サイバー保険付き
脆弱性診断サービスのご紹介

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

脆弱性診断とは？
システムやWebサイトのセキュリティリスクにつながる脆弱性を調査します。脆弱性が検出された場合、改善方法をご案内しますので、セキュリティ対策にお役立て頂けます。

システム

webサイト

② 脆弱性を検出

① 調査
診断担当者

脆弱性（セキュリティホール）

④ 攻撃
攻撃者

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

対策済③ 改善提案

Webサーバ⑤ 対策して攻撃を防御

1

企業様がご理解しておくべき状況増大するサイバーセキュリティ被害に対して、法制度・規制等が強化されるとともに、漏えい事故が発生した場合の費用損害額も会員情報数に比例して増大しています。
どうする？

どうする？

サイバー攻撃を受けた場合に必要となる費用の想定

改正個人情報保護法による影響
2022年4月の「個人情報保護法の改正」により個人情報漏洩時の報告義務・罰金刑が中小企業も対象に強化されています。

会員情報を保持数に比例して費用損害額は増大する※ IPA発行のセキュリティ関連費用可視化ツール「NANBOK」にて試算

12.9 百万どうする？

7.1 百万Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

見舞金・見舞品購入： 1.9
コールセンタ対応：
6.2
DM印刷・発送：
0.2
フォレンジック調査： 2.9
初動対応：
1.3

クレカ再発行負担：5.0
見舞金・見舞品購入： 3.2
コールセンタ対応： 10.4
DM印刷・発送：1.0
フォレンジック調査： 2.9
初動対応：
1.3

必要となる想定費用

見舞金・見舞品購入： 0.6
コールセンタ対応：
2.1
DM印刷・発送：
0.2
フォレンジック調査： 2.9
初動対応：
1.3

会員数（個人情報数）1,000

3,000

5,000

クレカ情報の有無

無し

無し

有り

全EC系サイトの脆弱性対策が必須化
経済産業省通達により全てのEC系サイトを対象に、サイト自体の脆弱性対策（システム上の設定不備改善、脆弱性診断、ウイルス対策等）が必須化されます。

23.8 百万※ 記載している費用項目以外にも損害賠償金、データ復旧、再発防止策費用が必要になる場合、さらに株価への影響がある場合もある

2

【補足】ECサイト構築・運用セキュリティガイドライン「実践編」
独立行政法人情報処理推進機構

経済産業省

ECサイト構築・運用セキュリティガイドライン（2023年3月16日）
https://www.meti.go.jp/policy/netsecurity/guideforecsite.html

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY3【参考】 直各省庁から発信されている注意喚起の例
ロシアによるウクライナ侵攻直前(2022年2月）頃から、日本に対してもサイバー攻撃が急増したことから、各省庁から対策強化に関する注意喚起やメッセージが発信されています。

内閣サイバーセキュリティセンター
（NISC）

経済産業省

警察庁

サイバーセキュリティ対策の強化に関する注意喚起（2022年3月）
https://www.nisc.go.jp/pdf/press/20220301NISC_press.pdf

サイバーセキュリティに関する産業界へのメッセージ（2022年4月）
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/20220411.pdf

サイバー空間をめぐる脅威の情勢の情報共有（2023年3月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R04_cyber_jousei.pdf

厚生労働省

医療機関等におけるサイバーセキュリティ対策の強化についての注意喚起（2022年11月）
https://www.mhlw.go.jp/content/10808000/001011666.pdf

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

4

診断メニュー

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

5脆弱性診断メニュー

ネットワーク診断

サーバ構成診断

Webアプリ診断

スタンダード版

インターネットに公開しているWebサーバやNW機器等、社内ネットワークに接続しているサーバ等を対象に、ネットワーク経由でサーバ等に内在する脆弱性を洗い出す検査です

対象サーバ上で診断ツールを実行し、パスワード設定情報やセキュリティ設定情報等を取得し、設定情報等から脆弱性を洗い出す検査です

スマホアプリ診断

ライト版

Webアプリケーション(動的に遷移するWebページ)を対象に、Webアプリケーションに内在する脆弱性を診断技術者がツールと手作業できめ細かく洗い出す検査です

Android/iOSアプリケーションを対象に、アプリ単体の端末検査やアプリ⇔サーバ間の通信路検査を行うことで、Android/iOS
アプリに内在する脆弱性を洗い出す検査です

サイバー保険診断対象システムに起因して発生した情報漏えい等の損害リスクをサイバー保険で補償します。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

6

ネットワーク診断 概要
診断ツールを利用しネットワーク（インターネットや社内ネットワーク）経由で、ネットワーク機器やサーバの脆弱性を洗い出します。

実施手順

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

1

サービススキャン
(ツール)

2

脆弱性調査
(ツール)

3

ツール結果精査＋手動調査(手動)37

ネットワーク診断 診断項目一例

診断項目
不要なサービスの稼働

内容
インターネットに公開不要とされるサービスが公開されていないか確認
例

ソフトウェアのバージョン漏洩

ソフトウェアの脆弱性

管理者画面の公開

暗号アルゴリズムの問題

データベースサービス、リモートデスクトップサービス、FTPサービス 等々

Apache・PHP等のサーバソフトウェアのバージョンがインターネットに公開されていないか確認※HTTPヘッダー内やエラーページ内にバージョン表示
ソフトウェアのバージョンが漏洩した上で、該当バージョンに起因する脆弱性が存在しないか確認
また、サポート終了しているソフトウェアを利用していないか確認
一般ユーザがアクセス不要な画面がインターネット上に公開していないか確認
例

Webコンテンツ作成画面（CMSツール含む）、ルータ管理画面 等々

暗号化強度の低いアルゴリズムの利用していないか確認
例

DES、MD5、SHA-1 等々※ インターネット公開サーバ向けの診断項目の一例です。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY48【参考】ランサムウェアによる被害が1位
セキュリティ10大脅威ではランサムウェアによる被害が1位となっており、感染経路としては、VPN機器からの侵入が最も多い。

セキュリティ10大脅威2023(抜粋)ランサムウェアの感染経路

関係省庁からの注意喚起
ランサムウェアによる被害の発生やサイバー攻撃事案のリスクの高まりを踏まえ、内閣官房内閣サイバーセキュリティセンター（ＮＩＳＣ）や関係省庁から、サイバーセキュリティ対策を強化するよう注意喚起
がなされている。

【出典】
IPA セキュリティ10大脅威 2023
https://www.ipa.go.jp/security/10threats/10threats2023.html
警察庁 令和４年におけるサイバー空間をめぐる脅威の情勢等について
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R04_cyber_jousei.pdf
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

9サーバ構成診断 概要
お客様にて対象サーバ上で診断ツールを実行していただき、実行結果を弊社へ送付いただいた後、診断技術者がサーバ(OS)上のセキュリティ設定不備等の脆弱性を洗い出します。

実施手順

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

1

お客様にて診断ツールの実行(管理者権限)

2

出力された診断データを弊社へ送付

3

弊社にて診断データを解析し報告書作成

510サーバ構成診断 診断項目一例

診断項目

内容

脆弱なパスワード

パスワード設定なし、アカウントと同じパスワード、桁数が極端に少ないパスワード等々の脆弱なパスワードに設定されているアカウントの確認

セキュリティパッチの未適用

OSのセキュリティパッチ（Microsoftのセキュリティ修正プログラム、RedHatのRPM等）の適用状況を確認し、未適用パッチの確認

ウイルス対策ソフトの導入チェック

ウイルス対策ソフトが導入されているかどうか、またウイルス定義ファイルが更新されているか確認

アクセス権の設定不備

共有フォルダ等に不適切なアクセス権が付与されていないか確認※Everyoneグループにフルアクセス権付与 等

セキュリティポリシーの設定

イベントログ等の取得有無、アカウントポリシーの設定内容を確認し不備がないかどうか確認（Microsoft製品のみ）

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

611

Webアプリ診断(スタンダード版) 概要
診断技術者が、Webブラウザとローカルプロキシ※を利用しWebアプリケーション(HPやECサイト)に対して疑似攻撃を試行することで、Webアプリケーションの脆弱性を洗い出します。
※ローカルプロキシ： ブラウザとサーバの間に入り、ブラウザから送られるHTTPリクエストをキャッチし内容を変更してサーバへ送信するツール。

実施手順

1

Webサイト全体の脆弱性調査（手動）2パラメータ毎の脆弱性調査（手動）3

診断ツールによる脆弱性調査（ツール）

診断の単位 ： リクエスト数
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY712【参考】 Webアプリ診断(スタンダード版)の対象HTTPリクエストの考え方◆診断対象HTTPリクエスト例（ショッピングサイトの画面遷移図）
HTTPリクエストに、GET・POSTパラメータが付与されている箇所が基本的に対象となります。
ログイン画面
ID
PASS
利用規約

診断対象

ログイン

① 利用規約押下（静的ページへ遷移）① [利用規約押下]
http://shindan.com/terms/② [ログインボタン押下]

http://shindan.com/login?id=testuser&password=1234

利用規約

リダイレクト

本規約は、基本ガイ
ドラインおよび…

302 Found×② ログインボタン押下（ID・パスワードを送信）• パラメータ※（id, password）があるため、診断対象です。
• ブラウザに表示されないページやWeb-APIもパラメータ※があれば診断対象になります。

③ [リダイレクト]
http://shindan.com/search/③ リダイレクト（検索ページへ遷移）

商品検索
PC

• パラメータ※が無いため、診断対象外です。

• パラメータ※が無いため、診断対象外です。

検索○
診断対象リクエスト数

×3リクエスト○①～⑥のように判定し3リクエストが診断対象④ 検索ボタン押下（検索ワードを送信）④ [検索ボタン押下]• URLの一部にパラメータ※（検索ワード=PC）が埋め込まれているため、診断対象です。
• 画面遷移上、自分自身に戻るような遷移も、パラメータ※があれば診断対象です。

http://shindan.com/search/PC/

検索結果
PC

検索

⑤ 検索結果「PC 1」押下（商品コードを送信）

･PC 1
･PC 2

• パラメータ※（product）があるため、診断対象です。
⑤ [検索結果(PC 1)押下]

http://shindan.com/detail?product=1⑥ [検索結果(PC 2)押下]http://shindan.com/detail?product=2

商品詳細
PC 1

商品詳細
PC 2

12インチ、1.0kg…

15インチ、2.0kg…

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY○

診断対象：②④⑤
診断対象外：①③⑥⑥ 検索結果「PC 2」押下（商品コードを送信）• リクエスト⑤と重複（URLとパラメータ※が同じ組み合わせ）しているため、診断対象外です。(リクエストが重複している場合、何れか1リクエストのみ診断対象とします)×※GET・POSTパラメータ、及びURLの一部に埋め込まれたパラメータ。Cookieは対象外。

1313

Webアプリ診断（ライト版） 概要「低コスト」、「短納期」などのお客様ニーズに応えるべく、新たに「Webアプリ診断（ライト版）」の提供を開始しました。

「ライト版」を求めるお客様ニーズニーズ①

診断に掛かる費用を極力抑えたいニーズ②

定期的な診断の実施、及び診断結果の迅速性を優先したいニーズ③

一般的なセキュリティの問題や既知の脆弱性を特定したい

ニーズ④

大規模アプリケーションの診断を短期間で実施したい

診断の単位 ： 画面数
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

14

Webアプリ診断「ライト版」と「スタンダード版」の違いそれぞれに特長がありますので、お客様のご要望と当社の知見を踏まえ、最適なサービスをご提案させていただきます。
ライト版

スタンダード版

診断対象

Webアプリケーション

Webアプリケーション

診断手法

ツール

ツール ＋ 手動なし （オプション対応）

セキュリティ専門家による精査

約4営業日

約1～２か月（サイトの規模に比例）

診断対象範囲画面遷移図ベース（上限：65画面）

リクエストベース（上限：なし）

診断結果（速報）

なし

あり

診断結果報告書あり(ライト版用)ありなし （オプション対応）あり（無償）

再診断なし

あり（無償）

IPA情報セキュリティサービス基準

適合

適合

対象（上限1,000万円/件）

対象（上限1,000万円/件）（※ご契約金額：80万円以上）（※ご契約金額：80万円以上）

誤検知/過検知の精査

診断期間（診断開始から報告書の提示まで）

診断結果報告会（Web）

サイバー保険注）一般的にツールによる診断は、ツールの特性上、Webサイトの構成によって向き/不向きがあります。
「ライト版」のご契約締結前に、診断対象となるWebサイトの適合状況について確認/ヒアリングさせていただきます。
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

15

Webアプリ診断「ライト版」と「スタンダード版」の違い「ライト版」 は、下記のようなサイトの診断に適しています。
「ライト版」での診断が難しい場合は、「スタンダード版」での診断をお勧めします。
「ライト版」が得意なサイト〇✓ 認証方法がシンプル✓ 入力項目が少ない、シンプル例）• コーポレートサイト• オウンドメディア• ブランドサイト• コミュニティサイト「ライト版」が不得意なサイト△✓ 認証方法が複雑✓ 入力項目が多く、チェックが複雑例）• サービス/ECサイト• 多要素認証（MFA）サイト• 人事/会計などの業務系サイト• 銀行/証券などの金銭取扱いサイト

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

16

Webアプリ診断（ライト版/スタンダード版） 診断項目例

診断項目

内容

クロスサイトスクリプティング

JavaScriptやHTTPで使用される特殊記号（” ‘ < > &）が、Webアプリケーションサー
バ上で無害化せずに認識し、スクリプトが実行されないか確認
攻撃例

スクリプトを実行させ、攻撃者サーバへCookie情報を転送

SQLインジェクション

SQL文を挿入してWebアプリケーションと連動しているデータベースを操作できないか確認
攻撃例 データベースを操作し、個人情報を抜き取る

データアクセス権の欠如

権限を越えて、他人の情報へアクセスできないか確認
攻撃例 パラメータを改ざんし、他人の情報へアクセスして情報採取や改ざんを行う

セッション管理の不備

セッション情報が更新されない・セッションがタイムアウトしない 等のセッションに関する設定に不備がないか確認
攻撃例

ディスクキャッシュの不備

Webブラウザ上に、個人情報がキャッシュされていないか確認
攻撃例

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

セッションを乗っ取り、他人のログイン後画面にアクセスして情報採取を行う

共有PCの場合、キャッシュ情報からID/PASSを盗み出す

817

スマホアプリ診断 概要
端末にDLするスマホアプリの診断では、スマホアプリが通信するWebサイト側で発生する問題を診断する「通信路検査」と、端末側の問題を診断する「端末検査」があります。

iOS
Android

スマホアプリのWebAPIに対する脆弱性を診断します。診断項目はWebアプリ診断と同様の項目になります。

Internet
Wi-Fi① 通信路検査

診断の単位 ： リクエスト数

USB 解析

Web
Server1

Web
Server2解析② 端末検査スマホアプリを動作させ、その結果の確認を行います。
生成データ/通信後のデータに認証情報/利用者情報が含まれていないかなどの確認を行います。
診断の単位 ： 画面数※当社では、原則として「通信路検査」、「端末検査」の両方の実施を推奨しておりますが、お客様のご要望/ご予算に応じて、いずれか一方のみの診断についても、ご相談に応じます。
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY18

スマホアプリ診断 「通信路検査」 診断項目例
診断項目
クロスサイトスクリプティング

内容
JavaScriptやHTTPで使用される特殊記号（” ‘ < > &）が、Webアプリケーションサーバ上で無害化せずに認識し、スクリプトが実行されないか確認【攻撃例】スクリプトを実行させ、攻撃者サーバへCookie情報を転送

SQLインジェクション

SQL文を挿入してWebアプリケーションと連動しているデータベースを操作できないか確認【攻撃例】データベースを操作し、個人情報を抜き取る

データアクセス権の欠如

権限を越えて、他人の情報へアクセスできないか確認【攻撃例】パラメータを改ざんし、他人の情報へアクセスして情報採取や改ざんを行う

セッション管理の不備

セッション情報が更新されない・セッションがタイムアウトしない 等のセッションに関する設定に不備がないか確認【攻撃例】セッションを乗っ取り、他人のログイン後画面にアクセスして情報採取を行う

ディスクキャッシュの不備

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

Webブラウザ上に、個人情報がキャッシュされていないか確認【攻撃例】共有PCの場合、キャッシュ情報からID/PASSを盗み出す

819

スマホアプリ診断 「端末検査」 診断項目例
診断項目
データ保存の危険性

内容秘匿とすべき情報の保存場所や保存方法が適切であるか、サードパーティアプリケーションを経由した情報漏えいが発生しない構成であるかを評価します。

クライアント側でのインジェクション クライアント側アプリケーションに対するクロスサイトスクリプティングやSQLインジェクション攻撃が攻撃可能であるか、電話やSMS等端末特有機能の悪用が可能であるか評価します。
認証や認可の問題

認証および認可処理が適切に実施されているか(端末IDにのみ依存した認証となっていないか等)を評価します。

信頼できない入力の取り扱い

アプリケーションが外部から呼び出し可能なインターフェース（Intent)を提供する場合の悪用可能性について評価します。

横道(副経路)からのデータ漏えい

サードパーティアプリケーションを経由してログやキャッシュ等から秘匿とすべき情報が漏えいする作りとなっていないかを評価します。

不適切な暗号化使用している暗号アルゴリズムの強度について評価します。
暗号化データの復号を試行し、復号した値に秘匿とすべき情報が含まれているかどうかを評価します。

(リバースエンジニアリングによる)秘匿とすべき情報の漏えい

リバースエンジニアリングの結果、取得可能な情報について評価します。
リバースエンジニアリングにより秘匿とすべき情報が取得出来るかどうかを評価します。

過剰なパーミッションの付与

インストール時に過剰なパーミッションが要求される構成となっていないかを評価します。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

820価格の目安

参考価格（税別）

診断内容（基本料含む）

ネットワーク診断¥520,000〜

グローバル3IP含む

サーバ構成診断¥590,000〜

サーバ3台含む

Webアプリ診断(スタンダード)¥730,000〜

1リクエスト～Webアプリ診断(ライト)¥380,000〜

65画面含むスマホアプリ診断¥950,000〜

1画面～※ 詳細は、診断対象システムをヒアリングのうえ別途お見積りさせていただきます。
※ サイバー保険付帯条件は、ご契約額80万円以上(税抜)とさせていただきます。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

1221

ドコモの脆弱性診断とはCopyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

22

ドコモの脆弱性診断サービスの特徴①
特徴1 サイバー保険を無償で自動付帯
一過性対策にすぎない脆弱性診断と修正対策だけでは、日々進化するサイバー攻撃等に対しては、新たなリスクが生まれてしまいます。診断対象システムに起因して発生した情報漏えい等の損害リスクをサイバー保険で補償します。

お客様

検出した脆弱性に対する改修診断

当社

当社診断による脆弱性検出と報告

対処

診断対象システムに起因した事故

事故
発生被害・原因などの調査

損害賠償争訟など調査賠償

調査・損害賠償にかかる費用等を保険で補償※ サイバー保険は全ての脆弱性診断メニューを対象に、ご契約頂いた金額（総額）が80万円以上（税抜）の場合に無償で自動的に付帯されます。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY23【補足】サイバー保険
ゼロディ(未知の脆弱性)に備える必要があります

サイバー保険付き脆弱性診断で新たなリスクにも備える（毎年診断を受けている企業の例）

2
新たなリスクはサイバー保険でリスクファイナンス
対策

対策

対策された範囲対策された範囲▲
脆弱性診断（1年目）

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

1
脆弱性診断で既知の脆弱性検出と対策を実施▲
脆弱性診断（2年目）

24

【参考】 サイバー保険仕様■ 対象事故■ 対応フロー

脆弱性診断を受けたシステムがサイバー攻撃等を受け、情報漏えいやそのおそれが生じた場合に、企業が被る損害賠償責任や対応費用を保険で補償

お客様■ 補償内容【被保険者】

賠償損害

ア．法律上の損害賠償金
イ．争訟費用ウ．権利保全行使費用
エ．訴訟対応費用

費用損害
オ．事故対応費用
カ．事故原因・被害範囲調査費用
キ．広告宣伝活動費用
ク．法律相談費用
ケ．コンサルティング費用
コ．見舞金・見舞品購入費用
サ．クレジット情報モニタリング費用
シ．公的調査対応費用
ス．コンピュータシステム等復旧費用
セ．被害拡大防止費用
ソ．再発防止費用
タ．サイバー攻撃調査費用

支払い限度額： 1,000万円 （診断契約日から1年間）

サイバー保険の付帯条件
サイバー保険の条件事項説明

保険付き脆弱性診断
サービスのご提供

脆弱性診断
お問い合わせ事故のご報告事故対応相談事故内容確認
保険金支払い情報連携

NTTｺﾑｳｪｱ

保険契約締結【保険契約者】

保険会社

引受保険会社： 三井住友海上火災保険株式会社
保険扱代理店： きらら保険サービス株式会社

全ての脆弱性診断メニューを対象に、ご契約頂いた金額（総額）が80万円以上（税抜）の場合に無償で自動的に付帯されます。
https://www.nttcom.co.jp/dscb/diagnosis/pdf/imp_matter.pdf

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY25

ドコモの脆弱性診断サービスの特徴②特徴2 高い品質・培ったスキルによる診断実績
実績

品質■ ドコモグループを中心に数多く脆弱性診断を実施■ 国内外のセキュリティ基準に準拠

・ ネットワーク診断： 年間 約690システム 6,260.IP

・ 独立行政法人 情報処理推進機構 ウェブ健康診断仕様

・ Webアプリ診断： 年間 約470サイト 10,350リクエスト・ OWASP Foundation Application Security

Verification Standard（2023年度実績）■ 情報セキュリティサービス基準に適合

スキル■ 情報処理安全確保支援士、CISSP、CISA、CISM、CEH 等

・ ネットワーク診断・Webアプリケーション診断は、経済産業省が定める「情報セキュリティサービス基準」に適合。
IPA（独立行政法人情報処理推進機構）が情報提供する「情報セキュリティサービス基準適合サービスリスト」にも掲載■ 国内外で発生した脆弱性・攻撃手法を調査・取り込み■ 複数人によるクロスチェックすることで高品質を確保■ 社外セキュリティ専門会社と技術連携によるスキル向上

・ 15～20年の経験のあるベテラン診断士多数在籍。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY26【参考】 IPAの「情報セキュリティサービス基準適合サービスリスト」

当社の脆弱性診断サービスは「情報セキュリティサービスに関する審査登録機関基準」を満たしています

参照先：https://www.ipa.go.jp/security/it-service/service_list.html
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

27

ドコモの脆弱性診断サービスの特徴③特徴3 充実したアフターフォロー
当社作成の報告書に記載した「対処すべき脆弱性」について、お客様にて対策された後、対策状況の確認を実施します。
（診断報告書提出後、再診断は、3カ月以内に3回まで実施可能※ネットワーク診断、Webアプリケーション診断のみ）
また、危険度の高い脆弱性が発見された場合には、別途速報によりお客様のセキュリティ対策をフォローします。

事前調査
お見積り

診断作業

診断結果の精査
速報でのフォロー

報告書作成

報告会
検出内容・対策説明

対策確認
再診断

再診断

ヒアリングシートをもとに診断対象や環境条件面の確認等を実施し、お見積書を提出します。

お客様と合意した診断内容にて、脆弱性診断を実施します。開始・終了時にはメール連絡します。

Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY

診断中も随時診断結果を精査し、危険度が高い脆弱性が検出された
場合は速報としてご提示します。

検出した脆弱性毎に、具体的な検出箇所や対策方法、さらに再現方法等も記載した報告書を提出します。

専門の診断アナリスト
より、的確な報告書で分かりやすくご説明します。対策方法のアドバイスなども実施します。

検出された脆弱性が対策されたかの確認を実施します。脆弱性の危険度に合わせて再診断も行います。

28

ドコモの脆弱性診断サービスの特徴④特徴4 的確な診断報告書の提示検出した脆弱性毎に、具体的な検出箇所を記載した報告書を提出します
脆弱性の詳細や再現方法を分かりやすく解説し、脆弱性対応後の確認にもお役立ていただけます。

総合評価をABCの3段階に分けて報告
評価

評価基準

A

緊急に対策が必要な脆弱性が存在せず、危険性の低い状態

B

緊急度の高い脆弱性は存在しないが、将来的に高危険度に推移する可能性があり、設定の見直しや改善等の対策が必要

C

情報漏洩や改ざんにつながる脆弱性があり、緊急の対策が必要

具体的な検出箇所や対策方法を網羅した報告書
CVSS※による脆弱性毎の評価

対策状況を管理できる対策チェックシート付き※CVSS(Common Vulnerability Scoring System)：特定ベンダの評価に依存しない世界基準による評価方法
Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY29Copyright © NTT COMWARE CORPORATION 2024
NTT COMWARE CORPORATION CONFIDENTIAL PROPRIETARY