脆弱性診断は、Webサイトやサーバー、ネットワーク機器に、攻撃に使われる既知の弱点がないかを調べる検査です。新しいシステムの公開前、大きな改修の後には必ず受け、運用中も年1回程度を目安に定期的に受けるのが一般的です。
診断の種類
| 種類 | 対象 | 見つかる例 |
|---|---|---|
| Webアプリケーション診断 | Webサイト・Webサービスの機能 | SQLインジェクション、XSS、認証の不備（解説） |
| プラットフォーム診断 | サーバー・ネットワーク機器 | 古いソフト、不要なポート、設定の不備 |
| クラウド設定診断 | クラウドの設定 | 公開設定、権限の過大（公開設定） |
ツール診断と手動診断
自動のツールは広く速く調べられ、専門家の手動診断はログインの仕組みや権限の扱いなど、アプリ固有の問題を見つけられます。重要なシステムは両方を組み合わせます。
自社の管理外のシステムを勝手に診断しない：他社のサーバーや、レンタルサーバー・クラウドの規約で禁止されている方法で診断すると、不正アクセスや業務妨害とみなされるおそれがあります。必ず権限と許可の範囲を確認してください。