3つの失敗例に学ぶ「脆弱性診断」を見極めるポイント

　脆弱性診断サービスは、一般的なWebサイトの構成に従って、診断手法が異なるため、2つに大別されます。OSやミドルウェアを対象に調査を行う「プラットフォーム診断」と、独自に開発されるWebアプリケーションを検査対象とする「Webアプリケーション診断」です。これらを利用してシステムをチェックし、発見された脆弱性を修正することでシステムの安全性を保つというわけです。

脆弱性診断の種類

　脆弱性診断を受けるタイミングとしては、受入試験や提供判断時、リリース前が挙げられます。特に外部に開発を委託した際には、その受入試験の項目の1つとして脆弱性診断を含めることで、瑕疵担保期間後に脆弱性が発覚し、その修正に追加費用が発生してしまうなどといったトラブルを避けられます。また社内で開発した場合であっても、提供判断やリリース前のタイミングで脆弱性診断を行い、リスクがない状態でリリースすることを意識すべきでしょう。

脆弱性診断のタイミング

　運用後は、プラットフォーム診断がメインとなります。システム改修がない限り、脆弱性のチェック対象は、OSやミドルウェア等の汎用ソフトウェアとなるためです。脆弱性は1日平均30件程度、公表されています。管理対象のシステムに該当する脆弱性はそれほど頻繁に発見されないにせよ、可能な限り短いサイクルでチェックを行いたいところです。機能の追加や更改などシステム改修の際は、改修内容に応じた診断サービスや診断項目を選択すべきです。

　このように提供しているサービスを安全に保つ上で有効な脆弱性診断ですが、一方でサービスを提供しているベンダー選びを間違えると思わぬ失敗にもつながりかねません。それでは、具体的な失敗例からベンダー選びのポイントを見ていきましょう。

ケース1：報告書の内容が理解できない！

　実は同様のトラブルは決して少なくありません。Webアプリケーション診断においても、脆弱性の有無を自動でチェックするツールが使われていることがあり、ベンダーによっては、そこから出力されたレポートをそのまま報告書として提出しているところもあります。また、そのようなベンダーの中には、レポートの出力結果を説明できるレベルにないところもあります。

　一方で、専門家が手作業で1ページずつ確認を行っているベンダーもあります。ツールによる診断とは異なり、専門家による診断では疑いがある箇所についてはサーバーへのリクエストをいろいろ変えてみるなど、ツールではわからない脆弱性も発見できます。そのようなハイレベルな診断をする業者においては、報告書についても、単に脆弱性の有無を記載するだけでなく、画面や脆弱性を利用するための具体的な方法にまで踏み込んで記載されていて、システムの開発ベンダーへ容易に修正依頼を出すことができるレベルにあります。さらに実際に調査を行った専門家による報告会もセットになっていれば、開発ベンダーを同席させて直接不明な点について質問させるといったことも可能となり、自身の負担が大幅に軽減され、迅速な脆弱性修復作業にもつながります。報告書に総評まで記載されていれば、上層部への説明に利用できるため、さらに手間が省けるでしょう。

　脆弱性診断を行うのは、そもそも脆弱性の改修を行うため。従って診断後の対処を念頭に、脆弱性診断の委託先を選定する必要があります。一見、診断サービス内容は同じに見えても、決して見積額のみで決定せず、以下の点を確認してから、委託先と契約しましょう。

＜チェックポイント＞
□診断方法は専門家がしっかりチェック（手動診断等）を行っているか？
□診断をする担当者の経歴や実績は？
□報告書の内容は？（報告書のサンプルを要求し、キャプチャー画面が添付されている、あるいは再現手順が明記されているなど、問題点がわかりやすく指摘されているか、ベンダーに対する修正指示や社内での説明にそのまま使えるかなどといった観点からチェックしましょう）
□報告会はあるか？報告会に診断を担当した専門家の同席はあるか？
□システム開発ベンダーへの修正指示におけるフォローはしてもらえるか？その対応期間は十分か？

ケース2：何が本当に必要な項目なの！？

　脆弱性診断において網羅性は当然重要ですが、一方で診断する必要がないWebページや脆弱性、診断項目もあります。たとえば入力画面がないWebページであれば、何らかの値を入力して脆弱性の有無を検査するといったことはできないため、診断項目として不要です。こうした個別の事情を鑑みず、顧客からの依頼書に沿って単に診断項目とページ数の掛け算で費用が算出されれば、コストが膨らむのは当然でしょう。顧客と目線を合わせた質問でヒヤリングを行い、要望をきちんと理解して必要な診断項目を提案してくれるベンダーでないと、このようなことになってしまいます。決まり切ったサービスを押しつけるのではなく、ユーザーの要望を受けた上で過不足のないサービスを適正価格で提供してくれる。そういったベンダーを探すようにしたいところです。

＜チェックポイント＞
□システム概要や改修箇所を示した際に、必要な診断項目を特定するためのヒヤリングをしてくれるか？
□診断項目について、なぜ必要かを説明できるか？
□診断項目の提示を発注者側に要求してこないか？
□診断サービスを自社サービスとして提供しているか？（自社提供でない場合、適切なヒヤリングは行われないケースが多く、緊急対応にも応じられない場合があります）

ケース3：定期的に行う脆弱性診断のコストが重荷になっている

　このC社のように、定期的に脆弱性診断を受けて安全性を維持したいが、そこで発生するコストが問題になるといったケースは少なくないでしょう。その際、こちらの要望に合わせて柔軟に対応してもらえるベンダーであれば、コスト負担を抑えながら適切に脆弱性への対応を進められます。

　具体的な打ち手として考えられるのは、先ず、システムのライフサイクルに応じて、適切なサービスを選ぶことです。さらに、ケース2にあるように、診断項目を必要なものにしぼることです。契約方法の工夫も考えられます。年間で複数回の実施が見込まれる場合、チケット制とすることで、合計金額も抑えられ、かつ契約行為も診断ごとにする必要がなくなります。ユーザーにある程度のスキルがある場合、SaaSサービスを利用して診断を行うことも検討できます。ただし、そのようなセルフ診断サービスを利用する場合でも、システムのリリース前や運用フェーズにおける四半期に1度の定期診断などの場合は専門家にチェックしてもらうことをお勧めします。

＜チェックポイント＞
□システムライフサイクルを意識した診断計画となっているか？
□年間契約、チケット制の制度はあるか？
□SaaSサービス（セルフ診断）を利用する場合、ユーザー自身が診断結果を理解し、システム開発ベンダーへの改修指示が出せるか？また診断結果は日本語か？