セキュリティ対策内製化の第一歩！セキュア開発につながる脆弱性診断トレーニング

脆弱性診断を内製化する企業が増えています。産業サイバーセキュリティセンターの「中核人材育成プログラム」でも、卒業プロジェクトの一環として脆弱性診断内製化ガイドがまとめられるなど、注目度は高まっています。

KDLでも外部向けに診断サービスを提供する一方で、社内の開発チームに対して診断を内製化してきました。実際に内製化してみると色々わかったことがあります。開発チーム特有の“癖”や“文化”が診断結果に表れるなど、外部診断では見えにくい気づきを得られることがわかりました。また、診断結果をチームで共有・振り返ることで、「なぜその脆弱性が入り込んだのか」を振り返ることができ、改善へとつなげる好循環も生まれています。

本セッションでは、脆弱性診断を内製化してみてわかったことを、また、その際の注意点などを事例を交えてお話しいたします。

脆弱性診断を内製化しようと考えたとき、最初に思い浮かぶのは、具体的に脆弱性診断では何をしたらいいのかだと思います。脆弱性に関する知識は書籍やAIでも得られますし、IPAから脆弱性診断内製化ガイドも発表されています。しかし、知識だけでは不十分で、実際に体験して自分のものにすることが重要です。

脆弱性診断は、対象を隅々まで確認し、抜け漏れなくリスクを見つけることが求められます。そのうえで、診断期間中にその対象を隅々まで脆弱性診断を行い、その範囲で脆弱性が見つかった・見つからなかったということを相手が納得する形で伝えられる必要があります。

開発者は手を動かしてコーディングをしているので、同じ土俵に立つためには診断員も手を動かす必要があります。「脆弱性診断ハンズオントレーニング」ではそのお手伝いをさせていただきます。 今回は、脆弱性や診断に関する知識から始まり、各種脆弱性の検出・検査方法から脆弱性診断による報告書の提出までを学習できるコンテンツ「脆弱性診断ハンズオントレーニング」の一部をご紹介します。