セキュリティ診断
システムの
攻撃される
弱点を
許可いただいた範囲のシステムに、攻撃者と同じ手順で試し、弱点とその影響を報告書にまとめます。見つけて終わりにせず、ご依頼があれば、直し方のご案内や修正、直したあとの再確認まで引き受けます。確認できた
ご依頼の前提
-
検査する
範囲 許可いただいた範囲だけを、 システム・環境・期間・禁止する検査します 操作は、 見積の 前に お互いに 取り決めます -
契約の
前に 正式に頼む 許可いただいた前に、 簡易の 検査を 試せます 一部の システムで、 結果の 要約と、 弱点が あれば 1件の 詳しい 説明を お渡しします -
緊急の
とき 重大なリスクは、 情報が契約を 待たずに すぐ お知らせします 漏れている 兆候など、 すぐに 対処が 要るときは、 状況を 悪くする 操作を 止めて 連絡します
確かめたいのに、
何を頼めばいいか分からない
システムの弱点は、使っているだけでは見えません。作った人にも、社内の担当者にも、気づきにくい所があります。
弱点を見つける検査から、
直すところまで
目的に合わせて、4つから選べます。どれが合うかは、ご相談で一緒に決めます。
守りの仕組みと、人の対応まで確かめる
権限を与えられたチームが攻撃者の動きを模擬し、防御システムから、人による検知と対応までを評価します。目標に届いたかだけでなく、いつ検知され、適切な担当者に連絡が届き、間に合うように止められたかをお伝えします。演習を中止できる担当者は、始める前にお互いに決めます。
- 攻撃を
模擬 - 検知
- 担当者へ
連絡 - 止める
「安全です」とは書かない。
確認できたことと、未検査の範囲を書く
- 脆弱性診断で
お渡しするもの - 確認できた脆弱性の一覧、影響を受ける箇所、優先度、対応方針。検査した範囲と、していない範囲もわけて書きます
- ペネトレーション
テストで お渡しするもの - 使ったアカウント、試した操作、システムが許可したか遮断したかの証跡。不備があったときの直し方。結論を出すだけの根拠が足りないときは、その旨も書きます
- 弱点が
見つからなかった とき - 試した範囲を書きます。それは、システム全体が安全だという意味ではありません。見つかった件数を、あらかじめお約束することもしません
- 直した
あと - ご依頼があれば、直したあとの再検査の結果をお渡しします。検査の内容は、取り決めた範囲に限ります
検査する範囲の相談から、
直したあとの確認まで
-
01
範囲と
ルールが 決まる 検査するシステム・環境・期間・禁止する操作・止めるときの連絡先を、見積の前に取り決めます
-
02
検査の
準備が 整う 検査用のアカウントと、テスト用のデータを用意します。本番の環境で試せないときは、代わりの環境を決めます
-
03
検査する
取り決めた範囲で、検査を行います。重大なリスクを見つけたときは、すぐに連絡窓口へお知らせします
-
04
報告書が
届く 経営層向けの要約と、開発チーム向けの技術の詳細をお渡しし、結果をご説明します
-
05ご依頼が
あれば 直して、
確かめる ご依頼があれば、直し方のご案内や修正を行い、直したあとの再検査の結果をお渡しします
正式に頼む前に、
簡易の検査を試せる
許可いただいたシステムの一部に、簡易の検査を行います。これをもとに、完全な報告書を受け取るために正式にご契約いただくかを、ご判断いただけます。
見つかる件数は、検査してみないと分かりません。確認できた弱点だけをお伝えし、見つからなかったときは、試した範囲をお伝えします。
お渡しするもの
- 結果の
要約 簡易の検査で分かったことを、まとめてお渡しします - 詳しい
説明を 弱点が確認できた場合に、サンプルとして1件を、詳しくご説明します1件 - 正式に
頼むかを Rabilooの検査で何が分かるかを見てから、ご判断いただけます決める 材料
診断のあとも、
守り続けるなら
セキュリティ診断に関するよくあるご質問
Q脆弱性診断と、ペネトレーションテストは、何が違いますか？
脆弱性診断は、システムにどんな弱点があり、どこから直すべきかを洗い出します。ペネトレーションテストは、決めた目標（たとえば、別の利用者の請求書を取れるか）に実際に届くかを確かめます。目的に合わせて選びます。迷うときは、相談で一緒に決めます。
Q検査でシステムが止まったり、壊れたりしませんか？
検査してよい範囲・時間帯・禁止する操作は、見積の前に取り決めます。本番の環境で試せないときは、代わりの環境を決めます。重大なリスクを見つけたときは、すぐ連絡窓口へお知らせします。
Q弱点が見つからなかったら、安全だと言えますか？
いいえ、言えません。報告書には、試した範囲を書きます。見つからなかったのは、試した範囲の中でのことで、システム全体が安全だという意味ではありません。
Q見つかった弱点は、直してもらえますか？
検査または演習とあわせてご依頼いただく場合に、お受けします。直し方のご案内のみ、または、Rabilooが直して再検査まで行う形を、契約で選べます。稼働中のシステムを変える前には、お客様の承認をいただきます。報告書のご案内は、修正をお約束するものではありません。
Q費用は、どのように決まりますか？
検査するシステムと環境、実施期間、Rabilooが担当する作業、お受け取りいただく成果を、見積の前に書き出して決めます。まずは、ご相談ください。
Q情報の扱いは大丈夫ですか？
Rabilooグループとして、ISO/IEC 27001（情報セキュリティ）とISO 22301（事業継続）の認証を取得しています。お預かりする情報の扱い方は、始める前に取り決めます。必要に応じて、秘密保持契約を取り交わします。
守りたいシステムのことを、
そのままお聞かせください
診断したいシステムと、気になっていることを伺い、どの診断が合うかと、進め方をお答えします。
-
01
診断したいシステムWebサイト・業務システム・アプリなど。何に使っているか
-
02
気になっていることニュースを見て不安・取引先から確認を求められた・古いまま、など
-
03
いつまでに確かめたいかまだ決まっていなくても構いません
