FX取引システム（全7サイト）へWebアプリケーション診断とペネトレーションテストを実施　脆弱性診断後の対策効果をペネトレーションテストで検証

金融系のミッションクリティカルなシステムを対象に、脆弱性診断とペネトレーションテストを実施

SBIリクイディティ・マーケット株式会社様は、SBIグループの一員として、FX取引における流動性供給や金融サービス基盤を担うマーケットプロバイダーです。

FX取引をはじめとする各種金融サービスに関わる複数のシステムを運営されています。これらは利用者の金融取引を支えるミッションクリティカルなシステムであり、高い水準でのセキュリティ確保が求められています。

SBIリクイディティ・マーケット株式会社様では、脆弱性診断やペネトレーションテストなどを通じて、継続的なセキュリティ強化に取り組まれています。同じベンダーによる診断が続くと、着眼点や手法がどうしても固定化しやすくなる面があり、そのぶん見落としが生まれるリスクも否定できません。こうした点から、これまでの定期的な診断に加えて、異なる第三者の視点によるセキュリティ診断も必要と考えられ、Webアプリケーション診断およびWeb・ネットワークペネトレーションテストをSynXにお任せいただきました。

対象範囲全体を漏れなくカバーできるかを重視して選定

今回のサービス選定にあたっては、FX取引システム全7サイトという対象範囲全体を、漏れなくカバーできるかどうかが重視されました。これまでの診断でも対応しきれていなかった範囲まで含めて診断できる点を評価いただき、SynXへのご依頼を決定されました。

診断範囲を明確にする事前調査を実施

診断に先立ち、対象範囲を網羅的に洗い出すための事前調査を無償で実施し、診断対象を明確化したうえで診断に着手しました。

この事前調査は「クローリング」と呼ばれる工程で、診断員が実際にWebアプリケーションへアクセスし、画面操作によって発生する通信を収集することで、診断対象を漏れなく一覧化します。全7サイトという広い対象範囲において、診断の抜け漏れを防ぐための重要な工程です。

この工程を挟むことで、対象そのものに漏れがない状態を作ってから本番の診断に入ることができます。対象の洗い出しが甘いままでは、いくら診断の精度を高めても、そもそも診断が及んでいない箇所が残ってしまいます。クローリングによって対象範囲を明確にすることは、診断そのものの品質を底上げし、結果として診断漏れを防ぐことに直結します。

全7サイトという広い対象範囲だからこそ、この一手間が効いてきます。診断の抜け漏れを防ぎ、対象を明確にしたうえで、本格的な診断に着手しました。クローリングによる事前調査は、次の効果につながっています。

脆弱性診断からペネトレーションテストへ、段階的にセキュリティレベルを向上

クローリングによって対象を網羅的に洗い出した結果、これまで診断が行き届いていなかった範囲まで含めて、診断を実施できるようになりました。

Webアプリケーション診断による評価結果をもとに対策を実施したうえで、より堅牢になったシステムに対してペネトレーションテストを実施することで、段階的にセキュリティレベルの向上を図りました。重大度の高い課題については、正式な報告書を待たず速報という形で共有し、早期の対応につなげています。

ご評価いただいたポイント

よくある質問

本事例に関連して、よくいただくご質問にお答えします。

お問い合わせ

このような課題は、ミッションクリティカルなシステムを扱う企業に共通して見られます。

SynXでは、ご要件や運用状況に応じた脆弱性診断・ペネトレーションテストのご提案が可能です。まずはご相談ベースでも問題ありませんので、お気軽にお問い合わせください。