- 脆弱性診断Vulnerability Assessment
- システムや Web アプリケーションを調べ、脆弱性や設定の不備を洗い出す検査。ツールや専門家の手で行う。
このページの内容
意味
脆弱性診断は、システムの弱いところを体系的に調べ、洗い出す検査です（NIST の定義の要約）。Web アプリケーションの診断・ネットワークの診断などの種類があります。結果は、見つかった脆弱性とその深刻度の一覧として報告されることが多いです。
| 種類 | 対象の例 |
|---|---|
| Web アプリケーションの診断 | お客様向けのサイト・管理画面 |
| ネットワーク（プラットフォーム）の診断 | サーバー・VPN 機器 |
| 設定の点検 | クラウドの設定 |
事件のときの見方
- 事件のときに「診断をしているから大丈夫か」と聞かれることがあるが、診断は実施した時点のもの。新しく公表された脆弱性は別に確かめる
- 委託先の回答に「直近の診断で問題なし」とあれば、診断の日と、今回の脆弱性が公表された日の前後を見る
直近の脆弱性診断の結果をご連絡いただき、ありがとうございます。今回の脆弱性（CVE-{{年}}-{{番号}}）は{{公表日}}に公表されたもののため、該当する製品の使用の有無を、あらためてお知らせください。
secubell は行いません
secubell は脆弱性診断を行いません。お客様のシステムに接続したり、調べたりすることはありません。公開情報をもとに、事件の要点・照会の文面・記録の型を届けるサービスです。脆弱性診断が要る場合は、専門の事業者にご相談ください。
しないことの一覧secubell がしないこと →
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- 米国立標準技術研究所（NIST）「Glossary: vulnerability assessment」
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。