こちらでは、金融業界におけるWEBアプリケーション診断例について紹介しています。脆弱性診断について気になっている人は、ぜひ参考にしてみてください。
第一生命情報システムはセキュリティ運用を担っていることもあり、インシデント発生時への備えとして、自ら手を動かすことができるようになるという点を重要と考えています。しかしながら、日常の業務と両立する形で個人が環境を構築し、維持するというのは難しい部分がありました。「iLabs」を活用することで手間を省くことができ、モジュールの学習に専念できるという点や、必要に応じて初期状態から再度利用できるという点は大変助かりました。
SureMailの導入により、なりすましや改ざんが行われていないことを証明できるようになり、フィッシングメールなどの不審なメールへの有効な対策が実現できました。なお、株式会社エムアイカードではこの取り組みについて自社のWEBサイトなどを通じて外部発信を行っており、これらの発信を通じて、フィッシング詐欺対策をはじめとするセキュリティ対策について、積極的で活発な対応が進んでいます。
『スパイラル®』とCMSの連係の部分が難しいところだと言いましたが、こういった点についても、作り手が考慮漏れしやすい項目を含めて、『Qbook』でも『Qbookアカデミー』でも、重点的に機能面を一通り検証してもらい、私たちとしては、漏れなく対応できたと感じられました。当社もセキュリティテストとして、侵入テスト等を実施していますが、脆弱性診断に関しても、内容がわかりやすく網羅されている印象を受けました。品質を上げることができたと思います。
金融業界は、活発に変動する資金という重要情報を取り扱う業界であるため、WEBアプリケーションにおける脆弱性診断を行い、しっかりとセキュリティ対策を講じる必要があります。第三者の目線の診断で、充分な知識を持った専門家のアドバイスは大変参考になるでしょう。
本サイトでは、WEBアプリケーションの脆弱性診断をしてくれる会社の中で、OWASPの基準を満たした診断項目を設けていたり、IPAの認定を受けていたりする特に信頼のおける会社を2社、状況・課題別に紹介しています。
専門家に依頼して脆弱性診断をしたい場合、それぞれ会社ごとに特徴があるので、よく確認してみましょう。
WEBアプリケーション脆弱性診断に対応している会社を、「実績数」「セキュリティ性の高さ」「納期」に着目したうえでピックアップしたおすすめ3社をご紹介します。
地方自治体 550件以上
独立行政法人 167件以上
中央官庁・民間企業など500団体
3営業日以内
産業システム 約14,400件
オートモーティブ 約11,000件
など累計プロジェクト数
約34,000件
記載なし
累計診断実績 約2,000件
3営業日以内
(※1)地方自治体…2021年4月時点ののべ実績。各市区町村の教育委員会の個別契約実績も含みます。
独立行政法人…2021年4月時点ののべ実績。独立行政法人の他に、それに類する団体も含みます。
(※2)2023年3月期までの累計実績
(※3)2020年に買収したソフテック社が1998年より事業を開始してからの26年間での累計実績
【選定基準】
2024年1月25日の調査にて、Googleで「WEBアプリケーション 診断」と検索した際上位100位サイトに表示されるWEBアプリケーション診断サービスを有料で実施している会社67社のうち、OWASPトップ10のリスト(※4)を網羅している且つIPAの基準に準じた診断項目になっている(※5)ことが公式HPから分かり、実績数が掲載されている3社をピックアップ
(※4)The OWASP Foundationにより、世界中の利用実態に基づいて悪用のしやすさ、検知のしやすさ、および影響についての共通認識の推計を組み合わせた上で、選択し優先順位付けされたセキュリティ脅威のTop10
OWASP公式HP:https://owasp.org/API-Security/editions/2023/en/0x11-t10/
(※5)独立行政法人 情報処理推進機構が提唱している安全なWebサイトの作り方
IPA公式HP:https://www.ipa.go.jp/security/vuln/websecurity/about.html