MONTHLY SECURITY REPORT
ハッカーより先に、
脆弱性を見つけます。
書面で範囲と日時の許可をいただいたうえで、ハッカーと同じ手口で外から疑似攻撃をしかけ、脆弱性を洗い出します。情報システムの担当者がいない会社のかわりに、当社が毎月実施し、その月の実施結果と翌月の計画を、月次報告書でご報告します。
MONTHLY REPORT
2026年10月 月次報告書
SAMPLE
今月の所見
決まりAIに社外秘を送ってよいかの決まりがない
仕組み偽メール対策の設定が1つ抜けている
手ちがい退職した2人のアカウントが残っていた
翌月の実施計画
AI利用の決まりを作る概算費用
[金額]
先週、日本で実際に起きたこと
2026.10.05
問い合わせの管理を任せていた会社が不正アクセスを受け、顧客 約11万人分の情報が漏れた可能性。
委託元の証券会社は、自社のシステムに侵入された形跡はないと発表した。自社をどれだけ固めても、委託先が破られれば出ていく。
2026.10.07
国内のクラウド事業者がランサムウェア被害。495の企業と自治体が止まった。
預けていたデータは取り出しも復元も難しい見通しと発表された。借りている側に打てる手はなかった。
いずれも報道による。出典：ITmedia（10/7）、ScanNetSecurity（10/9）
貴社の委託先を、把握していますか →
MONOMI — VULNERABILITY ASSESSMENT
パッシブスキャンから
始めます。
当社の脆弱性診断の道具が MONOMI です。はじめはパッシブスキャン、つまり公開されている記録だけを照会する調査から入ります。証明書の透明性ログ（CT）、公開DNS、ドメインの登録情報（WHOIS）の3つです。この段階では、貴社のサーバーに一度も接続しません。
疑似攻撃に進むのは、ご自身のドメインだと確かめていただいた後です。許可のない診断は不正アクセス禁止法に当たるため、確かめる手順を飛ばせない作りにしてあります。
MONOMI の画面を見る →画面の見本です。出てくるドメイン名と所見は架空で、実在の組織とは関係ありません。
$ monomi scan example.co.jp --passive
パッシブスキャンを開始します。対象のサーバーには接続しません。
[1/3] 証明書の透明性ログ（CT）を照会
サブドメイン 12 件（稼働 9 / 応答なし 3）
応答なし 3 件に、テスト用と旧システムの名前が残っています
[2/3] 公開DNSを照会
SPF あり DKIM あり DMARC なし
他人が貴社の名前で偽メールを送れる状態です
[3/3] ドメインの登録情報（WHOIS）を照会
有効期限 2027-03-14（残り 153 日）
完了 要対応 2 件 / 記録のみ 5 件
ここまで、貴社のサーバーには一度も接続していません。
続けるには、このドメインが自分のものだと確かめてください。
0%
漏えいの3割に、外部の事業者が関わっていた
確認された漏えい12,195件の分析。Verizon 2025 Data Breach Investigations Report
0%
辞めた社員のアカウントが残っていた会社
従業員100〜500人の会社のIT・セキュリティ責任者109人への調査（2025年9月3日実施）
3–5日
漏えいに気づいてから、国への速報の期限
報告の対象に当たる場合。個人情報保護委員会へ。確報は30日以内（悪意によるものは60日以内）
EVERY MONTH
毎月まわしている4つ
脆弱性診断
疑似攻撃で外から脆弱性を洗い出し（脆弱性診断）、新しく公表された脆弱性にも当てて、直します。
アカウントを数える
辞めた人のアカウント、社員が新しく使い始めたAIやクラウドを、毎月数え直します。
AIの送信を見る
会社用のAIの窓口を通る送信に、お客様の名前や電話番号が入っていれば、送る前に止めます。
決まりを古くしない
AIの更新や世の中の事故に合わせて社内の決まりを差し替え、誰が確認したかを記録します。
MONTHLY REPORT
実施結果は、月次報告書にまとめます。
上の4つの実施結果を、毎月決まった日に月次報告書としてお渡しします。技術的な詳細は記載しません。対策と予算を決める方が5分で読み終えられる構成にしています。
株式会社〇〇 御中 2026年10月度
SAMPLE
1
脆弱性診断
新しく見つかった脆弱性 2件（うち至急 1件）
2
アカウント
退職者2人分を停止。新しく使い始めたAI 1つ
3
AIに送ろうとして止まったもの
5件（お客様の名前 3、電話番号 2）
4
社内規程と教育
確認済み 12人／まだ 3人
5
翌月の実施計画
AI利用に関する社内規程を整備し、全従業員の確認を取る。概算費用 [金額]
01
前の月と比べられる
毎月同じやり方で診断するので、増えた脆弱性と直した脆弱性が分かります。
02
3つに分けて書く
起きたことを「決まり」「仕組み」「人の手ちがい」に分けます。誰が直すかが決まります。
03
社員の名前は載せない
誰が送ったかではなく、何が危なかったかを書きます。
04
聞かれたら、そのまま出せる
取引先や保険会社に対策を聞かれたとき、毎月の記録がそのまま答えになります。
THIRD-PARTY INCIDENTS
漏れるのは、自社の
サーバーとは限らない。
問い合わせフォーム、名簿の置き場、チャット、クラウド。会社の情報は、いくつもの外部サービスに預けられています。10月に報じられた漏えいも、自社ではなく委託先が破られたものでした。
当社はお客様ごとに委託先の一覧を持ちます。ニュースで事故が出たら、巻き込まれたかどうかを [時間] 以内にお伝えします。
今出ている事故を確かめる →委託先の一覧
SAMPLE
HOW TO START
始め方
01
相談する
現状の課題と、利用中の外部サービスを伺い、月次報告書の見本をお見せします。
02
書面で許可
調べる対象、期間、ご担当者、緊急時に止める連絡先を決めます。許可のない診断は不正アクセス禁止法に当たるためです。
03
初回の報告書
脆弱性診断を実施し、委託先の一覧を作成して、初回の月次報告書をお渡しします。
[初回の料金]
[初回の料金]
04
毎月続ける
毎月決まった日に月次報告書をお届けします。
[月額]
[月額]
FAQ
よくある質問
どのくらいの規模の会社が対象ですか
情報システムの担当者がいない会社です。社員10人ほどから、店舗や事業所が分かれている会社まで。人数より、使っている外部サービスの数で手間が決まります。
社内に詳しい人がいなくても大丈夫ですか
そのための月次報告書です。技術用語ではなく、翌月の実施計画と概算費用で記載します。読むのは、対策とお金を決める人です。中小企業では社長のことが多く、総務の担当者のこともあります。
24時間対応してもらえますか
していません。お約束するのは、毎月の点検と報告、それに委託先の事故が出たときにお答えすることです。今まさに被害が進んでいるときは、右上の「緊急対応」に最初の動き方をまとめています。
サイバー攻撃を全部止めてもらえますか
できません。攻撃をゼロにする方法はありません。当社がやるのは、脆弱性を毎月ふさぐこと、起きたときに何をするかを決めておくこと、やったことを記録に残すことの3つです。
診断で自社のサイトが止まることはありませんか
はじめに見るのは、誰でも見られる記録（証明書の透明性ログ・公開DNS・WHOIS）だけで、貴社のサーバーには接続しません。疑似攻撃に進むのは、ご自身のドメインだと確かめていただき、実施する日時と緊急時に止める連絡先を決めてからです。
社員のパソコンにソフトを入れますか
入れません。外からの検査はインターネット側から行います。AIの使い方を見るのは、当社が用意した会社用のAIの画面を社員の方に使っていただく形です。
社員が私物のスマホで使うAIも見られますか
見られません。私物の端末や個人のアカウントから直接使われたAIは、当社の窓口を通らないので数えられません。全部を1か所で止めることは物理的にできないので、窓口以外のAIを仕事で使わないことを、社内の決まりとして定めていただく形にしています。
報告に社員の名前は出ますか
出しません。誰が送ったかではなく、何が危なかったかを書きます。止まった送信は、件数と中身の種類（お客様の名前、電話番号など）でお伝えします。
他社のサイトを調べてもらえますか
できません。調べるのは、お客様ご自身が管理しているサイトとサービスだけです。許可のない診断は不正アクセス禁止法に当たります。
サイバー保険はどうなりますか
当社は保険を販売していません。保険の加入や更新で対策の状況を聞かれたときに、そのまま出せる記録を毎月残します。
どのくらいで始められますか
ご相談から、書面で範囲を決めるまでが最初の段取りです。そこから最初の報告までの日数は、使っている外部サービスの数によります。相談のときに目安をお伝えします。
途中でやめられますか
やめられます。期間の縛りは設けていません。それまでにお渡しした報告と、作った社内の決まりは、そのままお使いいただけます。