ISOG-J：脆弱性の手動診断用に「Webアプリケーション脆弱性診断ガイドライン」を公開

日本ネットワークセキュリティ協会（JNSA）は、配下の日本セキュリティオペレーション事業者協議会（ISOG-J）はOWASP Japanと共同で「Webアプリケーション脆弱性診断ガイドライン」を公開したと発表した。

ISOG-Jでは協議会内のセキュリティオペレーションガイドラインワーキンググループ（WG）で、OWASP Japanと共同WG「脆弱性診断士スキルマッププロジェクト」を設けており、脆弱性診断を行う技術者のスキルと学習の指針となるシラバス（計画書）や脆弱性診断を行うためのガイドラインを整備を行っている。今回のガイドラインはこれを受けたものになる。

ガイドラインでは、脆弱性の診断で、最低限必要な診断項目や手順を定義。参考にすることで一定レベルの手動診断による脆弱性診断を行うことができるという。

プロジェクトでは、Webアプリケーションの脆弱性診断は、自動診断ツールだけでは十分な診断結果を得ることができないと見ており、手動診断補助ツールの併用が望ましいとしている。一方で、手動診断は技術者の経験やスキルで診断の差違が出るため、これを解消し、一定水準の脆弱性診断を技術者が行えるように最低限必要な診断項目や手順を定義したガイドラインを作成・公開することにしたとしている。