診断サービスの“プロフェッショナル”的なユーザー企業はほぼ例外なく、標準化を行いサービスの質と量の安定供給を行う挑戦に、強く賛同したそうです。PR脆弱性診断の標準化は業務を細分化することで進められる。「認証」「セッション」等の大カテゴリは10項目あり、大カテゴリのひとつ「入力制御」はさらに「バリデーション」「SQLインジェクション」など11の中カテゴリに分けられる。大カテゴリから中カテゴリ、中カテゴリから小カテゴリ、小カテゴリからさらに下位のカテゴリへと、それ以上細分化不可能(作業者の判断が不要)な作業単位までブレイクダウンは行われる。取り組みを紹介しました。記事では、同社が脆弱性診断業務の本格的な標準化に挑戦し完成させるまでの、着手から完了までの道のりを時系列に沿って駆け足でレポートしました。記事の最後には「この試み(註:脆弱性診断業務の標準化を指す)が正しいかどうかは今後、ユーザー企業と市場によって審判が下される」という一文が置かれました。いう試みが、単なるサービス向上等にとどまらない、セキュリティサービスの新しいあり方の提案を、ユーザーと市場に対して行っていると取材時に感じたからでした。●ツール型からハッカー型へ脆弱性診断は黎明期、診断ツールを用いて行う「ツール型診断」が主流でした。その後2005年頃から、攻撃者視点を持ちセンスのある技術者(≒ホワイトハッカー)が、ツールを用いながらも目視し、診断員の経験や勘に基づいて手動で診断を行う、いわば「ハッカー型診断」が提案され、市場に浸透していきます。ハッカー型診断はその後、脆弱性診断サービスの主流になりました。現在診断業務でトップクラスと呼ばれる企業は、こぞって腕に覚えのある技術者を採用・育成し、ブランドを高め事業を拡大しました。ハッカー型診断でサービス水準を左右するのは在席する診断員の技術力です。等への脆弱性報告件数などでした。●ハッカー型診断ただ一つの欠点ハッカー型診断に唯一存在した欠点は人材確保の厳しさでした。スター・ウォーズの「ジェダイ」のような匠の技術者は大量に採用も育成もできないのです。優れたセンスは方法論で伸ばすことができず、即戦力となる人材の採用にはコストがかかります。そのため、前述のトップクラスの診断企業を中心に、ユーザー企業側が診断業務をたとえ発注したくても、待ち行列が長くて発注できないといった、「人」に起因する問題が発生するようになりました。持つ職人的技能を標準化するノウハウにしたがって棚卸を行い仕組み化することで解消し(約半年間かけて行われた仕組み化の過程は前回記事参照)、量産不可能とされてきた診断業務を、あたかもフォード式工場へ変革するように変えることで、適正な価格で、必要充分な高いクオリティのサービスを、均質に大量供給することに挑戦したのでした。性能を求めている、という仮説がありました。抜けや漏れが出ないのか?」と不信を持たれ、決してすぐ受け入れられた訳ではありませんでした。訪ね、下記の5つの質問をぶつけてみました。「Smishsmash」とは、SMSを利用した2FAをバイパスする攻撃手法のこと。セキュリティの専門家でありハッカーでもあるトーマス・オロフソン氏、マイケル・ビストロム氏が命名した。戦争や大量虐殺等々によってもし世界が今日終わるとしたら、中には、人類には守るに値するものはほとんどないと達観し、笑顔で終末を迎える人すらいるかもしれない。権限への昇格が可能となる脆弱性が報告されています。ランサムウェアの身代金払うもデータ破損多し「身代金」を支払った後の復旧は、支払わないことを決めて自らのバックアップから作業するよりも、多くの場合、費用のかかる面倒な作業になる。プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。紹介した商品/サービスを購入、契約した場合に、売上の一部が弊社サイトに還元されることがあります。当サイトに掲載の記事・見出し・写真・画像の無断転載を禁じます。