ITトレンドがおすすめする製品・サービス
- ■診断対象別
- Webアプリケーション診断：NTTセキュリティ・ジャパン株式会社の脆弱性診断サービス、NTTドコモソリューションズのサイバー保険付き脆弱性診断サービス、バルテスの脆弱性診断サービス、脆弱性診断サポート、株式会社アイ・エフ・ティのセキュリティ脆弱性診断サービス、エムオーテックス株式会社の脆弱性診断、株式会社SynXの脆弱性診断（セキュリティ診断）、Securify
- プラットフォーム（サーバー・ネットワーク）診断：NTTセキュリティ・ジャパン株式会社の脆弱性診断サービス、NTTドコモソリューションズのサイバー保険付き脆弱性診断サービス、バルテスの脆弱性診断サービス、脆弱性診断サポート、株式会社アイ・エフ・ティのセキュリティ脆弱性診断サービス、エムオーテックス株式会社の脆弱性診断
- スマートフォンアプリ診断：NTTドコモソリューションズのサイバー保険付き脆弱性診断サービス、バルテスの脆弱性診断サービス、株式会社アイ・エフ・ティのセキュリティ脆弱性診断サービス、株式会社SynXの脆弱性診断（セキュリティ診断）、株式会社レイ・イージス・ジャパンのモバイルアプリ診断
- クラウド設定の診断：バルテスの脆弱性診断サービス、脆弱性診断サポート、エムオーテックス株式会社の脆弱性診断、株式会社SynXの脆弱性診断（セキュリティ診断）、Securify、クラウド設定監査サービス
- ■診断後の支援範囲別
セキュリティ診断サービスを活用したい場面
セキュリティ診断サービスは、システムの状態が大きく変わる時期や、外部から安全性の説明を求められる時期に受けると効果を発揮します。代表的な3つの場面を紹介します。
新しいWebサービスやアプリの公開前
新しいWebサイトや会員サービス、スマートフォンアプリを公開する前は、セキュリティ診断を受けるのに適したタイミングです。公開後に脆弱性が見つかると、サービスを止めて修正する必要があり、利用者への影響も大きくなります。
公開前であれば、開発スケジュールの中で修正の時間を確保できます。開発の終盤に診断を入れる場合は、指摘への修正と再診断にかかる期間も見込んでおきましょう。リリース日から逆算して診断の予約を入れておくと、日程の調整がしやすくなります。
大きな改修のあとや定期的な点検
すでに稼働しているシステムでも、機能の追加やサーバーの移行など大きな改修を行ったあとは、診断を受けることを検討しましょう。改修の際に、新たな脆弱性が入り込む可能性があるためです。
また、システムを変更していなくても、新しい攻撃手法が見つかることで安全性の評価が変わる場合があります。年に一度など定期的に診断を受ける計画を立てておくと、状態の変化を継続して把握できます。
取引先や委託元から求められたとき
取引先や業務の委託元から、セキュリティ対策の状況を示す資料を求められる場面もあります。自社の主張だけでなく、第三者による診断結果を示せると、説明の根拠を補えます。
この場合は、相手がどのような形式の報告を求めているかを先に確認しておくことが大切です。診断の範囲や報告書の記載項目が相手の要件を満たしていないと、追加の診断が必要になることもあるため、依頼前に要件を整理しておきましょう。
セキュリティ診断を受ける前に決めておくこと
セキュリティ診断の成果は、事前の準備で大きく変わります。何を、どの方法で、いつ診断するかを決めておくと、見積もりや日程の調整もスムーズに進みます。
診断対象と範囲
最初に決めるのは、診断する対象と範囲です。Webアプリケーションであれば画面数や機能の数、サーバーやネットワークであれば対象となるIPアドレスの数などで範囲を示します。クラウドサービスの設定を確認する診断を扱うサービスもあります。
範囲を広げるほど費用と期間は増えるため、重要度の高い部分から優先して選ぶ方法もあります。個人情報や決済を扱う画面、管理者用の画面などは、優先して対象に含めることを検討しましょう。
ツール診断と手動診断の使い分け
セキュリティ診断には、専用ツールで自動的に調べるツール診断と、技術者が手作業で調べる手動診断があります。ツール診断は短期間で広い範囲を確認でき、手動診断は画面の流れや権限の確認など、ツールでは見つけにくい問題を調べられます。
定期点検はツール診断、公開前の重要なシステムは手動診断というように、目的で使い分ける考え方があります。攻撃者の立場で侵入を試みるペネトレーションテストを提供するサービスもあるため、目的にあう方法を相談しましょう。
本番環境への影響と実施日時
診断では、実際の攻撃に近い通信をシステムに送るため、本番環境で行うとシステムの動作に影響が出る可能性があります。データの登録や削除を伴う機能では、テスト用のデータが残ることもあります。
可能であれば本番と同じ構成の検証環境で診断し、本番で行う場合は利用者の少ない時間帯を選びましょう。サーバーの監視担当者やホスティング事業者へ事前に連絡しておかないと、診断の通信が攻撃と判断され、遮断されることもあります。
セキュリティ診断の報告書を読み解き優先順位をつける
診断が終わると、見つかった脆弱性をまとめた報告書が届きます。報告書を正しく読み、どこから直すかを決めることが、セキュリティ診断を活用するうえでの中心的な作業です。
危険度の評価の読み方
報告書では、見つかった脆弱性ごとに「高」「中」「低」などの危険度が示されます。危険度の算出に、脆弱性の深刻度を0.0から10.0の数値で表すCVSSという評価の仕組みを使うサービスもあります。
ただし、評価はあくまで技術的な深刻度を示すものです。同じ危険度でも、個人情報を扱う画面か、社内向けの画面かによって、実際の影響は変わります。評価の数値だけでなく、自社の業務への影響もあわせて判断しましょう。
再現手順と修正方針の確認
報告書には、脆弱性が見つかった場所や再現の手順、修正の方針が記載されていることがあります。開発担当者が修正するには、どの画面でどの操作をすると問題が起きるのかがわかる情報が欠かせません。
記載内容がわからない場合は、診断した事業者に質問できるかを確認しましょう。報告会を開いて説明するサービスや、修正方法の相談に応じるサービスもあります。どこまで対応してもらえるかは、契約前に確かめておくと安心です。
修正の優先順位の決め方
指摘が多い場合、すべてを同時に直すのは難しいことがあります。危険度の高いものや、外部から直接狙われやすい画面にあるものを優先し、修正の順番を決めましょう。
すぐに修正できない脆弱性には、アクセスを制限する、WAF（Webアプリケーションへの攻撃を検知して遮断する仕組み）で防ぐといった一時的な対策を検討します。修正の予定日と担当者を一覧にまとめ、進み具合を管理すると抜け漏れを防げます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でセキュリティ診断サービスの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
改修から再診断までの流れ
脆弱性を修正したら、本当に直っているかを確かめる再診断（リテスト）が必要です。改修と再診断を計画どおりに進めるための3つのポイントを紹介します。
開発委託先との修正分担を決める
システムの開発や保守を外部に委託している場合、修正作業は委託先が行うことがあります。指摘の内容によっては、契約の範囲内で直せるものと、追加の費用がかかるものに分かれる可能性があります。
報告書が届いたら、早めに委託先と共有し、修正の範囲と費用、完了の時期をすり合わせましょう。サーバーの設定やミドルウェアの更新など、アプリの委託先とは別の事業者が担当する部分もあるため、誰が何を直すかを一覧で整理しておくと進めやすくなります。
再診断の範囲と回数を確かめる
再診断では、指摘された箇所が修正されているかを確認します。サービスによって、再診断が診断料金に含まれる場合と、別料金の場合があります。含まれる場合でも、回数や期限が決まっていることがあります。
修正に時間がかかると、再診断の期限を過ぎてしまうおそれがあります。依頼前に再診断の条件を確認し、修正のスケジュールとあわせて計画を立てましょう。修正の影響でほかの部分に問題が出ていないかも確認できると、より安心です。
誤検知や対応しない判断の記録
報告書の指摘の中には、実際には問題にならない誤検知が含まれる場合があります。また、影響が小さく修正の費用に見合わないため、当面は対応しないと判断する指摘もあるかもしれません。
このような判断をした場合は、理由と判断した人、見直しの時期を記録に残しておきましょう。記録がないと、担当者が替わったときに対応漏れと区別できなくなります。判断の根拠を残すことで、次回の診断でも経緯を説明できます。
セキュリティ診断の結果を社内外の説明に生かす
セキュリティ診断の結果は、修正のためだけでなく、経営層への報告や取引先への説明、開発ルールの見直しにも活用できます。結果を組織の取り組みにつなげる方法を紹介します。
経営層への報告
経営層には、脆弱性の技術的な説明よりも、事業への影響と対応の状況を中心に報告すると伝わりやすくなります。例えば、危険度の高い指摘の件数、修正が完了した割合、残っている課題と対応予定などをまとめます。
前回の診断と比べて改善しているかを示すと、セキュリティ対策への投資の効果を説明しやすくなります。追加の対策に予算が必要な場合も、診断結果を根拠に示せば判断を仰ぎやすくなるでしょう。
取引先への提出と開発ルールへの反映
取引先に診断結果を示す場合は、報告書をそのまま渡すのではなく、診断の実施時期や範囲、修正状況をまとめた資料を用意する方法があります。脆弱性の詳細は攻撃の手がかりになるため、開示する範囲には注意しましょう。
あわせて、同じ種類の脆弱性が繰り返し見つかる場合は、開発の手順やコードの確認ルールを見直すきっかけにします。次回の依頼先を選ぶ際は、経済産業省の「情報セキュリティサービス基準」に適合したサービスとしてIPAが公開している「情報セキュリティサービス基準適合サービスリスト」も参考にできます。
診断対象と事後支援で比べる診断サービス
診断できる対象と、診断後の報告会や再診断の扱いを比べやすいよう、この記事で紹介するサービスの特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| NTTセキュリティ・ジャパン株式会社の脆弱性診断サービス | Webとプラットフォームを診断。報告会と、条件つきで無料の再診断を提供 |
| NTTドコモソリューションズのサイバー保険付き脆弱性診断サービス | ネットワーク・Web・スマホアプリを診断。再診断とサイバー保険が付く |
| バルテスの脆弱性診断サービス | Web・プラットフォーム・モバイル・クラウドを診断。再診断まで支援 |
| 脆弱性診断サポート | 手動診断率90％超。日次の速報レポートと再診断1回を提供 |
| 株式会社アイ・エフ・ティのセキュリティ脆弱性診断サービス | Web・プラットフォーム・スマホアプリを診断。再診断は条件つきで1回無償 |
| エムオーテックス株式会社の脆弱性診断 | Web・ネットワーク・クラウドを診断。報告会はオプションで提供 |
| 株式会社SynXの脆弱性診断（セキュリティ診断） | Webやスマホ、クラウドなどを自動と手動で診断し、修正後も確認 |
| Securify | URLを登録して診断を開始でき、クラウドの設定ミス監視にも対応 |
| 株式会社レイ・イージス・ジャパンのモバイルアプリ診断 | AndroidとiOSのモバイルアプリを最短1日で診断する |
| クラウド設定監査サービス | AWS・Azure・GCPの設定ミスを監査し、定期レポートで報告 |
診断後の改修まで見据えて選ぶサービス
診断は報告書を受け取って終わりではなく、修正後の確認までつなげてはじめて効果が出ます。診断の対象と、報告会や再診断の扱いを確認しながら選べるサービスを紹介します。
NTTセキュリティ・ジャパン株式会社の脆弱性診断サービス
- 潜在的な脆弱性を洗い出し、それに基づいた対策の改善が可能
- 経験豊富な診断員が調査・分析を行い専門的なアドバイスを提供
- 診断後、お客さまが修正した脆弱性に対して無料で再診断を実施
NTTセキュリティ・ジャパン株式会社が提供する「NTTセキュリティ・ジャパン株式会社の脆弱性診断サービス」は、Webアプリケーション診断と、NW機器やサーバーを対象にしたプラットフォーム診断の2種類を用意しています。診断を担当した診断員による報告会を実施し、お客さまが修正した脆弱性については、報告書提出後1カ月以内であれば無料で再診断を受けられます。リリース前や改修時にあわせて受け、結果を改修につなげたい企業の候補です。
NTTドコモソリューションズのサイバー保険付き脆弱性診断サービス
- 【品質】ドコモグループの診断を担う専門家による手動診断
- 【信頼】経済産業省が定める情報セキュリティサービス基準に適合
- 【支援】対策後の再診断とサイバー保険付帯によるリスク対策
NTTドコモソリューションズ株式会社が提供する「NTTドコモソリューションズのサイバー保険付き脆弱性診断サービス」は、ネットワーク診断、Webアプリ診断、スマホアプリ診断を用意した診断サービスです。ドコモグループのセキュリティを支える専門家が手動で診断し、対策案の提示から対策後の再診断まで支援します。再診断には無償で対応し、サイバー保険も付帯します。診断後の対応までまとめて任せたい企業の選択肢です。
バルテスの脆弱性診断サービス
- 【初めてでも安心】診断範囲の選定から結果のご報告までお任せ
- 【実績2,500件超！】品質保証専門会社だからこその高品質な診断
- 【無料で保険付帯】1年間の「サイバーリスク保険」が利用可能
バルテス株式会社が提供する「バルテスの脆弱性診断サービス」は、ツール診断と手動診断を組み合わせ、Webアプリケーション、プラットフォーム、モバイルアプリ、クラウドを診断するサービスです。重大な脆弱性は速報で報告し、危険度Medium以上は修正後の再診断を無償で実施します。診断範囲の選定から相談でき、報告会は有料オプションで用意されています。参考価格は100,000円～で、初めて診断を受ける企業が改修後の確認まで進めたい場合の候補です。
脆弱性診断サポート
- 手動診断率90％超で深く確認
- 速報レポートで迅速な対応を支援
- 修正後の再診断を1回、追加費用なく実施
株式会社スリーエーコンサルティングが提供する「脆弱性診断サポート」は、Webアプリケーションやソースコード、プラットフォーム、クラウド環境を対象に、手動中心で診断するサービスです。重要度、影響、推奨対策、再現手順をまとめたレポートを納品し、診断中に重大な脆弱性が見つかった場合は日次の速報レポートで共有します。修正後の再診断は1回、追加費用なしで実施し、診断後の質疑応答にも対応します。参考価格は300,000円～です。
株式会社アイ・エフ・ティのセキュリティ脆弱性診断サービス
- 15年以上の国内診断実績により積み重ねられた豊富なノウハウ
- 高品質ながらリーズナブル価格で脆弱性診断サービスを提供
- 安心のアフターサポートはもちろん、オプションサービスも充実
株式会社アイ・エフ・ティが提供する「株式会社アイ・エフ・ティのセキュリティ脆弱性診断サービス」は、自動診断ツールによる高速な診断に、診断員の目視による手動診断を加えられるサービスです。Webアプリケーション、プラットフォーム、スマートフォンアプリを診断でき、報告会はオプションで用意されています。診断後に改修した場合は、3カ月以内であれば再診断を1回無償で実施します。報告を受けたあとの確認まで含めて検討したい企業の候補です。
エムオーテックス株式会社の脆弱性診断
- 経験豊富な専門家による信頼の診断
- 柔軟で効率的なサービス提供
- 分かりやすい報告書と具体的な対策
エムオーテックス株式会社が提供する「エムオーテックス株式会社の脆弱性診断」は、情報処理安全確保支援士を取得したセキュリティエンジニアが、攻撃者の視点で疑似攻撃を行う診断サービスです。Webアプリケーション診断やネットワーク診断に加え、Microsoft 365、AWS、Azure、Salesforceなどを対象にしたクラウドセキュリティ診断を用意しています。報告会はオプションで提供され、参考価格は300,000円～です。クラウド利用が多い企業の選択肢です。
株式会社SynXの脆弱性診断（セキュリティ診断）
- 攻撃者視点のホワイトハッカーが脆弱性を診断
- 自動と手動の併用で見落としがちな欠陥も検出
- 診断後3営業日目安で詳細報告と改善提案を提出
株式会社SynXが提供する「株式会社SynXの脆弱性診断（セキュリティ診断）」は、ホワイトハッカーが自動診断ツールと手動診断を組み合わせて脆弱性を洗い出すサービスです。Webアプリケーションやスマホアプリ、クラウドのほか、AI/LLMやIoTなど幅広い対象に対応します。結果は内容、リスク、対策をまとめた報告書で共有し、修正が完了すると、適切に直されたかを確認できます。報告会はオプションで利用できます。
Securify
- 【専門知識は不要！】URLを登録し最短3ステップで診断開始
- 【シンプルで直感的】使いやすいインターフェイスで操作も楽々
- 【継続的診断が可能】明確なレポートと予約機能で継続的な診断を
株式会社スリーシェイクが提供する「Securify」は、外部公開資産の発見、Webアプリケーションの脆弱性診断、クラウドの設定ミス監視などを一つにまとめたクラウド型のサービスです。URLを登録すれば最短3ステップで診断を始められ、専門知識がなくても使いやすいことが特徴です。予約機能を使って継続的に診断することもできます。参考価格は50,000円～です。診断を自社で繰り返し回したい企業の候補です。
株式会社レイ・イージス・ジャパンのモバイルアプリ診断 （株式会社レイ・イージス・ジャパン）
- 最新のAIツール搭載の静的・動的脆弱性探査ツールで高速に診断
- 疑わしいサイトやシステムとの通信の可能性を検知・指摘
- 安心のアプリケーションパッケージ単位での定額料金制
クラウド設定監査サービス （ＪＢＣＣ株式会社）
- 第三者の立場でコンプライアンス基準をもとにIaaSの設定を監査
- 通信・IDの振舞い、設定変更監視で攻撃予兆やリスクを検知・報告
- クラウド環境の拡大に応じてスモールスタートから柔軟に対応可能
まとめ
セキュリティ診断サービスを活用するには、公開前や大きな改修のあとなど適切な時期に、範囲と手法を決めて診断を受けることが大切です。報告書の危険度と業務への影響から優先順位をつけて改修し、再診断で修正を確かめましょう。結果は経営層への報告や開発ルールの見直しにも生かせます。セキュリティ診断の資料請求で、診断対象や再診断の条件を比べてください。
