GMOイエラエがAIを使う診断を相次ぎ開始。Webアプリ診断は30万円から、年間契約も

01発表された3つのサービス

1. 9月3日
   ネット de 診断 AIホワイトハッカー侵入テスト

   外部公開のIT資産を棚卸しする「ネットde診断 ASM」に搭載。脆弱性を見つけるだけでなく、攻撃が実際に成立するかまでAIが自動で確かめ、成立したものだけを報告する

2. 9月15日
   Webアプリケーション脆弱性診断の3プラン

   全プランでAI基盤を使い、AIが広く速く検出し、ホワイトハッカーがリスクの高い箇所を深く検証する

3. 9月30日
   GMOサイバーセキュリティ あんしんプラン

   診断・ペネトレーションテスト・SOC・事故対応を、年間で確保した「リソース」から使う年間契約

02Webアプリ診断の3プラン

同社は、AIの自動診断だけではビジネスロジックに起因する脆弱性や複雑な攻撃シナリオを十分に検証できない場合がある、と書いています。

03あんしんプランの付帯サービス

• ネットde診断 ASMによるIT資産の管理と、AIによる侵入テスト
• 事故の初動対応支援（年1回・最大3日分まで無償）
• 東京海上日動との提携によるサイバーリスク保険（事故対応から損害賠償まで合算100万円、免責なし。ASMの利用が条件）
• 毎月のサイバーセキュリティレポート

割引率は契約プランにより異なるとされ、金額は公開されていません。

04読者への影響

診断の値段は、これまで見積もりを取らないと分からないことが多い分野でした。今回は価格と納期の目安が公開され、AIを使った短納期のプランが入り口として用意されました。一方で、安いプランほど人が見る範囲は狭くなります。自社のサイトに会員登録や決済、管理画面があるなら、自動診断だけで十分かを考える必要があります。

05診断を頼むときに確かめること

1. どこまでをAIが、どこからを人が見るか。ログイン後の画面や権限の確認が入るかを聞きます。
2. 報告書に直し方が書かれるか、直したあとの再診断が含まれるか。
3. 見つかった脆弱性の扱い。「攻撃が成立したものだけ報告」の方式では、報告に載らない指摘がないかも確かめます。
4. 公的な基準に合っているか。IPAの「情報セキュリティサービス基準適合サービスリスト」に載っているかは、図鑑の会社ページで確認できます。