問題 No.4812
A社では、開発したWebアプリケーションのリリース前に、ソースコードの不具合や設計上のミスなどによって生じるセキュリティホールを早期に発見し、修正するための検査を実施することにした。この検査手法として最も適切なものはどれか。
【正解の解説】
脆弱性診断
人間ドックで体に隠れた病気がないかを事前に全身くなく検査するのと同じです。Webアプリを世の中に公開する前に、専門のツールや人の手を使ってプログラムの不具合やセキュリティの弱点をくまなく探し出し、悪い奴らに悪用される前に治療（修正）しておく大切な工程を指します。
スポンサーリンク
【その他の選択肢の解説】
ペネトレーションテスト
健康診断（脆弱性診断）ではなく、実際にプロの白衣の泥棒を雇って「うちの家、どこから侵入できる？」と実際に鍵をこじ開けさせて防犯上の弱点を暴く実戦テストのことです。開発前のコード検査ではなく、システムが完成した後の実践的な侵入テストを指すため不適切です。
フォレンジック調査
事件現場に残された足跡や指紋を採取して犯人を特定する警察の鑑識活動のようなものです。これからリリースするアプリの安全性を検査する事前準備の話ではなく、すでに何らかのサイバー事件や事故が起きてしまった後の事後調査を指すため、文脈が異なります。
リスクアセスメント
会社にあるお宝（情報）がどんな危険にさらされているかをリストアップし、どれから先に対策すべきか会議で優先順位を決めるリスク管理の全体プロセスです。コードの不具合を技術的に見つける具体的な検査作業そのものではなく、マネジメント寄りの概念であるため誤りです。