Y Combinator 日本語図鑑

事業概要

プロダクト

• 顧客の製品や社内システムの構成情報を入力として受け取る。
• 専門家が実際に攻撃を試行し、侵入経路と影響範囲を特定する。
• 発見した脆弱性を重要度順に並べ、再現手順と修正案を返す。
• 修正後の再検証を経て、監査済みであることを示す表示を発行する。
• 継続契約では対象の更新に合わせて再検証を繰り返す。
• 自律型の防御機能は攻撃検知と遮断を狙う構成とみられる。

技術アーキテクチャ（推定）

• 顧客から攻撃対象の構成・認証情報・検証範囲の申請を受け取るとみられる。
• 対象環境へ接続し、公開情報や設定から攻撃面を列挙するとみられる。
• 既知の脆弱性データベースと照合し、再現手順を自動生成するとみられる。
• 専門家が手動で攻撃を試行し、自動処理の結果を検証するとみられる。
• 発見物は重要度と修正案を付けて保管し、監査結果として返すとみられる。
• 監査済み表示は対象バージョンと発行履歴を紐づけて管理するとみられる。

収益モデル

• 顧客企業が製品または案件単位で監査費用を支払う。
• 再検証や継続監視は月額契約とみられるが、価格は非公開。
• 監査済み表示の利用は監査契約に含まれるとみられる。

差別化

• 世界首位級の攻撃実績を持つ人材が署名性の根拠になっている。
• 監査済み表示が顧客や投資家への信頼シグナルとして機能する。
• 発見した脆弱性の記録が再検証の比較基準として蓄積される。

日本展開時のリスク

• 脆弱性情報の越境保管は契約と法務の確認を要する。
• 攻撃試行の委託範囲が不明確だと責任分界が争点になる。
• 監査済み表示を社内承認に使えるかは未確認である。
• 国内調達では大手セキュリティ事業者との取引が優先されやすい。
• 案件単価が国内の診断相場と整合するかは非公開で読めない。

日本での競合

• 国内の企業向け検査は診断会社と大手SIerが担っている。
• ラックやFFRIなど脆弱性検証に強い事業者が存在する。
• 監査結果を対外表示する仕組みは国内で一般的でない。
• 自律型防御と監査事業を併記する同型は見当たらない。
• 参入には攻撃委託契約の整備と国内の検証環境が要る。

主要プレイヤー

• ラック — セキュリティ監視と診断。
• FFRI — セキュリティ研究と製品。
• トレンドマイクロ — セキュリティソフト。