診断で指摘された弱点は、なぜ直りきらなかったのか GMOの件から考える、指摘を台帳にしてClaude Codeで追いかける方法

GMOが11月2日に開いた記者会見で、もっとも重く受け止められたのは、事件の前に弱点が指摘されていたことでした。2024年に、グループ会社でセキュリティ診断を仕事にしているGMOサイバーセキュリティ byイエラエが、「お名前.com デスクトップクラウド」の課題を指摘していました。熊谷正寿代表は、これを事実と認めています。

会見のまとめによると、指摘を受けて、その年の4〜5月に4回の緊急メンテナンスが行われました。それでも対応は「深さと速さの両面で不足していた」と副社長が述べています。その後、同じサービスをもう一度診断して、直ったかどうかを確かめることもしていませんでした。

GMO熊谷代表会見の要点まとめ(ITmedia ビジネスオンライン)イエラエの事前指摘はなぜ放置されたか(@IT)

itmedia.co.jp

この記事では、脆弱性診断(専門の会社が、システムに弱点がないかを外から調べるサービス)の指摘に、どう対応すれば「直したつもり」で終わらないかを考えます。大きな会社だけの話ではありません。指摘を受け取ったのに、どこかで止まってしまうことは、小さな会社でも起こります。11月4日時点の情報です。

指摘はどこで止まったのか

会見での発言を私なりに整理すると、反省点は3つです。

安定稼働や機能開発など、ほかの仕事との優先順位の中で、危なさを軽く見積もった
4回のメンテナンスで対応できたと思い込んだ(副社長が「最大の反省点」と述べた点)
どんな弱点なら取締役会に上げるか、数字で決めた基準がなく、その都度判断していた

3つとも、技術の問題というより、指摘を受け取ったあとの扱い方の問題です。診断の報告書は、受け取った時点ではただの紙です。誰が、いつまでに、どこまで直し、直ったことを誰が確かめるかが決まって、はじめて意味を持ちます。

指摘を台帳にする

私がすすめたいのは、診断の指摘を1件ずつ、表にして管理することです。表の列は、たとえば次のようにします。

指摘の番号と、短い要約
危なさの度合い(診断会社が付けた重要度)
担当する人
直す期限
どう直したか
直ったことを確かめた日と、確かめた人
経営に報告したかどうか

大事なのは、最後の2つです。「直した」と「直ったことを確かめた」を、別の列にします。GMOの件で抜けていたことの1つが、この確かめ直しでした。重要度が高いものは経営に報告する、と先に決めておけば、報告するかどうかを毎回その場で判断せずに済みます。

Claude Codeで台帳を作る

診断の報告書は、PDFで数十ページになることもあります。これを表に起こす作業は、Claude Code(AIに頼んでパソコンの作業を手伝ってもらえる道具)に任せられます。報告書を作業用のフォルダに置き、そのフォルダでClaude Codeを起動して、CSV(Excelで開ける表のファイル)にしてもらいます。Claude Codeを入れたことがない人は、先にインストールの記事を読んでください。

このフォルダにある診断報告書を読んで、指摘を1件ずつ、CSVの表にしてください。列は「番号、要約、重要度、該当する場所、報告書の推奨対策」です。報告書に書かれていないことは推測で埋めず、空欄にしてください。

Claude Codeは、10ページを超えるPDFを何回かに分けて読みます。そのための道具が入っていないと止まることがあるので、そのときは「PDFを読むのに必要な道具を入れて」と頼めば、入れ方を案内してくれます。読み終えたら、表の件数が報告書の指摘の件数と合っているかを確かめてください。分けて読むと、読み落としが出ることがあります。

できあがった表に、担当者や期限の列を足して使います。Excelで表を扱う手順は、別の記事にあります。

Excel作業をAIで自動化する手作業30分がClaude Codeで3分に

毎週のExcel作業を手作業で30分かけていた筆者が、Claude Codeで3分に短縮するまでの過程をまとめました。具体的な指示文、失敗したパターン、うまくいった手順を記録。

Claude Codeラボ

なお、診断の報告書は、自社の弱点そのものが書かれた資料です。AIのサービスに渡してよいかは、社内の決まりと、診断会社との契約を先に確かめてください。

期限が近いものを毎週確かめる

台帳を作っても、見なくなれば同じことです。私は、週に1回、Claude Codeに次のように頼むようにしています。

台帳のCSVを読んで、期限が過ぎているもの、期限まで2週間を切ったもの、「直した」のに「確かめた日」が空のものを、一覧にしてください。

私は診断会社の報告書を受け取る立場ではありませんが、このメディアのサイトを動かしているソフトの更新(古い版のままだと弱点が残るもの)を、同じ形の台帳で管理しています。始めてみてすぐ、「更新した」と書いたのに、実際に公開しているサイトで新しい版になっているかを確かめていない行が3つあるのに気づきました。手を動かした記憶があると、確かめたつもりになります。