AI脆弱性診断で、安心して運用できるWebサイトへ

課題

リニューアル後、営業・マーケティングに注力していたため、セキュリティ診断を後回しにしていた。カード決済情報と会員データを扱う重要なシステムだが、「セキュリティ診断はコスト・手間がかかりそう」というイメージで踏み出せずにいた。

診断結果

• SQL Injection 危険度 ★★★★★

  検索機能に入力値未検証の箇所を検出

• XSS 危険度 ★★★★☆

  レビュー機能の出力エスケープ不備

• 認可制御の不備 危険度 ★★★★☆

  管理画面へのアクセス制限が不完全

• 他、CSRF対策、Cookie設定等の指摘

対応

診断から改修までセルバが一括対応。既存のシステム（Laravel）への影響を最小限にしながら、優先度の高い脆弱性から段階的に改修。改修完了後、再診断で解消を確認。

課題

提供している業務システムは10年以上の歴史がある。顧客が500社を超え、扱う給与・人事データの機密性が高まっていた。セキュリティを強化したいと考えていたが、既存システムへの影響を理由に踏み出せずにいた。また、セキュリティの専門知識が社内になく、診断結果の解釈が難しかった。

診断結果

• 認証・セッション管理 危険度 ★★★★☆

  パスワード保存方式の問題

• アクセス制御 危険度 ★★★★☆

  ロールベースのアクセス制限が不完全

• 古いライブラリ 危険度 ★★★☆☆

  複数の脆弱性を含むライブラリの使用

• 設定不備 危険度 ★★★☆☆

  HTTPヘッダーの不適切な設定

対応

既存システムの設計を熟知したセルバのエンジニアが、大規模な変更を避け、実運用への影響を最小化しながら改修。誤検知も精査したうえでレポート化し、同社の経営層にも分かりやすく説明。

課題

公開型のコーポレートサイト（WordPress）と、プロジェクト管理用の内部管理画面（PHP）を並行運用。どちらもセキュリティに不安があったが、外部委託の制作会社から「対応済み」と言われたまま確認していなかった。「どこに頼めば良いのか」「本当にセキュリティは大丈夫なのか」が曖昧な状態だった。

診断結果

• WordPress：プラグイン脆弱性 危険度 ★★★★☆

  古いプラグインに既知の脆弱性

• 管理画面：XSS 危険度 ★★★★☆

  顧客情報入力フォームに出力エスケープ不備

• CSRF対策不備 危険度 ★★★☆☆

  管理画面の重要操作に対策なし

• ファイルアップロード機能 危険度 ★★★☆☆

  制限不十分

対応

WordPress側は既存の機能・デザインを損なわない範囲でプラグイン更新と設定を強化。管理画面はPHPの実装に踏み込み、根本的な改修対応。診断結果と改修方法を分かりやすく説明し、非IT的な経営層の意思決定を支援。