セキュリティ診断見積書

進め方の例

1. 範囲と数量の確認

   例：「脆弱性診断」から必要な数量と顧客支給の資料を確認し、項目ごとの完了基準を合意します。

2. 見積書の確認と承認

   「改善計画書」の検収方法と全項目の数量、対象外の範囲、見積書の有効期限を顧客と確認し、承認された版を保管します。

3. 納品後の請求準備

   合意したテスト結果と設定資料を引き渡し、未完了項目の担当者を記録します。 合意した段階が完了したら、実際の数量と承認された変更内容で請求書を作成します。

記載する項目

納品物と作業項目

脆弱性診断, ペネトレーションテスト, 改善計画書：各項目の予定数量と納品範囲を記載します。

脆弱性診断

「Webアプリケーション2件、外部IPアドレス40個」のように対象の数と種類、診断の方法を書きます。

ペネトレーションテスト

テストの日数、ブラックボックスやグレーボックスといった手法、顧客のIT部門と合意した実施時間帯を書きます。

改善計画書

深刻度順の指摘事項と修正計画など報告書の内容と、修正箇所の再検査1回を含むかを明記します。

対象環境と依存項目

対象システム、連携の数、データ量、テスト用アカウントの提供担当者を記録します。

検収と支援の範囲

通過すべきシナリオ、確認期間、引き継ぎ後の支援期間と対象外の作業を決めます。

具体的に確認する範囲

検査を許可する対象、実施する時間帯、提供されるアカウントの範囲、脆弱性の再検査回数を書面で決めます。

送付前の確認事項

• 「脆弱性診断」に、含む範囲と価格の前提となる数量を書いていますか。
• 取引先は「ペネトレーションテスト」を、含まない範囲まで同じ意味で読めますか。
• 「改善計画書」の価格を、見積の有効期限の最終日まで守れますか。