セキュリティ解説
自社のリスクを、
見過ごさないために。
何を調べるべきか。どこまで依頼すればよいか。
診断を検討する方に向けて、判断の手がかりをまとめました。
APIセキュリティ
APIの認証と認可。「ログイン済み」だけでは守れない。
認証と認可の違い、他人のデータへのアクセス、API診断の相談時に用意する資料を図解とともに整理します。
ネットワークの点検
VPNや公開サーバー。外から見える入口を減らすには。
公開IP、管理画面、稼働サービス。ネットワーク診断の前に整理したい公開資産と、診断後に確認する運用上のポイントを解説します。
Webサイトの設定
HTTPSだけで十分？ Webサイトの応答ヘッダーを点検する。
通信の暗号化と、ブラウザーへの制御指示は別の役割。CSPや埋め込み制御を例に、設定と実際の動作を確認する考え方を説明します。
中小企業・委託管理
制作会社に任せているサイト。発注側が確認したい5つのこと。
更新、管理権限、バックアップ、事故時の連絡、診断許可。専門部署がなくても、委託先との確認から始められる点検項目をまとめます。
費用と選び方
脆弱性診断の費用は、何で変わるのか。
金額だけでは比較しにくいセキュリティ診断。対象の数え方、検査方法、報告と再診断の範囲を、見積もりの前に整理します。
診断の基礎
無料診断と有料診断。違いは「どこまで調べるか」。
無料・有料という区分だけでは診断の深さは分かりません。公開情報、能動検査、認証、報告内容から、自社に必要な範囲を考えます。
企業のセキュリティ
セキュリティ診断は、いつ必要になるのか。
公開前、機能変更後、取引先からの確認。中小企業が診断を検討する場面と、診断とあわせて進めたい運用の整備をまとめました。
Webサイトの点検
WordPressの安全性、まず何を確認するか。
本体・プラグインの更新だけでなく、管理者、バックアップ、公開情報も確認。運用側の点検と外部からの診断の役割を整理します。
自社の場合は、どう調べる？
対象と目的を伺い、診断できる範囲を確認します。