セキュリティ脆弱性診断、これまでのままで大丈夫ですか

報告書に、何が書かれているべきか

足りないと感じる点は、たいてい次の4つのどれかです。裏返せば、社内を動かすために本当は要るものが、この4つということでもあります。

• どこから手をつけるかが決められない。指摘には深刻度がついています。けれど「その欠陥に、うちの環境で外から本当に届くのか」は書かれていない。届くかどうかが分からないまま件数を見ても、順番はつきません。
• 直し方が一般論で終わっている。「入力値検証を実施してください」。正しいのですが、自分たちのコードのどこを、どう直すのかが分からない。開発者が読んで手が動く記述になっていません。
• すぐに直せないものについて、何も書かれていない。止められない基幹システム、改修の予定がない古い仕組み、他社製の部品。現実には「直せない」が必ず残ります。そこをどう守るのかは、報告書の外側に置かれたままです。
• 直したあと、直ったかどうかを確かめる筋道がない。再診断は別の見積もりで、別の稟議。結局、確かめないまま次の年になります。

4つ全部、という現場ばかりではありません。どれか1つでも心当たりがあれば、このページはそのまま当てはまります。

そして、何を見て、何を見なかったのかを書きます。見つからなかったことには、本当に無かったのか、そこまで届かなかったのか、試し方が足りなかったのか、いくつも理由があります。この区別が書かれていない報告書は、安全の裏づけとしては使えません。どの条件で、何について、どこまで言えるのか。そこまで書いて、判断の材料になります。

ここまで揃うと、報告書は「きちんとファイルされる文書」ではなく、翌週の計画になります。

どこまで行けるのか

外部に頼む理由は、脆弱性やシステム上の改善点を見つけてもらうことだけではありません。御社の直し方そのものが機能しているか、それを外から確かめるという理由もあります。会計の監査と似た役目です。報告書に何件並んでいたかより、来年また同じことが起きないか。経営が知りたいのはそちらです。

リードで触れた「翌年、同じ指摘がまた出てくる」には、もう1つの顔があります。直したかどうかだけの問題ではなく、同じ問題を次に入れない仕組みが、社内で育っていないという問題です。外から見つけたものを、指摘のまま置いておくと、次も外から見つけることになります。

次に同じ問題が入ったときには、こちらの診断を待たずに御社の中で気づける。そこへ向けて、一件ずつ戻していきます。ここまでがわたしたちの仕事です。見つけて報告して終わり、ではありません。

なぜ、この形を作ったのか

脆弱性診断には、攻撃を先回りするという性質があります。攻撃する側は、画面の数を数えてから来るわけではありません。ページ単位で見積もるやり方は、そもそも診断の性質に合っていません。そのうえ診断のたびに、お客様がパラメータの一覧や仕様の解説を用意する。スキャナでふるまいを見て、コードを読めば意味は分かるのに、その手前で発注する側が消耗しています。

もう一段、大きな問題があります。診断の対象を細かく切り分け、収益性の高い部分にしか予算がつかない。この枠組みのままで、CISO は自社のリスクを把握できるでしょうか。わたしたちは、無理だと考えました。

だったら、スケジュールとリソースの許すかぎり、ネットワークから Web、モバイルにいたるまで、よくある脆弱性診断をモジュール化して、順に自由に使える仕組みがあればいい。そこから「サブスクリプション」「年間契約」という形を提案し、実現したのが Asterisk 3D です。テストのメニューを平準化し、ページ単位ではなく、リスクを軸にした包括的なテストとして設計し直しました。

何を診て、どう頼めるか

診断のメニューと、その頼み方です。「うちのこれは、どれで、どうやって頼めるのか」から引いてください。

頼み方は3つあります

• 年間契約（Asterisk 3D） — 枠として持ち、カレンダーの許すかぎり入れられます。依頼と進行のポータル、状況を見るダッシュボードをご提供します。6か月（26週）または12か月（52週）。作業は1レーンにつき一度に一件ずつなので、並行させたい場合は複数レーンをお持ちいただけます。
• オンデマンドのチケット — Web やモバイルのテストなど、一部のメニューを必要なぶんだけ。まず一本、から始められます。
• プロフェッショナルサービス — スペシャリストによる個別対応のサービスです。

年間契約 — Asterisk 3D

あらかじめテストの枠を確保しておき、その枠を「何を診るか」「いつ診るか」「どれだけ深く診るか」の3つの軸で組み替えます。だから、システムを1つずつ稟議にかけるのではなく、企業のシステムを横断して、続けて診ていけます。対象・深さ・開始時期を指定してリクエストし、優先順位が変わったら並べ替えられます。作業は一度に一件ずつ。並べ替えの主導権はお客様側にあります。

一度の診断で良し悪しを判断する視点には閉じません。システムのライフサイクルのなかで、どう改善されていくかを見ます。定期検診と、かかりつけ医。そういう関わり方で、脆弱性診断を御社の仕組みのひとつにする——それが 3D のコンセプトです。

稼ぎ頭のシステムには手厚くテストを入れられる。けれどその隣で動いている古い業務システムや、部門が独自に入れた仕組みは、稟議を通す名目がないまま何年も手つかずになります。攻撃する側は、その差を知りません。枠として持つと、この差が埋まります。

プロフェッショナルサービス

スペシャリストが、対象を決めて深く入る個別対応のサービスです。製品そのものを診たいとき、判断が割れているとき、いまの診断結果をどう読むか迷っているときにお受けします。

そして、一般の診断会社にメニューがない対象。たとえば Windows や macOS のデスクトップアプリケーション。あるいはグレイボックステストそのもの——外からの診断とコード診断が別のメニューに分かれていて、両方を突き合わせる形が用意されていない。標準の手順に当てはまらないので見てもらえなかった、という相談をよくいただきます。仕様を読み込むところから始めます。

• 製品のグレイボックステスト — クライアント製品・業務システムを、ソースと実機の両方から。外から届くか、権限の設計、業務の流れの無理を、仕様の意図まで読んで確かめます。
• ソースコード解析（SAST・SCA） — 設計と実装、そして持ち込んだ部品を診ます。年間契約の枠だけでなく、単体でもお受けします。
• 攻撃面の把握（ASM） — 外から見えている資産と入口を洗い出します。社内の一覧に載っていないものを、外側から見つける仕事です。
• 診断の設計 — 御社にあるどのシステムから、どの順番で診るか。事業への影響とリスクから決めます。
• いまお持ちの報告書の読み直し — 指摘に攻撃シナリオが書かれているか、事業の重さで並べ替えると順番はどう変わるか、次に診るべきはどこか。お手元の一冊があれば、話はいちばん具体的に始められます。
• クラウドの構成・設計のレビュー — 意図したセキュリティ条件が、実際の構成で満たされているか。設計の側から確かめます。
• 直せないものをどう守るか — すぐに直せない資産について、被害の広がる範囲を先に狭める設計をご一緒します。

ここは、アスタリスク・リサーチ自身の仕事です。診断を「受けて終わり」にしないための部分です。

誰が診るのか — 文脈を知っているかどうかで、結果が変わります

セキュリティテストは、文脈がほとんどすべてです。同じ製品でも、そのシステムがどういう経緯でその設計になったのか、事業のどこに乗っているのか、何が起きるといちばん困るのかによって、見るべき場所は変わります。だから、技術の確かなエンジニアと、適切に判断できるメンバーが要ります。

実際に手を動かすチームには、長い系譜があります。ソフトウェアセキュリティという分野そのものを作ってきた Cigital——のちに Synopsys のソフトウェア・インテグリティ事業となり、Black Duck の名で知られたチーム——と、わたしたちは長くいっしょにやってきました。2025年9月、この事業は UltraViolet Cyber（米国バージニア州マクリーン）に引き継がれています。^※ 会社の看板は何度か変わりましたが、同じチームが、同じお客様を、続けて診てきました。外部に発注を流しているのではありません。この体制は、十数年かけて自分たちで組み上げてきたものです。

いつでも、ざっくばらんにご相談ください。日本で必要になるコンプライアンスは何か。御社が守りたいシステムについて、セキュリティの目標をどこに置くか。それに向けて、テストではどのフレームワークを採るのがよいか。改善に向けていっしょに取り組む相手として、わたしたちはテストのチームと付き合ってきました。同じ関わり方を、御社との間でもします。ご契約も、ご請求も、何かあったときのエスカレーションも、すべてアスタリスク・リサーチがお受けします。テスト準備の進行も、日本語でこちらが担います。

アスタリスク・リサーチ自身も、テストの力があるメンバーとともに、汎用のサービスには当てはまらない対象のテストを、設計から実施までやってきました。

海外のコンプライアンスについては、テストのチームが、きわめてハイリスクな顧客の要求にも応えられるよう取り組んでいます。わたしたちは、日本のハイリスクなシステムを支えている方々——真剣に作り、持ち、動かしている方々——を支えてきました。いま、どんなシステムも少しずつハイリスクになっています。高まるリスクに向き合っている方々を支えてきたので、自信を持ってお勧めできます。

※ UltraViolet Cyber は2025年9月4日、Black Duck のアプリケーションセキュリティテスト事業（ペネトレーションテスト、レッドチーム、脅威モデリング、クラウド／コンテナのリスク評価、アーキテクチャリスク分析、セキュア開発コンサルティング）の取得を発表。Black Duck は Synopsys のソフトウェア・インテグリティ事業を前身とします。

よくあるご質問

• 費用はどのように決まりますか。年間契約の費用は固定です。オンデマンドのチケットとプロフェッショナルサービスには、価格表があります。ウェブには載せていませんので、まずは御社の状況を共有していただくミーティングから、ご一緒しましょう。
• どれくらいの期間がかかりますか。メニューごとの目安は、上の「何を診て、どう頼めるか」の表にあります。わたしたちはテストを時間の枠で区切って行います。御社が判断するために必要な材料を、必要なときに手に入れていただくことを重視しているからです。
• ソースコードを預けられないのですが。その場合は外から診る形になります。その条件のもとで、できるテストを設計して実施します。閲覧のみ・こちらから持ち出さない、といった取り扱いのご相談も承ります。
• いま他社に診断を依頼しています。乗り換えの相談になりますか。いいえ。テストの設計をご一緒するところからお受けしています。御社にとって本当に必要なテストは何か。それを整理する助けになれます。
• 診断のあいだ、サービスを止める必要がありますか。原則として止めません。検証環境をご用意いただく場合と、本番に近い環境で慎重に進める場合があります。どちらにするかは、対象と深さを決める段階で相談して決めます。実施時間帯の指定にも対応します。
• 報告書は英語でも日本語でも出せますか。どちらでも出せます。年間契約（Asterisk 3D）の報告書は、もともと英語で出ます。日本語でもお出しします。プロフェッショナルサービスの報告書も、英語でお出しできます。海外の親会社やお客様への提出、サプライチェーンからの求めに応じる用途でご利用いただいています。