ECと物流のシステムには、顧客の住所、マーケットプレイスのトークン、配送業者の認証情報が保管されています。公開されたエンドポイントがひとつ、忘れられた管理画面がひとつあれば、それらすべてが漏えいしかねません。私たちは書面で定めた範囲内で、お客様の明確な承諾を得て攻撃者と同じ視点で診断し、最初に何を直すべきかを正確にお伝えします。
診断を行うのは、本番システムを構築・運用しているエンジニア自身です。そのため、指摘事項には一般論ではなく現実的な修正方法が伴います。WebとAPIの診断には OWASP の手法を用い、すべての指摘を手作業で検証します。自動スキャナーは出発点であり、報告書そのものではありません。
各案件の最後には書面の報告書をお渡しします。エグゼクティブサマリー、リスク順の指摘事項、それぞれの証跡、修正手順を記載します。修正箇所の再診断も含まれます。
サービス内容
- Webアプリケーションのペネトレーションテスト(OWASP Top 10 以上)
- APIと連携のセキュリティ診断(認証、認可、インジェクション、レート制限)
- サーバー、コンテナ、クラウド設定の脆弱性診断
- TLS、セキュリティヘッダー、機密情報の管理、セッション管理の確認
- マーケットプレイス・配送業者の認証情報の取り扱いの確認
- 証跡と修正手順を含む優先順位付きの報告書
- 修正された指摘事項の再診断
進め方
診断の進め方
範囲と承諾
対象、実施期間、除外事項、連絡先を書面で合意します。署名された承諾なしに診断を始めることはありません。
診断
ツールを補助に使った手動診断を、合意したテスト環境または本番環境で、可用性に配慮して行います。
報告
リスク順の指摘事項に、証跡と具体的な修正方法を添えます。重大な問題は最後を待たず、すぐにご報告します。
再診断
修正後に確認を行い、報告書を更新します。お客様や監査人に示せる証拠としてご利用いただけます。
こんな方に
次のような方に適しています
- 顧客ポータル、API、マーケットプレイスや配送業者との連携を公開している
- 取引先、マーケットプレイス、保険会社からセキュリティ診断の証明を求められている
- 急速に成長し、システム全体を通して確認した人がいない
- スキャナーの出力ではなく、エンジニアが対応できる報告書がほしい
FAQ
よくあるご質問
診断は合法で安全ですか?
システム所有者の書面による承諾を得て、合意した範囲と期間内でのみ診断します。破壊的な手法やサービス妨害は、管理された環境で明示的にご依頼いただかない限り行いません。
最後に何を受け取れますか?
エグゼクティブサマリー、リスク順の指摘事項、各指摘の証跡、修正方法を記載した報告書と、修正後の再診断の確認です。
診断にはどのくらいかかりますか?
一般的なWebアプリケーションとAPIの診断は、規模によりますが、開始から報告まで1〜2週間です。重大な指摘はすぐにお伝えします。
見つかった問題の修正もお願いできますか?
はい、ご希望であれば対応します。システムの構築と運用も行っているため、修正の実装や、貴社の開発者との協働が可能です。
プロジェクト、システム連携、倉庫運営についてご相談がありますか?
実現したいことをお聞かせください。1営業日以内に、次のステップを明確にしてご返信します。