診断項目の選定について

選定の基本方針

Webサイトを取り巻くリスクや技術の変化を踏まえ、次の5つの考え方に基づいて検査項目を選定しています。

1. 1

   方針1：安全な運用につながる基本的な設定を確認する

   HTTPSによる通信、証明書、セキュリティ関連の設定など、Webサイトの管理者が状態を把握し、必要に応じて改善を検討できる項目を中心に確認します。

   
2. 2

   方針2：Webサイトに不必要な負荷をかけない

   通常のWebアクセスで確認できる範囲を基本とし、侵入の試行、脆弱性を悪用する検証、大量のリクエストなどは行いません。

   Webサイトに過度な負荷をかけない方法で診断します。

   
3. 3

   方針3：攻撃に利用される可能性のある情報を不用意に公開しない

   誰でも利用できる簡易診断では、確認できた状態を中心に表示し、攻撃の手掛かりとなり得る詳細な技術情報の公開を制限します。

   具体的な設定状況や確認根拠は、サイトの管理権限を確認した利用者向けの詳細診断で提供します。

   
4. 4

   方針4：確認できないことを断定しない

   外部から取得できる情報には限界があります。

   設定が確認できなかった場合でも、直ちに危険と判断することはありません。

   また、診断で問題が見つからなくても、Webサイト全体の安全性を保証するものではありません。

   
5. 5

   方針5：診断項目を継続的に見直す

   Webサイトを取り巻く技術やセキュリティ上のリスクは、日々変化しています。

   新たな脅威や技術の変化、セキュリティに関する知見などを踏まえ、診断項目や判定基準を継続的に見直します。

   その結果、診断項目の追加・変更・削除や、判定方法の変更を行う場合があります。

   また、診断による負荷や情報公開のリスクが適切でないと判断した項目については、提供を制限または終了することがあります。