SBIリクイディティ・マーケットのFX取引システム全7サイトを診断、SynXが脆弱性診断とペネトレーションテストの導入事例を公開

株式会社SynXは、SBIリクイディティ・マーケット株式会社が運営するFX取引システムを対象に実施した、脆弱性診断とペネトレーションテストの導入事例を公開した。対象はFX取引システムの全7サイトで、Webアプリケーション診断に加え、Webとネットワークの両面からペネトレーションテストを行った。

SynXは東京都千代田区に本社を置き、代表取締役は西 潤一郎氏。東京証券取引所プライム市場に上場するポールトゥウィンホールディングス株式会社（証券コード：3657）が、同社の株式の100％を保有している。SynXは、開発・QA・ITインフラ・セキュリティを統合したサービス「SynX One」を展開しており、サイバーセキュリティ分野ではWebアプリケーション診断、ネットワーク診断、クラウド診断、IoTペネトレーションテストなどを提供している。

同じベンダーの診断を続けることで生じる「見落とし」のリスク

FX取引をはじめとする金融サービスのシステムは、利用者の金融取引を支えるミッションクリティカルなシステムだ。そのため、高い水準のセキュリティ確保が求められる。

一方、同じベンダーによる診断を続けていると、着眼点や手法が固定化しやすく、見落としが生まれるリスクも否定できない。SynXは、継続的にセキュリティを強化するには、定期的な診断に加えて、異なる第三者の視点を取り入れることが重要だとしている。

SBIリクイディティ・マーケットがサービスを選ぶうえで重視したのは、全7サイトという対象範囲全体を漏れなくカバーできるかどうかだった。これまでの診断で対応しきれていなかった範囲まで含めて診断できる点が評価され、SynXへの依頼につながった。今回の取り組みの概要は次のとおり。

• 対象：FX取引システム 全7サイト
• 診断内容：Webアプリケーション診断、Webペネトレーションテスト、ネットワークペネトレーションテスト
• 実施プロセス：事前調査（クローリング）、Webアプリケーション診断、ペネトレーションテスト

網羅的な洗い出しから段階的な診断、速報共有まで

1つ目の特徴は、本格的な診断に先立って無償で実施した事前調査「クローリング」だ。診断員が実際にWebアプリケーションへアクセスし、画面操作で発生する通信を収集することで、診断対象を漏れなく一覧化する。この工程により、次のような効果につながっているという。

• 診断対象範囲を漏れなく洗い出し
• 対象の抜け漏れによる診断ミスを防止
• 明確化した対象への本格的な診断が可能に

2つ目は、脆弱性診断からペネトレーションテストへと段階を踏んだ進め方だ。まずWebアプリケーション診断の評価結果をもとに対策を実施し、そのうえで、より堅牢になったシステムに対してペネトレーションテストを行うことで、段階的にセキュリティレベルの向上を図った。3つ目は、重大度の高い課題を正式な報告書を待たずに速報として共有した点で、これにより早期の対応につなげている。

「これまで発見できなかった新しい脆弱性」を指摘

SBIリクイディティ・マーケットの担当者によると、同社がSynXの脆弱性診断・ペネトレーションテストサービスを利用したのは今回が初めて。それまでは別ベンダーの診断を活用していたが、これまで発見できなかった新しい脆弱性を指摘され、改善対応につなげることができたという。診断開始から最終報告まで非常に丁寧な対応で、技術力の高さを感じたとも述べている。さらに同担当者は、フロンティアAIの進歩によってシステム脆弱性の脅威が高まり、脆弱性対応の難易度も高度化することが予想されるとして、今後もSynXとの情報交換などを通じてシステムのセキュリティレベル向上に取り組んでいきたい考えを示した。

SynXは今後も、金融機関をはじめとするミッションクリティカルなシステムを運営する企業に向けて、脆弱性診断とペネトレーションテストを組み合わせたセキュリティ診断サービスを提供していく方針だ。事前調査による診断対象の網羅的な洗い出しから、段階的な診断の実施、重大な課題の早期共有まで、顧客の状況に応じた診断体制を整えており、第三者の視点を取り入れた継続的なセキュリティ強化を支援することで、安全な金融サービス基盤の実現に貢献するとしている。取り組みの詳細は、同社ホームページの事例ページで紹介されている。

出典：SynX