システムのセキュリティ診断
長く使っているECサイトや会員システムの、
セキュリティを診断します。
作ったときのまま動いているシステムから、個人情報が漏れる事故が続いています。
画面は直してもらっていても、サーバーやプログラムの中身まで新しいとは限りません。
初動調査は1万円。中を見て、危ない順と手当ての案をお渡しします。
AIだけの自動診断では、ありません。
人が、中を読みます。
30分の相談は、無料です。
三つ、答えられますか？
担当の方に、こう聞いてみてください。
- PHPとサーバーのOSのバージョンは？サポート期限と一緒に。
- サーバーやプログラムの中身を、最後に新しくしたのはいつ？日付で。
- 危ないと分かったら、その日のうちに直せるのは、誰？
すぐに答えられなくても、珍しくありません。動いているものを触らないのは、まっとうな判断です。
ただ、触らないと決めるのと、触れないのとは、違います。
中が分かっていれば、触るかどうかは、御社が選べます。
頼んだ仕事は、
どれも正しかった。
解析のタグを入れる。画面を直す。ログインの機能を足す。
頼んだ仕事は一つずつ見れば、どれも正しく、ちゃんと納品されています。
それでも、組み合わさった結果について「これで大丈夫か」と言える人がいなければ、穴はつなぎ目にたまっていきます。
よくあるのは、画面や機能を直す人はいて、サーバーやプログラムの中身を新しくする人はいない、という形です。発注した側は「保守してもらっている」と思えてしまう。誰も怠けていないのに、見えないところだけが古くなっていきます。
侵入された日と、気付いた日は違います。
気付くのが遅れるのは、全体を見ている人がいないときです。
よく見つかるのは、
この五つです。
- サポートが切れたPHPと、サーバーそのもの。言語もOSも、更新が止まったまま動いている。
- 手を入れたオープンソース。EC-CUBEなどを自社向けに改造して、更新できなくなっている。ソースが公開されているので、弱いところは攻める側にも読めます。
- 予約や会員の仕組み。ログインの作り、パスワードの持ち方、管理画面の入り口。表のサイトとは別の、作ったときのままの仕組みで動いていることがあります。
- ログイン画面に入っている外部のタグ。全ページ共通のつもりで入れたものが、会員のページにも乗っている。
- バックアップと、社内のファイルサーバー。データの写しは、本番より見張りが手薄になりがちです。
全部を見つけられる、とは言いません。
見たところと、見ていないところを、両方書いてお渡しします。
診断の前に、
今日できることがあります。
- PHPとサーバーのOSのバージョンを、サポート期限と一緒に、担当の方に聞いてみる。
- ログインや会員のページに、解析や広告のタグが入っていないか確かめる。
- 管理画面の入り口が、外から誰でも開ける場所にないか確かめる。
これで答えが揃えば、それで十分なこともあります。
揃わなかったら、そのとき声をかけてください。
話を聞いて、中を見て、
案をお出しします。
30分、話を聞きます。無料
何が、どこで、誰の手で動いているか。分かっている範囲で構いません。
初動調査1万円
いま何が動いていて、どこが危なそうか、当たりを付けます。
どこまでやるかを、複数の案でお出しします。
中まで見る診断、急ぎの手当てだけ、置き換えまで。それぞれの金額と手間を並べます。コードやサーバーの権限を預かる場合は、先に秘密保持の契約を結びます。
どうするかは、御社が決めます。
直す。置き換える。このまま使い続ける。使い続けるのも、中を知った上なら立派な判断です。
大事なのは、部品ごとの担当とは別に、全体を見る人の名前が一つ決まっていることです。社内の方でも、外の会社でも構いません。そこが空いたままだと、作り直しても、また同じ継ぎ接ぎが始まります。
他社で断られた。
見積もりが合わなかった。
PHP5のまま動いているシステム。サーバーごと古くなっているもの。
「作り直すしかない」と言われて、金額を見て、そこで止まっていませんか。
長く使ってきたものの引っ越しは、断られやすい仕事です。中を読むだけで手間がかかり、読んでみるまで何が出てくるか分からないからです。だから見積もりは大きく出るか、そもそも出てきません。
こちらでは、全部を一度に作り直す案だけを出すことはしません。
- 急ぎの手当てだけ。危ないところを、先に塞ぎます。
- 住みながら、建て替える。動かしたまま、危ないところから順に、新しい仕組みへ移します。
- 丸ごと、作り直す。それが一番いい場合も、あります。
必ず安くなる、とは言いません。ただ、「全部か、何もしないか」の二択にはしません。
断られた理由ごと、聞かせてください。
何年も前のコードを読むのが、
速くなりました。
作った人がいないコードは、読み解くだけで何日もかかる仕事でした。だから、見積もりが大きくなり、後回しにされてきました。
いまは、AIと一緒に読めます。その時代のPHPの書き方を知っている人間が、AIと並んで読むので、見立てまでが速い。
変わったのは、技術というより、手間です。
ただし、AIに任せきりには、しません。
AIは、読むのを速くする道具です。危ないかどうか、どこから手を付けるかを決めるのは、人です。
自動の診断は、決まった型の穴を数えるのは得意です。でも、穴はつなぎ目にたまります。なぜこう作ったのか、どこを継ぎ足したのか。それを読むには、その時代の作り方を知っている人間の目が要ります。
報告書に名前を書いて、お渡しするのも、人です。AIは、責任を取りません。
費用
30分の相談は、無料です。
初動調査は、1万円です。
その先は、どこまでやるかを含めて、複数の案でお見積もりします。案を見てから決めてください。始める前に金額をお伝えします。
よくある問い
- AIの自動診断ですか？
- いいえ。AIは読むのを速くするために使いますが、中を読んで判断し、報告をまとめるのは人です。ツールの結果を、そのままお渡しすることはしません。
- サーバーの権限を渡すのが不安です。
- 当然だと思います。先に秘密保持の契約を結び、見る範囲を決めてから始めます。見終わったら権限は外していただいて構いません。
- いまの保守会社がいます。
- そのままで大丈夫です。保守会社の仕事を否定するためではなく、御社が中を知るための診断です。報告は、保守会社と一緒に読んでいただけます。
- ホームページは最近作り直したばかりです。
- 表のサイトと、予約や会員の仕組みが別のこともあります。どこまでが新しいかを確かめるところから始めます。
- 見つかったところは、直してもらえますか？
- お受けできます。直すかどうか、どこまで直すかは、案を見てから決めてください。
- PHP5のままです。もう移行できないと言われました。
- そういうものほど、一度見せてください。いま問題になっているような構成は、15年から20年前に、こちらでもたくさん作っていました。
- 他社の見積もりがあります。
- お持ちください。同じ中身でも、切り方を変えた案をお出しできることがあります。
- 遠方ですが、頼めますか？
- オンラインで完結します。