目的別セキュリティ対策／分野別セキュリティ対策ソリューション

システムの脆弱性を利用した攻撃による個人情報漏えい、Webサイトの見た目の改ざん、システムダウンやアクセス障害、踏み台化などの被害が後を絶ちません。これらの被害が発生すると、原因調査や対策に関わる費用、情報漏えいの被害者がいた場合の補償、ダウンタイムコスト、取引先の信用失墜による負の影響、場合によっては規則要件への罰金など多大なコストが伴います。こうしたリスクを回避するためにも、攻撃者にとって好都合な脆弱性を調査する機会を設ける必要があります。

また、お客様が提供するサービスの利用者に安心してご利用いただくために、脆弱性という不安要素を取り除くことは、そのサービスにとってもメリットがあります。実際、近年ではWebアプリケーションの制作会社様から「納品先のお客様から第三者の脆弱性診断を納品条件をされている」というご相談を受けることが多くなってきています。

近年のセキュリティ意識の高まりを受け、これら診断のお引き合いを非常に多くいただくようになってきています。 診断会社によって、「ペネトレーションテスト」と「脆弱性診断」の名称を混同していることが多くあるため、本来は脆弱性診断が適切な内容であるにも関わらずペネトレーションテストを要望されたり、またはその逆のケースがしばしば見受けられます。 「自社のシステムが攻撃に晒されないよう診断を実施したい」と考えた時に、それがペネトレーションテストと脆弱性診断のどちらが適切なのか、下記をご参考にご検討ください。

下記に当てはまる方は、早急に実施することを推奨します。セキュリティ製品を利用していたとしても、それで防御できない脆弱性は存在します。

• ・以前からインターネット上に公開しているサイトが、脆弱性診断をしたことがないのでやってみたい。
• ・セキュリティ製品を使用しているので脆弱性診断を実施していないが、セキュリティについて調べるうちに不安になった。

• ・サイトの作成、拡充、改修などを実施したので、公開前に脆弱性やリスクを把握したい。
• ・定期的に脆弱性診断を実施するよう社内で定められている。
• ・開発案件におけるセキュリティ要件に、納品前に第三者の脆弱性診断を実施する必要がある。
• ・ガイドラインをもとにセキュアプログラミングを試みたが、正しく運用できているか確かめたい。

サイトの作成、拡充、改修を実施した際は、インターネット上に公開する前に脆弱性診断を実施することを推奨します。また、日々新たな攻撃手法が発見されていることから、サイト全体の診断を定期的（年に1回程度）に実施いただくことも併せて推奨しています。
拡充、改修については、変更があった箇所およびその変更が影響する箇所のみの診断を実施することでもリスクを大幅に軽減できます。
実際に、「個人情報を保持していないサイトなので脆弱性診断をやらなかったが、取引先からサプライチェーンの対策として求められた」、「一度サービス開始前に診断を行って以降数年やっていないが、顧客の指摘を受けて」というご相談をいただくことがあります。診断をしてみると、危険度が高い脆弱性が多く検出されることもしばしば。公開前に1回、その後は年に1回の定期検査を行うのが理想的です。