Forest Book、是正管理つきセキュリティ診断「Forest Security」を提供開始

Forest Bookは、診断結果が届いても、修正担当者や期限が決まらず対応が止まる状況を課題に挙げています。Forest Securityでは、直す順番を合意し、是正の進捗を管理します。

ソースコードとクラウド設定を確認し、修正チケット案などで顧客の対応を支援します。実際の修正作業は顧客側が行います。

同意から権限付与、診断、報告、顧客側の是正、再確認へ進みます。再確認はAssessmentに含まれ、月次管理はCareで提供されます。

出典：Forest Book

対象はWebアプリ、API、SaaS、EC、外部連携とクラウド設定です。AWS、Google Cloud、Azureなどを扱い、AWS以外は構成を確認して範囲を決めます。3つの商品を提供します。

各商品名の先頭にForest Securityが付きます。出典：Forest Bookの発表。

料金は対象資産の数と範囲を確認したうえで個別見積です。Careでは、重大度別の残件数や期限超過件数を月次報告書にまとめます。

同社はShopifyアプリやAWSサーバーレスの開発・運用経験を生かし、テナント分離、Webhookの冪等性、署名検証、権限設定などを確認するとしています。診断項目はOWASP ASVS 5.0やAWS Well-Architected Frameworkのセキュリティの柱などに対応付けます。

検査実施計画書兼同意書に、対象、時間帯、送信元IP、リクエスト上限、実施しない検査を明記します。本番環境でデータを書き換える操作は行わず、エラー率の上昇や応答遅延を検知した時点で停止します。担当者は案件を通じて固定です。

サービスに含まれない主な作業は次のとおりです。

• 24時間365日の監視、SOC・MDR、リアルタイム検知
• インシデント発生時の復旧、フォレンジック、監督官庁への届出代行
• 網羅的なペネトレーションテスト、負荷試験、ソーシャルエンジニアリング、物理セキュリティ
• SaaS・PaaS本体など、第三者が運営する資産への検査
• 脆弱性の不存在、法令・認証への適合、審査・申請の合否の保証
• 同社が開発・修正した資産に対する独立した第三者としての監査意見

確認した範囲と確認しなかった範囲を報告書に記載します。

Forest Book代表取締役社長の森本竜治氏は、報告書が届いた後も修正担当者や期限が決まらない現場を見てきたと説明しています。設計上の論点を実装者の目で確認することと、是正の進捗を追うことをサービスの役割に挙げています。

A. WebアプリやAPI、クラウド設定を診断し、修正の優先順位と是正の進捗を管理するサービスです。実際の修正は顧客側が行います。

A. Careで、クラウド設定の差分や既知脆弱性のレビュー、是正チケットの進捗管理、月次報告などを提供します。最低契約期間は6か月です。

A. Webサービスをクラウド運用する中小企業や、取引先から診断結果・是正記録の提出を求められる開発会社・制作会社などです。

• Forest Security公式サイト
• Forest Book公式サイト

O!Productニュース編集部からのコメント

Careでは期限を超えた修正チケットも月次報告に載せます。診断後に複数の担当者へ改修を依頼する場面で、対応が止まっている項目を確認しやすそうです。

引用元：PR TIMES