脆弱性診断内製化ガイド | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
背景 近年、企業システムに対するサイバー攻撃は多様化・高度化しており、企業は日々新たな脅威への対応を迫られています。さらに、脆弱性の発見件数も年々増加傾向にあり、システムのリリース前後を問わず、潜在的な脆弱性をいかに早期に発見し適切に対策を講じるかが、事業継続や信頼性維持の観点からますます重要になっています。 一方で、脆弱性診断については多くの企業が外部ベンダーへ発注するケースが一般的ですが、脆弱性の増加やリリースサイクルの高速化により対応しきれないケースが増えつつあり、内製化への関心も高まっています。 こうした背景を踏まえ、当プロジェクトでは「脆弱性診断内製化ガイド」を作成しました。ガイドの作成にあたり、まず複数のツールを用いた技術検証で脆弱性診断の概要や概念、自動・手動診断の違いを整理し、それぞれの特性や有効性を明らかにしました。そのうえで、文献調査やアンケート、有識者・内製企業へのヒ
脆弱性診断 with AIエージェント、はじめました。 - freee Developers Hub
こんにちは！PSIRT red team の kaworu と yusui です。 最近力を入れて取り組んでいる、 AIエージェントを利用した脆弱性診断の取り組みについて紹介します。 取り組みの背景 はじめに、現在のfreeeの脆弱性診断の体制と、取り組みの背景についてです。 freeeの脆弱性診断の流れとしては、開発チームから、設計レビューの依頼をきっかけに始まります。 セキュリティ観点でレビューを行い、あわせて脆弱性診断が必要な対象を決定しています。診断が必要なものは準備、診断作業、そして結果が開発チームに共有、修正が必要なものは対応を依頼しています。 上述のような流れなのは、Webアプリケーションの脆弱性診断はソースコードに変更の入ったタイミング、つまりリリースごとの実施を理想として体制を作ってきたためです*1。 その結果、以下のような課題をずっと抱えています。 リリースごとの小さな
ペネトレーションテストはどこまでやればいい？ | LAC WATCH
こんにちは。ペネトレーションテストサービスの実査を担当している戸谷と、ペネトレーションテスト部門のマネージャーとしてセキュリティコンサルタント兼テクニカルコミュニケーターをしている川島です。 2020年11月に「脆弱性診断とペネトレーションテストの使い分け」についての情報発信を行ってから、約4年が経ちました。当時の「脆弱性診断とペネトレーションテストの違いがよくわからない」状況から、2025年現在の脆弱性診断やペネトレーションテストを取り巻く環境は少し変化している印象を受けます。具体的には、各種のセキュリティ基準や会社のルールなどで「脆弱性診断だけではなく、ペネトレーションテストを実施すること」というルールが定められているケースを多く目にするようになり、脆弱性診断とは異なるセキュリティテスト（以下、テスト）としてペネトレーションテストの実施を要求するケースが増加していることを感じます。 こ
[経済産業省検討会] 全てのECサイトで脆弱性診断が義務化へ - Securify｜国産のASM×脆弱性診断を簡単に
経済産業省は、クレジットカード番号の不正利用対策強化の一環として、EC加盟店に対してさらなる取り組みを求める方針です。その取り組みの中に「脆弱性診断の必須化」が検討されています。以下で解説します。 ECサイトの脆弱性診断義務化の背景 ECサイトに対する攻撃の激化 総務省の調査によると、平成28年から令和2年にかけて、不正アクセス件数が急増しています。 （出典: 総務省 令和3年度 不正アクセス行為の発生状況 別紙 1ページ） そして、この不正アクセス件数の大多数は一般企業で発生しています。 （出典: 総務省 令和3年度 不正アクセス行為の発生状況 別紙 1ページ） 不正アクセス数は増加しているものの、違反行為の検挙数はさほど伸びていないのが実情です。つまり、多くの攻撃者を検挙できていないのが実情です。 （出典: 総務省 令和3年度 不正アクセス行為の発生状況 別紙 4ページ） そして不正ア
![[経済産業省検討会] 全てのECサイトで脆弱性診断が義務化へ - Securify｜国産のASM×脆弱性診断を簡単に](https://cdn-ak-scissors.b.st-hatena.com/image/square/33563fbc31c7aa4314944cbaffe21b48cea9e926/height=288;version=1;width=512/https%3A%2F%2Fwww.securify.jp%2Fwp-content%2Fthemes%2Fv2_securify2024renewal%2Fassets%2Fimages%2Fcommon%2Fsecurify_ogp.jpg)
キャッシュからダメな情報が見えちゃうよ！ 見逃しがちなWebアプリの落とし穴
キャッシュからダメな情報が見えちゃうよ！ 見逃しがちなWebアプリの落とし穴：“典型的やられサイト”で学ぶセキュリティのワナ（1/2 ページ） ネット上で商売するのが当たり前な時代。自社でWebサイトやWebアプリを抱える企業も相当な数になっている。そこでインシデントが発生すれば信用、ブランド、収益……失うものは計り知れない。 本連載では情報セキュリティの専門家・徳丸浩さんが制作した脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。 登場人物は全て架空の存在だが、ワナは全て現実にあり得るもの。セリフは徳丸さんの監修の下制作した。 カクーノ株式会社：Webアプリ開発を手掛ける企業。本記事に登場する企業・団体及び人物は全て架空の存在である。 荒井考人（あらいこうと）：入社したばかりの新人プログラマー。基本的なプログラミン
VSCode上でCodeWhispererとCopilotを両方使うと、捗る (AIが脆弱性診断→AIが解説)
(2024/05/01追記) CodeWhispererがAmazon Qに吸収されたみたいです。 今から読む人は、CodeWhispererをAmazon Qに読み替えていただければと思います。 言いたいこと VSCode上でAmazon CodeWhispererに脆弱性診断をさせてGitHub Copilot Chatにその解説をさせると、とても捗るよ。 もう少し細かい説明 GitHub CopilotやAmazon CodeWhispererって何？ GitHub Copilotは、IDE上でAIがコーディングの補完をしてくれるGitHub提供のサービスです。 Amazon CodeWhispererは、IDE上でAIがコーディングの補完をしてくれるAWS提供のサービスです。 つまり競合しています。比較用に両方を使ったことがある人はいても、日常的に同時使用している人は少ないのではな
脆弱性診断はするかしないかで悩むものではない ハードルを下げて「何もやっていない」からの脱却を
情報システム部門の人々は日々さまざまな業務に追われている。社内の端末の管理やセキュリティ対策、クラウド導入プロジェクトなど仕事は多岐にわたる。中小企業では“兼任情シス”として、他の業務に当たりながらIT周りの管理も担当する場合もあるだろう。 そんな情シスにとって大きな負担となるのが脆弱（ぜいじゃく）性診断だ。脆弱性診断とは、Webアプリケーションなどのシステムにサイバー攻撃の原因になるような問題がないかをチェックすること。品質管理部門や情報セキュリティを専門とする情報システム部員が担当するケースも多い。 脆弱性診断というと、自社が攻撃を受けないようセキュリティーホールを探すために実施するイメージがあるかもしれないが、商品として開発したシステムに欠陥がないかを探す場合もある。情報セキュリティ事業を手掛けるビットフォレストの西野勝也取締役によると、近年ではメーカー側に脆弱性診断を求める企業が増
脆弱性診断の新常識――顧客から急に「セキュリティチェック、やっていますか？」と聞かれても対応できる方法とは？
脆弱性診断の新常識――顧客から急に「セキュリティチェック、やっていますか？」と聞かれても対応できる方法とは？ 昨今のビジネスにおける取引では、Webサイトの納品時やWebサービスの契約時に、企業が顧客から「セキュリティチェックシートを提出してほしい」と求められることが増えている。このシートは企業のセキュリティ対策の状況を詳しく聞くもので「脆弱性診断の有無」がチェック項目に含まれることがほとんどだ。 しかし対応を迫られている現場では「セキュリティ対策の専任部門がなく、脆弱性診断に手が回らない」「運営するWebサイトが多く、脆弱性診断にかけられる予算が足りない」といった課題が生じることも多い。その背景には、一般的な脆弱性診断の価格と、セキュリティ人材の人手不足がある。 と言うのも、これまでの脆弱性診断では、企業が外部の専門ベンダーに診断を依頼するケースが多かった。この方法は専門家の手にチェック
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GMO Flatt Security株式会社
いやいやセキュリティ ～ 上野宣がビビるほど○○だった脆弱性診断ツール「Securify（セキュリファイ）」とは？ | ScanNetSecurity
脆弱性診断・セキュリティ診断国内シェアNo1ツール「Vex」
なぜ自社で脆弱性診断を行うべきなのか
とある診断員とAWS