ベトナムから提供するWebアプリケーションのセキュリティ診断

Webサイトのセキュリティ診断は、合意した範囲の中で、設定、攻撃対象領域、認証、認可、重要な業務フローを確認するものです。自動の脆弱性スキャンは有用な手がかりになりますが、文脈を踏まえた診断では、仮説を制御された手順で検証し、誤検知（false positive）を取り除いたうえで、実際の影響度に応じて指摘事項に優先順位を付けます。

セキュリティ診断の費用は、ドメイン、アプリケーション、APIエンドポイント、ユーザーロールの数、認証・認可の複雑さ、業務フローの深さ、診断環境、報告書の要件、再診断の範囲によって決まります。料金は、対象資産、安全に診断するための制限、必要な証拠が明確になった時点で確定します。

Friday Worksはホーチミン市で登記された企業で、範囲を定めたWebアプリケーションのセキュリティ診断をベトナムからフルリモートで提供しています。診断範囲、許可を得た対象資産、テスト用アカウント、診断時間帯、連絡手段、インシデント発生時の連絡先は、制御された診断を始める前にすべて合意します。

Friday Worksのサービスは範囲を定めたWebアプリ・APIのセキュリティ診断であり、本格的なペネトレーションテスト（侵入テスト）やレッドチーム演習ではありません。本格的なペネトレーションテストやレッドチームのプログラムが必要な場合は、契約前に対応できる体制、範囲、適切なパートナーを確認する必要があります。

Friday Worksのセキュリティ診断は、合意したルールに従い、システムへの影響を抑えるよう設計しています。データを書き換えたりサービスに影響したりするおそれのある操作は、適切な環境と明示的な許可がない限り行いません。

Friday Worksのセキュリティ診断報告書は、修正に使うことを前提に書いています。各指摘事項には背景、最小限の証拠、影響、実務的な修正の方向性を記載し、報告会（ウォークスルー）では再診断の前にチームが直接質問できます。

Friday Worksのセキュリティ診断報告書は、提案書で合意した受取人にのみお送りします。顧客や取引先に共有するかどうかは、依頼企業が判断します。テストデータの保管期間と案件終了後の取り扱いは、作業開始前に合意します。

セキュリティ診断は、重要なリリースの前と、ログイン、認可、決済、アップロード、APIに大きな変更を加えた後に実施するのが目安です。頻繁に変更されるシステムでは、1回限りの確認よりも定期的なレビューのほうが効果的です。