Webアプリに不可欠な脆弱性診断を「普通の企業」が導入する方法は？

　Webアプリケーションの脆弱（ぜいじゃく）性が、サイバー攻撃の標的となっている。限られた予算と人手でどう脆弱性を減らすかという問題は企業にとって悩みの種だ。より良いサービスをいち早く提供しなければならないというプレッシャーのなか、「普通の企業」がWebアプリケーションの脆弱性対策を進めるための良い方法とは何だろうか？

　ここで有効なアプローチが、脆弱性診断の内製化だ。外部に依頼せず、ツールを利用して社内で脆弱性を診断できる体制を整えれば、予算やスケジュールに融通を利かせたセキュリティ対策が可能になる。しかし、社内に開発とセキュリティ両方の知識を備えた人材がいるとは限らない。そこを補う、非プロフェッショナルでも使いやすい脆弱性診断ツールが必要になる。注目したいのが、経済産業省の「情報セキュリティ基準」において脆弱性診断サービスの基準として例示されているツールの活用だ。静的解析、インタラクティブ解析、動的解析などを網羅しており、開発段階から運用中の本番環境までの診断を総合的にカバーできる。

　本資料では、国内外で評価されるWebアプリケーションの脆弱性診断ツールを、さらに詳しく紹介する。