Webサイト・業務システムのセキュリティ診断
見えていない弱点を、見える形に。
Webサイトや業務システムの設定・権限・公開状態を、許可いただいた範囲で診断し、リスクを見える化します。見つかったことは、直す順番まで整理してお渡しします。
作ったまま、誰も見直していない。
つくった会社が変わった、担当者が退職した、クラウドの設定は初期のまま。そうした状態は、特別なことではありません。
退職者や委託先のアカウントが、残っているかもしれない
データベースやファイル置き場の公開設定を、確認した人がいない
サイトのCMSやプラグインの更新が止まっている
何を、どこまで確認すればよいかが分からない
まず診断、次に対処、そのあと保守。
診断だけで終えることも、他社に対処を依頼することもできます。
診断
許可いただいた範囲を確認し、報告書でリスクと優先順位をお渡しします。費用は、ヒアリング後に固定額でお見積もりします。
対処
診断の結果をもとに、直す内容を個別にお見積もりします。対処は任意です。
保守
設定・権限・更新の見直しを、定期的に続けます。月額でご契約いただきます。
診断と対処は、別の契約です。診断報告書は、契約で定める秘密保持・取扱条件の範囲で他社へ共有し、対処を依頼することもできます。
許可をいただいた範囲だけを、手順を決めて確認します。
合意した範囲と手順に沿って、業務への影響を抑えながら確認します。
- 事前ヒアリング対象のシステム、目的、気になっていることを伺います。
- 書面で合意許可・範囲・期間・連絡先を、書面で合意します。
- 閲覧アカウントの発行閲覧のみの専用アカウントを発行いただきます。
- 診断合意した範囲と手順に沿って確認します。
- 報告結果を、重要度と優先順位つきの報告書でお渡しします。
- アカウントの無効化終了後に専用アカウントを無効化し、一緒に確認します。
やること
- 合意した範囲だけを確認します
- 閲覧のみのアカウントで実施します
- 重大な状態は、合意した連絡先へ速やかに連絡します
- 終了後のアカウント無効化を、一緒に確認します
やらないこと
- 範囲外の調査
- 業務データ・個人情報の内容の確認
- 本番の設定やデータの変更
- 合意のない攻撃的なテスト
4つの領域を、共通の重要度基準で整理します。
範囲は、事前ヒアリングで合意した内容によって異なります。
公開サイト
公開されているファイルや管理画面、CMSやプラグインの更新状況、メール認証などを確認します。
業務システム
認証と権限の分け方、データベースやAPIの公開範囲、秘密情報の置き場所などを確認します。
クラウド設定
ストレージやデータベースの公開設定、管理者の保護、権限の付与の範囲などを確認します。
アカウント権限
退職者・委託先のアカウントの残存、共有アカウント、管理者権限の数などを確認します。
標準に含める
- 設定レビュー
- 公開情報の確認
- 外部からの非破壊的な確認
標準に含めない
- ソースコードレビュー
- 脆弱性を突く検査（ペネトレーションテスト）
- 負荷試験
必要な場合は、別途合意します。
工場・空調・冷蔵設備などの制御機器（IoT・制御系）は、稼働中の設備に影響を与える可能性があるため、標準の診断には含まれません。管理画面の公開状況、認証、委託先の権限、更新状況などの確認を中心に、別メニューとしてご相談ください。
直し方の大きさを、先にお伝えします。
診断の結果は、3つの段階で判定して提案します。
設定修正
設定や権限の変更を中心に対応できると判断した状態です。影響範囲を確認したうえで、期間と費用を別途見積もります。
部分改修
一部の機能やコードを改修する必要があると判断した状態です。範囲を絞って、期間と費用を別途見積もります。
作り替え
構造上の理由で、部分的な対応では不十分と判断した状態です。提案するときは、理由・代替案・影響を併記します。
判定は、診断時点で確認できた範囲に基づく私たちの見立てです。
費用は、診断・対処・保守に分けてお伝えします。
| 対象 | 目安（税込） | 含むもの | 含まないもの |
|---|---|---|---|
| 小規模な公開サイト | 55,000円〜 | 公開設定・更新状況・管理画面の公開有無の確認、報告書の提出 | ソースコード確認、攻撃的な検査 |
| 業務システム・会員サイト（1システム） | 165,000円〜 | 上記に加えて、アカウント権限・クラウド設定の確認、報告書の提出 | ソースコード確認、攻撃的な検査 |
| 複数システム・クラウド環境を含む | 要見積もり | ヒアリング後に、対象と範囲を合意 | — |
診断費は、対象の規模・環境数・確認範囲によって変わります。上記は目安であり、ヒアリング後に固定額でお見積もりします。対象数・環境数は見積書に明記します。ソースコードレビュー、ペネトレーションテスト、負荷試験、第三者サービス利用料等は、書面で合意した場合を除き含みません。
ご希望に応じて、ウェブでのご説明をいたします（近隣は訪問も可能・交通費は別途）。標準で含むのは、報告書の提出です。
対処：診断の結果をもとに、個別にお見積もりします。任意です。
| 対象 | 目安（税込） | 含むもの | 含まないもの |
|---|---|---|---|
| 保守 | 月額33,000円〜 | 月1回の設定チェックと簡易報告 | 24時間監視、緊急時の即時対応、修正作業 |
保守の内容は、確認頻度・対象数・報告内容・対応時間によって変わります。「含まないもの」を行う場合は、契約書に明記します。
診断と対処は、別の契約です。
診断と対処は、別の契約です。診断報告書は、当社への対処依頼を前提とした判定をしません。診断報告書は、契約で定める秘密保持・取扱条件の範囲で他社へ共有し、対処を依頼することもできます。当社への対処・保守は任意で、個別にお見積もりします。
よくあるご質問。
本番環境が止まったり、遅くなったりしませんか？
原則として閲覧・設定確認を中心に実施し、負荷試験や大量リクエストは行いません。対象や方法に応じて、実施時間・停止条件・緊急連絡先を事前に合意します。
診断中に、お客様のデータを見ますか？
業務データや個人情報の内容を確認対象にはしません。意図せず表示された場合は確認を中止し、記録を最小限にして、合意した連絡先へ報告します。
診断で問題が見つからなければ、安全と言えますか？
診断は、書面で合意した対象・方法・実施時点において確認できたことをお伝えするもので、安全を保証するものではありません。
他社が作ったシステムでも診断できますか？
委託元、提供元、クラウド事業者等の許可が必要な場合は、お客様に必要な許可を取得いただき、開始前に書面または記録で確認します。
診断にかかる期間は？
範囲によります。事前ヒアリングで目安をお伝えします。
診断だけの依頼でも大丈夫ですか？
はい。診断は単独のサービスです。対処や保守は任意です。
診断報告書を、他社に見せてもよいですか？
診断報告書は、契約で定める秘密保持・取扱条件の範囲で他社へ共有し、対処を依頼することもできます。
保守では何をしますか？
標準では、月1回の設定・権限・更新状況の確認と簡易報告を行います。24時間監視、緊急時の即時対応、修正作業は、契約に定めた場合を除き含みません。
診断のために、パスワードを共有する必要はありますか？
共有はしません。専用の閲覧アカウントを発行いただき、終了後に無効化します。
診断報告書には何が含まれますか？
確認できたリスクを、重要度と優先順位つきで整理してお渡しします。結果は、設定修正・部分改修・作り替えの3段階で判定し、作り替えをご提案するときは、理由・代替案・影響を併記します。報告書の内容と形式は、契約時に定めます。
中小企業のWebサイトや1システムからでも依頼できますか？
はい。小規模な公開サイトや、1システムの診断から承ります。対象数・環境数は見積書に明記し、費用は、ヒアリング後に固定額でお見積もりします。ただし、対象の規模や環境によっては、ヒアリングのうえ、対応の可否や進め方をお伝えします。
用語解説。
- 脆弱性
- システムやサイトにある、悪用されるおそれのある弱点のことです。
- 権限
- 誰が、どのデータや機能を、どこまで使えるかを決める設定のことです。
- MFA（多要素認証）
- 知識情報、所持情報、生体情報など、異なる種類の認証要素を2つ以上組み合わせる認証方法です。
- クラウド設定
- クラウドサービス上の、公開範囲・アクセス権限・ログなどの設定のことです。
- 閲覧アカウント
- 変更権限を原則として付与せず、合意した設定や状態の確認に使用する診断用アカウントです。
- ペネトレーションテスト
- 脆弱性を実際に利用できるか、許可された条件下で検証する試験です。標準の診断には含まず、実施する場合は対象・方法・停止条件を別途書面で合意します。
- RLS（行レベルセキュリティ）
- データベースの行ごとに、誰が閲覧・追加・変更・削除できるかを制御する仕組みです。
本サービスは、書面で合意した対象・方法・実施時点において確認できるリスクを整理するものです。すべての脆弱性の発見、将来の事故防止、第三者による攻撃への完全な防御、システムの無停止を保証するものではありません。
まずは、何を診るかの整理から。
構想段階で構いません。対象と範囲を一緒に整理し、必要な場合は書面の合意に進みます。