「ぜい弱性診断」という言葉をご存知でしょうか？

Webサービスやスマホアプリを始めとしたITシステムを安全に稼動し続けるためには、「ぜい弱性」と呼ばれるシステムの欠陥を作らない、もしくは、欠陥があった場合には、速やかに発見し、即座に修復することが大切です。

ぜい弱性を放置していては、悪意のあるハッカーによる情報漏えいに繋がってしまいます。

そのぜい弱性を見つける手段の1つが、「ぜい弱性診断」です。

ぜい弱性診断って実施すべきなの？

ところで、自社のシステムで「ぜい弱性診断」を実施すべきかについては、ITシステムの種類や規模によって、議論の余地があります。

そこで、議論を進めるために「発生可能性」と「影響度」という2つの観点を考えてみましょう。

発生可能性

「発生可能性」とは、ITシステムにぜい弱性があることで、悪意のあるハッカーに不正な侵入を許してしまう可能性のことだと考えましょう。

この発生可能性は、社内の従業員数が少なく、セキュリティチェック体制が不十分である場合や、システムで利用している技術に対してエンジニアが十分に慣れていない場合に高くなります。

影響度

また、「影響度」とは、不正な侵入を許してしまったときに、会社に与える影響の大きさだと考えましょう。

大量の個人情報などの重要な情報を保存する場合や、会社の利益構造がそのITシステムに大きく依存している場合に高くなります。

この「発生可能性」と「影響度」の大きさは、ぜい弱性診断を受診するか否かを判断するための材料になります。

皆さんの普段のお仕事でも「他人が作った資料のミスはすぐ気づくけど、自分が作った資料のミスには気づきにくい」といった経験は無いでしょうか。

この経験則は、ITシステムでも当てはまる場合があります。

自社で作っているシステムのぜい弱性は、客観的な立場の人から観察してもらわないと、気づきにくいケースがあります。

ぜひ一度、ぜい弱性診断を受診すべきかどうかについて、考えてみてはいかがでしょうか？