ホームページのセキュリティを確認するときは、いきなり検査項目を増やすのではなく、守る対象と想定する利用範囲を整理します。診断はリスクを見つけるための一つの手段であり、結果を記録して対応順を決めるところまでを計画に含めます。
脆弱性診断の対象範囲を決める
対象となるドメイン、管理画面、フォーム、外部連携、認証が必要な機能を一覧にします。パスワード設定、CMSやプラグインの更新状況、入力値の扱い、不要なファイルや権限などを確認項目に含めるかは、環境と診断方式の仕様を確認して決めます。
- 公開ページと管理画面を、対象URLと担当者付きで整理する
- 診断の範囲、実施時間、アクセス制限、除外条件を合意する
- 個人情報や業務データを扱う機能の保存場所と権限を確認する
- 診断前のバックアップ、連絡先、緊急停止の判断者を決める
結果をリスクの種類と優先順位に分ける
見つかった項目は、影響を受ける範囲、再現条件、公開状況、暫定対応の有無とともに記録します。危険度の名称や判定基準は診断サービスによって異なるため、レポートの定義を確認し、自社の業務上の重要度と照らし合わせます。
- 公開を続ける前に止める必要がある項目
- 権限、設定、更新で対応できる項目
- 設計変更や追加調査が必要な項目
- 誤検知の可能性を含め、再確認が必要な項目
診断後の対応を作業として管理する
診断後は、検出項目を単に一覧で保管するのではなく、担当者が次に行う作業へ分解します。対象、取得日、判定条件、影響範囲、暫定対応、期限、再確認の方法を一つの記録にまとめ、変更前後で同じページと機能を確認できるようにします。
- レポートの証跡、対象、取得日、判定条件を保管する
- 各項目に担当者、期限、対応方法、確認方法を割り当てる
- 設定変更や更新の前後に、フォームや主要ページを確認する
- 再診断または手動確認で、対応後の状態を記録する
CMS、プラグイン、サーバー、SSL証明書、ログの監視方法は、利用中の製品や契約によって異なります。実施できるスキャンの頻度、通知方法、保存期間、緊急時の連絡経路は、サービスの公式資料と契約内容を確認して決めます。
継続確認の計画を作る
一度の診断結果だけで運用を判断せず、更新や構成変更があったときに再確認する条件を決めます。公開範囲、認証、フォーム、権限、バックアップ、ログの確認日を記録し、未対応項目を次のレビューに引き継ぎます。非破壊の確認が可能か、実施時間帯や利用者への影響があるかも、採用する方式の仕様に基づいて確認します。
「見える化」を意思決定につなげる
診断の目的は、検出数を競うことではなく、何をいつまでに確認するかを決められる状態にすることです。技術担当者だけで判断せず、事業への影響、個人情報の扱い、公開停止の可否を関係者と共有し、記録に残します。
診断の結果を使う人が技術担当者だけとは限らないため、業務を止められる条件、個人情報を扱う範囲、連絡を受ける担当者をあらかじめ決めます。診断方式の前提と未確認の項目を記録しておけば、結果を受け取った人が勝手に範囲を広げず、必要な追加確認を安全に依頼できます。
自社で管理する範囲と外部サービスの責任範囲を切り分け、対象と証跡を整理してから診断方法を選びます。判断できない項目は未確認として残し、公式資料や契約窓口で確認できる状態にしておきます。診断の準備はサービスの案内、個別の確認事項はお問い合わせページから確認できます。 診断の対象や報告書の読み方はOWASPの公式テストガイドを参照し、採用する診断方式の仕様と契約条件を照合します。
