脆弱性診断の必要性

脆弱性は、Webアプリケーションの開発・運営を続けていく上で常につきまとう身近な問題です。前述した被害の深刻さからもおわかりいただけるように、Webアプリケーション開発には情報セキュリティ対策がとても重要です。

最近でも、脆弱性の対策もれの責任を問うひとつの判決事例が話題となりました。
2011年～2014年頃の事例で、脆弱性が原因で情報漏えい事件を起こしたECサイトの運営会社が、システム開発を依頼した開発会社を告訴した裁判がありました。判決は、運営会社側が勝訴し、開発会社は損害賠償金の支払いを命じられました。
参照：SQLインジェクション対策もれの責任を開発会社に問う判決 | 徳丸浩の日記

このように、実際に事件が起きてしまうと、開発会社が大きな責任を負わされることになりかねません。事故の被害を被るのはサイト運営者だけではないのです。しかし、そこまで危機感を持って対策を行っている開発会社はまだまだ多くはありません。売り上げを増やすための改修などが優先され、セキュリティ対策は後回しにされがちなのです。

最近になってやっと、弊社のお客様からも「最近よく脆弱性診断が発注案件に含まれるようになった」との声を聞くようになってきました。徐々にですが、発注者側のセキュリティ意識が高まりつつあり、伴って、脆弱性診断などのセキュリティ対策が注目されてきているのです。

現状と課題

よくある誤解や認知のズレ

開発者の意図しないところで、「セキュリティは当然対策しているでしょ？」「脆弱性診断も含まれた開発案件だ」と考えている発注者は少なくありません。リリース直前に気づき、スケジュールや予算不足に悩まされることも・・・

専門性の壁

脆弱性診断特有の専門性の高さから、社内の開発者に対応を求めるには限界があります。専門機関への診断の依頼やセキュリティ診断専門のエンジニアの雇用などの対策が必要となりますが、開発からリリースまでのスケジュールが短い場合は、対策としては現実的ではありません。

費用と時間の課題

脆弱性診断の費用は一回あたり100万円を超えることは珍しくありません。案件によっては、予算不足で追加開発のたびに脆弱性診断の費用をかけることが難しいものもあります。また、リリース直前に深刻な脆弱性が見つかってしまい、修正のスケジュールでリリースに間に合わないなんていうケースも・・・