セキュリティ診断後の改善管理｜KPIで修正・再診断を追う方法

セキュリティ診断の報告書は受け取ったものの、「危険な問題は本当に直ったのだろうか」と不安が残っていませんか？

脆弱性の件数だけを見ても、重要な問題まできちんと対応できているかはわかりません。

そんなときは、誰が直すのか、いつまでに対応するのか、修正後に確認できたかという流れを追えるようにしておくと安心です。

この記事では、診断結果を制作会社や開発会社へ渡したあと、重要な問題がきちんと解消されるまで確認するポイントをご紹介します。

セキュリティー診断さん

診断報告書を受け取ったけど、これで終わっていいの？ 問題がきちんと直ったのか、どう確かめればいいんだろう…

診断後にまず確認したい5つのポイント

診断後にまず確認したいのは、難しい計算や専門的な内容ではありません。

危険な問題が残っていないか、誰がいつまでに直すのか、修正後の確認まで終わっているかを見ていきましょう。

この5つがそろっていれば、技術的な修正方法の細かな中身まで把握していなくても、「どこで対応が止まっているのか」が見えやすくなります。

こうした確認をしやすくするには、診断の段階で「どこに弱点があり、どれくらい危険なのか」がわかることも大切です。

『セキュリティー診断さん』では、AIがWebサイトを診断し、見つかった弱点と重大度を報告書で確認できます。

その結果を制作会社や開発会社へ共有すれば、どこから修正するべきかも相談しやすくなります。

診断結果を受け取って終わりにせず、その後の修正までつなげていきましょう。

KPIは「対応が止まっていないか」を見るための目印

セキュリティ診断でKPIを見る目的は、単に問題の数を数えることではありません。

修正が予定どおり進んでいるか、再確認まで終わっているかを確かめるために使います。

細かな計算方法を覚えるより、まずはその数字から何を確認するのかを押さえておきましょう。

割合や平均などの細かな集計は、必要に応じて実務担当者に任せられます。

自社で確認したいのは、重要な問題が未修正のまま残っていないかという点です。

事業への影響も見ながら優先順位を決める

修正の優先順位は、重大度が「高」だから必ず最優先というように、機械的に決めるものではありません。

顧客情報が漏れるおそれはあるか、売上に関わる画面か、管理機能へ侵入される可能性はあるか、業務が止まる心配はないかなど、自社への影響も診断結果と合わせて見ていきます。

対応期限も、自社の事業への影響や対応できる体制に合わせて決めます。

すべてに同じ期限を設定することよりも、期限を過ぎた重要な問題をそのままにしないことが大切です。

診断結果を修正と再確認につなげるには

診断結果は、制作会社や開発会社へ修正を依頼するためのスタート地点です。

問題が見つかったら、誰が対応するのかを決め、修正後に問題が解消したことまで確認できるようにしておきましょう。

1. 診断結果と事業への影響から優先順位を決める
2. 制作会社や開発会社へ修正を依頼する
3. 担当と期限、対応状況を管理表へ記録する
4. 修正した箇所を再確認する
5. 残っている問題を自社で確認する

管理表には、問題の内容、危険度、影響する画面、修正担当、期限、対応状況、再確認の結果を並べます。

技術的な修正方法まで、自社で細かく書く必要はありません。

修正を担当する会社に対応内容を記録してもらい、自社では期限と完了状況を確認できる形にしておくとわかりやすいです。

KPIの結果を投資判断へつなげる際は、セキュリティ投資の優先順位を決める方法も参考にしてみてください。

費用対効果を比べる場合は、診断・修正費用を含めたセキュリティ投資のROI計算方法も活用できます。

すぐに修正できない問題は扱い方を決めておく

すぐに直せない問題も、「対応中」のまま置いておくのではなく、会社としてどう扱うかを決めておきましょう。

このように、対策をしても残る問題を「残留リスク」と呼びます。

管理表には、事業への影響、すぐに修正できない理由、当面の対策、確認した責任者、次に見直す時期を記録しておきます。

「対応中」と書くだけでは、いつの間にか判断が先送りになってしまうかもしれません。

理由や当面の対応、誰が確認したのかまで残しておけば、単なる放置なのか、会社として判断した結果なのかもわかりやすくなります。

経営判断に必要な情報は短くまとめることが大切

経営報告では、脆弱性の専門名称を細かく並べても、大事な点がかえって見えにくくなることがあります。

確認したいのは、会社にどのような影響があるのか、対応は終わっているのか、追加の判断が必要なのかという点です。

• 最優先で対応する問題
• 修正済み、対応中、未対応の状況
• 期限を過ぎている重要な問題
• 追加の予算や担当者が必要な問題
• 経営者に確認してほしい事項

たとえば、専門的な脆弱性名だけでは、なぜ対応が必要なのか伝わりにくいことがあります。

「顧客情報を扱う画面で悪用される可能性があるため、現在は開発会社へ修正を依頼している」と示せば、事業への影響と対応状況を一緒に確認できます。

予算や投資判断について確認する際は、セキュリティROIを測定して経営層へ報告する方法も参考にしてみてください。

まとめ：診断後は「直ったか」まで確認しよう

セキュリティ診断では、問題を見つけるだけでなく、その問題がきちんと修正されたかまで確認することが大切です。

担当者と期限を決め、再確認の結果まで残しておけば、重要な問題がそのままになっていることにも気づきやすくなります。

『セキュリティー診断さん』の診断結果も制作会社や開発会社へ共有し、修正を進めるための情報として活用してみてください。

難しい修正作業は担当会社と進めながら、自社では「誰が、いつまでに対応し、きちんと直ったか」を追える状態にしておくと安心です。

会社の大切なWebサイトを守るためにも、診断して終わりにせず、「直ったか」を確認するところまでしっかり続けていきましょう。

セキュリティー診断さん

ヨシ！ 診断結果を修正担当に渡して、再確認まで追えるようにするよ！ (๑•̀ㅂ•́)و✧