パソコンの情報漏洩 原因と対策｜外部攻撃と内部要因からリスクを整理
catfish_admin
経営リスクナビ
さくらの脆弱性診断WebSite Scouterとは？料金・手順・他社比較を解説
catfish_admin
さくらインターネットが提供する公式の脆弱性診断サービスは、ウェブサイトのセキュリティを手軽に強化したい企業にとって有効な選択肢です。ウェブサイトに潜む脆弱性を放置することは、情報漏洩やサイト改ざんといった深刻なインシデントに繋がるリスクを伴います。この記事では、さくらインターネットの「WebSite Scouter」について、その特徴から料金プラン、具体的な利用手順までを詳しく解説します。
WebSite Scouterの概要
さくら公式の脆弱性診断サービス
WebSite Scouterは、さくらインターネットが提供するクラウド型のウェブアプリケーション脆弱性診断サービスです。インターネット経由で対象サイトを診断し、システムに潜むセキュリティ上の欠陥（脆弱性）を自動的に検出します。企業のウェブサイト運営において、客観的なセキュリティ評価は不可欠です。本サービスは経済産業省が定める「情報セキュリティサービス基準」にも適合しており、信頼性の高い診断を簡単な手続きで導入できる点が大きな特徴です。
主な特徴と導入するメリット
本サービスは、迅速かつ柔軟な診断実行を可能にし、企業のセキュリティ体制構築をサポートします。主な特徴とメリットは以下の通りです。
主な特徴とメリット
- 迅速な診断: 管理画面から設定後、最短5分で診断が完了し、即時にレポートを確認できます。
- 柔軟なスケジュール設定: 企業の都合に合わせて、任意のタイミングで診断を実行・予約できます。
- 稼働中のサイトにも低負荷: 診断対象のシステムへの負荷を自動調整する機能があり、運用中のサービスへの影響を最小限に抑えます。
- 継続的なセキュリティ維持: 開発担当者の負担を軽減しつつ、継続的な脆弱性管理体制を構築できます。
他のセキュリティサービスとの違い
本サービスは、ウェブサイトのページ数に依存しない独自の料金体系を採用している点が、他の多くの診断サービスと大きく異なります。一般的なサービスでは、診断対象のページ数や画面遷移の数に応じて費用が変動し、大規模サイトでは高額になる傾向があります。しかし、WebSite Scouterはドメイン単位の契約であるため、サイト内のページ数がどれだけ増えても追加費用は発生しません。これにより、予算計画が立てやすく、特にコンテンツ量の多いウェブサイトを運営する企業にとって、コストパフォーマンスの高い選択肢となります。
診断でわかること
診断の対象範囲（URL単位）
診断は、指定した一つの完全修飾ドメイン（FQDN）全体が対象となります。料金体系がページ数ではなくドメインに紐づいているため、トップページを指定すれば、その配下にある全てのページが自動的に診断範囲に含まれます。ただし、以下の点に注意が必要です。
診断対象に関する注意点
- サブドメイン: `www.example.com` と `dev.example.com` のようにサブドメインが異なる場合は、それぞれ別のライセンス契約が必要です。
- ログイン認証: 会員専用ページなど、ログインが必要な領域も、事前に認証情報を設定することで診断範囲に含めることが可能です。
- 外部ドメイン: 診断対象として指定したドメイン以外のサイトへリンクしている場合、そのリンク先の外部サイトは診断対象外となります。
発見できる脆弱性の種類
WebSite Scouterは、ウェブアプリケーションに特有の重大なセキュリティリスクを網羅的に検出します。サイバー攻撃の標的となりやすい設定の不備やプログラム上の欠陥を自動的に検査し、情報漏洩やサイト改ざんにつながる危険な脆弱性を明らかにします。
発見できる主な脆弱性の例
- SQLインジェクション: データベースを不正に操作され、個人情報などの重要情報が窃取される脆弱性。
- クロスサイトスクリプティング（XSS）: サイト閲覧者のブラウザ上で不正なスクリプトが実行され、情報が盗まれる脆弱性。
- セッション管理の不備: ログイン状態を維持する仕組みの欠陥を悪用され、なりすましに利用される脆弱性。
- サーバー設定の不備: ウェブサーバーやミドルウェアの設定ミスに起因するセキュリティ上の弱点。
料金プランと利用手順
料金体系とプランの詳細
利用頻度や目的に応じて、3つの基本プランから選択できます。一度だけの現状把握から、開発プロセスに組み込む継続的な利用まで、企業のニーズに合わせたプランが用意されています。
| プラン名 | 料金（税込） | 主な用途 |
|---|---|---|
| 単発プラン | 121,000円 | 現状のセキュリティレベルを一度だけ確認したい場合に最適 |
| 報告会付きプラン | 209,000円 | 専門家による詳細なレポート解説や質疑応答を希望する場合 |
| 年間無制限プラン | 363,000円 | 開発サイクルに合わせて年間を通じて何度でも診断を実施したい場合 |
申し込みから診断までの流れ
申し込みから診断実行まで、すべてオンラインで完結し、専門的な機器の導入や複雑な環境構築は一切不要です。
利用開始までの流れ
- Web申し込み: 専用フォームから必要事項を入力して申し込みます。
- 入金手続き: 請求書に基づき、指定の銀行口座へ料金を振り込みます。
- アカウント発行: 入金確認後、2〜5営業日程度で専用の管理画面IDとパスワードが発行されます。
- 診断設定・実行: 管理画面にログインし、対象サイトのURLを登録後、スケジュールを設定して診断を開始します。
診断レポートの内容と見方
診断完了後、管理画面からPDF形式でレポートが即時発行されます。このレポートは、検出された脆弱性の詳細と具体的な改善策を示す、実務的な内容となっています。
診断レポートの主な項目
- 危険度評価: 検出された脆弱性が5段階の危険度（緊急、重要、警告など）で評価され、対応の優先順位付けに役立ちます。
- 脆弱性の概要: どのような攻撃につながるリスクがあるのか、脆弱性の仕組みが分かりやすく解説されます。
- 具体的な修正方法: 脆弱性を解消するための技術的な対策や、推奨されるコードの修正例が提示されます。
- 診断対象URL: 脆弱性が検出された具体的なページのURLが一覧で示されます。
報告会付きプランを検討すべきケース
社内にセキュリティ専門の技術者がいない場合や、診断結果をより深く理解し、具体的な対策に活かしたい場合には、報告会付きプランの利用が非常に有効です。
報告会付きプランが推奨されるケース
- 社内にセキュリティの専門知識を持つ担当者がいない場合。
- 診断レポートだけでは、自社システムへの具体的な影響度の判断が難しい場合。
- 検出されたリスクの重大性や、対応の優先順位について専門家のアドバイスが欲しい場合。
- レポートに関する疑問点を、質疑応答を通じて直接解消したい場合。
診断レポート受領後の社内対応と注意点
診断レポートは、脆弱性を修正して初めて意味を持ちます。レポート受領後は、社内で迅速に対応プロセスを確立し、実行することが重要です。
レポート受領後の対応フロー
- リスク評価と情報共有: 経営層へリスクを報告し、開発担当者や保守委託先とレポート内容を共有します。
- 修正計画の策定: 危険度の高い脆弱性から優先順位を付け、担当者と修正完了の期日を定めます。
- 修正作業の実施: 計画に基づき、プログラムの修正やサーバー設定の見直しなどの是正措置を行います。
- 再診断による確認: 修正完了後、再度診断を実行し、脆弱性が完全に解消されたことを確認します。
他サービスとの比較
無料の診断ツールとの違い
無料の診断ツールは初期費用がかからない手軽さがありますが、専門知識が求められる場面が多く、結果的に運用負荷が高まる可能性があります。WebSite Scouterは、専門家でなくても安全かつ効率的に運用できる点が強みです。
| 比較項目 | WebSite Scouter | 無料の診断ツール |
|---|---|---|
| レポート品質 | 日本語で分かりやすく、具体的な対策方法も記載 | 専門用語が多く、結果の解釈に高度な知識が必要な場合が多い |
| システム負荷 | 負荷を自動調整する機能があり、稼働中のサイトにも安全 | 手動での調整が必要な場合が多く、誤るとサーバーダウンのリスクも |
| 運用・学習コスト | サポートが充実しており、人的リソースや学習コストを抑制 | 自社での調査・学習が必須となり、見えないコストが発生しやすい |
他社の有料サービスとの比較ポイント
有料の脆弱性診断には、本サービスのようなツールによる「自動診断」と、専門家が手作業で行う「手動診断」があります。それぞれに長所と短所があり、目的に応じた使い分けが重要です。 本サービスは、費用対効果と即時性に優れています。
| 比較項目 | WebSite Scouter（自動診断） | 手動診断サービス |
|---|---|---|
| 診断手法 | ツールによる網羅的かつ高速な検査 | 専門家が疑似攻撃などを行い、論理的な欠陥を深く検査 |
| 費用 | 比較的安価（年間30万円台〜） | 高額（数十万〜数百万円） |
| 診断期間 | 短時間（最短5分〜） | 長期間（数週間〜数ヶ月） |
| 主な用途 | 定期的なセキュリティチェック、開発工程での頻繁な検査 | システム公開前の最終検査、複雑な仕様を持つシステムの深掘り調査 |
よくある質問
Q. 申し込みから診断完了までの期間は？
お申し込み後、ご入金が確認できてから2〜5営業日で診断用の管理画面アカウントが発行されます。アカウント発行後は、お客様の任意のタイミングで診断を開始でき、診断自体は最短5分で完了します。
Q. さくら以外のサーバーでも利用可能？
はい、利用可能です。本サービスはインターネット経由で対象サイトへアクセスして診断を行うため、サーバーの設置場所やクラウド事業者を問いません。ただし、Firewallなどでアクセス元IPアドレスを制限している場合は、事前に弊社から通知する診断サーバーのIPアドレスからのアクセスを許可する設定変更が必要です。
Q. 診断中にサイトへの影響はある？
サービスへの影響を最小限に抑えるよう、システムへの負荷を自動でコントロールする機能が備わっています。そのため、稼働中の本番環境に対しても安全に診断を実施できますが、より安心してご利用いただくために、サイトへのアクセスが集中する時間帯を避けて診断スケジュールを設定することをお勧めします。
Q. 対応している支払い方法は？
法人向けのサービスとして、銀行振込（請求書払い）に対応しています。お申し込み後に発行される請求書に基づき、指定の口座へお振り込みください。詳細な手続きについては、お申し込み時の案内をご確認ください。
Q. 診断結果はどのような形式で報告されますか？
診断完了後、専用の管理画面からPDF形式のレポートをいつでもダウンロードできます。レポートには、検出された脆弱性が危険度別に一覧表示され、具体的な修正方法も日本語で分かりやすく記載されているため、技術担当者だけでなく経営層への報告資料としても活用いただけます。
まとめ：WebSite Scouterでウェブサイトの脆弱性を継続的に管理
本記事では、さくらインターネットが提供する脆弱性診断サービス「WebSite Scouter」について解説しました。本サービスは、ドメイン単位の分かりやすい料金体系と、最短5分で完了する迅速な自動診断が大きな特徴です。専門家が不在の企業でも手軽に導入でき、開発サイクルに合わせた継続的なセキュリティチェックや、現状把握のための単発利用など、目的に応じてプランを選択できます。自社サイトのセキュリティ体制を見直す第一歩として、まずは現状のリスクを把握するために単発プランの利用を検討することが有効です。 脆弱性診断は、OSやアプリケーションを常に最新の状態に保つといった基本的な対策と並行して行うことで、より効果を発揮します。最終的なセキュリティ対策は個々のサイトの状況によって異なるため、より複雑な要件がある場合は専門家への相談も重要です。
Baseconnect株式会社
サイト運営会社
本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。
当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。
加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。
