脆弱性診断とは？

01脆弱性診断でできること・できないこと

脆弱性診断は、専門家やツールが、Webサイトやサーバーなどの弱点（脆弱性）を探すサービスです。経済産業省の「情報セキュリティサービス基準」は、脆弱性に関する一定の知見を持つ者が、システムやソフトウェアに対して行う次のいずれか、またはすべてのサービスと定義しています。

診断の結果は、見つかった弱点と危険度、直し方をまとめた報告書で受け取るのが一般的です。直すのは自社か、サイトを作った制作会社の仕事です。

できないこともあります。診断は「その時点で、決めた範囲」を調べるものです。あとで見つかった新しい脆弱性や、範囲に入れなかったページは対象外です。実際に侵入して、どこまで被害が及ぶかを確かめたいときはペネトレーションテストを使います。

02どんな会社に必要か

• 通販サイトや会員サイトなど、個人情報を入力させるサイトを持っている
• Webサイトやシステムを新しく作った、大きく作り直した
• VPN機器やサーバーなど、インターネットに直接つながる機器を持っている
• 取引先から診断の結果を求められた

03選ぶときに見ること

• IPAの基準適合リストに載っているか。経済産業省の基準への適合を審査登録機関が審査し、IPAが区分ごとに公開しています。基準では、診断にあたる技術者に資格や実績などの要件があり、品質管理の体制も求めています。
• 診断の範囲。ページ数や画面数、IPアドレスの数で見積もりが変わります。
• 報告書の分かりやすさ。制作会社に渡してそのまま直してもらえる書き方か。
• 直したあとの再診断が含まれるか。

依頼先は脆弱性診断の一覧から探せます。

04よくある誤解

• 一度受ければ安心、ではない。サイトに手を入れたときや、使っている部品に脆弱性が見つかったときに受け直します。
• ツールの自動スキャンだけで十分とは限らない。手作業での確認を組み合わせるかどうかで、見つかる範囲が変わります。見積りのときに方法を確かめます。