グループ会社・複数ドメインの調査 — いつ横断で見るか

この記事でわかること

本記事の代表ドメインは、登録ドメインのルートを指します（例: example.co.jp）。 www.example.co.jp などのサブドメイン 1 つずつが単位になるわけではありません。

ライト調査や攻撃面パッケージは、料金表でも代表ドメイン 1 件を単位にしています。調査の中身は「その代表ドメインについて、外部から観測できる事実」を 1 本の完成報告書にまとめる形です。

一方、グループ調査では契約上の対象代表ドメインが 2 つ以上になります。各代表ドメインごとに報告書を作りつつ、 グループ横断サマリ（後述）で「同じ CDN・同じ証明書・同じネットワーク帯に載っているか」などを 1 枚のマトリクスにまとめます。

1 社だけの契約で、社名だけグループ企業でも対象ドメインが 1 つなら単体扱いです。横断サマリは出しません（過剰な「グループリスク」表現を避けるため）。

各社の完成報告書には、当該代表ドメインの事実を載せます。横断サマリは別冊（または提出パッケージの 1 章）で、次のような共通基盤の比較が中心です。

経営・CISO 向けには「子会社 A と B が同じクラウドに乗っている」「メール認証だけ親子で方針が違う」といった 1 文で言える整理が目的です。各社レポートに同じ IP の説明を繰り返すのではなく、 横断側に寄せ、各社レポートはその社の所見に留めます。

代表ドメイン数	横断サマリ	コメント
1	なし	標準の単体メニュー（料金表）
2	あり（下限）	親会社 + 子会社 1、ブランド 2 つだけ先行、など
3〜8	あり（扱いやすい帯）	国内グループの初回でよくある範囲。表が 1 画面に収まりやすい
9 以上	あり（範囲要相談）	SOW で対象を切る。未調査の代表ドメインは「対象外」と明記

見積の前に、今回調査する代表ドメインの一覧（例: parent.co.jp）と、グループ内の法人名・ブランド名の対応を書いておくと進めやすいです。

グループ案件では、次を見積・合意メール（SOW）に書きます。

料金は代表ドメイン数 × メニュー単価に、横断サマリの整理・提出工程をグループ分として見積します。トップの料金表は代表ドメイン 1 件あたりの目安です。複数社分はお問い合わせでパッケージ名と税抜レンジをお渡しします。

調査対象外の子会社ドメイン、第三者のドメイン、許可のないスキャンは含みません。権限のない代表ドメインをリストに混ぜないでください。

再調査は、 同じ代表ドメインについて前回から何が変わったか（時間軸）です。グループ横断サマリは、 同じタイミングで複数の代表ドメインを並べて比べる（空間軸）です。

グループで定期確認する場合は、初回に各社の攻撃面調査をしたあと、 各代表ドメインの再調査と、必要に応じて その時点の横断サマリの更新を組み合わせます。複数代表ドメイン・四半期ごとのフォローは見積で年間枠としてまとめることもあります。

依頼の進め方の項目に加え、次があると見積が早いです。

SOW に載せていない代表ドメインの「ついで調査」
グループ全体のメール成熟度を 1 枚の経営向け PDF にまとめる商品（当社では別商品として提供していません）。メールは各報告書の認証章と、横断サマリの DNS 比較で整理します
社内統制・グループ IT ガバナンスの監査代行
標準メニューにないペンテスト・脆弱性診断の自動一括（必要ならメニューを個別に明記）

単体・グループいずれも、調査結果は閉域環境内のみで保管・処理し、納品は基本メール（PDF）です。グループ案件でも、対象外代表ドメインのデータを混ぜません。