Web脆弱性診断スキルマップのシルバーランクを目指す

こんにちは。インターンの田邉です。マネーフォワードのセキュリティを支えている「CISO室セキュリティ推進グループ」に所属しています。

脆弱性診断の内製化

突然ですが、マネーフォワードでは脆弱性診断の内製化を進めています。

理由は下記の3点です。

1.提供サービス増加に伴うコスト高騰

第一の理由はコストです。

1サービスのWebアプリ脆弱性診断コストは限定的です。しかし、マネーフォワードはB2C/B2Bの新サービスが続々とリリースしているため、トータルのWebアプリ脆弱性診断コストが（調整コストも含め）高まってきました。

2.レポートされる脆弱性の種類

第二の理由は、見つかる脆弱性の種類です。

コストの理由だけでは内製化に踏み切らなかったかもしれません。重大な脆弱性が見つかるのであれば、それは必要コストです。

しかし、過去に実施したWebアプリ脆弱性診断において、報告される脆弱性の種類が「注意」レベルまでに限られていました。複数のベンダーによる診断でも同様であったことから、これは良くある「5営業日内のWebアプリ診断」プランでは発見できないのでは？と考えました。

事実、数か月実施したバグバウンティでは、今までに報告されなかった脆弱性の発見に繋がっています。（バグバウンティについてはまた別の機会に）

3.技術の蓄積

第三の理由は、内製による技術の蓄積です。

ベンダーによる診断が悪いと言うことではありません。むしろ、新規サービスの開発や大規模なシステム改修時は、外部ベンダーによる診断を実施すべきだと思います。

しかし、そのままではいつまでたっても攻撃スキル・手法の経験を積めません。技術はものすごいスピードで変化しています。そしてスピードに対応した防御手法を意味のあるものにするために、攻撃手法を知っておかなければなりません。　

これらを総合的に考えた結果、定常的な診断を内製化することに決めました。そして、私に課せられたミッションは、これを実現可能な形に落とし込むことでした。　

チームの指標

内製化を進めるには、何を持って内製化できたかを定義する指標が必要です。今回、参考にさせていただいたのは、OWASPのPentester Skillmap Project JPで提示されている脆弱性診断士ランクです。

このランクはスコープが明確に定められており、さらに技術水準が提示されているため、内製化のイメージがしやすいものになっています。詳しくは[PDF] 脆弱性診断士(Webアプリケーション)スキルマップ & シラバスを参照してください。

本プロジェクトを参考にさせていただいた、もう一つの理由は、当エンジニアブログの「[インターンレポ] 脆弱性診断をやってみた」で紹介させていただいた「Webセキュリティ担当者のための脆弱性診断スタートガイド」の著者である上野宣さまが、本プロジェクトの代表であることも大きいです。

何を教材にするか

先述のスキルマップ & シラバスシートを元に『セキュリティ推進チームメンバーの2名がSilverランク以上になる』と言う目標を作りました。

目標到達のため、各項目を習熟する必要があります。

それらの参考にさせていただいている書籍とリンクを洗い出し、独自のスプレッドシートで参照先を記録しました。しかし、より多くの団体が自前で診断できるよう、より多くの参照先を記載できるよう、より多くの知を集められるよう、当社ではこのスプレッドシートをGithubリポジトリ（元リポジトリをForkする形で）にて公開することにしました。

是非、ご参照ください。PR等もお待ちしております。 https://github.com/moneyforward/WebAppPentestGuidelines