Assetを登録
ダッシュボードで、自社または所属組織が所有・管理する公開Assetを登録します。対象はWebサイト、Webサービス、Webアプリ、APIです。第三者サイト、非公開ネットワーク資産、所有・管理権限のないAssetは登録しないでください。
Secure Gateの使い方
Secure Gateは、利用者が管理する公開AssetのHealthを継続的に確認し、日々の運用判断を支援するSecurity Health Platformです。
所有・管理権限を確認
Asset登録時に、利用者自身が所有・管理権限と利用条件を確認します。所有確認済みでないAssetは、診断およびHealth評価の対象になりません。
診断を開始
登録済みAssetの「診断開始」を押します。診断中は状態更新または自動更新で進捗を確認できます。診断完了結果はHealth評価の入力になります。
今日のHealthを確認
Dashboardの「今日のHealth」で、最新診断結果、Health Score、Band、対応状態、最終診断日時、最終Health確認日時、状態を確認します。診断結果は診断実行時点の検査結果であり、今日のHealthは最新診断結果と対応状態をもとに日次で再評価した現在の運用判断用スコアです。
必要に応じて再診断
指摘を修正した場合やAssetの状態を改めて確認したい場合は、同じAssetを再診断します。日次Health確認は既存の診断完了結果を再評価する処理であり、再診断は行いません。
今日のHealth
「今日のHealth」は、登録済みAssetの現在の安全状態をDashboardで確認するための表示です。
表示する内容
Asset名、Health Score、Band、最終診断日時、最終Health確認日時、状態を表示します。利用者は、公開Assetが現在どの状態にあるかをここで確認します。
表示できない場合
診断完了結果がない、所有確認が完了していない、Health評価に必要な情報が不足している場合はUnknownとして表示します。診断完了結果がない場合は、Dashboardから診断を開始できます。
登録できるAsset
対象
Webサイト、Webサービス、Webアプリ、API。公開トップ、APIのヘルスチェック、認証不要の案内ページ、公開が意図されたAPI仕様ページなど。
対象外
第三者サイト、非公開ネットワーク資産、所有・管理権限のないAsset、管理画面、会員専用ページ、フォーム送信後URL、決済URL。
Healthチェックの見方
Healthチェックは、所有確認済みAssetの最新の診断完了結果を、現在有効なHealth評価基準で評価して表示します。
Health評価基準とは、Health Score、Band、stale判定、Unknown判定を行うための承認済み基準です。利用者向けには「Health評価基準」と表示します。
表示意味次の対応
Healthy大きな指摘が少ない状態です。継続確認してください。
Watch経過観察が必要な状態です。指摘内容を確認してください。
Attention注意が必要な状態です。優先度の高い指摘から対応してください。
Danger危険度の高い指摘がある状態です。公開・継続利用の判断を慎重に行ってください。
Unknown診断完了結果がない、所有確認がない、評価基準を確認中など、Healthを評価できない状態です。表示された理由に従って、診断開始または確認を行ってください。
日次Health確認では、再診断、HTTPアクセス、DNS解決、ポートスキャン、外部Intelligence収集、AI呼出しは行いません。
認証後診断の使い方
認証後診断は、通常診断とは別の機能です。ログイン後に表示される読み取りページを、利用者が用意した一時認証情報で確認します。
認証後診断はEnterpriseプランで利用できます。Starter / Businessプランでは、ダッシュボードに「認証後診断 Enterpriseで利用可」と表示されます。
認証後診断ページを開く
Enterpriseプランの場合、ダッシュボード上部の「認証後診断」から専用ページを開きます。通常診断のURL登録フォームには、認証後URLを入力しないでください。
認証後URLを入力
ログイン後にブラウザで表示されるURLを入力します。例: `https://app.example.com/dashboard`、`https://api.example.com/v1/me`。メールアドレスやログインIDを入力する欄ではありません。
認証方式を選択
通常のWebアプリは「Cookieヘッダ」、APIは「Bearer Token」または「任意HTTPヘッダ」を選択します。Basic認証は、当面は任意HTTPヘッダに `Authorization: Basic ...` を入力して利用します。
一時認証情報を入力
Cookie、Bearer Token、任意HTTPヘッダのいずれかを入力します。認証情報はDBには保存せず、診断中だけ一時的に利用します。
確認事項に同意して開始
対象URLの所有・管理権限、認証情報の利用権限、読み取りURLであること、ログ記録や軽微な負荷が発生する可能性を確認してから開始します。
認証方式の選び方
Cookieヘッダ
ログイン済みブラウザのセッションCookieを使う方式です。通常のWebアプリのログイン後画面を診断する場合は、まずこの方式を使います。
入力例: `session=...; csrf_token=...`
Bearer Token
APIのアクセストークンを使う方式です。対象APIが `Authorization: Bearer ...` を要求する場合に使います。
任意HTTPヘッダ
独自APIキー、組織ID、Basic認証など、任意のヘッダを指定する方式です。1行に1ヘッダを書きます。
入力例: `X-API-Key: ...`、`Authorization: Basic ...`
SAML / OIDC / SSO
Secure Gateは、ID/パスワードを使ったSSOログイン操作を行いません。SAML、OIDC、SSOを利用している場合は、利用者がログイン済みブラウザからCookieヘッダを取得して指定してください。
認証後診断で確認する内容
確認する内容
HTTPヘッダ、Cookie属性、CORS、CSRFトークンらしき要素、フォーム構造、エラー情報、機密情報らしき露出、OpenAPI/GraphQL/security.txt/robots.txtなど。
実行しない内容
ログインフォーム自動操作、フォーム送信、データ更新、削除、決済、設定変更、攻撃型SQLi/XSSプローブ、大量リクエスト、負荷テスト。
診断結果ランクの目安
ランク意味次の対応
A大きな指摘は少ない状態です。公開前後の確認として継続診断してください。
B/C条件付きで利用可能ですが、改善すべき設定があります。medium以上を優先して修正してください。
D/E公開・継続利用前に確認すべき指摘があります。high以上または複数のmediumを優先して対応してください。
指摘事項への対応判断
Secure Gateは、診断対象の公開状態や設定内容から、確認すべき事項を提示します。ただし、すべての指摘事項について、必ず修正しなければならないという意味ではありません。
修正する（許容しない）か、修正しない（許容する）かは、各事業者様のシステム特性、業務影響、運用方針、リスク許容度に基づいてご判断ください。
修正する場合は、対応後に再診断して状態をご確認ください。修正しない場合は、許容理由や判断根拠を対応欄に記録してください。対応欄は、社内説明、監査対応、継続確認のためのメモとしてご活用いただけます。
対応状況・対応メモは、保存後にPDF/CSVへ反映されます。対応内容をレポートに含める場合は、対応欄を保存した後にPDFまたはCSVを出力してください。
APIで使う場合
自動診断や外部システム連携ではAPIキーを発行して利用します。APIキーは一度しか表示されないため、安全な保管先に保存してください。
FAQ・困ったとき
問い合わせ先: secure-gate_app@tikeiplan2022.com
診断対象の情報は外部の生成AIサービスへ送信されますか？
Secure Gateは、診断対象の情報を外部の生成AIサービスへ送信しません。診断は、Secure Gate内の診断エンジンにより実行されます。
診断エンジンは何を確認しますか？
診断エンジンは、定義済みの診断項目、判定基準、重大度ルールに基づいて、レスポンス、HTTPヘッダ、エラー情報、認証・認可の状態、機密情報の露出などを確認します。
Secure Gate APIを使うと生成AIサービスへ送信されますか？
Secure Gate APIは、利用者または利用者システムがSecure Gateの診断機能を利用するためのAPIです。Secure Gate APIを利用しても、診断対象情報が外部の生成AIサービスへ送信されることはありません。
診断対象情報はAIモデルの学習に使われますか？
Secure Gateは、診断対象情報をAIモデルの学習目的で利用せず、第三者の生成AIサービスへ学習目的で提供することもありません。
queuedのまま進まない
しばらく待っても変わらない場合は、診断を中止して再実行してください。管理者はworkerの稼働状況を確認してください。
timeoutになる
対象URLがログイン必須、応答が遅い、リダイレクトが多い、外部から到達しづらい可能性があります。公開入口URLまたはヘルスチェックURLを指定してください。
危険サイト判定が出る
短時間に同一URLへ操作を繰り返すと、ブラウザや外部サービス側で一時的に警告される場合があります。その場合、ブラウザのキャッシュクリア後、ブラウザを終了/起動してください。それでも続く場合は上記の問い合わせ先へお問い合わせください。