脆弱性診断

脆弱性診断には、Webアプリケーションの入力欄やログインの処理などを調べる診断と、サーバーやネットワークの機器の設定、外に開いている入口を調べる診断があります。道具で自動的に調べる方法と、技術者が手作業で確かめる方法を組み合わせることが多くあります。

新しいシステムを公開する前や、大きく作り変えた後に行うのが一般的です。結果は、見つかった問題と危険の度合い、直し方をまとめた報告書で受け取ります。直した後に、もう一度確かめる再診断を行うこともあります。

診断は、その時点のシステムを調べるもので、その後の変更や新しい手口までは保証しません。本番の環境を診断するときは、止まる影響やデータへの影響を事前に取り決めます。開発を発注する際は、診断を誰が行い、費用をどちらが持つかも決めておきます。