弊社コンピューターサイエンス株式会社が提供するWebアプリケーション脆弱性診断のご紹介です。 https://www.cscnet.co.jp/service/security/v-threat.html

1. Webアプリケーション
脆弱性診断
コンピューターサイエンス株式会社
事業企画部

2. アジェンダ
脆弱性とは？
脆弱性のリスクと必要性
CSC脆弱性診断のご紹介

3. 脆弱性とは？
コンピュータのOSやソフトウェアにおいて、
プログラムの不具合や設計上のミスが原因となって発生した
情報セキュリティ上の欠陥のこと。
脆弱性が残された状態でコンピュータを利用していると、
不正アクセスに利用されたり、ウイルスに感染したりする危険性があります。
総務省：国民のための情報セキュリティサイト
Webアプリケーションにおける代表的な脆弱性
• クロスサイトスクリプティング
• インジェクション（SQL／HTTPヘッダ／OSコマンドなど）
• ディレクトリトラバーサル
• 認証の不備
など

4. 脆弱性の具体例（クロスサイトスクリプティング）
原因
標的Webサイトにスクリプトを
混入できてしまうこと
想定されるリスク
・個人情報漏えい
・ファイル破壊
1-2. クロスサイトスクリプティング (ipa.go.jp)

5. 脆弱性の具体例（SQLインジェクション）
原因
入力された文字列を命令文として解
釈してしまう（無害化されていな
い）
想定されるリスク
・情報漏えい
・情報の改ざん
・データ破壊
情報処理推進機構：情報セキュリティ：脆弱性関連情報の
取扱い：知っていますか？脆弱性 (ぜいじゃくせい)／1.
SQL インジェクション (ipa.go.jp)

6. 脆弱性のリスク
情報漏えい
個人情報やクレジットカード番号、パスワードの漏洩
Webサイト改ざん
他サイトへの誘導、コンテンツの改ざん、データの破壊
脆弱性のリスクを放置することは、企業の信用に関わります。
脆弱性を突かれた攻撃で被害を受けた場合、対応する時間やコスト、
ユーザーへの補償や信頼回復など、ビジネスに大きな影響を与えます。

7. 脆弱性のリスク
脆弱性対策情報データベースJVN iPediaの登録状況 [2020年第3四半期（7月～9月）]：IPA 独立行政法人 情報処理推進機構
3か月で約3,000件の脆弱性が報告されています。
そのうち、情報の漏えいや改ざんされる危険度が高い脅威は85.7％です。

8. 脆弱性診断の必要性
脆弱性の問題は、企業イメージの低下や資産価値を下げるリスクがあるため、
攻撃を受ける前に検知して対処することが重要です。
【脆弱性診断が必要な理由】
・Webアプリケーションご利用者様の安心のため
・情報セキュリティインシデントの予防のため
脆弱性診断⇒企業のIT資産や信用を守るために不可欠なプロセス

9. 脆弱性診断の必要性
開発段階で脆弱性診断を受けることで、早い段階で脆弱性を発見・対策することが可能です。
リリース前に再診断することで、安全なWebアプリケーションであることを確認できます。
脆弱性診断をWebアプリケーション開発のプロセスに組み込むことが重要
開発 脆弱性対策 バージョンアップ
本番リリース
脆弱性を洗い出すための
診断
安全性を確認するための
診断
安全性を確認するための
診断

10. CSCがご提供する脆弱性診断
CSC脆弱性診断サービス
V-threat
開発段階のWebアプリケーションをまずは診断してみたい。
一度も脆弱性診断を受けたことがない。
セキュリティガイドラインを遵守しているか確かめたい。
モバイルアプリケーションの診断をしたい。

11. CSCがご提供する脆弱性診断
オープンなセキュリティスキャナを使用し、主要な脆弱性を検査します。
一度も脆弱性診断を受けたことがないアプリケーションに対して、
主要な脆弱性がないか確認するのに適しています。
【ご使用例】
・Webサイトリリース前の脆弱性診断
・本番運用中Webサイトの脆弱性診断
CSC脆弱性診断サービス

12. CSC脆弱性診断サービスのサンプルレポート
出力レポートのほかに、
サマリー資料を報告会でご報告させていただきます。

13. CSCがご提供する脆弱性診断
AIの機械学習により
最新の脆弱性を検出できます。
国内外のセキュリティガイドラインと
最新の攻撃手法を網羅しています。
（NIST、GDPR、PCIDSS、HIPAAなど）
モバイルアプリの脆弱性診断も可能。
Android、 iOSに対応しています。
V-threat（Web/モバイルアプリケーション）

14. 脆弱性診断の流れ ・お急ぎの診断でも迅速に対応
・報告会を開催
• 概要ご説明
初回ご訪問
• セキュリティ診断の目的・スコープ・スケジュール
要件定義
• 診断対象のWEBサイトドメインを指定
• 診断対象のWEBサーバを指定
• 診断対象のモバイルアプリを指定（iOS、Android）
お見積り
• 発注書の受領
• 契約書の締結
ご発注
• テスト中、IPS、WAF、アプリケーションにテスト用IPアドレスのアクセス許可
• 指定ドメインの全ページに対して侵入手法を検査、報告書作成
診断開始
• 診断開始から2週間以内に報告書（日本語）を送付
• 侵入テストの手法、脆弱性の箇所と修正方法などを記載
報告書送付
• 発見された脆弱性の説明
• 全社的な年間セキュリティ診断計画の策定
• 再診断の実施（別途見積）
報告会開催

16. お問合せ
【お問合せ窓口】
コンピューターサイエンス株式会社 事業企画部
Mail : ss@cscnet . co . jp
TEL ：03-5437-2552 FAX：03-5437-2558
脆弱性診断で企業のIT資産や信用を守る
ぜひお気軽にお問い合わせください。