非公開ユーザー
ギグワークスクロスアイティ株式会社｜ソフトウェア・SI｜その他情報システム関連職｜300-1000人未満｜ユーザー（利用者）｜契約タイプ 有償利用
定期的な脆弱性診断による脆弱性検知とサービス品質の向上
良いポイント
Webアプリケーション診断を利用していますが、診断対象となるURLを指定するだけで下層ページまで自動で巡回して診断してくれるので、特別な知識がなくても診断設定に手間が掛かりません。
任意のタイミングで診断を実行できるだけではなく、定期的な自動実行もスケジュールできるので管理が楽だと感じました。
診断レポート機能も分かりやすくまとめられていて、単にCVE番号が並んでいるだけでなく、検出された脆弱性ごとに危険度、想定される被害、該当するCVE番号、具体的な修正方法やエンドポイントまで明記されています。そのため、対応する際の優先度の判断が単に危険度だけではなく、対応難易度や対応工数なども含めて複合的に判断できるので、柔軟で効率的に対処を進められます。また、開発メンバーに連携する際に説明を行わなくても、レポートの内容を基に対応が進められます。
このレポート内容を開発担当者と共有することにより、脆弱性を理解し、同じようなバグを作り込まないという再発防止につながり、セキュリティ対策にとどまらず、全体の品質向上に役立っています。
改善してほしいポイント
現在、同一対象に対して毎日脆弱性診断を実施していますが、日によって診断結果が変動することがあり、その要因がレポートから把握できません。また、前回の診断結果との比較（新規検知／既知検知の区別や脆弱性の増減）を現在は手作業で管理しているのが手間だと感じました。
これらを自動で判断・集計できる差分レポート機能があると非常に良いと思います。新たに公開された脆弱性（CVE）について、ツールへの取り込み頻度の向上と、取り込み基準の明示（特に取り込まれなかった場合の理由）を知りたい。また、利用者側から「このCVE番号・脆弱性名を優先して診断対象に追加してほしい」とリクエストできると嬉しいです。
OSやミドルウェアのバージョンに起因する脆弱性への対応もあると便利だと感じました。最終的にはサーバ、ネットワーク、クラウド環境といった社内の全IT資産を一元管理で把握できると良いと思います。
どのような課題解決に貢献しましたか？どのようなメリットが得られましたか？
解決できた課題・具体的な効果
・脆弱性検査の設定にかかる人的工数の削減
・定常的な検査による脆弱性の早期発見
課題に貢献した機能・ポイント
・自動検査により、手動でシナリオを作成する手間を大幅に省けた
・脆弱性診断結果が分かりやすく、開発部隊への連携が容易になった
検討者へお勧めするポイント
UIがよくできています。使い勝手がよいのでいろいろ試しながら設定ができます。
