セキュリティテストを実行する

初期設定を入力し、設計書とテストケースを取り込んでから進めます。作業者の PC の環境チェックで、使うツールを確認してください。

利用できるツールは ZAP・Opengrep・Trivy・Gitleaks・Checkov・Checkmarx One です。用途とインストール先は ツール一覧 を参照してください。

環境チェックの表示例です。利用する種類に必要なツールを、自分の PC で確認してください。

1. 調べる対象とツールを決める

ZAP を使う場合は、テスト対象が起動し、この PC からアクセスできることを確認します。Checkmarx One は CLI の導入に加えて契約と認証設定が必要です。

2. 方法を選んで実行する

1. 「テストケース」でセキュリティの仕様書を開きます。
2. 「テストの方法を選ぶ」で「編集」を押し、「システム：セキュリティ」を選びます。
3. 調べる対象に合ったツールを選び、「登録」を押します。
4. データとコードの作成は不要です。「テストを実行する」に進みます。
5. 対象と診断範囲を確認し、「テスト実行」を押します。

3. 指摘を確認する

1. ケースの状況と「直近のツール実行結果」を開きます。
2. 日本語の PDF レポートやツールの出力を開きます。
3. 指摘された箇所、深刻度、実際の影響を確認します。
4. 修正が必要な項目は Issue 化し、修正後に同じ対象を再検査します。

指摘がないことだけでシステム全体の安全性を判断せず、今回のツールが確認した対象と範囲も報告します。

ケースの判定と再テスト

AI のケース判定、AI なしの全体判定、判定不能の違いは システムテストの共通事項 で確認します。

失敗したケースは テスト不具合を Issue 化する 手順へ進みます。修正後は同じケースを再テストし、第 2 回・第 3 回の変化を ダッシュボード で確認します。

レポートを開いて確認する

1. 実行した仕様書の「直近のツール実行結果」を開きます。
2. 「レポート」の目のアイコンを押します。
3. 危険度と指摘された箇所を読み、開発担当者に修正や追加調査を依頼します。指摘の件数だけで合否を判断せず、今回の基準と照らし合わせます。
4. 共有する場合は、右側のダウンロードボタンで保存します。

画面の履歴・ケースは説明用サンプルです。添付ファイルはローカルのサンプルを対象にした実行結果で、製品や実運用環境の品質を示すものではありません。

以下は「レポート」を開いたPDF画面です。ページを切り替えて、判定の根拠や詳細を読みます。