目的・予算で使い分ける「Web脆弱性診断」　自分で実施できる手軽なツールも

　WebサイトやWebサービスを狙ったサイバー攻撃の勢いは一向に衰えていないが、Webアプリケーションの脆弱性診断を定期的に実施していると断言できる組織は多くはない。

　脆弱性診断は一般的に、高いコストと長い検査期間、セキュリティ専門家の知見が必要で、組織やプロジェクトによっては非常にハードルが高いと考えられてきた。しかしなかには、アプリケーション開発者自身が毎日の開発工程の中で検査したり、セキュリティ知識を持たない担当者が検収時に利用できる、手軽な脆弱性検査ツールもあることを知っているだろうか？　こうしたツールであれば、1回の平均検査時間は10数分で済み、小規模プロジェクトやアジャイル開発環境にも最適だ。

　脆弱性診断はいまや、やるかやらないかではなく、予算や目的に応じてどう使い分けるかを検討する時代となった。本資料では「手動診断」と「自動診断」の違いと各メリット、また「リリース前診断用ツール」と「リリース後診断用ツール」の役割など、脆弱性診断の豊富な選択肢について言及している。読了すれば、組織やプロジェクトの状況にふさわしい診断方法がきっと見つかるだろう。