WEBアプリケーション脆弱性診断ガイドライン

こちらでは、WEBアプリケーション診断における脆弱性診断ガイドラインについて紹介しています。脆弱性診断について気になっている人は、ぜひ参考にしてみてください。

「政府情報システムにおける脆弱性診断導入ガイドライン」

政府情報システムは、国民生活や行政の活動の根幹を支える基盤です。脆弱性診断の実施について正しく理解し、高度な専門性や安全性を確保したセキュリティベンダーから診断サービスを調達する必要があります。また、脆弱性診断を実施するだけでなく、検出されたセキュリティリスクを基点として、組織とシステムの弱点を見直すことも大切です。

政府情報システムの関係者がこのような観点から、脆弱性診断をスムーズに進めるための基準及びガイダンスを提供するものです。

「Webアプリケーション脆弱性診断ガイドライン 第1.2版」

2022年3月に第1.2版を公開した「Webアプリケーション脆弱性診断ガイドライン 第1.2版」では、CSSi、Relative Path Overwrite、SSTI、SSRFなどの脆弱性項目の追加や診断方法などの見直しが実施されました。

ISOG-JセキュリティオペレーションガイドラインWGとOWASP Japan主催の共同ワーキンググループ「脆弱性診断士スキルマッププロジェクト」におけるOWASP Top 10 - 2017の「A4:XML外部エンティティ参照（XXE）」と「A8:安全でないデシリアライゼーション」に対応した「Webアプリケーション脆弱性診断ガイドライン」と「スキルマップ＆シラバス」が公開されています。

「サイバーセキュリティ経営ガイドラインVer 2.0」

経済産業省、独立行政法人 情報処理推進機構が発行している「サイバーセキュリティ経営ガイドラインVer 2.0」では、セキュリティ対策の実施はこれからの成長に必要不可欠なものと捉え、投資として取り組むことが重要と考えました。

経営者が認識する必要がある「3原則」と、経営者がサイバーセキュリティ対策を実施するうえで責任者となる担当幹部に指示すべき「重要10項目」をまとめたものです。

「情報セキュリティ対策ベンチマーク バージョン4.6」

「情報セキュリティ対策ベンチマーク バージョン4.6」は、27項目ある組織の情報セキュリティ対策の取組状況と、19項目の企業プロフィールを回答することによって、他社と比べてセキュリティ対策への取り組み状況がどのレベルにあるかを確認できる自己診断システム。

情報セキュリティを巡る環境変化や対策レベルの変化を考慮し、診断の基礎データを最新の7年6ヶ月分のデータに入れ替えたのがバージョン4.6です。

本サイトでは、WEBアプリケーションの脆弱性診断をしてくれる会社の中で、OWASPの基準を満たした診断項目を設けていたり、IPAの認定を受けていたりする特に信頼のおける会社を2社、状況・課題別に紹介しています。

専門家に依頼して脆弱性診断をしたい場合、それぞれ会社ごとに特徴があるので、よく確認してみましょう。

［状況・課題別］
おすすめの
WEBアプリケーション
脆弱性診断会社2選をみる