2024.10.31
近年、インターネットを介したサイバー攻撃や情報の流出リスクはますます深刻化しています。
そのため、開発においては、単体テストやシステムテストと同様に、セキュリティ診断やテストの実施によるセキュリティの確保が求められるようになっています。
今回は、セキュリティ被害を引き起こすシステムの脆弱性と、その脆弱性を検知するためのセキュリティ診断の必要性などについてご紹介します。
記事の後半では、セキュリティ診断の課題と解決策についても解説しますので、ぜひ最後までご覧ください。
- もくじ
1．セキュリティ被害を招くシステムの「脆弱性」とは
脆弱性(ぜいじゃくせい)とは、プログラムの不具合や設計上のミスが原因で発生したセキュリティ上の欠陥のことです。「セキュリティホール」とも呼ばれます。
システムに脆弱性が残っていると、インターネットなどの外部から不正アクセスの被害に遭いやすくなる、ウイルス感染しやすくなるなどの状態になります。
近年では、PC・スマートフォンだけでなく、インターネットに接続される電化製品（IoT製品）なども増えてきているため、同様に脆弱性によるセキュリティ被害のリスクが懸念されます。
脆弱性によるセキュリティ被害を防ぐためにも、さまざまな「脆弱性」を理解し、対策していくことが重要です。
2．主な3つの脆弱性とその特徴
脆弱性には数多くの種類がありますが、その中でも発生頻度の高い脆弱性を3つご紹介します。
2-1 クロスサイト・スクリプティング(XSS)
クロスサイト・スクリプティング(XSS)は、掲示板などの外部から不正な命令文（スクリプト）を書き込まれてしまう脆弱性です。
不正なスクリプトを書き込まれたWebサイトのページを閲覧して不正なサイトに誘導されてしまった場合、マルウェアなどのウイルスに感染したり、ユーザーの個人情報が流出したりする可能性があります。
クロスサイト・スクリプティングは、IPAが発表するソフトウェア等の脆弱性関連情報に関する届出状況においても、上位に挙げられており、2024年第2四半期（4月～6月）では最も多い割合を占めました。
今後も被害が増えることが考えられるため、特に注意が必要な脆弱性の一つです。
2-2 SQLインジェクション
データベースと連携したシステムやWebアプリケーションに対して、悪意あるリクエストにより、データベースを不正に操作されてしまう脆弱性です。
SQLインジェクションの被害に遭うと、データベースに保管している機密情報や顧客情報が流出する可能性があります。
また、不正アクセスによってデータを改ざんされたり、システムを乗っ取られてしまったりするリスクもあるため、注意が必要です。
2-3 OSコマンドインジェクション
OSコマンドインジェクションとは、外部からの攻撃で、WebサーバのOSコマンドを不正に実行されてしまうことです。
外部プログラムで、呼び出し可能な関数などを使用しているWebアプリが被害を受けやすい傾向があります。
OSコマンドインジェクションの攻撃を受けると、SQLインジェクション同様、情報漏えいやデータの改ざん、システムの乗っ取りなどの被害に遭うリスクがあります。
＞その他の脆弱性については、以下の記事をご覧ください。
3．セキュリティ診断を実施する2つの効果
システムが脆弱性の危険にさらされないように、「セキュリティ診断(脆弱性診断)」を活用しましょう。
脆弱性はどんなシステムも少なからず持っているものです。しかし、致命的な脆弱性が放置された場合、思いがけないセキュリティ事故につながってしまいます。
この章では、セキュリティ診断を実施することで得られる2つの効果を解説します。
3-1 情報セキュリティ事故のリスクを減らす
セキュリティ診断を活用することで、「セキュリティ事故のリスクを減らす」ことができます。
最近では、個人情報などの機密性の高い情報に対して、組織的なハッキングを行う事例も多いです。
そのため、脆弱性を放置していることで自社のシステムやアプリケーションに不正なアクセスを受け、甚大なセキュリティ被害をもたらす可能性も考えられます。
セキュリティ診断を行うことで、システムやWebアプリケーションの脆弱性を検知・修正することができます。
3-2 セキュリティ対策のコスト削減ができる
セキュリティ対策の重要性は理解していても、コストがネックとなり実施に至らないケースもあるかと思います。
また、すべてのセキュリティリスクに対して完璧に対応するということは、コストを考えると現実的ではありません。
しかし、セキュリティ診断を活用することで「セキュリティ対策のコストを減らす」効果があります。
なぜなら、セキュリティ診断によって自社のシステムが保有するリスクの種類やレベルを明らかにし、優先順位をつけてセキュリティ対策を行うことができるからです
自社システムにとって優先して対応すべきセキュリティ対策を実施できるため、結果的にコスト削減につながるでしょう。
4．セキュリティ診断の課題と解決策
セキュリティ診断はシステムのセキュリティリスクを検知するのに有効な手段ではありますが、現状は以下の3つの課題を抱えています。
- 関係者間の認識のズレ
- 専門性の壁がある
- 費用と時間がかかる
それぞれの詳細と解決策について解説していきます。
【課題１】関係者間の認識のズレ
課題の一つが、クライアント(発注元)と開発者側との「認識のズレ」です。
開発システムの発注元が「セキュリティテストや脆弱性の診断は開発工程に含まれている」と誤解している場合など、関係者間で誤解や認識のズレが生じると、納品直前や納品後にトラブルにつながる可能性があります。
このような認識のズレを起こさないためには、事前に保証事項の認識合わせを怠らないようにすることが大切です。
【課題2】専門性の壁がある
2つ目の課題が「専門性の壁」です。
セキュリティ診断は専門性が高く、社内の開発者が対応することが難しいです。
そのため、外部の専門会社やセキュリティを専門とする開発者との協力が欠かせません。
セキュリティテストの実施が要件に含まれている場合は、予め外部への業務委託を見込んでおきましょう。
【課題3】費用と時間の問題
最後の課題として「費用と時間の問題」があります。
セキュリティ診断の費用は、専門性が高いこともあり、比較的高額な場合が多いです。
また、専門の調査員がセキュリティ診断を手作業で行う場合には、相応の費用やその工数を見込んだ開発スケジュールを考慮し、導入するかどうかをプロジェクトの計画段階で判断することが求められます。
現状、利用可能なセキュリティ診断方法としては、自動チェックツールによる診断、もしくはプロの診断員による調査・コンサルティングの2通りがあります。
ツール診断は安価で手軽に導入しやすい反面、診断員による調査と比べると診断の網羅性が低く、一部の脆弱性を検知できないことがあります。(例えば、ユーザーアカウントのなりすましによる不正アクセスなど)
一方、プロの診断員に依頼する場合は、システムやアプリケーションの特性に合わせて脆弱性を調査し、より正確性の高い診断が可能ですが、品質に見合う価格を支払う必要があります。
ツールとプロの診断員による診断を併用して、適切なコスト・調査カバレッジをより効果的に設定していくことが大切です。
まとめ
システムの脆弱性とは、セキュリティの観点から見たシステムやアプリケーションの構造上の不備であり、その種類は多岐にわたります。
組織的に個人情報を狙った外部からの不正アクセスの可能性も高いため、少なくとも脆弱性のリスクがどの程度なのか把握しておくことが重要です。
その第一歩としてセキュリティ診断がありますが、安価なツール診断と診断員による自社システムに即した診断のメリット・デメリットを考慮して採用するようにしましょう。
