脆弱性診断は、なぜ報告書で終わるのか
目次
脆弱性診断の仕事を長く見てきて、ずっと気になっていたことがあります。
診断そのものより、その後の方がずっと大変なのです。
診断では、対象を決め、検査し、見つかった問題を確認して報告書にまとめます。専門性の高い仕事ですし、当然それなりの工数もかかります。
ただ、顧客の側から見ると、報告書を受け取った時点では何も直っていません。
そこから、なぜこの脆弱性を直す必要があるのかを説明し、関係者に理解してもらい、誰が直すのかを決め、予算と日程を押さえ、実際に改修し、最後に直ったことを確認する。
私の経験では、こちらの方がはるかに長い。
診断ベンダーの仕事は、たいてい報告で終わる
診断ベンダーは、見つかった問題を説明します。危険度を付け、再現方法を書き、推奨する対処方法も示します。報告会を開くこともあります。
一般的な診断サービスの契約は、だいたいここまでです。
報告書を納品したら案件は完了する。
一方、顧客の側では、そこから別の仕事が始まります。
たとえば「認証まわりに問題があります」と言われても、セキュリティ担当者だけで修正できるとは限りません。開発部門へ説明し、影響範囲を確認し、サービス停止の可能性があれば事業側とも調整する。外部ベンダーが作ったシステムなら、その会社へ改修を依頼する必要があります。
修正費用が発生すれば予算も要ります。改修を入れるならリリース日程も調整します。直した後には、本当に問題が解消したか再確認しなければなりません。
脆弱性を一件見つけることと、その一件を消すことの間には、かなり距離があります。
説明して、理解してもらうところに時間がかかる
技術者同士だけで話が終わる案件は、むしろ楽です。
難しいのは、なぜその修正が必要なのかを、セキュリティを専門にしていない人にも分かる形で説明することです。
CVSSが高いから直してください、と言うだけでは動かないことがあります。その脆弱性が実際にどのシステムにあり、悪用されたら何が起きるのか。いま別の対策でどこまで抑えられているのか。今日直す必要があるのか、次のリリースでもよいのか。
そこまで落とさないと、開発側も事業側も判断できません。
そして、説明して理解してもらった後にも仕事は残ります。
担当を決め、期限を決め、修正が進んでいるかを追う。途中で「この修正は影響が大きい」「別の方法で回避したい」という話が出れば、もう一度判断する。終わったら再確認する。
ここまで回して、ようやくリスクが下がります。
診断報告書を作ることと、脆弱性を管理することは、似ているようで別の仕事です。
診断の回数を増やす前に考えたいこと
脆弱性診断の頻度はよく議論されます。年1回でよいのか、年2回か、四半期ごとか。
回数を増やせば、見つける機会は増えます。それ自体は悪いことではありません。
ただ、前回見つけた問題が大量に残っている状態で次の診断を増やすと、未対応の項目が積み上がっていきます。
診断を何回するかより、見つかったものをどこまで処理できているかを先に見た方がいい会社は多いと思います。
診断する側にも限界があります。私が提案する側にいたとき、案件でいつもネックになるのは診断できるエンジニアの確保でした。年度末は特に埋まりやすく、予算があっても希望時期に入れないことがあります。
だからといって、診断回数を減らせばよいという話でもありません。
人が深く見る必要があるところは人が見る。一方で、外部公開資産の増減や既知の脆弱性のように機械で継続的に確認できるものは、毎日見ればいい。私はその方が自然だと考えています。
「見つけた」で終わらせないために
脆弱性管理で一番もったいないのは、問題を見つけているのに、誰も対処を最後まで追っていない状態です。
報告書には脆弱性が並んでいる。会議でも説明した。でも半年後に同じ問題が残っている。
珍しい話ではありません。
この部分は、これまでかなり人に依存していました。セキュリティ担当者が一覧を持ち、関係者に説明し、催促し、再確認する。だから案件が増えるほど回らなくなります。
PentaTrailでやりたいことも、単に脆弱性を多く見つけることではありません。
外部から継続的に確認できるものは機械で見つけ、その結果に優先順位を付け、なぜ対応した方がよいのか、どう対処するのかまでつなげる。人が使う時間を、検出そのものではなく、最後に残る判断や実際の修正へ寄せるためです。
もちろん、PentaTrailだけですべての脆弱性管理が完結するわけではありません。認証後の画面や業務ロジックを深く確認するには、手動の診断が必要です。実際の改修作業も、システムを持つ側で行う必要があります。
それでも、診断して報告して終わるところと、実際に直るところの間には、まだ大きな空白があります。
セキュリティの成果として見るべきなのは、報告書の件数ではなく、最後にどれだけリスクが減ったかだと思っています。
PentaTrailは、登録したドメインを起点に外部公開資産を継続的に確認します。ASMは月額40,000円、CTEMは月額68,000円です。認証後の画面に入って診断するサービスではありません。PentaTrailの金額は公式の提供価格です。
