27001）、PIMS（ISO27701）、QMS（ISO9001）を取得している。
- データ管理: SOCサービスやIRサービスで顧客の機密データを扱うため、厳重なデータ管理が行われていると推測される。
- 準拠規格: ISOやNISTなどのグローバルスタンダードや国内の業界標準・ガイドラインへの対応コンサルティングを提供しているため、自身もそれらに準拠した運用を行っている。
13. 操作性 (UI/UX) と学習コスト
- UI/UX: 脆弱性管理ツール「S4」については「誰でも、すぐに、簡単に、脆弱性管理が始められる」と謳っており、直感的なUIが提供されている。診断レポート等も「Next Action」がわかる実用的な構成となっている。
- 学習コスト: 専門性の高い分野であるが、「Security Smart Start」や「DevSecOps支援」などを通じて、顧客側の学習コストを下げ、自走化を促すための教育・伴走サポートが充実している。
14. ベストプラクティス
- 効果的な活用法 (Modern Practices):
- 開発初期からセキュリティを組み込む「DevSecOps支援」を活用し、リリース直前の診断による手戻りを防ぐ。
- 「ワンショットASM」で自社の隠れたIT資産を迅速に把握し、その結果をもとに優先度をつけて本格的な診断や対策を実施する。
- 「年間契約型インシデントレスポンス（IR-1）」を平時から契約し、「起きてから考える」ではなく「起きる前に備える」体制を構築する。
- 陥りやすい罠 (Antipatterns):
- 診断ツールによる機械的な結果のみを受け取り、具体的な対策（パッチ適用やコード修正）を実行せずに放置する。
- SOCを導入したものの、自社の業務プロセスとの連携が不十分でアラートへの対応が遅れる。
15. ユーザーの声（レビュー分析）
- 調査対象: 公式サイトの導入事例
- 総合評価: 該当なし（G2等のレビューサイトにはサービス自体の登録なし）
- ポジティブな評価:
- 「コスト、スケジュールだけでなく『品質』でも心強い、脆弱性診断で頼れるパートナー」（株式会社ニッセンホールディングス）
- マルチベンダーコントロールも含めた柔軟な支援に対する評価。
- ネガティブな評価 / 改善要望:
- 第三者レビューサイトでの口コミは確認できず。
- 特徴的なユースケース:
- 単なるツールの導入やスポットの診断に留まらず、CSIRT構築やISMS取得のコンサルティングなど、組織の体制強化から入るケースが多い。
16. 直近半年のアップデート情報
- 2026-09-01: （推測）「フロンティアAI脆弱性即応支援」サービスを提供開始（AIによる攻撃の自動化・高速化に対応）。
- 2026-09-01: （推測）公式サイト上で各サービスのページを拡充し、SECURE AQブランドの訴求を強化。
(出典: SHIFT セキュリティサービス )
17. 類似ツールとの比較
17.1 機能比較表 (星取表)
| 機能カテゴリ | 機能項目 | SECURE AQ (SHIFT) | ラック (JSOC) | トレンドマイクロ | NRIセキュア |
|---|---|---|---|---|---|
| 基本機能 | 脆弱性診断 | ◎ ソフトウェアテストの知見活用 |
◎ 老舗の実績 |
◯ 自社製品連携 |
◎ 高度な診断力 |
| カテゴリ特定 | ペネトレーションテスト | ◎ TLPT/レッドチーム演習対応 |
◎ 高い技術力 |
△ 製品ベースが主 |
◎ 幅広い実績 |
| 運用支援 | SOC / 監視 | ◯ 柔軟な体制構築 |
◎ 国内最大級のSOC |
◎ 自社製品・インテリジェンス |
◎ グローバル対応 |
| 非機能要件 | DevSecOps自走化支援 | ◎ 開発との伴走に強み |
◯ コンサルティング提供 |
◯ 開発ツール連携 |
◯ セキュア開発支援 |
17.2 詳細比較
| ツール名 | 特徴 | 強み | 弱み | 選択肢となるケース |
|---|---|---|---|---|
| SECURE AQ (SHIFT) | 品質保証・テストの知見を活かした総合セキュリティ | DevSecOps体制の構築支援など、顧客の自走化に向けた伴走サポート。 | プロダクト（アプライアンス等）の自社開発は少なく、サービス主体の提供。 | 開発体制とセキュリティを密接に連携させたい場合や、柔軟な運用体制を希望する場合。 |
| ラック (JSOC) | 国内老舗のセキュリティ専業ベンダー | JSOCによる高度な監視・分析能力と豊富なインシデント対応実績。 | 大規模向けのフルスペックサービスが多く、コストが高額になりがち。 | トップクラスのセキュリティ監視体制をフルアウトソースしたい場合。 |
| トレンドマイクロ | グローバルなセキュリティ製品ベンダー | 自社の強力なエンドポイント・ネットワーク製品群と脅威インテリジェンス。 | 製品導入が前提となるケースが多い。 | 既存環境にトレンドマイクロ製品が導入されており、製品ネイティブな運用をしたい場合。 |
| NRIセキュア | 野村総合研究所グループのセキュリティ企業 | 金融系システム等で培われた高度なコンサルティング力とマネージドサービス。 | エンタープライズ向けが中心であり、導入ハードルが高い。 | 高度なコンプライアンス要件が求められる大規模エンタープライズや金融機関。 |
18. 総評
- 総合的な評価: SHIFTの「SECURE AQ」は、同社がソフトウェアテスト領域で培った「品質保証」のノウハウをセキュリティ領域に拡張した、強力な総合セキュリティサービスブランドである。単なる診断の提供やSOCのアウトソースに留まらず、顧客組織が自らセキュリティ対策を推進できるようになる「自走化（Security Smart StartやDevSecOps支援）」に注力している点が大きな特徴である。
- 推奨されるチームやプロジェクト:
- アジャイル開発やCI/CDを推進しており、セキュリティの組み込み（シフトレフト）に課題を抱える開発チーム。
- 社内のセキュリティ人材不足に悩み、CSIRTの立ち上げや脆弱性管理の仕組み作りから伴走支援を求める組織。
- 選択時のポイント: 既存のセキュリティ製品ベンダーが自社製品の導入を前提とすることが多いのに対し、SECURE AQは独立した第三者の立場からシステムの品質・セキュリティを評価・支援する。そのため、マルチベンダー環境のコントロールや、開発プロセス全体を通じた本質的なセキュリティ向上を目指す場合に最適な選択肢となる。