攻撃者に先んじて、すべての脆弱性を発見しましょう。

特に役立つのは以下の3点です。テスト対象の資産を明記した明確なスコープ文書、可能な限り本番環境から隔離されたテスト環境（本番環境がテスト対象に含まれる場合はメンテナンスウィンドウ）、そしてプロジェクト期間中に質問に対応できる社内の担当者です。Web3の場合は、テスト対象のリポジトリのコミットハッシュとデプロイ先アドレスを共有してください。AI/LLMシステムの場合は、システムのプロンプトとRAGソースを共有してください。初回打ち合わせの後、スコープ確認用のチェックリストをお渡しします。

ほとんどのプロジェクトは、開始から完了まで2～4週間かかります。単一のアプリケーションのみを対象とする小規模なプロジェクトであれば、1～2週間で完了する場合もあります。複雑なマルチ環境プロジェクト（Web＋API＋クラウド＋AD）の場合、通常、3～4週間のテスト期間を経て、その後3～5日間のピアレビューと結果のまとめが行われます。スマートコントラクトの監査については、期間ではなくコードの複雑度に基づいて範囲が設定されますが、お見積もりでは両方を提示いたします。

スコープ定義、4名の監査人の基本作業時間、ピアレビュー、および報告書作成をカバーする固定基本料金に加え、重大度（重大／高／中／低／参考、CVSS 3.1）に応じて重み付けされた発見事項ごとのボーナスが適用されます。 ボーナス体系は見積書に記載されていますので、上限額を想定することができます。実際には、すべてのコードベースに中程度および低程度の不具合が多数存在するわけではないため、契約額は通常、上限額の10～30％下回る傾向にあります。また、当社の価格計算ツールを使用して、目安となる範囲を確認することも可能です。

Webおよびインフラストラクチャについては、PTES（Penetration Testing Execution Standard）およびOWASPテストガイドを基本とし、必要に応じてMITRE ATT&CKを用いて攻撃者の行動を模倣します。 モバイルについては：OWASP MASVSおよびMSTG。APIについては：OWASP APIセキュリティ・トップ10。スマートコントラクトについては：SWC Registry、Trail of Bitsの『Building Secure Contracts』、および当社の社内Web3チェックリストを組み合わせたハイブリッド方式。AI/LLMシステムについては：OWASP LLMトップ10およびMITRE ATLAS。適用される方法論は、契約書および最終報告書に記載されています。

はい。当社の報告書は、ISO 27001認証機関、SOC 2監査法人、PCI QSA、およびDORA監督当局が受け取りを想定している形式に基づいて作成されています。報告書には、エグゼクティブサマリー、調査方法、調査範囲、CVSSスコア付き調査結果と是正措置の指針、証拠資料の付録、および完了項目の再テストによる検証結果が含まれています。担当の監査機関から特定の書式要件が提示された場合は、スコープ策定の段階でその旨をお知らせいただければ、対応いたします。

はい、予備報告書発行から30日以内に是正措置を講じて再提出された不具合については対象となります。再テストは、報告された問題が解決されたかどうかを具体的に確認するものであり、新たなエンドツーエンドのテストを実施するものではありません。当初のテスト以降に新機能が導入され、その機能のテストを希望される場合は、不具合1件あたりのボーナス料金（固定基本料金は適用されません）に基づくスコープ拡張となります。

はい、標準的なペネトレーションテストとは別物です。レッドチーム・プロジェクトは、脆弱性に焦点を当てたペネトレーションテストと比較して、対象範囲が異なり、実施期間が長く（通常4～8週間）、成果物の重点も異なります（ブルーチームの検知・対応能力の検証）。特にDORA TLPTおよびTIBER-EUのプロジェクトについては、当社の「脅威主導型テスト概要書」をご請求ください。

数週間ではなく、数時間以内に貴社の担当窓口へエスカレーションされます。重要な発見事項については、最終報告書が完成するまで放置することはありません。再現手順と即時の是正措置の推奨事項を記載した暫定報告書をお送りしますので、テスト期間が終了する前に貴社のチームが対応を講じることができます。