SaaS企業向け
顧客データの境界を確かめます。
利用者が別のテナントの情報を見たり、許可されていない操作をしたりできないかを調べます。役割、招待、アカウント復旧、APIのオブジェクトへのアクセス、重要な業務フローを、合意した範囲で確認します。
最初の相談では、製品、対象環境、利用者の役割、希望時期を教えてください。テスト用アカウント、除外事項、データの扱い、再テストの有無は着手前に決めます。営業フォームに認証情報や脆弱性の詳細は送らないでください。
対応内容
テスト対象は相談して決めます。
公開範囲、技術、期限、実施上の制約に合わせて範囲を決めます。
WebアプリとAPI
認証、権限、入力、業務ロジックを確認します。
モバイル
アプリ、通信、バックエンドの重要な経路を検証します。
クラウドとネットワーク
設定、権限、外部公開面、侵入後の経路を調べます。
AI機能
モデルと製品機能を組み合わせた悪用経路を確認します。
接続製品
デバイス、ファームウェア、アプリ、クラウド間の境界を調べます。
修正確認
合意した範囲で、対策後に問題を再検証します。
進め方
開始前にルールを決めます。
許可された対象と方法、連絡先、緊急時の手順を明確にしてから着手します。
範囲を決める
対象、アクセス、期間、禁止事項を合意します。
検証する
攻撃経路を考え、安全な範囲で仮説を確かめます。
説明する
再現性と影響を確認し、重要な問題を早く共有します。
報告する
証拠、修正案、必要なら再テスト結果を渡します。
納品するもの
報告書の内容。
確認できた問題ごとに、前提条件、再現手順、影響、修正の方向をまとめます。確認できなかった仮説は、脆弱性として断定しません。
対象や再テストの有無は契約前に決めます。テスト中に重大な問題が見つかった場合は、最終報告を待たずに連絡します。
相談の目安
こんなときにご相談ください。
公開前に確かめたい
新機能や大きな変更の前に外部の視点が必要です。
顧客から求められた
第三者テストの結果と修正状況を示す必要があります。
自動検査では不安
認証、権限、業務ロジックなどを人が確認したいと考えています。
よくある質問
テスト前のよくある質問。
対象が決まっていなくても相談できます。
自動スキャンだけですか。
いいえ。必要な道具は使いますが、人が攻撃経路を考え、再現と影響を確認します。
本番環境で実施できますか。
可能かどうかは対象と制約によります。安全な実施ルールと連絡方法を事前に決めます。
修正後の再テストは含まれますか。
範囲に含めるかを契約前に決めます。再テストでは合意した問題の修正を確認します。
料金と期間はどう決まりますか。
対象数、複雑さ、アクセス方法、必要な成果物を伺ってから見積もります。
対応地域はどこですか。
世界中の企業に対応します。デンバーやコロラド州のチームとも仕事をします。対象、アクセス、時差を事前に確認します。
何をテストしたいか教えてください。
対象と期限を伺い、安全に実施できる範囲を提案します。