BEFORE RELEASE
公開前に、
リスクを確認したい。
新規リリースや大きな機能追加の前に、確認すべき範囲を整理したい。
BRAVESOFT VIETNAM / WEB SECURITY CHECK
法人向けWebサイト・Webアプリケーションの脆弱性診断
見つけて終わらない。
改善につながる、Web脆弱性診断。
システムのリスクを可視化し、対策の優先順位を明確に。
bravesoft Vietnamは、Web脆弱性診断から、
診断後の改修・QAまで、必要な支援をご提案します。
日本語でご相談対象・費用を事前に確認改修支援は別途ご相談
Web Security Checkサービスイメージ
ASSESS. PRIORITIZE. IMPROVE.リスクを、次のアクションへ。
認証・アクセス制御確認項目の例
入力処理・API確認項目の例
設定・公開情報確認項目の例
01診断02優先順位づけ03改善支援
日本語で、結果と対策をご相談。
※サービスの概念図です。実際の診断結果や製品画面ではありません。
50社以上
日本企業との取引実績
150件以上
プロジェクト実績
10年以上
長期パートナーシップ実績
開発・QA・インフラ
複数の視点で支援
複数の視点で支援
日本企業向けの開発パートナー
※上記は当社全体の企業・開発実績であり、脆弱性診断の実施件数ではありません。会社情報を見る
YOUR CHALLENGES
こんなお悩みはありませんか？
公開前に、
BEYOND THE LOGIN
ログイン後やAPIが、
気になっている。
公開ページだけでなく、会員機能や権限ごとのアクセスも相談したい。
CLEAR EXPLANATION
社内・取引先へ、
結果を説明したい。
何を確認し、何が見つかり、どこから対策すべきかを把握したい。
AFTER THE REPORT
見つかった問題を、
直す人手が足りない。
診断結果を受け取るだけでなく、改修や動作確認まで相談したい。
WHY BRAVESOFT VIETNAM
開発を知るチームだから、
改善まで見据えられる。
診断の目的は、指摘を増やすことではありません。
お客様が次に取るべきアクションを整理し、
システムの改善につなげることを重視します。
01 / DEVELOPMENT
開発の視点で、
対策を具体化。
Webシステム開発の知見を活かし、検出内容だけでなく、アプリケーションや設定をどう見直すかという視点で改善策をご提案します。
02 / COMMUNICATION
日本語で、
認識のずれを減らす。
診断の目的、対象範囲、結果の確認まで、日本語でご相談いただけます。事業担当者と開発担当者の双方に伝わる説明を大切にします。
03 / CONTINUITY
診断後の改修・QAも、
ひとつの相談先に。
必要に応じて、開発・QA・インフラ担当と連携した改修支援もご相談いただけます。お客様の既存開発チームとの役割分担も調整します。
※改修、環境変更、再診断は、診断とは別に対応範囲・費用を確認します。
品質と情報管理を、組織で支える。
認証・パートナーシップを通じた継続的な取り組み
※認証・パートナーシップは当社の組織・品質管理に関するものであり、個別システムの安全性を保証するものではありません。
ASSESSMENT SCOPE
システムに合わせて、
診断範囲を設計します。
公開ページだけでなく、ログイン後の機能やAPIも対象候補です。目的・構成・権限・ご予算を確認し、必要なチェック項目と診断方法をご提案します。
認証・セッション管理
ログイン・ログアウト、パスワード再設定、セッションやCookieの取り扱いなどを確認します。
例：認証処理／セッション設定認可・アクセス制御
一般利用者・管理者などの権限分離や、他アカウントの情報・機能へのアクセス制御を確認します。
例：権限チェック／オブジェクト単位の認可入力値・データ処理
入力データの扱いや出力処理について、SQLインジェクション、XSSなどにつながる問題を確認します。
例：SQLインジェクション／XSSファイル・外部通信
ファイルのアップロード・参照、外部URLへのアクセスなど、該当機能のある箇所を確認します。
例：パストラバーサル／SSRF設定・公開情報
セキュリティヘッダー、通信設定、エラーメッセージや不要な情報公開などを確認します。
例：HTTPヘッダー／情報漏えいにつながる設定API・業務フロー
APIの認証・認可や、操作順序・状態遷移に関するリスクなど、ツールだけでは確認しにくい範囲もご相談いただけます。
例：APIアクセス制御／業務ロジック上記は診断項目の例です。OWASP Top 10やOWASP WSTGなどを参考に、対象に応じて選定します。ツール診断・手動確認の組み合わせ、認証・APIの検証範囲は事前に合意し、すべての項目を一律に実施するものではありません。
※技術構成やアクセス条件により、対応可否・診断方法は異なります。
REPORT CONTENTS / 構成例
Web脆弱性診断報告書
01
診断概要・エグゼクティブサマリー
対象、実施期間、主要な指摘と全体の整理
02
指摘事項と対応優先度
対象箇所、影響、確認条件・根拠、優先順位
03
改善策・推奨対応
開発担当者が次の対応を検討するための情報
04
診断範囲・制約・未確認事項
確認できたことと、今回確認していないこと
※記載項目のイメージです。実案件の結果ではありません。
ACTIONABLE REPORT
「何が見つかったか」から、
「何を直すか」へ。
指摘事項を並べるだけでなく、影響と優先順位、改善策を整理。社内での共有や、開発チームによる対応検討につながる報告を目指します。
- 事業担当者には、判断のための要点を。
- 開発担当者には、対応に必要な情報を。
- 確認していない範囲も、明確に。
報告書の形式・記載項目・言語・説明会の有無は、ご契約前に確認します。第三者認証や安全性の証明書を発行するサービスではありません。
何を診断すべきか、まだ決まっていなくても。
システムの概要と目的を伺い、必要な範囲からご相談を承ります。
SUPPORT & PRICING
料金は、必要な範囲から。
単発の診断から、継続的な確認、改修支援まで。
以下のご相談例をもとに、目的とご予算に合わせて個別にお見積もりします。
ONE-TIME ASSESSMENT
スポット診断
公開前や大きな機能追加のタイミングで、対象を決めて確認したい企業様へ。
個別見積もり対象・手法・報告内容に応じてご提案
- 診断対象と確認項目を整理
- 合意した範囲の診断・報告
- 改善の優先順位をご相談
ASSESSMENT + IMPROVEMENT
診断＋改善支援
診断で見つかった問題の改修や、更新後の確認まで相談したい企業様へ。
個別見積もり診断と改修の範囲・費用を分けてご案内
- 診断結果に基づく対応計画
- 開発・QA・インフラとの連携
- 改修後の再診断も別途ご相談
PERIODIC ASSESSMENT
継続診断
運用中のサービスを、定期的な確認や開発サイクルに合わせて見直したい企業様へ。
個別見積もり実施頻度・対象変更に応じてご提案
- 更新頻度に合わせた計画
- 対象・権限・機能の変化を確認
- 継続的な改善方針をご相談
お見積もりの主な要素
対象サイト・環境数、画面・機能・APIの規模、ログイン権限の種類、手動確認の範囲、報告書・説明会、再診断の有無、実施時期などを確認します。
※診断は有償サービスです。アプリケーション改修、環境変更、再診断、緊急インシデント対応は、自動的には含まれません。料金・納期・成果物は、お申し込み前にご案内します。
HOW IT WORKS
ご相談から、改善に向けた一歩まで。
目的と範囲をそろえてから実施することで、診断後の認識のずれを減らします。
01
ご相談・ヒアリング
システム概要、診断の目的、ご希望時期、気になっている点を伺います。
02
範囲・お見積もり
対象、手法、費用、成果物を明確にし、秘密保持や実施許可の条件を確認します。
03
準備・診断実施
検証環境・アカウント、日時、負荷制限、連絡先を確認し、合意した範囲で実施します。
04
結果のご報告
指摘事項、影響、対応優先度、改善策とともに、診断範囲・制約を共有します。
05
必要に応じて別途ご相談
改善支援・再診断
改修や設定変更、修正箇所の再確認について、範囲と費用を個別にご案内します。
お客様の環境への影響と、情報の取り扱いに配慮します。
診断には、対象システムの管理者による正式な許可が必要です。実施日時・対象外操作・停止条件・重大な指摘の連絡方法を事前に確認します。高負荷試験や破壊的な検証は標準の対象外とし、テストデータ・最小権限のアカウントの利用を基本に調整します。アクセス方法、機密情報の取り扱い、国外からのアクセス条件も事前に合意します。診断による影響を完全にゼロとすることは保証できません。
FAQ
よくあるご質問
ご不明な点は、
日本語でご相談ください。
Q.PHP以外のシステムも相談できますか？
はい。PHPに限定したサービスではありません。Webサイト、Webアプリケーション、APIなどについて、技術構成や認証方式、アクセス条件を確認し、対応可否と診断方法をご案内します。
Q.他社が開発したシステムでも依頼できますか？
ご相談いただけます。対象システムに対する正式な診断許可と、必要な情報・検証環境をご用意いただけることが前提です。既存の開発会社や保守担当者との役割分担も確認します。
Q.ソースコードの提出は必要ですか？
外部からWebアプリケーションを確認する診断では、必ずしもソースコードは必要ありません。画面・機能一覧、テストアカウントなどが必要になる場合があります。ソースコードレビューをご希望の場合は、別の範囲として事前に確認します。
Q.本番環境での診断は可能ですか？
環境と業務への影響を確認したうえで、実施可否を判断します。可能であれば検証環境をご用意ください。本番環境の場合は、日時、負荷、対象外操作、監視・停止条件を事前に合意します。無停止・無影響を保証するものではありません。
Q.費用・期間と、再診断の扱いを教えてください。
対象の規模、権限数、手動確認の範囲、準備状況などによって異なります。まずは概要を伺い、お見積もりとスケジュールをご案内します。再診断の対象・回数・期限・費用は個別に定め、無条件の無料再診断は含みません。
Q.PHP更新の無償支援と同じサービスですか？
いいえ。PHPのセキュリティアップデート支援と、本ページのWeb脆弱性診断は別のサービスです。PHPの更新だけで、アプリケーション全体の診断を行ったことにはなりません。本サービスの範囲・費用は個別にご案内します。
Q.診断すれば、すべての脆弱性を発見できますか？
すべての脆弱性の発見や、将来の被害防止を保証するものではありません。診断は、合意した対象・手法・実施時点の条件に基づく確認です。未確認範囲や制約も報告し、必要に応じた継続的な見直しをご提案します。
LET'S TALK
まずは、どこまで診断すべきか。
そこから一緒に考えます。
新規リリース前の確認も、運用中システムの見直しも。
bravesoft Vietnamに、現在の課題をお聞かせください。
公式お問い合わせフォームへ移動します。
メッセージ欄に「Web脆弱性診断の相談」とご記入ください。
ご相談時にあるとスムーズな情報
- 会社名・ご担当者名・連絡先
- システムの概要と、診断を検討する目的
- 対象URL・ログインやAPIの有無（分かる範囲）
- ご希望時期・検証環境の有無
パスワード、秘密鍵、ソースコードなどの機密情報は、フォームに記載しないでください。必要な情報の受け渡し方法は、別途ご案内します。