株式会社エーアイセキュリティラボは8月31日、情報システム部門および開発責任者を対象に、Webサイトの網羅的な脆弱性診断の「内製化・ハイブリッド化」をテーマとしたウェビナー「【情シス部門・開発責任者向け】Webサイトの網羅的な脆弱性診断を実現するには？『いつでも・だれでも』診断できる環境・体制づくり」を9月8日に開催すると発表した。
事案の詳細
発表によると、今回のウェビナーは、Webサイトの脆弱性診断を自社で担う「内製化」と、外部の支援やサービスと組み合わせる「ハイブリッド化」をテーマに、情シス部門と開発責任者に向けて要点を整理して伝える内容とされている。開催日は9月8日で、11:00〜12:00（受付開始10:45）のウェビナー形式で実施される。参加費は無料で、事前登録制となっている。主催は株式会社エーアイセキュリティラボ。
対象として明示されているのは情シス部門と開発責任者であり、Webサイトの脆弱性診断に関わる実務の担い手に焦点を当てた企画である点が特徴となる。タイトルからは、診断を外部委託だけに依存せず、自社の状況に合わせて「いつでも・だれでも」診断できる環境や体制を構築する際の要点を扱うことが読み取れる。
同セミナーでは、同社が提供するWebアプリケーション脆弱性診断ツール「AeyeScan」を取り上げ、外部診断だけに頼らず、内製化（ハイブリッド化）やシフトレフトを進めるためのポイントを解説する構成となっている。具体的なプログラムの詳細（各セッションの構成）や個々の登壇者名などの細部については、現時点では不明であるが、Webセミナーとしてオンラインで受講可能な形式で提供される。
影響と背景
脆弱性診断は、システムやアプリケーションに潜む弱点を把握し、必要な手当てにつなげるための取り組みとして、情シスや開発の現場で重要性が増している。特にWebサイトは、公開範囲が広く攻撃対象となりやすいことから、継続的な診断と改善が求められている。
今回のウェビナーは、そうした診断の進め方を「内製化」や「ハイブリッド化」という切り口で取り上げ、実務担当者が検討する際の論点を共有する場として開催される。自社内で診断を回せる体制づくりを目指す企業や、外部診断サービスと自社の取り組みをどう組み合わせるか検討している組織にとって、具体的な検討材料を得られる機会となる。
対策・今後の展望
- 診断体制の選択肢を整理する：自社で実施する範囲（内製）と、外部と組み合わせる範囲（ハイブリッド）を切り分け、運用可能な形を検討する。Webアプリケーション脆弱性診断ツール「AeyeScan」のようなツールを活用し、診断の内製化に必要な機能・役割を明確にすることがポイントとなる。
- 情シスと開発の役割分担を明確にする：診断の実行、結果の受け取り、修正対応といった工程ごとに担当を定め、連携の前提をそろえる。特に、診断結果に基づく修正作業の責任所在を明確にし、リリース計画と整合する形で改善サイクルを回すことが重要である。
- 継続的な取り組みとして計画する：単発で終えず、社内で回せる形を意識して診断の進め方や判断基準を整備する。対象となるWebサイトやシステムの棚卸し、診断頻度の方針、リスクに応じた優先順位付けなどをあらかじめ決めておくことで、「いつでも・だれでも」診断できる環境・体制づくりにつながる。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが中小企業の診断支援で見る課題は、診断そのものよりも「結果を受けて誰が直すか」が曖昧な点に集中する。情シスと開発の境界で修正が滞り、弱点が残ったまま次のリリースに進む例が少なくない。診断結果を踏まえた修正プロセスの設計と、責任分担の明確化が求められる。
【観点②：セキュリティ専門家でない人への平易な解説】脆弱性診断は、例えるなら建物の防犯点検のようなものだ。つまり、鍵や窓の弱い所を先に見つけて、泥棒に狙われる前に直すための確認作業ということになる。Webサイトやシステムに対しても同様に、攻撃者に狙われやすい箇所を先に洗い出し、被害が発生する前に対策を講じるための活動であると理解すると、非専門家にも重要性が伝わりやすい。
【観点③：中小企業が今週中にできること】まず、脆弱性診断の担当窓口が情シスか開発かを社内で確認し、結果を受け取る人を決める。次に、診断で見つかった指摘が出た場合の修正担当と期限の決め方を、関係者に共有しておく。あわせて、Webサイトの現状把握（運用中のサイトやシステムの一覧化）と、どの範囲をいつ診断するかの方針を簡単にでも決めておくことで、内製化・ハイブリッド化の検討を始めるための足がかりとなる。
参照: エーアイセキュリティラボ、情シスと開発者向けに脆弱性診断「内製化・ハイブリッド化」のポイント解説ウェビナー 9 / 8 開催