セキュリティ脆弱性診断、これまでのままで大丈夫ですか

報告書に、何が書かれているべきか

足りないと感じる点は、たいてい次の四つのどれかです。裏返せば、社内を動かすために本当は要るものが、この四つということでもあります。

• どこから手をつけるかが決められない。指摘には深刻度がついています。けれど「その欠陥に、うちの環境で外から本当に到達できるのか」は書かれていない。到達できるかどうかが分からないまま件数を見ても、順番はつきません。
• 直し方が一般論で終わっている。「入力値検証を実施してください」。正しいのですが、自分たちのコードのどこを、どう直すのかが分からない。開発者が読んで手が動く記述になっていません。
• すぐに直せないものについて、何も書かれていない。止められない基幹システム、改修の予定がない古い仕組み、他社製の部品。現実には「直せない」が必ず残ります。そこをどう守るのかは、報告書の外側に置かれたままです。
• 直したあと、直ったかどうかを確かめる筋道がない。再診断は別の見積もりで、別の稟議。結局、確かめないまま次の年になります。

四つ全部、という現場ばかりではありません。どれか一つでも心当たりがあれば、以下がそのまま当てはまります。

もう一点あります。報告書を読んだ開発者が「それは仕様上ありえないのでは」と言い出すことがあります。仕様を読まずにツールの出力を並べると、こうなります。改善を動かすには、仕様と実装の意図まで読んだ上での指摘が要ります。

そして、何を見て、何を見なかったのかを書きます。見つからなかったことには、いくつも理由があります。本当に無かったのか、そこまで到達できなかったのか、試し方が足りなかったのか。この区別が書かれていない報告書は、安全の裏づけとしては使えません。どの条件のもとで、何について、どこまで言えるのか。そこまで書いて、はじめて判断の材料になります。

ここまで揃うと、報告書は「きちんとファイルされる文書」ではなく、翌週の計画になります。

どこまで行けるのか

外部に頼む理由は、見つけてもらうことだけではありません。御社の直し方そのものが機能しているか、それを外から確かめるという理由もあります。会計の監査と似た役目です。報告書に何件並んでいたかより、来年また同じことが起きないか。経営が知りたいのはそちらです。

リードで触れた「翌年、同じ指摘がまた出てくる」には、もう一つの顔があります。直したかどうかだけの問題ではなく、同じ問題を次に入れない仕組みが、社内で育っていないという問題です。外から見つけたものを、指摘のまま置いておくと、次も外から見つけることになります。

次に同じ問題が入ったときには、こちらの診断を待たずに御社の中で気づける。そこへ向けて、一件ずつ戻していきます。ここまでがわたしたちの仕事です。見つけて報告して終わり、ではありません。

二つの形でご提供しています

この「回を重ねる」を計画に組み込むかどうかで、診断の買い方が変わります。

なぜ、この形を作ったのか

脆弱性診断には、攻撃を先回りするという性質があります。攻撃する側は、画面の数を数えてから来るわけではありません。ページ単位で見積もるやり方は、そもそも診断の性質に合っていません。

受ける側の負担もあります。診断のたびに、お客様がパラメータの一覧や仕様の解説を用意する。ここで時間と人手が消えていきます。スキャナでふるまいを見て、コードを読めば意味は分かるのに、その手前で発注する側が消耗している。合理的ではありません。

そこでわたしたちは、テストのメニューを平準化し、ページ単位ではなくリスクを軸にした包括的なテストとして設計し直しました。

もう一段、大きな問題があります。診断の対象を細かく切り分け、収益性の高い部分にしか予算がつかない。この枠組みのままで、CISO は自社のリスクを把握できるでしょうか。わたしたちは、無理だと考えました。

だったら、スケジュールとリソースの許すかぎり、ネットワークから Web、モバイルにいたるまで、よくある脆弱性診断をモジュール化して、順に自由に使える仕組みがあればいい。そこから「サブスクリプション」「年間契約」という形を提案し、実現したのが Asterisk 3D です。

まず、いまの発注の形と何が違うのかを並べます。

マネージドサービス — Asterisk 3D

年間契約で、診断を回し続ける形です。あらかじめテストの枠を確保しておき、その枠を「何を診るか」「いつ診るか」「どれだけ深く診るか」の三つの軸で組み替えます。だから、システムを一つずつ稟議にかけるのではなく、企業のシステムを横断して、続けて診ていけます。

一度の診断で良し悪しを判断する視点には閉じません。システムのライフサイクルのなかで、どう改善されていくかを見ます。定期検診と、かかりつけ医。そういう関わり方で、脆弱性診断を御社の仕組みのひとつにする——それが 3D のコンセプトです。

• 同じ枠のなかで — Web アプリ／API のペネトレーションテスト、DAST、モバイルアプリ、ソースコード解析（SAST）、ネットワーク、セキュア設計レビュー。
• 組み替えられる — 対象・深さ・開始時期を指定してリクエストし、優先順位が変わったら並べ替えられます。作業は一度に一件ずつ。並べ替えの主導権はお客様側にあります。
• 契約期間 — 6か月（26週）または12か月（52週）。

稼ぎ頭のシステムには手厚くテストを入れられる。けれどその隣で動いている古い業務システムや、部門が独自に入れた仕組みは、稟議を通す名目がないまま何年も手つかずになります。攻撃する側は、その差を知りません。枠として持つと、この差が埋まります。

プロフェッショナルサービス（Asterisk Professional Service）

アスタリスク・リサーチが直接おこなう、踏み込んだ診断と伴走です。対象を決めて深く入ります。製品そのものを診たいとき、判断が割れているとき、いまの診断結果をどう読むか迷っているときにお受けします。

そして、一般の診断会社にメニューがない対象。たとえば Windows や macOS のデスクトップアプリケーション。あるいはグレイボックステストそのもの——外からの診断とコード診断が別のメニューに分かれていて、両方を突き合わせる形が用意されていない。標準の手順に当てはまらないので見てもらえなかった、という相談をよくいただきます。仕様を読み込むところから始めます。

• 製品のグレイボックステスト — クライアント製品・業務システムを、ソースと実機の両方から。外から届くか、権限の設計、業務の流れの無理を、仕様の意図まで読んで確かめます。
• 攻撃面の把握（ASM） — 外から見えている資産と入口を洗い出します。社内の一覧に載っていないものを、外側から見つける仕事です。
• 診断の設計 — どのシステムを、どの深さで、どの順番で診るか。事業を止める急所と、外から見えている面の両方から決めます。
• いまお持ちの報告書の読み直し — 指摘に到達経路が書かれているか、事業の重さで並べ替えると順番はどう変わるか、次に診るべきはどこか。お手元の一冊があれば、話はいちばん具体的に始められます。
• クラウドの構成・設計のレビュー — 意図したセキュリティ条件が、実際の構成で満たされているか。設計の側から確かめます。
• 直せないものをどう守るか — すぐに直せない資産について、被害の広がる範囲を先に狭める設計をご一緒します。

ここは、アスタリスク・リサーチ自身の仕事です。診断を「受けて終わり」にしないための部分です。

誰が診るのか — 文脈を知っているかどうかで、結果が変わります

セキュリティテストは、文脈がほとんどすべてです。同じ製品でも、そのシステムがどういう経緯でその設計になったのか、事業のどこに乗っているのか、何が起きるといちばん困るのかによって、見るべき場所は変わります。

わたしたちがご提供しているのは、その文脈を読めるチームで診る体制です。実際に手を動かすチームには、長い系譜があります。ソフトウェアセキュリティという分野そのものを作ってきた Cigital——のちに Synopsys のソフトウェア・インテグリティ事業となり、Black Duck の名で知られたチーム——と、わたしたちは長くいっしょにやってきました。そして2025年9月、このアプリケーションセキュリティテストの事業は UltraViolet Cyber（米国バージニア州マクリーン）に引き継がれています。^※3 日本ではまだ耳慣れない名前だと思いますので、経緯をそのままお伝えしています。

会社の看板は、この10年のあいだに何度か変わりました。けれど、日本のお客様を担当してきたエンジニアも、窓口であるアスタリスク・リサーチも、変わっていません。同じチームが、同じお客様を、続けて診てきました。 ご契約も、ご請求も、何かあったときのエスカレーションも、すべてアスタリスク・リサーチがお受けします。

グローバルな体制です。海外のチームが関わると聞くと、丸投げになるのではないか、日本の事情が通じないのではないかと思われるかもしれません。わたしたちがこの十数年かけてきたのは、まさにそこを起こさせない体制を作ることでした。外部に発注を流しているのではなく、この形を自分たちで組み上げてきました。

だから、維持にも手をかけています。チームには日本で長く働いた経験を持つ人がいます。日本のお客様が何を気にするのか、どういう順番で話が進むのかを、こちらが説明しなくても分かっている。そして関係は、資料の上だけのものではありません。わたしたちは実際に現地へ足を運び、今年もこちらの担当者が訪ねています。顔を合わせて、何をどう診るのかをすり合わせる。それを続けてきたから、この体制が回っています。

EU の CRA や DORA のように、日本の企業にとって重い要求も増えています。こうした要求に応えるには、規制の意図を日本語で噛み砕ける人間と、実際にその水準でテストを積んできた海外のチームの、両方が要ります。前者をアスタリスク・リサーチが、後者を長く組んできたチームが担います。日本語でのやり取りにも対応します。

※3 UltraViolet Cyber は2025年9月4日、Black Duck のアプリケーションセキュリティテスト事業（ペネトレーションテスト、レッドチーム、脅威モデリング、クラウド／コンテナのリスク評価、アーキテクチャリスク分析、セキュア開発コンサルティング）の取得を発表。Black Duck は Synopsys のソフトウェア・インテグリティ事業を前身とします。

よくあるご質問

• 費用はどのように決まりますか。対象と深さで変わるため、一律の価格表は出していません。画面数やページ単価ではなく、システム全体を見たうえでの工数で出します。危ないところに時間を寄せられる形にするためです。まず対象の話からご相談ください。
• どれくらいの期間がかかりますか。対象の規模と深さによります。年間の枠（Asterisk 3D）でお持ちの場合は、開始時期をご指定いただいて枠のなかで実施します。単発の場合は、対象を決める段階でお見通しをお伝えします。
• ソースコードを預けられないのですが。その場合は外から診る形になります。ただし「外から届くか」までは言えても、「なぜそうなっているか」「どこを直せばよいか」の解像度は落ちます。閲覧のみ・こちらから持ち出さない、といった取り扱いのご相談も承ります。何ができて何ができなくなるかを、先にお伝えします。
• いま他社に診断を依頼しています。乗り換えの相談になりますか。いいえ。まずいまお持ちの報告書を、いっしょに読み直すところからお受けしています。指摘に到達経路が書かれているか、事業の重さで並べ替えると順番はどう変わるか、次に診るべきはどこか。そのうえで、必要なところだけをお任せいただく形でもかまいません。
• 診断のあいだ、サービスを止める必要がありますか。原則として止めません。検証環境をご用意いただく場合と、本番に近い環境で慎重に進める場合があります。どちらにするかは、対象と深さを決める段階で相談して決めます。実施時間帯の指定にも対応します。
• 組込機器や IoT 機器は診てもらえますか。お受けしていません。対象は Web アプリケーション・API・モバイルアプリ・ネットワーク・クラウド・ソースコード、そしてクライアント製品と業務システムです。
• 報告書を英語でも出せますか。対応します。海外の親会社やお客様への提出、サプライチェーンからの求めに応じる用途でご利用いただいています。日本語でのやり取りと、海外水準の報告の両方が要る場面を想定しています。