国際基準に準拠した脆弱性診断サービス「Matrix Inspect」

脆弱性診断の現状と考えるべきポイント

 

• セキュリティの脅威の高まりで、もはや「当たり前」となりつつある

• 様々な事業者が乱立している為、最適なサービスを見つけにくい

• エンジニアリソース依存の商売
  ➀（特に大手）外部委託が横行、結果として高額
  ➁ドアノックとして他の商材への誘導
  ➂スキャンだけして終わりとの二極化

• スキャン結果だけ渡されても、本当に改修対応が必要な内容かどうかわからないケースも多い

​

Webやモバイル上でのサービスが日々増え続けるその裏で、ITにおけるセキュリティリスクも同時に増え続けています。また昨今はAIを活用した、高度かつ広範囲での攻撃も急増しており、インターネット上でサービスを公開する際に、そのセキュリティ対策を講じることは必須であり、脆弱性診断もリリース前の最終確認として、当たり前のものになりつつあります。

ただ脆弱性診断の現場を見てみると、脆弱性診断はリソース依存となるため、セキュリティエンジニア不足が叫ばれている昨今、すべての事業者が正しい品質で適切な価格の診断をしているとは限りません。例えば、サービスリリースの相次ぐ年度末等の繁忙期は、通常よりも高価な見積になりがちで、かつリソース不足の場合外部委託を行っているケースが頻発しています。まあ、診断を“入口商品”として他の商材に誘導するケースもあります。そして、スキャンをするだけの格安サービスも増えており、本当に必要な対策は何か、どのように改修すべきかなど、Web開発者が判断に困るケースも少なくありません。

こうした背景を踏まえ、正しい診断を受けるために、対象のサイトと自社のリソースから、しっかりと診断事業者の選定をする必要があります。

​

事業者を選ぶ際のポイント

​

　脆弱性診断は、単に「診断を受ければ安心」というものではありません。診断の精度や報告内容の質は、依頼する事業者によって大きく差が出ます。そのため、信頼できるパートナーを見極めることが、実効性あるセキュリティ対策の第一歩です。

​

情報セキュリティサービス基準などの品質を担保できているか

　脆弱性診断を依頼する際に、最も重視すべきは診断の品質です。診断事業者の中には、簡易なツールだけで済ませるケースや、経験の浅い人材が担当するケースもあり、結果の信頼性に大きな差が出ます。そこで一つの目安となるのが、IPA（情報処理推進機構）の「情報セキュリティサービス基準」に登録されているかどうかです。登録事業者は、技術力や情報管理体制が国の基準を満たしているため、診断の精度や報告の妥当性が担保されています。診断の品質は、被害を防げるかどうかを左右する非常に重要な要素です。安心して依頼するためにも、まずは公式の登録事業者かどうか、もしくは同品質を担保できる、外部認証等を持っているか確認することをおすすめします。

​

適正な金額感で行われているか

​

　脆弱性診断は、事業者ごとに価格差が大きいサービスの一つです。数万円で提供される簡易診断から、数百万円規模に及ぶ本格的な診断まで幅広く存在します。ここで注意すべきは、「安いから」といって安易に飛びつかないことです。極端に低価格な診断は、チェックが浅く、誤検知や見落としが多い可能性があります。一方で、高額であっても自社の規模やシステムに見合わない過剰なプランであれば、費用対効果が薄れてしまいます。重要なのは、診断範囲や深度と費用が適正にバランスしているかどうか。見積もり時に診断内容と価格を照らし合わせ、「適正な金額感」であるかをしっかり見極めることが必要です。

 

自社のレベル感に対して求めている対応をしてもらえるか

​

　診断事業者を選ぶ際には、自社のリスクや運営体制に合った対応をしてもらえるかどうかも重要な視点です。小規模な企業やECサイトであれば、すべてを網羅した大規模診断ではなく、必要十分な範囲で効率的にリスクを洗い出すことが現実的です。一方で、社会的影響が大きい大規模サービスであれば、手動診断や詳細な報告書を含む包括的なプランが求められます。つまり「一律のパッケージ診断」ではなく、自社のレベル感に応じた診断の提案をしてくれるかがポイントです。事前相談の際に、自社のシステム規模やリスクをしっかりヒアリングし、最適なプランを提案してくれる事業者こそ、信頼できるパートナーといえます。

​

詳細は第二章【セキュリティ：ソリューション編】へ ▶