何を見て、どう報告し、
どう直すか。

相談・目的の確認

対象と困りごとから、必要な診断を選ぶ

対象の種類、規模、保守状況、取り扱う情報の種類、希望時期を確認します。設計書や当時の開発者が不明でも、分かる範囲から整理します。

他社レポートがある場合は、再診断・対応判断・修正のどれが必要かを切り分けます。侵害の兆候がある場合は通常の診断ではなく、侵害対応の進め方をご案内します。

NDA・範囲・料金の合意

実施許可と中止条件まで、書面で確認

NDA、対象ドメイン・API・リポジトリ・環境、検査手法、除外対象、実施時間帯、連絡先を合意します。お客様が管理・診断を許可できる対象に限ります。

本番・検証環境の選択、負荷上限、データ変更の可否、中止条件、バックアップ・切り戻し方法も確認。第三者のクラウドや外部サービスは利用規約と許可範囲を確認します。

情報・検証環境の準備

必要な情報だけを、安全な経路で受け取る

外部診断は対象URL・API仕様・テストアカウント等を、内部診断はソースコード、依存関係、構成図、IaCやクラウド設定等を、合意した範囲で共有いただきます。

顧客の実データを避け、可能な限りテストデータを使います。アクセス権は期間限定・最小権限を基本とし、情報の受け渡し・保存先・保管期限を決めます。

診断・検出結果の検証

スキャンと人の確認を組み合わせる

外部診断：公開Web画面・API、TLS・DNS・HTTPヘッダー、WordPressの本体・テーマ・プラグイン等を調査します。必要に応じて、合意済みの認証・権限の範囲も確認します。

内部診断：上記に加え、1〜3リポジトリを目安にソースコード・依存関係・認証認可・秘密情報・クラウド設定を確認します。自動検出はエンジニアが誤検知や影響を精査します。

診断は通常5〜15営業日を目安とし、準備・修正期間は別途調整します。重大な問題は最終報告を待たず共有し、想定外の負荷・障害があれば中止して相談します。

報告・対応方針の決定

技術的な深刻度と、事業への影響を分けて説明

影響、発生条件、根拠、重要度、推奨対策を報告し、確認できなかった範囲も明示します。誤検知の可能性と検証上の制約を区別してお伝えします。

「優先して直す」「計画的に直す」「監視・代替策を置く」などに整理し、担当者・期限を含む対応ロードマップを作成。リスク受容はお客様の判断として記録します。

修正・再確認・引き継ぎ

直した結果と、残ったリスクを確かめる

修正を依頼いただく場合は対象・料金・実施時期を別途合意し、軽微なコード・設定変更を実施します。大規模な改修や設計変更は個別見積もりです。

対象箇所を再確認し、対応済み・未対応・確認できない項目を整理します。再確認の対象・回数・期限は見積もりで明示し、権限の返却・失効、資料の返却・削除まで確認します。