対象システムと確認方法を決める
URL、環境、確認用アカウント、許可者、時間、方法を定め、所有者とサービスへの影響を抑える進め方を考えます。
サービス / 10
ウェブサイトのセキュリティ確認・改善.
運用を続けるうちに、古いアカウントや設定漏れ、更新されない部品が残ることがあります。確認できる証拠をもとに、修正の順番と担当を整理します。
リスクを把握し、対策の優先順位を決める
サイトの引き継ぎ、新規公開、既存サイトの安全対策の確認に。システム所有者と範囲を決め、許可を得て実施します。
確認事項、優先度、必要な証拠、実行できる改善案を報告し、確認済みの範囲と対象外の範囲を分けて示します。
サービスの範囲
アカウントとアクセス権の確認
管理者、未使用アカウント、権限の分離、システムが対応する認証を確認します。
設定と構成要素の確認
確認できる情報から、HTTPS、情報の露出、関連設定、システムや部品の更新状況を調べます。
バックアップと復元準備の確認
バックアップの一覧、担当者、復元の証拠を確認します。範囲に含まれる場合は、合意した環境でテストを計画します。
リスクと修正優先度をまとめる
確認事項と影響、推奨対応、担当者、追加調査が必要な項目を結びつけて報告します。
合意した修正と再確認
レビューと修正は別の作業です。修正も依頼される場合は、対象項目のバックアップ、切り戻し、再確認の報告を計画します。
予算とスケジュール
まず単発のレビューとして、システム数、役割、確認の深さから見積もります。修正、再確認、継続保守は分けて選べます。
スケジュールの立て方
権限と範囲が明確になってから調査・報告を計画します。修正期間は複雑さと担当者により異なるため、修正計画に合わせて再確認を行います。
見積もりに役立つ情報
- 所有する、または確認の許可を得たURLとシステムの一覧
- 許可する方とシステムの連絡担当者
- 技術、事業者、過去の問題についてわかる情報
- 確認できる時間帯、制約、利用可能なバックアップ
このサービスについてのご質問
ペネトレーションテストにあたりますか？
基本範囲は、合意した項目の確認と改善で、あらゆる侵入テストを含むものではありません。ペネトレーションテストは受託前に範囲、実施者、方法を別途確認します。
確認後は攻撃されないと保証されますか？
報告は対象範囲と確認時点の結果です。脆弱性や将来の事故がないことを保証するものではなく、継続的な改善と保守も必要です。
修正も必ず依頼する必要がありますか？
既存チームに報告書を渡して対応できます。Loremworksに別途修正を依頼する場合は、再確認の基準も共有します。
保守プランとの違いは何ですか？
レビューは特定範囲の調査・報告です。保守は定期更新、バックアップ、状況確認を行います。改善点がわかった後に組み合わせられます。