SECURE SITEセキュアサイト診断｜Webサイトセキュリティ診断
Webサイトの安全性、
最後に確かめたのは
いつですか。
自社サイトのいまの状態と、次に何をすべきかがわかる診断です。
- Webサイトの制作と保守の経験をもとに、8つの観点で点検します
- 報告書と報告会で、優先順位と改善の方向性まで説明します
- ITに詳しい担当者がいなくても依頼できます
標準 30万円（税別）・1サイト／ヒアリングから報告会まで約2週間が目安
攻撃を模した検査（侵入テスト）は行いません。サイトに負担をかけない方法で点検します。
ご相談の段階で、有料の診断が始まることはありません。
いまのサイトの管理状況、把握できていますか。
-
サイトの管理は、制作会社に任せている
-
保守契約に、セキュリティの点検が含まれるかわからない
-
何年も運用しているが、点検した記憶がない
-
担当者が替わり、いまの管理状況がわからない
制作会社に管理を任せることは、問題ではありません。保守の内容によっては、必要な対策がとられていることもあります。ただ、古い仕組みや、退職者のアカウントが残ったままといった状態は、画面を見ても分かりません。まず、いまどこまで確認されているかを把握することから始めましょう。
サイトに問題が起きると、取引先からの信用、問い合わせの機会、お預かりした情報に影響が出ることがあります。
いまの保守で、どこまで確認されていますか。
保守の内容は契約によって異なり、セキュリティの点検を含む契約もあります。セキュアサイト診断は、保守の範囲にかかわらず同じ8つの観点で点検し、確認した範囲とあわせて報告します。保守の内容を制作会社と確かめる材料にもなります。
保守の例（契約により異なる）
- 文章・画像の更新
- 不具合の対応
- 点検（契約による）
診断で加わることセキュアサイト診断
- 8つの観点での点検
- 確認した範囲の明記
- 対応の優先度と改善の方向性
REPORT
次に何をすべきか、判断する材料がそろいます。
点検の結果を並べるだけにはしません。ヒアリングで運用の様子をうかがい、結果を読み解いて、次の3つがわかる形にまとめます。
-
現状がわかる
観点ごとに「問題を検出」「検出されず」「確認できず」に分けて示します。どこまで確認でき、どこからは確認できていないかがわかります。
-
優先順位がわかる
見つかった問題を「優先対応」「計画的対応」「改善推奨」に分け、何から手をつけるかを示します。
-
次の行動がわかる
指摘ごとに、推奨する対応と、社内と制作会社のどちらに相談するとよいかを示します。改善の前に追加の調査が必要な場合は、その旨もお伝えします。
報告会はオンラインで60分。結果をご説明し、次の対応を一緒に整理します。
掲載している報告書は架空のサンプルです
架空の企業のサイトを対象に作成したもので、実在の企業・サイトとは関係ありません。件数や指摘の内容は、サイトによって異なります。退職者アカウントの確認は、管理画面の閲覧用アカウントをお借りできた場合に行います。
結果の区分と優先度の意味
観点ごとの結果の区分
- 問題を検出
- 点検で問題が見つかったもの
- 検出されず
- 確認した範囲で問題が見つからなかったもの
- 確認できず
- 権限や環境の都合で確認できなかったもの。理由を記載し、一部のみ確認できた観点はその旨を併記します
対応の優先度（期限は付けません）
- 優先対応 早急な確認・対策が必要なもの
- 計画的対応 対応計画を立てて改善するもの
- 改善推奨 安全性を高めるために見直しをおすすめするもの
「検出されず」は、確認した範囲で問題が見つからなかったという意味で、確認していない部分や、点検の方法では見つからない問題がないことを示すものではありません。
報告書は、社内での検討や制作会社への改善相談に活用できます。
-
社内での報告と共有
現状と優先度が1ページ目にまとまっているので、経営層への報告や関係部署との共有に使えます
-
制作会社への改善相談
指摘と推奨する対応をもとに、改善の進め方を相談できます
-
予算と対応計画の検討
優先度をもとに、対応の順番と費用のかけ方を検討できます
問題の内容によっては、具体的な改善の前に、サーバー内部の調査など追加の調査が必要になることがあります。その場合は、調査の範囲と費用を事前にお見積りします。
御社・現在の制作会社で改善
報告書を改善の相談に使えます
当社に改善を相談
改善作業は別途お見積り
半年後の再診断
初回と同額
改善は、御社内や現在の制作会社で進めていただけます。当社との保守契約は必要ありません。当社に改善をご相談いただく場合は、別途お見積りします。
SCOPE
8つの問いに沿って、確かめられる範囲で点検します。
標準の診断は、外部からの点検（公開情報の観察と照会、確認用のツール）とヒアリングで行います。管理画面の閲覧用アカウントをお借りできれば、同じ料金で確認できる範囲が広がります。ただし、管理画面で確認できる項目は、CMSの種類と付与いただく権限によって異なります。どこまで確認できるかは、事前の確認の際にお伝えします。
確認の3段階
- 標準で行う確認
- 外部から確認できる情報の点検、運用状況のヒアリング（30分） 30万円に含む
- アカウントをお借りできる場合に行う確認
- 管理画面の閲覧。付与いただいた権限で確認できる範囲が対象です（CMSの種類によっても異なります） お借りできる場合のみ 30万円に含む（お借りできない場合も料金は同じ）
- 別途お見積りの詳しい確認
- サーバー内部の調査、独自のシステムのプログラムの確認 事前にお見積り
管理画面のアカウントがなくても依頼できます。その場合、管理画面で確認する項目は「確認できず」と記載します。
8つの問い
標準で確認 オプション（サーバー内部・別途お見積り）
問いは、点検の観点をお客さまの疑問の形で表したものです。標準の診断で、すべての問いに答えが出るとは限りません。管理画面をお借りできた場合も、CMSや権限によって確認できない項目があります。確かめられた範囲と確かめられなかった範囲を分けて報告します。
サイト本体
知らないうちに、サイトが書き換えられていないか？ 書き換えの兆候 外から見える不審なページや転送。ファイルの調査はサーバー内部の調査（別途お見積り）
- 外部から
- 不審なページや別サイトへの転送
- 管理画面で
- ―
- サーバー内部
- 不審なファイル、アクセスの記録、データベース
古いシステムや機能が、そのままになっていないか？ 古い仕組み 外部から推定できる範囲の版。管理画面をお借りできれば、追加機能の一覧と更新日
- 外部から
- 外部から推定できる範囲で、仕組みや追加機能の版を確認。版が外部に表示されていない場合は特定できません
- 管理画面で
- 追加機能の一覧、版、最終更新日、使っていない機能
- サーバー内部
- サーバーのソフトウェアや言語の版
管理画面のログインは、守られているか？ 管理画面の入口 ログイン画面への到達と画面上の保護、置き忘れたファイル。ログインの試行はしません
- 外部から
- ログイン画面が外部から開けるか、接続元の制限や画像認証などの保護が画面上で確認できるか、置き忘れたファイル。ログイン画面が公開されていること自体は問題として扱いません
- 管理画面で
- 管理者の人数と権限、2段階認証の設定
- サーバー内部
- 設定ファイル、データベースへの接続設定
お問い合わせフォームは、悪用への対策がされているか？ お問い合わせフォーム 機械的な大量送信への対策。送信内容の保存状況はサーバー内部の調査（別途お見積り）
- 外部から
- 機械的な大量送信への対策。自動返信メールの内容はヒアリングで確認
- 管理画面で
- ―
- サーバー内部
- 送信された内容の保存状況と保存期間
公開したままの古いページや、不要な情報はないか？ 使っていないページ 外部から見つかるテスト用・旧サイトのページや、内部向けの資料
- 外部から
- テスト用・旧サイトのページ、検索で見つかる内部向けの資料
- 管理画面で
- ―
- サーバー内部
- サーバー上の不要なファイル
通信・メール・ドメイン
お客さまとサイトの間の通信は、守られているか？ 通信の暗号化 証明書、暗号化の方式、暗号化された通信への誘導
- 外部から
- 証明書の有効期限と発行元、暗号化の方式、暗号化された通信への誘導、ブラウザーの保護機能を使う設定（フォームの送信を含む）
自社のドメインやメールが、なりすましに使われにくい設定か？ メールとドメイン 送信元を確かめる仕組みの設定、ドメインの更新期限
- 外部から
- 御社のドメインで、送信元を確かめる仕組みが設定されているか。ドメインの更新期限（公開情報で確認できる場合）、使われていないサブドメイン
管理・運用
サイトの管理と更新の体制は、整っているか？ 管理の体制 ヒアリングで更新の担当、保守の契約、バックアップ。管理画面をお借りできれば、退職者などのアカウント
- ヒアリング
- 更新の担当、保守の契約、バックアップを取っているか
- 管理画面で
- 退職者などのアカウント、自動更新の設定
対象はWebサイトと、それに関わるメール・ドメインの設定です。社内のパソコンやネットワーク、工場の設備などは対象外です。
確認できない場合の扱い
観点ごとに、実施した確認と実施できなかった確認を分けて記載します。アカウントをお借りできない項目や、外部から確認できない項目は「確認できず」とその理由を記載し、「問題なし」とは判定しません。一部しか確認できなかった観点は、確認できた部分の結果と「一部確認できず」を併記します。
- 送信元を確かめる仕組みは、なりすましを受信側で見分けやすくするもので、すべての偽メールを防ぐものではありません。
- バックアップから元に戻せるかの検証は、標準の診断には含みません。
- Wixなどのサービスで作ったサイトは、サーバーの管理が提供会社側にあるため、外部からの点検とアカウントの管理状況の確認が中心です。
- 攻撃を模した検査、ログインの試行、サーバーに負担をかける検査は行いません。
Webサイトの制作と保守を手がけてきた会社が、改善の方向性まで説明します。
制作と保守の経験を踏まえて確認します
当社は、BtoB企業のWebサイトの制作と保守を手がけてきました。サイトの仕組みと、更新や保守の運用を踏まえて、点検の結果を読み解きます。
改善の方向性まで説明します
問題を指摘するだけでなく、指摘ごとに改善の方向性と相談先を示します。制作会社との改善の相談に使える形でご説明します。
2010年の創業以来、500件以上のプロジェクトを支援してきました。支援している業界は、BtoB製造業・教育機関・専門出版社です。
500件は、当社の販売管理システムに基づく累計です。セキュリティ診断の実施件数ではありません。
例（架空のサンプル報告書から）
指摘：古いバージョンのソフトウェアの利用 推奨する対応：最新バージョンへの更新 報告会：社内と制作会社のどちらで、どの順に進めるかを一緒に整理します
料金と、ご相談から報告までの流れ
セキュアサイト診断（標準）
30万円（税別）
1サイト（1つのドメインと www）
料金に含まれるもの
- 01 点検 8つの観点。外部からの点検（管理画面は、アカウントをお借りできる場合のみ）
- 02 ヒアリング 30分
- 03 報告書 問題、優先度、改善の方向性
- 04 報告会 オンライン60分
攻撃を模した本格的な脆弱性診断とは異なります。確認する範囲は「点検の範囲と8つの問い」をご覧ください。
- 期間
- 通常、ヒアリングの日から報告会まで約2週間です。報告会の日程は、ご都合に合わせて調整します。オプションの調査を加える場合の期間は、お見積りの際にお伝えします
- 管理画面の確認
- 閲覧用アカウントをお借りできる場合に限り、付与いただいた権限で確認できる範囲を対象に行います。確認できる項目は、CMSの種類によっても異なります。お借りできない場合も、料金は同じです
- サイトの作りによる違い
- Wixなどのサービスで作ったサイトも料金は同じです。確認できる範囲が異なるため、お見積りの際にご説明します
- 別途お見積り
- サーバー内部の調査、独自のシステムのプログラムの確認、2サイト目以降、改善作業、書き換えの痕跡が見つかった場合の復旧。いずれも事前にお見積りします
- 再診断
- 半年後に同じ観点で点検し、前回と比べてご報告。料金は初回と同額
- ご用意いただくもの
- 対象サイトのURL、調査承諾書。可能であれば管理画面の閲覧用アカウント
- STEP 1 ご相談
- STEP 2 事前確認 サイトの作り、管理画面の可否
- STEP 3 お見積り
- STEP 4 お申し込み・調査承諾書
- STEP 5 ヒアリング・点検
- STEP 6 報告会
- お申し込みをいただいてから着手します。
- 調査承諾書は、点検の対象と方法にご同意いただくための書面で、お申し込みとあわせて提出いただきます。
- 点検の途中で書き換えの痕跡が見つかった場合は、点検をいったん止めてご報告し、対応をご相談します。
- ご相談から報告会まで、当社が窓口になります。
よくある質問
社内にITに詳しい担当者がいなくても依頼できますか。
依頼できます。ヒアリングは、分かる範囲でお答えいただければ進められます。
現在の制作会社には、どう伝えればよいですか。
「サイトの状態を一度点検してもらう」とお伝えください。管理画面のアカウント発行で協力をお願いする場合があります。報告書は、改善のご相談にお使いいただけます。
点検によってサイトに影響は出ますか。
攻撃を模した検査やサーバーに負担をかける検査は行わず、影響を抑えた方法で点検します。
問題が検出されなければ、安全と言えますか。
言えません。点検した範囲で、点検した時点の状態をお伝えするものです。
管理画面のアカウントがなくても依頼できますか。
依頼できます。料金は同じです。管理画面で確認する項目は「確認できず」として、その理由とあわせて報告書に記載します。
学校法人のサイトも依頼できますか。
依頼できます。複数のサイトをお持ちの場合は、ご相談のうえで対象とするサイトを決めます。
自社サイトの診断について相談する
対象サイトのURLと、気になっていることをお知らせください。内容を確認し、担当者からご連絡します。ご相談の段階で有料の診断が始まることはありません。