手動かツールかどちらが最適？ Webアプリケーション脆弱性診断の正しい選び方：株式会社ビットフォレスト提供Webキャスト

Webアプリケーションの品質を高める手段として脆弱性診断が注目される一方、手動で行うか、ツールを利用するか迷う企業は少なくない。自社に最適な方法を選択するため、それぞれの違いやメリット／デメリットを正しく理解しておきたい。

[ITmedia]

　Webアプリケーションの品質を高めるため、脆弱性診断を検討する企業が増えている。その種類は、エンジニアが手動で行うものと、ツールを利用するものの2つに分かれる。手動の場合、外部に依頼することで全部を任せられたり、修正方法の提案がもらえたりするメリットがあるが、一回あたり数百万円単位の費用が一般的であるがゆえに、実施する頻度や対象を制限せざるを得ないというデメリットがある。

　一方、自動ツール診断を活用する場合は、必要なタイミングで実施でき、何度行っても追加料金が発生しないため、機能追加や改修のたびに脆弱性診断を実施するという運用も可能だ。診断ツールの中にはセキュリティの専門知識を求められることも多く、ツール選定には単純な機能比較だけではなく診断基準や時期、誰が担当するのかといった点を明確化しておくことが重要になる。

　本Webキャストでは、Webアプリケーション脆弱性診断の2つの手法の違いと最適な組み合わせについて、詳しく解説している。あわせて、トレーニング不要で手軽にすぐ始められ、日常的に発生する攻撃の90％をカバーするというクラウド型Web脆弱性診断ツールを紹介しているので、参考にしてほしい。