01 公開前に、修正する時間を残す
新しいWebサイトやAPIを公開する前には、対象の機能が揃った検証環境で確認する計画を立てます。公開直前に診断日だけを確保すると、問題が見つかっても修正と確認の時間が足りなくなります。
開発担当者と、対象範囲、診断に使うデータ、結果を受け取る人、修正の予定を共有してください。サービス全体を一度に対象にできない場合は、重要な入力処理や外部公開の接点から優先順位を決めます。
02 変更があった場所を見直す
フォームやAPIを追加したとき、サーバーを移したとき、管理方法が変わったときには、以前の診断結果だけでは現在の状態を説明できない場合があります。変更点の一覧を残し、再度確認する対象を検討します。
更新のたびに同じ検査を一律に繰り返すのではなく、公開面、認証、入力処理、取り扱うデータへの影響を整理することが重要です。
- 新しく公開したURL・API・IPがあるか
- 利用者や管理者の権限に変更があるか
- 収集する情報や外部サービスとの接続が変わったか
03 取引先へ、調べた範囲を説明する
取引先からセキュリティ対策の状況を尋ねられたら、まず求められている証跡や確認項目を確かめます。診断報告書があれば、どんな要求でも満たせるわけではありません。
対象、実施時点、方法、所見と対応状況を整理すると、説明の材料になります。報告書に含まれる機密情報の共有先と共有方法も、あらかじめ決めておきましょう。
04 診断のあとに続く、日々の対策
診断は特定の時点・範囲の確認です。更新管理、アクセス権限の見直し、バックアップと復元確認、事故時の連絡体制など、継続的な運用と組み合わせて使います。IPAのガイドラインは、企業として対策を整理する際の参考になります。
すでに不正アクセスや情報漏えいが疑われる場合は、通常の診断申込みとは別に、事故対応の体制と連絡先を確認してください。PENVISTAの標準診断は、緊急対応や被害調査の代わりとなるものではありません。
参考資料
技術や運用の考え方は以下の資料も参照してください。PENVISTAの提供範囲・料金は、当サイトのサービス案内と販売条件に従います。