01  「ソースコード検査」方式 で検査

ESIのセキュリティ検査は「ソースコード検査」を主体としたコード検査です。セキュリティ検査を健康診断に例えると、Web脆弱性診断は患者の様子を外から観て健康状態を診断する方式です。ソースコード検査は血液検査/MRI/CTによる内部の様子を観て健康状態をチェックする方式です。外から観ただけでは判らない、様々な問題も判るのがソースコード検査の利点です。プログラムを動作して外から確認するのはもちろんですが、「中から」もしっかり検査するのがESIの検査サービスです。

02  手動と自動のダブルチェック

ESIのソースコード検査は手動チェックです。ソースコードの検査を技術者の目視によって行います。自動チェックでは「漏れ無くチェック」することが難しい部分も手動により確認します。勿論、手動によるチェックによる漏れも発生します。これを補完するため脆弱性検索ツールを使った自動チェックも併用して可能な限り検査漏れを防止しています。

03  抜群のコストパフォーマンス

手動と自動を併用した高い検査精度、構造／設計上の問題からコードの具体的な問題まで分かるセキュリティ検査です。標準コース以上は中規模以上のアプリケーションのコード全体をチェック可能です。「検査時間」に検査に必要な「調査時間」は含まず、分離して管理しています。「検査時間」が標準的なライブラリやフレームワーク仕様の確認に必要な「調査時間」で減る事はありません。更に長期間のテクニカルサポートと再検査、定期的な再検査時の割引、インシデント初期対応サポートなど検査後のアフターサポートも充実しています。

アプリ開発を委託している方

ソフトウェアの「内部品質」検査を行って、品質・安全性がより高いアプリを購入したい！

建物の品質チェックには設計や部品、作り方のチェックが欠かせません。完成後に外から見ても詳しい内部品質は判りません。

ソフトウェアも同じです。完成後にアプリを動作させ外からチェックしても設計／部品／作り方の問題は一部しか判りません。ソースコード検査を主体としたチェックなら、「外から」だけでなく「中から」も状態を確認できます。

致命的なセキュリティ問題が潜むアプリを使用したくない！

外部から検査する一般的な「脆弱性検査・診断」では、ソフトウェアの構造や実装の問題の一部、氷山の一角しか発見することができないのです。致命的なセキュリティ問題になるような抜け穴が残ったままの状態で使用することがない様、確認が必要です。

顧客情報を守るため、信頼を維持するために、セキュリティには敏感でありたい！

外部の攻撃者により顧客情報が外部に漏洩する／盗まれる、といった問題は単純な構造／設計の問題やミスが原因であることが多いです。現在のアプリケーションは大規模化が進み、非常に複雑です。先ずは基本的な構造／設計に問題がないか、単純なミスがないかチェックするのが効果的。ソースコード検査は、「ITシステムを利用するリスク」の管理には欠かせないツールです。

※委託会社に「内部品質」や「構造上・設計上のセキュリティ」について、外からの検査だけではなく「ソースコード」レベルで検査を実施しているか、ぜひ一度ご確認ください。

システム開発者の方

「基本的な実装ミス」をなくし、リスク削減ツールとして利用したい！

ソースコード検査を実施しない場合、セキュリティ実装の問題があった時の責任は開発者の責任に。これはコードをチェックしない脆弱性診断を実施している場合も同じで、外部から見つかった問題を直しただけでは「基本的な実装ミス」が無いことは保証できないのです。これらのミスを無くし、より安全性の高いアプリを開発、そして責任のリスクを削減する為に利用したいのが「ソースコード検査」です。

ESIのコード検査には基本的なインジェクション脆弱性がないことを保証する検査も可能。開発者にとってソースコード検査はリスク削減の優れたツールです。

書籍や新聞で校正や編集によるレビューが必須だが、同じくプログラムのコードにも必要不可欠だから。

プロの物書きであっても誤りの防止には専門の校正／編集によるレビューが欠かせません。プログラムのコードも同じです。開発者が全てのコードを完璧に記述することを期待する方が間違っています。文章でもコードでも、レビューとチェックは必要不可欠なプロセスです。

アプリに「要求仕様”以外”の動作をさせない」ために！

アプリケーションは要求仕様で定めらた動作を実現する為に構築されますが、セキュリティ問題は「要求仕様”以外”の動作」をしてしまうことが問題なのです。開発者の第一のタスクは「要求仕様で定めらた動作を実現」です。「要求仕様”以外”の動作をさせない」は二の次に成らざるを得ない場合があります。アプリケーション開発の構造的問題により、開発者が「要求仕様”以外”の動作をさせない」を実現することが困難になっています。ソースコード検査でこのギャップを補完することがが可能です。

システム開発管理をする方

開発会社の責任が大きく問われるセキュリティ問題、ぜひリスクを削減したい！

ご存知の通り、セキュアコーディングは「国際セキュリティ標準」でも要求される技術。しかし、これが設計／実装に反映されていないソフトウェアが大半です。セキュリティ問題が発生した場合、開発会社の責任が大きく問われます。一般の「脆弱性検査・診断」がソフトウェアに存在するセキュリティ問題全体の1部分しか検出できないのもご理解いただいている通りです。「ソースコード検査」でソフトウェ内部から、そして開発初期／設計段階からのチェックを行うことで、御社のリスクを大幅に削減できます！

開発中の早い段階での検査で、大きな修正作業を防ぎコスト削減に！

完成品の検査では後戻りも大きくなりがちです。早め早めのチェック／レビューで効果的にリスクと費用の削減が可能です。

ESIでは開発中の設計レビューとソースコードの検査も行っています。開発中システムの設計およびソースコード検査にはベーシックコースがオススメです。検査後3ヶ月以内であれば、検査内容のテクニカルサポートが付帯／お得に上位コースへのアップグレードが可能です。

裁判も増えているし、年々高まっているセキュリティリスクを回避したい！

セキュリティ問題があるアプリケーションによる情報漏洩／データ破壊の責任を開発会社に問われる事例が増えてきています。契約書に記載した以上の損害賠償が認められたケースもあります。2018年5月からは高額な制裁金（10億円以上）で知られるGDPRもEUで施行されました。基本的なセキュリティ問題が残っていた場合に言い訳ができない状況になっています。専門会社に任せることにより、必要な対策を怠っていた責任を問われるリスクが回避可能になります。