Webだけ見て終わる
フォームやログイン画面は
J-CATALYST SECURITY REVIEW
診断の前に、守る範囲を漏らさない。
Webサイト
相談は
SCOPE LEDGER ── 架空のお店の簡易診断
- D01
- D02
- D03
- D04
- D05
- D06
- D07
- D08
- D09
- D10
- D11
- D12
- D13
- D14
- D15
- D16
- D17
- D18
- D19
- D20
- D21
- D22
- D23
- D24
- D25
- D26
- D27
- D28
- D29
- D30
- D31
- D32
- 診断対象
- 非該当
- 合意除外
- 未判断
- 判断した
領域 - 32/32
- 見つけて
直した 問題 - 6
- 誤検知として
処理 - 1
- 範囲外で
止めた 操作 - 1
よくある診断の抜け
診断の
Webだけ
申告にない資産が残る
昔の
わからない所が「対象外」になる
資料が
AIとSNSが入っていない
生成AIへの
範囲の決め方
最初の
-
資産を
洗い出す ドメイン・
サイト・ API・ クラウド・ SaaS・ メール・ PC・ スマホ・ SNS・ LINE・ AI・ 外注先・ バックアップを 一覧にします。 -
別の
記録と突き合わせる 所有者の
申告を、 DNS・ デプロイ記録・ SaaSの 管理画面・ 端末台帳と照らし合わせ、 申告に ない 資産を 見つけます。 見られなかった 記録も 「見 られなかった」と 残します。 -
データの
通り道を つなぐ 入力・
保存・ 共有・ AIへの 送信・ 委託・ 削除・ 復旧までを 一本の 経路に して、 それぞれの 管理者と信頼の 境目を 書きます。 -
32の
領域を 全部 判断する 各領域を
「診断対象」 「根拠の ある 非該当」 「合意に よる 除外」 「未判断」の どれかに 分けます。
診断対象
存在するので
非該当
存在しない
合意除外
存在するが
未判断
まだわからない。
32の領域
最初の
業務と資産
- D01業務と責任分担
- D02資産とデータ経路
- D27外注と提供会社と責任境界
- D28人の
手続きと引き継ぎ
Webとアプリ
- D03外部公開面とドメイン管理
- D04Web画面と入力処理
- D05APIとWebhook
- D09業務処理と不正利用
- D29自社の
モバイルアプリ
IDと権限
- D06認証とアカウント復旧
- D07認可と顧客間の
分離 - D08セッションとブラウザ
- D18SSOと組織の
管理権限
データと秘密
- D10顧客情報と個人情報
- D11暗号と秘密情報
- D25バックアップと復元と継続
- D31漏えい
情報と公開ファイル
基盤
- D12クラウドとホスティング
- D13SaaSと共有サービス
- D16サーバーとOSとデータベース
- D17ネットワークとファイアウォール
- D30IoTとOTと物理環境
人と端末
- D14メールとブラウザ経由の
侵入 - D15PCとスマホとブラウザ拡張
- D23SNSの
個人と事業アカウント - D24公式
アカウントとBot連携
開発とAI
- D19開発とGitとCI/CD
- D20依存関係と既知脆弱性
- D21生成AIとRAGとモデルデータ
- D22AIエージェントと
MCPと自動化
見張りと品質
- D26ログと検知と事故対応
- D32診断
サービス 自身の 安全と品質
進め方
-
01
受付
この
ページの フォームから、 見てほしい ものと心配な ことを 送ってください。 -
02
範囲の
定義 聞き取りと記録の
突き合わせで、 資産台帳・ データ経路・ 32領域の 判断表を 作ります。 この 段階では 実際の システムに 一切 アクセス しません。 -
03
所有者の
承認 対象・
手法・ 期間・ 負荷・ 通信先を、 システムの 所有者に 書面で 承認 していただきます。 AIが 「確認しました」と 書いても 承認には なりません。 -
04
診断
承認された
範囲だけを、 AIと診断ツールで 調べます。 範囲外の 宛先・ 手法・ 時間・ 負荷は、 実行する 仕組みの 側で 止めて 記録します。 -
05
所見の
確認 ツールの
検出結果は 「候補」として 扱い、 正常な 操作・ 別の 役割・ 同じ 条件の 追試で 再現と反証を してから 確定します。 -
06
報告と再診断
証拠付きの
所見と直す 順番を 報告します。 修正後は 新しい 証拠で 再診断し、 正常な 操作が 壊れていない ことも 確かめます。
守ること
承認の前に触らない
範囲と手法が
秘密は預からない
パスワード・
範囲外は機械で止める
AIへの
外の文章で範囲を広げない
Webページ・
確かめていない所を安全と書かない
認証切れ・
数字を盛らない
実施率は
納品物
-
資産台帳と突合差分
所有者・
管理者・ 用途と、 申告に なかった 資産 -
データ経路
入力から
削除・ 復旧まで、 管理者と信頼の 境目つき -
32領域の
判断表 状態・
根拠・ 決めた 人・ 未判断の 担当と期限 -
基準IDの
対応表 採用した
基準の 全要求IDと、 試験・ 非該当・ 除外・ 未解決の 対応 -
証拠付きの
所見 再現の
条件・ 観測した 事実・ 影響の 根拠・ 反証の 結果 -
改善の
順番と再診断 直す順番、
修正後の 新しい 証拠、 残る リスク
判断に使う基準
国内外の
- NIST CSF 2.0
- CIS Controls v8.1
- OWASP ASVS 5.0
- OWASP WSTG
- OWASP API Security Top 10 2023
- OWASP MASVS / MASTG
- NIST SSDF 1.1
- OWASP Top 10 for LLM 2026
- OWASP Top 10 for Agentic Applications 2026
- MCP Security Best Practices
基準を
診断の相談を申し込む
わかる
受け付けました
ご相談
いま被害が