スタートアップのセキュリティ診断｜範囲・タイミング・費用の決め方

「サービスの公開日は決まったけれど、安全性の確認まで手が回らない…」

開発や顧客獲得に追われるスタートアップでは、予定どおりに公開したい一方で、問題を抱えたまま利用者を迎えるのも不安ですよね。

そんなときは、セキュリティ診断を外部に任せる方法があります。

この記事では、セキュリティ診断をどこまで頼むか、いつ実施するか、費用をどう考えるかをご紹介します。

業種別セキュリティの全体像も参考に、自社に必要な対策を確認してみましょう。

セキュリティー診断さん

公開に向けた開発も、お客さんへの案内も進んでいるのに…。 安全性を確認する時間まで取れないときは、どうすればいいんだろう？

公開後の問題は開発や営業の予定にも影響する

公開後に安全性の問題が見つかると、本来進めたかった開発や営業をいったん止め、対応を優先しなければならないことがあります。

たとえば、会員情報を扱う機能に問題があり、他の利用者の情報を見られるおそれがあるとわかった場合を考えてみましょう。

開発担当者は原因の調査や修正を優先することになり、社内でも利用者への説明や問い合わせ対応に時間を取られます。

少人数で開発と営業を進めている会社なら、次の機能追加や商談の準備まで遅れかねません。

だからこそ、公開を急いでいるときほど、安全性を確認する時間も予定に入れておくことが大切です。

すべてを一度に診断する必要はありません。

事業への影響が大きいところから診断する範囲を決め、問題が見つかったときに修正できる時間も確保しておきましょう。

セキュリティー診断さん

問題への対応で手いっぱいになると、次の開発や営業まで止まってしまうのか…。 公開してから慌てる前に、どこを確認してもらうか考えておきたいな。

診断範囲と実施時期を決める

まず確認しておきたいのは、顧客情報や売上に関わる機能が自社のサービスにあるかどうかです。

どこを診断するかは、開発担当者と依頼先に相談しながら、サービスの公開や重要な機能追加の予定に合わせて決めましょう。

顧客情報や売上に関わる機能から確認する

ログインや会員情報の変更など、利用者が大切な情報を扱う機能から確認すると、どこを優先すべきか考えやすくなります。

まずは、自社のサービスに次のような機能があるか、開発担当者と確認してみましょう。

• ログインやパスワードの再設定
• 会員情報の閲覧や変更
• 注文や決済につながる画面

「他の人の会員情報を見られないか」「注文内容を不正に変えられないか」といった点は、確認しておきたい問題の例です。

こうした気になる点を依頼先に伝えると、どの機能を診断するか相談しやすくなります。

確認したい機能がすべて同じサービスで診断できるとは限らないため、申し込む前に対象を確認しておきましょう。

なお、管理者権限が必要なページは、今回ご紹介する診断サービスの対象外です。

技術的な資料や設定については、開発担当者と依頼先で確認しながら進めるとスムーズです。

具体的な診断範囲や費用感については、業種別セキュリティの診断サービスで確認できます。

最初のサービス公開に合わせる

新しいサービスの公開前は、利用者を迎える前に問題を見つけて修正できる大切なタイミングです。

公開日から逆算して、診断だけでなく、結果を受けて修正する時間も見込んでおきましょう。

診断を申し込んだ日と、安全性を確認して公開できる日が同じとは限りません。

公開予定日を早めに依頼先へ伝え、診断結果を受け取る時期や、開発担当者が修正に対応できる時期を相談しておきましょう。

また、公開前の環境を診断できるかどうかは、外部からアクセスできる状態かなど、依頼先の条件によって変わります。

未公開の開発環境をそのまま診断してもらえるとは限らないため、対象となるURLは開発担当者と依頼先で事前に確認しておきましょう。

ログイン・決済などの重要な機能を追加するとき

以前に診断を受けていても、重要な機能を追加したときは、改めて安全性を確認する良いタイミングです。

たとえば、会員登録だけだったサービスに、商品の注文や決済を追加する場合が当てはまります。

利用者のお金や注文情報を新たに扱うことになるため、変更した画面や、その変更が関わる範囲について診断を相談しましょう。

外部の決済サービスを使う場合も、自社サイト側でどこまで確認できるかは依頼先によって異なります。

開発担当者から変更内容を説明してもらうと、どこを診断すべきか相談しやすくなります。

法人契約で安全性の確認を求められたとき

取引先から診断結果の提出を求められた場合も、外部診断を検討するタイミングです。

提出用の報告書や、修正後の再診断が必要かどうかも、申し込む前に確認しておきましょう。

まずは、必要な報告書の形式や診断範囲、提出期限を取引先に確認しておくことが大切です。

その条件を依頼先にも伝え、求められている内容に対応できるか確かめておくと、提出時の行き違いを防ぎやすくなります。

料金と診断範囲がわかる依頼先を選ぶ

社内だけで安全性を判断するのが難しいと感じたら、外部に診断を任せることも考えてみましょう。

予算が限られているときほど、料金にどこまでの診断が含まれているかを確認しておくことが大切です。

また、問題が見つかった場合の修正費用は、診断費用とは別に考えておく必要があります。

修正を担当する開発会社などにも、問題が見つかった場合に対応を相談できるか確認しておくと安心です。

『セキュリティー診断さん』では、Webサイトに掲載されている価格と診断範囲を確認したうえで申し込めます。

AIを活用してWebサイトを診断し、結果はわかりやすいレポートで受け取れます。

専門知識に自信がなくても、レポートをもとに問題を確認し、その後の修正について開発担当者へ相談しやすいのも特徴です。

セキュリティー診断さん

料金と診断範囲が分かれば、うちの予算で頼めるか考えやすいな。 結果をレポートで受け取って、開発担当者と修正を相談できるのも助かる！

診断結果を開発担当者との修正相談につなげる

診断結果を受け取ったら、開発担当者に共有し、どこから修正するか相談しましょう。

専門的な内容をすべて自分たちで理解しようとするより、レポートを見ながら開発担当者と確認していくほうがスムーズです。

進め方は、次の3つに分けて考えるとわかりやすいでしょう。

1. 結果を共有する - レポートを開発担当者に渡し、見つかった問題が自社サービスにどう影響するのか確認します。
2. 修正内容と時期を相談する - 顧客や売上への影響も考えながら、いつ、どの問題から修正するかを相談します。
3. 修正後の状態を確認する - 問題が解消したかを確認し、必要に応じて再診断も検討します。

公開直前に問題が見つかった場合も、まずは開発担当者と影響を確認し、公開時期も含めて相談しましょう。

『セキュリティー診断さん』の診断結果も、必要な修正を開発担当者と相談するために活用できます。

診断後の修正は自社の開発担当者や開発会社が行うため、あらかじめ相談先を決めておくと、その後の対応も進めやすくなります。

安心してサービスを公開するために事前の安全確認も進めよう

サービスの公開を急ぐあまり、安全性の確認が後回しになると、公開後の対応で開発や営業に影響が出ることもあります。

顧客情報や売上に関わる機能を中心に、公開日や機能追加の予定に合わせて、診断する範囲と時期を決めておくことが大切です。

自社だけで確認するのが難しい場合は、料金や診断範囲があらかじめわかる『セキュリティー診断さん』を活用する方法もあります。

診断結果を開発担当者と共有しておけば、見つかった問題についても相談しやすくなるでしょう。

公開してから慌てないためにも、安全性の確認まで含めて準備を進めておきましょう。

セキュリティー診断さん

セキュリティは未来への投資なんだな！ ヨシ！ うちのサイトもさっそく診断してみるぞ！ (๑•̀ㅂ•́)و✧