企業がペネトレーションテストを内製化するメリットとは
この数ヶ月、企業を狙った大規模な個人情報漏えい事件が頻発している。記憶に新しいソニー関連子会社、Google、シティバンク等々、サイバー攻撃による事件は収束する気配がなく、グローバルに広がり、とどまるところを知らない。
特集
特集
この状況に戦慄を覚える企業は少なくないだろう。これを機にサイバー攻撃対策を改めて検討する企業・団体が増えている。
こうした状況を背景に、企業システムの中の、Webアプリケーションのセキュリティ対策はその重要度を増している。
その対策は、Webアプリケーションの開発段階からのセキュアプログラミング、Webアプリケーションファイアウォール（WAF）の導入、Webアプリケーションへの「脆弱性診断」「ペネトレーションテスト」等と呼ばれるシステムへのセキュリティ検査実施等が代表的だ。
セキュリティ検査は、最も古くから実施されている標準的な対策であり、検査対象となるWebアプリケーションにツールを用いてスキャンを実施したり、検査技術者が模擬攻撃を仕掛けることで、システムの脆弱点を洗い出す。ほとんどの企業・団体では、外部のセキュリティ専門企業へセキュリティ検査を委託するケースが多いだろう。
セキュリティ検査は、システム改修や、新規Webアプリケーションのカットオーバー、新しいセキュリティホールの発見、新たな攻撃手法の台頭などに応じ、網羅的かつ都度実施する必要がある。しかし、外部の専門企業へアウトソースしている場合、時間と費用両面のコスト増加が避けられず、その結果、一部のシステムだけに検査が限定されたり、必要なタイミングで検査が実施されていないのが多くの企業・団体の現状である。
こうした問題を解決する方法のひとつが、セキュリティ診断を社内で内製化し、定期的に診断を実施し、脆弱性を把握し潰しこんでいくという方法だ。
近年、サービス規模の巨大な企業等で、セキュリティ検査のためのツールやノウハウを自社で保有し、そのためのスタッフを社内で育成するケースも現れ始めている。
地道に確実に予防線を張ることができ、同時に、内製化による外部委託の頻度を減らしたスケジュールに切り替えていくことで、コスト削減を実現していくことが可能となる。
グローバルセキュリティエキスパート株式会社
http://www.gsx.co.jp/
セキュリティ検査 コスト削減セミナー（グローバルセキュリティエキスパート株式会社）
http://www.gsx.co.jp/seminar/seminar_110721.html
（グローバルセキュリティエキスパート株式会社 事業開発部 マネージャ 高橋 広志）
《ScanNetSecurity》
特集
アクセスランキング
-
「象印でショッピング」へ不正アクセス、流出したアドレスにメール送信しカード情報を盗取（象印マホービン）
-
リース会社に返却したHDDを委託会社の社員が横領、オークションサイトに流出（神奈川県）
-
業務用PCが「Emotet」に感染、不正メールの送信を確認（サンウェル）
-
マイクロソフトが12月のセキュリティ情報を公開、悪用も確認（IPA、JPCERT/CC）
-
行員が顧客からの要請に応じて別の顧客の情報を漏えい（北洋銀行）
-
職員がWebサイトの偽の警告画面に従って遠隔操作用ソフトをダウンロード（東京防災救急協会）
-
従業員がハードディスク等3,904個をオークションで売却、懲戒解雇に（ブロードリンク）
-
Appleが7製品11バージョンのセキュリティアップデートを公開（JVN）
-
アカウント更新や口座の制限解除を理由に誘導する、みずほ銀行偽メール（フィッシング対策協議会）
-
WordPress用プラグイン「Custom Body Class」に複数の脆弱性（JVN）