株式会社FAcraft様は、愛知県に本社を置き、製造業の設備保全DXを推進する企業です。現場に蓄積された故障記録・設備資料・熟練者の暗黙知を一つの設備ナレッジとして統合し、AIチャットで活用できる設備保全支援SaaS「Fixey」を開発・提供しています。 

以下、株式会社FAcraftご担当者様のコメント

スピードを止めない開発を支える脆弱性診断の導入背景 

私たちはスタートアップとして、限られた人員とリソースで開発を進めており、機能追加や改善のためのリリースを高い頻度とスピード感で繰り返しています。そのため、変更を重ねるたびに新たな脆弱性が生じていないかを検証し、テストを精度高く実施し続けるための仕組みを必要としていました。

開発のスピードを止めずにシステムの安全性を保ち続けることが、当時の大きな課題でした。そこでWebアプリケーションの脆弱性診断サービスの導入を検討し始め、高い頻度で自動診断を実施できる形が私たちの課題に合っていると考え、本格的に導入を検討しました。

開発を止めず継続診断できる運用性が決め手に 

ネットde診断 for Webアプリに決めた理由は、脆弱性診断を一度きりのイベントで終わらせず、開発チーム自身が継続的に実行できる点です。診断結果を確認しながら修正し、再診断で対応状況を確かめるサイクルを回しやすいことも大きな選定ポイントでした。外部の専門会社へ都度依頼する方式と比べ、開発の進行を止めずに日常の開発や改善活動へ組み込みやすく、必要なタイミングで診断できる運用性を評価しました。 

また、GMOサイバーセキュリティ byイエラエが、ツール診断だけでなく専門家による手動診断やペネトレーションテストまで幅広く提供している点も安心材料でした。未知の脆弱性を発見し、CVEの取得・公開につなげてきた実績からも高い技術力と知見を持つ企業だと感じ、高度な診断が必要になった際にも一貫して相談できる総合的なサポート力を評価しました。

検出から再診断までを一つの改善サイクルとして運用 

導入後は、日常的に脆弱性診断を行える環境が整いました。これにより、リリース前後の確認を担当者の知識やスポット対応だけに頼るのではなく、同じ観点で繰り返し点検し、検出・修正・再診断までを一つの改善サイクルとして運用しやすくなりました。

また、ダッシュボードから簡単に診断の実行や結果の確認を行えるため、専門知識がないメンバーでも取り組みやすく、特定の担当者だけに依存しない運用へ移行しやすくなりました。開発メンバー全員が必要なタイミングで状況を確認し、検出された内容をもとに修正と再診断のサイクルを回せることで、脆弱性対応を一部の専門担当だけの業務ではなく、チーム全体で取り組む開発プロセスの一部として定着させやすくなったと感じています。

月35回の診断と再現スクリプトが開発を後押し 

特に良かった点は、月35回まで診断を実行できるため、必要に応じて毎日のように確認できることです。定期的な診断に加え、機能追加や修正の直後にも実行しやすく、脆弱性を早い段階で発見し、再診断まで素早く進められます。

また、診断結果のレポートには、検出内容の説明だけでなく、再現や検証に利用できるPythonスクリプトが掲載されている点も助かっています。開発メンバーが手元で挙動を確認し、原因の理解から修正、対応後の検証まで進めやすいため、診断結果を具体的な開発アクションへつなげやすいと感じています。

開発環境との連携と検出精度のさらなる進化に期待 

CI/CDツールや課題管理ツール、チャットツールなど、日常的に利用している開発環境との連携がさらに充実することを期待しています。診断の開始や完了、重要な指摘を開発チームへ自動で共有し、そのまま修正タスクとして管理できるようになると、診断から対応までの流れがよりスムーズになります。

また、今後も新たに発見される脆弱性や攻撃手法を継続的に反映し、診断対象と検出精度をさらに向上していただくことを期待しています。

ネットde診断 for Webアプリ 開発チームからのコメント 

いただいたご要望について、ネットde診断 for Webアプリでは、Slack・Teams等の各種コミュニケーションツールへの通知機能の実装を検討しています。その他の機能についても、使いやすさの向上に向けて随時検討を進めています。引き続き、皆様に継続的にご活用いただけるよう、機能の拡充に取り組んでまいります。