セキュリティ診断は安くても大丈夫か。失敗しないために見る5つの点

セキュリティ診断は安くても大丈夫か。失敗しないために見る5つの点

セキュリティ診断を安さだけで選んでも大丈夫か。

答えは「安いこと自体が失敗の理由ではない」だ。

ただし、安い診断には調べる範囲が狭いことと、報告書だけで終わることが起きやすい。

この2つを見ておかないと、診断したのに穴が残ってしまう。

あなたが確かめたいのは、安いかどうかより、危険な場所から順に直せるところまで届くかどうかだ。

安い診断を選ぶときでも、中身と流れを確認すれば失敗は避けられる。

診断の失敗は、後から気づきやすい。

診断後に事故が起きて初めて「あの時、範囲を見ていなかった」と分かる。

そうならないための確認の仕方を、順を追って書く。

安いセキュリティ診断で起きる失敗

安い診断で起きる失敗は、大きく2つある。

調べる範囲が狭いことと、見つけた問題を直す手順まで手渡されないことだ。

どちらかが欠けると、診断を終えても「本当に安全か」を確かめられない。

自動ツールだけの点検で、見えない穴が残る

セキュリティ診断には、自動ツールだけのものと、人が攻撃する側の視点で調べるものがある。

自動ツールは、公開された脆弱性や設定のミスを素早く見つける。

一方で、認証やセッションの扱いのように、コードを一行ずつ読まないと分からない弱点は拾えない。

ログイン後に他の利用者の情報を見られてしまう欠陥も、このタイプだ。

安さの理由が「ツールだけ」である場合、表面は問題なしと出ても、深い場所に穴が残る。

報告書だけを受け取って止まる

診断結果が一覧で渡されても、何から直すかが分からなければ、報告書は棚に置かれたままになる。

危険度の高、中、低に分かれ、それぞれに具体的な直し方が付いていて、初めて手を付けられる。

自社に直す人員がいないなら、修正まで引き受けてくれるかも確認しておく。

安くても大丈夫かを見分けるチェック項目

安い診断だからといって、すべてが失敗につながるわけではない。

安くても、次の2つがそろっていれば判断材料としては十分に使える。

逆に、これが無いなら、安さの分だけ何かが省かれていることが疑わしい。

あなたのサイトの構成を診られるか

診断の範囲は、相手が普段診ている対象によって変わる。

一般的なWebサイト向けの点検では、独自に作ったシステムやNext.jsのようなモダンな構成の穴まで届かない。

診断前に、使用している技術、サーバーとインフラ、これまでに事故があったかを伝えられるかを見る。

あなたのサイトと同じ構成を診られるかも確認する。

危険度の順と直し方が付くか

報告書の中身が、後からの行動を決める。

見つかった問題が危険度の高、中、低に分かれて並び、それぞれにどう直すかが書かれているかを見る。

専門外の人が読んでも分かる言葉で書かれていると、社内で「どこから着手するか」を決めやすい。

見つけた箇所を並べただけの報告書では、優先順位が付かず、結局すべてが後回しになる。

診断の前後にやっておくこと

診断が失敗する原因には、前後の段取りもある。

用意する情報と、共有するタイミングを間違えると、診断が始まらないか、始まっても思った場所まで届かない。

順に整えておくと、安い診断でも大丈夫かを見極めやすくなる。

診断の前に用意する情報

診断を受ける前には、次の情報をまとめておく。

• 対象になるサイトのURL
• 使用している技術（言語、フレームワーク、ライブラリ）
• サーバーとインフラの情報
• これまでに事故があったかどうか

これらを先に整理しておくと、診断できる範囲とできない範囲がはっきりする。

サーバーやログイン情報は発注後に共有する

サーバーやログインの情報は、正式な発注が決まった後で共有すればよい。

見積もりの段階で機密情報を渡す必要はない。

診断する側も、発注前に詳しい情報を受け取るより、決まってから受け取る方が安全に扱える。

先に渡すように急かす相手には注意する。

私たちの場合も、サーバーやログイン情報は正式な発注の後に共有してもらっている。

診断後どこまで進むか

報告書を受け取った後にどうなるかを確認する。

自社で直せるなら、直し方の手順が具体的かを見る。

自社では直せないなら、修正と対策の実施までお願いできるかを確かめる。

報告書を受け取って終わりなのか、直すところまで進めるのかで、その後の安心感が変わる。

安さより中身で選ぶための考え方

セキュリティ診断を安さだけで選ぶと、後から「診たはずの場所が漏れていた」と気づく失敗につながる。

安いことが問題なのではなく、安さの理由を確認しないことが問題だ。

何が省かれているのかを知った上で選べば、安い診断でも失敗は避けられる。

あなたにとってのゴールは、診断を受けることではなく、危険な場所から順に手を打てる状態になることだ。

安さの裏で次の3つが消えていないかを確かめるのが、安い診断で失敗しないための最短の手順だ。

• 診断の範囲が自社の構成に合っている
• 危険度の順と直し方が報告書にある
• 必要なら修正まで進められる

私たちが診断をするときも、対象のサイトに所有権か管理権限があるかを先に確認し、サーバーやログイン情報は正式な発注後に共有してもらう。

安さで選ぶ前に、この流れを整えておくと、診断の失敗は避けられる。

よくある質問

安いセキュリティ診断でも、危険な場所は見つかりますか

自動ツールで見つかる公開された脆弱性や設定ミスは、安い診断でも見つかることがある。

ただし、認証やセッションのようにコードを読まないと分からない穴は、範囲に含まれていないと残る。

何を診るかを先に聞くと、見つかる範囲がはっきりする。

診断はWebサイトだけが対象ですか

一般的なWebサイトに加えて、独自開発のシステムやNext.jsのようなモダンなWebアプリを診られるかは、相手によって違う。

自社の構成を伝えて、対象になるかを確認する。

診断できるのは、依頼者本人に所有権または管理権限があるサイトに限られる。

サーバー情報はいつ渡せばよいですか

正式な発注の後で共有すればよい。

見積もりの段階でサーバーやログインの情報を渡す必要はない。

発注前に急かされたら、先に進む前に扱いを確認する。

報告書をもらった後、自社で直せない場合はどうすればよいですか

修正まで受け付けてくれる相手を選ぶ。

危険度の順と直し方が付いた報告書があれば、修正を外注する場合も、どの範囲から頼むかがはっきりする。

報告書だけで終わる相手と、修正まで進める相手の違いは、選ぶ段階で確認しておくと安心できる。

診断後に「問題なし」と言われました。信じても大丈夫ですか

「問題なし」は、何を診たかの裏付けがあって初めて信じられる。

自動ツールだけの点検なら、コードの内部に穴が残ったままだ。

診た範囲と方法が報告書に書かれているかを見ると、判断しやすい。

この記事のポイント

• 安い診断の失敗は、範囲が狭いことと報告書だけで終わること
• 安くても、対象の構成と危険度順の報告書があれば判断できる
• サーバーやログイン情報は正式な発注後に共有する
• 診断後、修正まで進めるかを確認すると安心できる
• 安さではなく、範囲と報告書と修正先の中身で選ぶ

ウェブセキュリティ診断・対策認証から依存パッケージまで診断し、危険度と改善手順を報告書にまとめる。希望があれば修正まで担当するサービスの詳細を見る

海田 洋祐

・ 複数業界における17年間のデジタルビジネス開発経験
・ ウェブサイト開発のためのHTML、PHP、CSS、JavaScript等の実用的知識
・ 15ヶ国語対応の多言語SaaSの開発経験
・ 17年間にも及ぶ、Eコマース長期運営経験
・ 幅広い業界でのSEO最適化の豊富な経験