Adobe Commerce / Magento Open Sourceセキュリティ診断

Adobe Commerce / Magento Open Sourceで構築したサイトに対し、脆弱性などの問題がないかどうか、セキュリティ診断を実施します。

このサービスでは、お使いのAdobe Commerce / Magento Open Sourceをベースとしたサイトに対し、以下の脆弱性などの発見を目的としたセキュリティ診断を実施します。
（本サービスは独立行政法人 情報処理推進機構セキュリティセンターが配布する「Web健康診断仕様」を元に診断を行います）

• クロスサイトスクリプティング
• SQLインジェクション
• クロスサイトリクエストフォージェリ
• ディレクトリトラバーサル
• セッションハイジャック

REST APIやGraphQLに関する診断も可能です。
事前にご相談ください。

サービスの流れ

1. 当サイトからのお申込み

   当サイトからサービスのお申し込みをお願い致します。
   お申し込みに際しましては、このページに記載しております、免責事項をよくお読みください。

2. 弊社からのご連絡

   お申込の受け付けを弊社で確認した後、弊社の担当者よりお客様宛てにご連絡を致します。ご連絡は弊社営業日内にて行いますので、土日・祝日・年末年始等はお急ぎの場合誠に申し訳ございませんが、数日お待ち頂く場合がございます。

3. 診断対象サイト・日程の決定

   弊社の担当者と、診断対象となるサイトや診断実施日程の調整を行っていただきます。
   診断作業は原則としてお客様の連絡が取りやすい時間帯に実施いたします。
   なお、夜間・休日の診断作業については、別途時間外費用が必要になります。

4. 診断の実施

   診断日程に基づき、診断作業を実施いたします。
   作業の開始1時間前、ならびに作業の終了後にはお客様のメールアドレス宛に、担当者よりご連絡を致します。
   診断にかかる日数は、通常1日となっています。 

5. レポートのご送付

   診断結果を取りまとめたレポートをお客様宛てにお送りいたします。通常、1〜2日程度でお届けいたします。
   レポートは原則電子データ（PDF）にてお送りいたしますが、紙面での送付をご希望の方は、サービスのお申込時にオプションサービスをご指定ください。
   英文でのレポートをご希望の場合は、サービスのお申込時に、オプションサービスをご指定ください。なお、英文をご希望される場合は、日本語のみの場合よりもご送付までの日数が2倍程度必要となります。 

6. （オプションサービス）診断結果の報告会の開催

   サービスのお申込時に、オプションサービスの診断結果報告会をご選択頂いたお客様には、オンサイトでの報告会を開催させていただきます。
   日程につきましては診断終了後に担当者とご調整ください。 

免責事項について

1.診断作業実施に伴い発生した障害への対応

本サービスの作業実施に関しては、作業を実施する日時・アクセス元IP・作業の手順を予めお客様と共有させていただきます。これにより連絡の不備による無用の混乱・人的ミスによる障害の発生を未然に防ぎ、万全の体制を整えた上で作業に取り組むよう努めます。
そのため、ネットワークやサーバーに対する障害の発生は極めて低くなる、と弊社では考えております。しかしながら万一の障害が発生した際は、迅速にお客様にご報告を行い、可能な限りの対応を致します。
お客様におかれましては、本サービスお申込みに際し、障害発生時の窓口ご担当者様を決定いただきまして、お申込み後に弊社へのご連絡をお願い致します。また、ご担当者様は可能な限り診断実施時間中のご在席をお願い致します。

2.診断結果の完全性に対する免責

診断結果については、診断終了後も永続的にその内容を保証し続けるものではありません。
Webサイトを運用するサーバーの環境や、Webサイトを標的とした攻撃手法は日々変化を続けており、現在の対策が永続的に有効である保証はありません。
従いまして、本サービスの結果で診断対象サイトに脆弱性が見つからなかったとしても、その安全性は将来にわたって確実なものではありません。
診断結果については、診断終了時点での状況をご報告するものであり、その後の状況の変化によって貴社サイトが攻撃を受け、損害を被ったとしても弊社はその被害額に対する保証や、診断費用の返却には応じることはできかねます。

3.関連事業者への事前通知のお願い

診断対象となるWebサイトを運用しているサーバー事業者やご使用されている回線事業者がウイルスチェックや侵入検知、迷惑行為を防止するための防護措置を行っている場合には、これらの業者に診断を行う旨を通知しておいて頂く必要がありますので、予めご了承ください。
また、通知を行ってもなお関連事業者側が難色を示す場合は、弊社にて有償対応の上、診断環境の構築を行うことが可能です。この場合、サイトの構造によっては診断できる範囲に制限が生じる可能性があります。
診断が行えなかった範囲については、その箇所に脆弱性が存在したとしても、診断対象外の領域となります。予めご了承ください。

4.サービス除外項目について

本サービスは以下の項目は含みませんので、予めご了承ください。

• 診断結果に基づく、発見された脆弱性の対策
• 業務関係者の故意・過失を原因とする脆弱性の診断
• Adobe Commerce / Magento Open Source以外の診断

診断項目に示した技術的セキュリティのみが対象となります。
また、たとえAdobe Commerce / Magento Open Sourceと同一のサーバー上で運用されていたとしても、他のWebアプリケーション・システムは診断対象外となります。
同様に、外部システムと連携する部分においても診断対象外となります。

5.対策方法の保証について

対策方法は一般的な構成のAdobe Commerce / Magento Open Sourceにおけるものであり、特定のバージョンやカスタマイズ状況によっては対策方法が異なることがあります。

6.診断内容の公開の禁止について

診断ご報告書の一般公開はお控えください。
なお、社内のセキュリティ対策やセキュリティ向上のために使用すること、Webサイトを構築した業者へのセキュリティ対策を依頼するための資料として使用することは除外します。