企業がペネトレーションテストを内製化するメリットとは | ScanNetSecurity
2019.12.16(月)

企業がペネトレーションテストを内製化するメリットとは

この数ヶ月、企業を狙った大規模な個人情報漏えい事件が頻発している。記憶に新しいソニー関連子会社、Google、シティバンク等々、サイバー攻撃による事件は収束する気配がなく、グローバルに広がり、とどまるところを知らない。

特集 特集
この数ヶ月、企業を狙った大規模な個人情報漏えい事件が頻発している。記憶に新しいソニー関連子会社、Google、シティバンク等々、サイバー攻撃による事件は収束する気配がなく、グローバルに広がり、とどまるところを知らない。

この状況に戦慄を覚える企業は少なくないだろう。これを機にサイバー攻撃対策を改めて検討する企業・団体が増えている。

こうした状況を背景に、企業システムの中の、Webアプリケーションのセキュリティ対策はその重要度を増している。

その対策は、Webアプリケーションの開発段階からのセキュアプログラミング、Webアプリケーションファイアウォール(WAF)の導入、Webアプリケーションへの「脆弱性診断」「ペネトレーションテスト」等と呼ばれるシステムへのセキュリティ検査実施等が代表的だ。

セキュリティ検査は、最も古くから実施されている標準的な対策であり、検査対象となるWebアプリケーションにツールを用いてスキャンを実施したり、検査技術者が模擬攻撃を仕掛けることで、システムの脆弱点を洗い出す。ほとんどの企業・団体では、外部のセキュリティ専門企業へセキュリティ検査を委託するケースが多いだろう。

セキュリティ検査は、システム改修や、新規Webアプリケーションのカットオーバー、新しいセキュリティホールの発見、新たな攻撃手法の台頭などに応じ、網羅的かつ都度実施する必要がある。しかし、外部の専門企業へアウトソースしている場合、時間と費用両面のコスト増加が避けられず、その結果、一部のシステムだけに検査が限定されたり、必要なタイミングで検査が実施されていないのが多くの企業・団体の現状である。

こうした問題を解決する方法のひとつが、セキュリティ診断を社内で内製化し、定期的に診断を実施し、脆弱性を把握し潰しこんでいくという方法だ。

近年、サービス規模の巨大な企業等で、セキュリティ検査のためのツールやノウハウを自社で保有し、そのためのスタッフを社内で育成するケースも現れ始めている。

地道に確実に予防線を張ることができ、同時に、内製化による外部委託の頻度を減らしたスケジュールに切り替えていくことで、コスト削減を実現していくことが可能となる。

グローバルセキュリティエキスパート株式会社
http://www.gsx.co.jp/
セキュリティ検査 コスト削減セミナー(グローバルセキュリティエキスパート株式会社)
http://www.gsx.co.jp/seminar/seminar_110721.html

(グローバルセキュリティエキスパート株式会社 事業開発部 マネージャ 高橋 広志)

《ScanNetSecurity》

PageTop

特集

アクセスランキング

  1. 「象印でショッピング」へ不正アクセス、流出したアドレスにメール送信しカード情報を盗取(象印マホービン)

    「象印でショッピング」へ不正アクセス、流出したアドレスにメール送信しカード情報を盗取(象印マホービン)

  2. リース会社に返却したHDDを委託会社の社員が横領、オークションサイトに流出(神奈川県)

    リース会社に返却したHDDを委託会社の社員が横領、オークションサイトに流出(神奈川県)

  3. 業務用PCが「Emotet」に感染、不正メールの送信を確認(サンウェル)

    業務用PCが「Emotet」に感染、不正メールの送信を確認(サンウェル)

  4. マイクロソフトが12月のセキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

    マイクロソフトが12月のセキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

  5. 行員が顧客からの要請に応じて別の顧客の情報を漏えい(北洋銀行)

    行員が顧客からの要請に応じて別の顧客の情報を漏えい(北洋銀行)

  6. 職員がWebサイトの偽の警告画面に従って遠隔操作用ソフトをダウンロード(東京防災救急協会)

    職員がWebサイトの偽の警告画面に従って遠隔操作用ソフトをダウンロード(東京防災救急協会)

  7. 従業員がハードディスク等3,904個をオークションで売却、懲戒解雇に(ブロードリンク)

    従業員がハードディスク等3,904個をオークションで売却、懲戒解雇に(ブロードリンク)

  8. Appleが7製品11バージョンのセキュリティアップデートを公開(JVN)

    Appleが7製品11バージョンのセキュリティアップデートを公開(JVN)

  9. アカウント更新や口座の制限解除を理由に誘導する、みずほ銀行偽メール(フィッシング対策協議会)

    アカウント更新や口座の制限解除を理由に誘導する、みずほ銀行偽メール(フィッシング対策協議会)

  10. WordPress用プラグイン「Custom Body Class」に複数の脆弱性(JVN)

    WordPress用プラグイン「Custom Body Class」に複数の脆弱性(JVN)

ランキングをもっと見る