WIDSLEY / VULNERABILITY ASSESSMENT

脆弱性診断報告書
構成サンプル

診断結果を、判断と修正につなげるために。

この文書はすべて架空の内容です。
実際の顧客・診断結果・実績・安全性を示すものではありません。提供する報告書の構成を確認するためのデザインサンプルです。

01 / エグゼクティブサマリー

診断で確認したリスクと事業への影響、推奨する対応順を記載します。個々の指摘の技術的な深刻度に加え、データの機密性、公開範囲、業務上の影響を整理します。

指摘ID	指摘事項の例	対応の考え方
DEMO-01	顧客データへのアクセス権限の不備	他利用者の情報が閲覧される可能性を想定し、優先対応

優先度は説明のための例です。実際は合意した評価基準と確認結果に基づいて決定します。

対象機能	ログイン、顧客一覧・詳細、顧客情報APIなど。実際の報告書では対象URL・機能・APIを列挙します。
権限・環境	一般利用者、管理者、異なる所属企業の検証アカウントなど。利用した環境・構成を明示します。
方法・観点	適用する診断観点と、自動診断・手動確認・コード確認など実施した方法を記載します。
対象外・制約	未提供のAPI、確認できなかった権限、対象外の外部サービス、侵入試験・負荷試験の除外などを明示します。

診断結果は、合意した期間・環境・範囲における確認結果です。未確認の領域や将来の変更を含む安全性を保証するものではありません。

優先対応 / 架空の指摘

想定する事象: ログイン済みの一般利用者が、自身に閲覧権限のない顧客レコードを取得できる。
想定される影響: 顧客の氏名・連絡先などが、本来閲覧できない利用者に開示される可能性。
原因の例: サーバー側で、操作した利用者と対象データの所属・閲覧権限の照合が不足している。
証跡・再現条件: 実際の報告書には、利用した検証アカウントの権限・対象・確認結果を記載。個人情報や認証情報は必要な範囲でマスキングします。本サンプルには実データ・実通信は含まれません。
修正方針: サーバー側で対象データごとに所属・アクセス権限を確認し、権限のない要求を拒否する。正常な利用への影響も確認する。

修正内容と対象バージョンを確認し、合意した指摘事項について解消を検証します。修正が行われた事実と、再診断で確認した結果を分けて記録します。

指摘ID	再診断の観点	本サンプルの状態
DEMO-01	権限のない利用者によるデータ取得が拒否され、正当な利用者の操作は維持されるか。	未実施

実際の報告書では、対応済み・残存・確認不可などを区別し、再診断日と確認条件を記載します。