年に一度の脆弱性診断は受けていても、診断の翌週に公表された脆弱性までは誰も追えていない、という状態は珍しくありません。JVN やベンダーの告知をメールで受け取り、表計算ソフトに転記し、担当者に依頼して…

工場の設備や制御システムがネットワークにつながり、リモート保守も当たり前になったいま、「うちの工場や制御システムに脆弱性はないのか」という不安を持つ担当者が増えています。同業のランサムウェア被害が報じ…

WordPressでサイトを運営していると、「うちのサイトに脆弱性は残っていないだろうか」という不安がふとよぎります。プラグインやテーマは便利に追加できる一方で、それぞれが攻撃の入り口になり得ます。無…

スマートフォンアプリやSPA（画面遷移を伴わない単一ページ型のWebアプリ）、マイクロサービスへの移行が進み、システムの機能はAPI（アプリケーション間でデータをやり取りする接続口）として外部に公開さ…

年1回の外部脆弱性診断で数百万円の見積もりが常態化し、しかもスプリント制でリリース頻度が上がった開発現場に年1点検が追いつかない——「毎回外注していたら破綻する」「リリースの度に脆弱性が混ざり込む」と…

自社で開発したWebサービスやアプリについて、取引先や監査から「ソースコードのセキュリティ診断はしているか」と問われることがあります。リリース前にコード起因の脆弱性を潰しておきたい、という動機で調べ始…

自社のECサイトを運営していると、クレジットカードのセキュリティ強化や同業他社の情報漏えいのニュースをきっかけに、「うちのサイトは大丈夫なのか」「脆弱性診断を受けなければいけないらしいが、何をどこまで…

脆弱性診断で自社システムの弱点を洗い出すと、次に「実際に攻撃者が侵入できるのか、本当のところを確かめてほしい」と役員や監査から求められることがあります。脆弱性診断の次にペネトレーションテスト（侵入テス…

取引先やカード会社、決済代行会社から届いた要件のなかに「ASVスキャン」という言葉があり、これが何を指すのか、自社は何をすればよいのかがつかめずに調べている方も多いのではないでしょうか。カード情報を扱…

気づかないうちに立ち上がった公開サーバ、使われないまま残った古いサブドメイン、退職した担当者が個人判断で契約したクラウド環境。こうした「自社が把握しきれていないIT資産」が、外部から狙われる入口になっ…