脆弱性診断の指摘事項に対するベストプラクティスが実施できない場合の緩和策ガイド#
概要#
背景と目的#
脆弱性診断において検出された指摘事項は、推奨されるベストプラクティス（根本的な修正）を実施することが理想です。 しかし実際の運用現場では、レガシーシステムの制約・開発リソースの不足・ビジネス要件との競合などにより、すぐに根本対応を取れないケースが少なくありません。 本ガイドは、そうした状況における緩和策の考え方・具体的な実施方法・効果と限界を整理したものです。指摘事項への「対応不可」を安易に許容するものではなく、リスクを可視化した上で組織として合理的な判断を下すための指針を提供することを目的としています。
対象読者#
- Webサービス・システムの運用・開発担当者
- 情報セキュリティ担当者・CISO
- 脆弱性診断の発注者および受託者
本ガイドの留意事項#
本ガイドで示す緩和策は、あくまで暫定的・補完的なコントロールです。根本的な修正への移行計画を策定・管理することを前提とし、緩和策の適用をもってリスクが完全に解消されるとは見なしません。
執筆者一覧 (敬称略、順不同)#
- TODO
本プロジェクトに関わる組織について#
NPO日本ネットワークセキュリティ協会（JNSA）について#
NPO日本ネットワークセキュリティ協会は、ネットワーク・セキュリティ製品を提供しているベンダー、システムインテグレータ、インターネットプロバイダ等ネットワークセキュリティシステムに携わるベンダーが結集し、ネットワーク社会の情報セキュリティレベルの維持・向上および日本における情報セキュリティ意識の啓発に努めるとともに、最新の情報セキュリティ技術および情報セキュリティへの脅威に関する情報提供等を行うことで、情報化社会へ貢献することを目的としています。
日本セキュリティオペレーション事業者協議会（ISOG-J）について#
日本セキュリティオペレーション事業者協議会（Information Security Operation providers Group Japan 略称: ISOG-J）は、セキュリティオペレーション技術向上、オペレータ人材育成および関係する組織・団体間の連携を推進することによって、セキュリティオペレーションサービスの普及とサービスレベルの向上を促し、安全で安心して利用できるIT環境実現に寄与することを目的として設立されました。
NewTech WGについて#
本書はISOG-J WG1 の新技術に対する診断手法分科会によって執筆されました。 本グループでは、比較的新しい技術に関して調査・研究しています。
XSSやSQLインジェクション等の脆弱性はすでに診断ツールが対応しているものの、たとえばGraphQLやWASM等に固有の脆弱性については、まだ各社内で確立されたツールや手法がない技術もあります。 これらの領域に関して、一般的に普及している技術について調査し、必要があればツールそのものを実装することで、診断手法を確立・ドキュメント化します。
分野によっては、こういった領域に関して親和性の高い学生も交えて、産学連携して進める予定です。
本プロジェクトに関するお問い合わせ先#
本プロジェクトに関して質問や要望、改善すべき点や感想等ございましたら、本GitHubのIssueにてご連絡いただけますと幸いです。