GMOイエラエは、AIによる自動探索を中心に主要なリスクを洗い出し、最短3営業日で報告書を納品する「クイック診断」など、Webアプリケーション脆弱性診断の3プランを提供開始した。
事案の詳細
GMOイエラエは、診断範囲や深さ、コストに応じて選択できる「クイック診断」「フォーカス診断」「フルスコープ診断」の3プランを提供する。
クイック診断は、AIによる自動探索を中心とした診断で主要なリスクを洗い出す。1サイトにつき最短3営業日で報告書を納品し、価格は30万円（税別）としている。
フォーカス診断は、ホワイトハッカーが特に注力すべき対象範囲や診断項目を選定し、ツールと手動による診断を実施する。報告書の納期は最短5営業日で、価格は60万円（税別）から。
フルスコープ診断は、事前に合意した対象範囲について、全ての診断項目を実施する。納期は対象規模により異なり、価格は診断内容や規模に応じた見積もりとなる。各プランの詳細な診断項目や提供条件について、今回確認できる公表情報以外の詳細は現時点で不明。
影響と背景
Webアプリケーション脆弱性診断は、Webサイトや業務システムなどを対象に、脆弱性やセキュリティ上の問題を確認する取り組みである。今回のサービスでは、診断範囲や深さ、コストに応じた3プランを用意し、AIによる自動探索を中心とした短納期の選択肢から、ホワイトハッカーによる対象選定・手動診断、合意範囲の全項目診断まで、目的に応じて選べる形とした。
対策・今後の展望
今回の公表は診断サービスの提供開始に関するもので、特定の脆弱性や攻撃手口、被害を伴うインシデントへの注意喚起ではない。Webアプリケーションを運用する組織が導入を検討する際は、納期や価格だけでなく、診断対象、診断項目、AIによる自動診断と専門家による手動診断の範囲、報告書の内容、検出後の対応方法が自社の目的に合うかを確認する必要がある。
CSRIからの現場アドバイス
【現場で何が起きているか】Webアプリケーションの診断では、公開中のサイトや申込フォーム、管理画面などの対象資産を把握できていないと、診断対象から漏れる可能性がある。診断を依頼する前に、対象システムの所有者、管理担当者、公開環境・検証環境、改修予定を整理しておくことが重要である。
【平易な解説】Webアプリの診断は、店舗の防犯点検に似ている。AIによる自動探索を中心としたクイック診断は、短期間で主要なリスクを確認する選択肢であり、より重点的な確認や広範囲の診断が必要な場合には、フォーカス診断やフルスコープ診断を検討する。
【今週中にできること】自社で公開しているWebサイト、申込フォーム、管理画面、APIなどの一覧を作成し、担当部署と連絡先を明確にする。次に、直近で公開・改修・リニューアルを予定しているシステムを整理し、必要な診断範囲、希望納期、予算を確認した上で、3プランのいずれが適するか検討する。
参照: GMOイエラエ、AI 活用で最短 3 営業日納品の「クイック診断」など Webアプリ脆弱性診断 3 プランを提供開始