[インターンレポ] Web脆弱性診断スキルマップのシルバーランクを目指す

こんにちは。インターンの田邉です。
マネーフォワードのセキュリティを支えている「CISO室 セキュリティ推進グループ」に所属しています。

脆弱性診断の内製化

突然ですが、マネーフォワードでは脆弱性診断の内製化を進めています。

理由は下記の3点です。

1.提供サービス増加に伴うコスト高騰

第一の理由はコストです。

1サービスのWebアプリ脆弱性診断コストは限定的です。
しかし、マネーフォワードはB2C/B2Bの新サービスが続々とリリースしているため、トータルのWebアプリ脆弱性診断コストが(調整コストも含め)高まってきました。

2.レポートされる脆弱性の種類

第二の理由は、見つかる脆弱性の種類です。

コストの理由だけでは内製化に踏み切らなかったかもしれません。
重大な脆弱性が見つかるのであれば、それは必要コストです。

しかし、過去に実施したWebアプリ脆弱性診断において、報告される脆弱性の種類が「注意」レベルまでに限られていました。
複数のベンダーによる診断でも同様であったことから、これは良くある「5営業日内のWebアプリ診断」プランでは発見できないのでは?と考えました。

事実、数か月実施したバグバウンティでは、今までに報告されなかった脆弱性の発見に繋がっています。
(バグバウンティについてはまた別の機会に)

3.技術の蓄積

第三の理由は、内製による技術の蓄積です。

ベンダーによる診断が悪いと言うことではありません。
むしろ、新規サービスの開発や大規模なシステム改修時は、外部ベンダーによる診断を実施すべきだと思います。

しかし、そのままではいつまでたっても攻撃スキル・手法の経験を積めません。
技術はものすごいスピードで変化しています。そしてスピードに対応した防御手法を意味のあるものにするために、攻撃手法を知っておかなければなりません。
 

これらを総合的に考えた結果、定常的な診断を内製化することに決めました。
そして、私に課せられたミッションは、これを実現可能な形に落とし込むことでした。
 

チームの指標

内製化を進めるには、何を持って内製化できたかを定義する指標が必要です。
今回、参考にさせていただいたのは、OWASPのPentester Skillmap Project JPで提示されている脆弱性診断士ランクです。

このランクはスコープが明確に定められており、さらに技術水準が提示されているため、内製化のイメージがしやすいものになっています。
詳しくは[PDF] 脆弱性診断士(Webアプリケーション)スキルマップ & シラバスを参照してください。

本プロジェクトを参考にさせていただいた、もう一つの理由は、当エンジニアブログの「[インターンレポ] 脆弱性診断をやってみた」で紹介させていただいた「Webセキュリティ担当者のための脆弱性診断スタートガイド」の著者である上野宣さまが、本プロジェクトの代表であることも大きいです。

何を教材にするか

先述のスキルマップ & シラバスシートを元に『セキュリティ推進チームメンバーの2名がSilverランク以上になる』と言う目標を作りました。

目標到達のため、各項目を習熟する必要があります。

それらの参考にさせていただいている書籍とリンクを洗い出し、独自のスプレッドシートで参照先を記録しました。
しかし、より多くの団体が自前で診断できるよう、より多くの参照先を記載できるよう、より多くの知を集められるよう、当社ではこのスプレッドシートをGithubリポジトリ(元リポジトリをForkする形で)にて公開することにしました。

是非、ご参照ください。PR等もお待ちしております。
https://github.com/moneyforward/WebAppPentestGuidelines

Ref

最後に

とはいえ、まだまだ歩き始めたばかりで、新プロダクトのリリース時は外部ベンダーへお願いする場合もあります。
また、より長くの期間、より多くの方に診断いただけるようバグバウンティーをPoC段階として進めています。

マネーフォワードは、セキュリティに対して真摯に取り組んでおります。
一緒にセキュリティに取り組みたい方は、是非とも応募ください。お待ちしております。

【採用サイト】
マネーフォワード採用サイト
Wantedly | マネーフォワード

【マネーフォワードのプロダクト】
自動家計簿・資産管理サービス『マネーフォワード』
Web
iPhone,iPad
Android

「しら」ずにお金が「たま」る 人生を楽しむ貯金アプリ『しらたま』
Web
iPhone,iPad

ビジネス向けクラウドサービス『MFクラウドシリーズ』
会計ソフト『MFクラウド会計』
確定申告ソフト『MFクラウド確定申告』
請求書管理ソフト『MFクラウド請求書』
給与計算ソフト『MFクラウド給与』
経費精算ソフト『MFクラウド経費』
入金消込ソフト『MFクラウド消込』
マイナンバー管理ソフト『MFクラウドマイナンバー』
資金調達サービス『MFクラウドファイナンス』

メディア
くらしの経済メディア『MONEY PLUS』

Pocket