当時の社内の現状は次の通りで、脆弱性診断の対応ができる状態ではなかった

1. 開発部門も含めて脆弱性診断そのものを経験したメンバが不在
2. 脆弱性診断の見積りを取得したところ、機能が多いためかペネトレーションテストを含めないアプリケーション診断だけでも500万円を超え、その予算確保が不可
3. 開発部門ではリリーススケジュールが非常にタイトだたため、脆弱性診断の時間を取ることが難しい

• プラットフォーム、アプリケーションそれぞれに対する脆弱性診断を単に実施するだけでなく、中長期の対策計画までを策定した。
  1. プラットフォーム診断結果により、ＤＢは現行のままでも問題がないことを確認し、言語のバージョンアップについて長期計画として立案。
  2. アプリケーション診断結果により、発生リスクや影響を鑑みて直ぐに対策が必要なもの／中長期に対策を行うべきもの、アプリケーションで対策を行うもの／インフラで対策をおこなうもの／ミドルウェアで対策を行うものを整理し、対策計画を設定

1. 脆弱性診断は対策前後と定期的に何度も実施する必要があることから、無償ツール であるOWASP ZAP 利用の提案があった。
2. OWASP ZAP による「アプリケーション診断」だけではなく、インフラにも検知見があり「プラットフォーム診断」の対応も依頼も可能だった。
3. IPAの安全なウェブサイトの作り方を事例にOWASP ZAP で による脆弱性診断で検知できることと検知できないことの説明が分かりやすく、大口見込顧客への説明がスムーズに行えると判断した
4. 認証が必要なWebサービスでもOWASP ZAPで脆弱性診断が可能だった。
5. セキュリティに対する保証証明ではないものの、OWASP ZAP 脆弱性診断結果を第３者機関としての発行を依頼できた。