CBTSは、自律型ペネトレーションテストとセキュリティ専門知識を組み合わせ、組織が環境の変化に応じて悪用可能なリスクを継続的に特定し、攻撃経路を検証し、修復の優先順位を付けられるよう支援する「Penetration Testing as a Service(PTaaS)」を発表しました。
クラウド環境、SaaSアプリケーション、接続システム、サードパーティとの関係、そしてAIシステムは、従来のテストサイクルでは追いきれないスピードで企業の攻撃対象領域を拡大させています。業界自体の侵害データもこれを裏付けており、脆弱性の悪用は盗まれた認証情報を上回り、攻撃者の最大の侵入経路になりつつあります。さらにAIの登場により、脆弱性の公表から悪用までの期間が数か月から数時間へと大幅に短縮されています。
Horizon3.aiのグローバル・チャネル担当バイスプレジデントであるTim Mackie氏は、次のように述べています。「組織は、ある一時点における評価から、継続的なセキュリティ検証へと移行しつつあります。CBTSのようなパートナーは、この移行を実務的なものにする上で重要な役割を果たしています。NodeZeroの自律型ペネトレーションテスト機能とCBTSのセキュリティ専門知識を組み合わせることで、組織は悪用可能なリスクを継続的に検証し、エビデンスに基づいて修復の優先順位を付け、環境の変化に応じてセキュリティ体制を強化できるようになります」
AIが生成した検出結果は、正確性を確保するために人間によるレビューが必要
CBTSはNodeZeroを基盤にPTaaSを構築し、稼働中の本番環境全体で業務を中断させることなく自律的にペネトレーションテストを実施します。CBTSのセキュリティ専門家は各評価の結果をレビューし、顧客固有のコンテキストと修復ガイダンスを提供します。これにより、ペネトレーションテストは年に一度のチェックポイントから継続的な取り組みへと拡張され、新たな脆弱性、設定変更、ID関連の露出が発生するたびに、実際に悪用可能なリスクがどれかを組織が継続的に把握できるようになります。
CBTSのセキュリティプラクティス担当ディレクターであるRyan Hamrick氏は、次のように述べています。「環境は静止していません。だからこそ、脅威の特定も静止していてはいけないのです。従来のペネトレーションテストは組織に貴重なスナップショットを提供しますが、そのスナップショットは新たな脆弱性、設定、ID、システムが導入されるたびに急速に古くなってしまいます。CBTS PTaaSは、顧客が自社環境において実際に悪用可能なリスクはどれかを継続的に検証し、攻撃者がそれらをどう連鎖させ得るかを理解し、確信を持って修復の優先順位を付けられるよう支援します」
仕組み
NodeZeroを基盤とするCBTS PTaaSは、顧客の環境全体で反復的にペネトレーションテストを実行し、悪用可能なリスクを検証するとともに、個々の弱点がどのように連鎖して実際の攻撃経路を形成し得るかを示します。CBTSのペネトレーションテストおよび倫理的ハッキングの専門家が各評価をレビューし、専門的な知見、修復ガイダンス、顧客固有の推奨事項を提供します。すべての検出結果には、悪用可能性を示す100%の証拠が付随します。
本サービスは、顧客に以下を提供します。
- 検証済みの悪用可能性:顧客自身の環境内でのテストに基づき、セキュリティチームが攻撃者に実際に悪用され得るリスクに集中できるよう支援
- 攻撃経路の分析:複数の弱点がどのように連鎖して重要システムの侵害につながり得るかを提示
- 専門家によるレビュー:CBTSのペネトレーションテストおよび倫理的ハッキングの専門家が、顧客固有のコンテキスト、修復ガイダンス、検証済みリスクを低減するための推奨事項を提供
- カスタマイズされたレポート:検証済みの悪用可能性に基づいて修復の優先順位を付け、経時的な進捗を追跡できるようセキュリティチームを支援
- 柔軟なテスト頻度:リスクプロファイル、事業ニーズ、セキュリティ成熟度に応じて、日次、週次、月次、四半期ごとの実施ペースを組織が選択可能
組織が継続的脅威エクスポージャー管理(CTEM)プログラムを採用するにつれ、セキュリティチームには、事業リスクを生み出す可能性が最も高いエクスポージャーを継続的に特定・検証し、優先順位を付ける手段が必要になっています。Verizonの「2026年版データ侵害調査報告書(DBIR)」によると、脆弱性が再度悪用される可能性は、最後に悪用が観測されてからわずか30日後には約半分にまで低下することが判明しています。この結果は、リスクを低減するのは一度きりのパッチ適用ではなく、継続的な検証と優先順位付けであるという点を裏付けています。
CBTS PTaaSは、システム、デバイス、アプリケーション、ネットワーク全体にわたって脆弱性を設定上の問題、ID関連の露出、その他の弱点とあわせて評価することで、組織がこうしたアプローチを実践に移せるよう支援します。実際に悪用可能なリスクを検証し、それらがどのように連鎖して実際の攻撃経路を形成し得るかを示すことで、本サービスはセキュリティチームに「エクスポージャーの発見から修復まで」の明確な道筋を提供し、ノイズの低減、リソースの集中、そして時間の経過とともにセキュリティ体制を強化することを後押しします。
敵対的なフロンティアAIモデルによって新たに公表される脆弱性の件数が増加している現状において、これは極めて重要な能力です。文脈に応じた優先順位付けは、セキュリティチームが最も重要なエクスポージャーに集中し、確信を持って対応できるよう後押しします。
翻訳元: https://www.helpnetsecurity.com/2026/08/12/cbts-penetration-testing-as-a-service-ptaas/
