ウェブサイトセキュリティチェックのレポート見本

対象プラン

プランは不要です。ウェブサイトセキュリティチェックは範囲の定まった独立したサービスで、料金は $299、1 つのウェブサイトにつき一度きりのお申し込みです。月額プランには含まれず、注文にあたって保守プランも必要ありません。実際のレポートには対象のウェブサイト名が記載されます。

対象期間

サンプル月の 3 営業日にわたって実施した、ある時点の調査です。チェックは継続的な監視ではなくスナップショットであり、各指摘は調査日時点のウェブサイトの状態を述べたものです。

サンプルのウェブサイト

www.example-sample-site.com - 標準的な CMS 上に構築した、公開向けの架空の企業ウェブサイトで、承認された範囲内で調査しています。実在するお客様のウェブサイトについて述べたものではありません。

実施したチェック

範囲の定まった調査の対象：公開ウェブサイトに加え、所有者が承認したアカウントレベルの基本事項です。何も変更しておらず、脆弱性を悪用してもいません。

• ソフトウェアの新しさ：CMS コア・テーマ・プラグインのバージョンを、公開されているリリースと照合。
• アクセス制御：管理者ログインの露出、回数制限、二要素認証の利用可否。
• 通信の安全性：HTTPS の強制、証明書の有効性、混在コンテンツの読み込み。
• 基本的な衛生：セキュリティ応答ヘッダー、バージョンの露出、フォームの不正利用対策、未使用のプラグイン。

検出した問題

この例では 8 件の指摘があります。高が 1 件、中が 3 件、低または参考情報が 4 件です。深刻度は露出の度合いを表すものであり、すでに侵害されたことの証拠ではありません。

• 高 - ソフトウェア更新：CMS コアがマイナーバージョンで 3 つ遅れており、公開された修正が提供されています。
• 中 - アクセス制御・通信・バックアップ：管理ログインに回数制限も二要素認証もなく、1 ページが平文 HTTP で混在コンテンツを読み込み、検証済みの外部バックアップ計画も確認できませんでした。
• 低 - 基本的な衛生：セキュリティ応答ヘッダーが未設定、ページのソースにソフトウェアのバージョンが露出、お問い合わせフォームに不正利用対策がなく、未使用のプラグインが 2 つ残っています。

実施した更新

意図的に一切行いません。セキュリティチェックは調査であって修復ではなく、チェック中にお客様のウェブサイトへ更新・設定変更・ファイル変更を加えることはありません。推奨事項に挙げた修正は、いずれも作業開始前にお見積りとご承認を得ます。

実施した技術作業

本番のウェブサイトには一切手を加えていません。この業務は分析と報告です。公開されている範囲を調べ、自動スキャンだけを根拠に報告することがないよう各指摘を人の手で確認し、お客様が行動に移せる、あるいはサイトを保守する担当者にそのまま渡せる言葉で書き起こします。

含まれるものと別途購入するもの

チェックは料金も範囲も定額・定型です。見つかった問題の修正は別作業で、レポートをお読みになり、何を実施するかを決めてからお見積りします。

推奨する次の手順

優先順位順に示します。各項目は、何が問題かだけでなく、何をすべきかを述べています。

• 保留中の CMS コアとプラグインの更新をステージングのコピーに適用し、そこで検証してから公開する。
• すべての管理者アカウントに、ログイン回数制限と二要素認証を追加する。
• サイト全体で HTTPS を強制し、残っている混在コンテンツの読み込みを置き換える。
• 毎日の検証済み外部バックアップを整え、それを使った復元テストを実施する。
• 基本的なセキュリティ応答ヘッダーを設定し、未使用のプラグイン 2 つを削除する。

未解決のリスク

チェックの終了時点で未解決のまま残る事項です。何も解消しなかったチェックでも、現在地は正確にお伝えできます。

• 上記の指摘はすべて未解決です。チェックは修正を行わないため、提案が実行されるまでウェブサイトの露出状況は変わりません。
• データベースの内容、アプリケーションのソースコード、および承認された調査範囲を超えるものは、調査も安全確認も行っていません。

このレポートの限界

これは公開されているウェブサイトを、ある時点で確認したものです。ペネトレーションテストではなく、破壊的テストでもなく、コンプライアンス認証や監査でもなく、インシデント対応でもなく、ウェブサイトが決して侵害されないことを保証するものでもありません。指摘は調査日時点で観察できた内容を述べたもので、観察できなかった事柄は安全とみなさず「不明」として報告します。