Webアプリケーションの脆弱性診断は、自動診断ツールを使った脆弱性診断だけでは十分な診断結果が得られず、手動診断を併用することが望ましいと考えられています。 とはいえ、手動診断は脆弱性診断士の経験やスキルによる診断能力の差違が生じてしまっているのが現状です。 そこで、脆弱性診断士スキルマッププロジェクトでは、最低限必要な診断項目や手順を定義することで、一定レベルの手動診断による脆弱性診断を行うことができるようになるための、「Webアプリケーション脆弱性診断ガイドライン」を公開しています。

脆弱性診断士スキルマッププロジェクト

Webアプリケーション脆弱性診断ガイドライン

Excel版

PDF版

「Webアプリケーション脆弱性診断ガイドライン」では、診断を実施すべき脆弱性に対して、「診断方法」、「ペイロード・検出パターン」、「脆弱性がある場合の結果」、「脆弱性がない場合」等の観点で脆弱性の診断方法について詳細に説明されています。

そのため、手動診断の初学者であってもわかりやすく、また、最低限の診断レベルを担保できるものと考えられます。 なお、「Webアプリケーション脆弱性診断ガイドライン」は、「脆弱性診断士」における「脆弱性診断士（Webアプリケーション）」区分における「Silver」ランクで要求される内容が定義されています。各ランクで求められるスキルの定義は以下のとおりです

Silverランク

Gold ランクの者から指導を受けた上で診断サービスを提供する、もしくは、自社向けに脆弱性診断を実施するための必要スキル

Gold ランク

業務としての脆弱性診断サービスを提供するチームにおいて、最低限1名以上メンバーに加えるべきスキル