SCOPE OF DIAGNOSIS

Security Check診断実施条件

本診断実施条件は、株式会社CROSYSが提供する「BASYS Security Check」の標準診断範囲、実施方法、成果物および制限事項を定めるものです。

本診断実施条件は「BASYS Security Check 利用規約」とあわせて適用されます。

第1条（診断対象）

  1. 標準診断の対象は、WordPressで構築されたWebサイト1件です。
  2. 複数サイト、複数の独立したWordPress環境、大規模なカスタムシステム、特殊なサーバー構成等は、別途見積もりとなる場合があります。
  3. WordPress以外のシステムについては、標準診断の対象外とし、必要に応じて個別にご相談を承ります。
  4. 調査は、お客様が正当な権限または許可を有するサイトに限り実施します。

第2条（標準調査項目）

本サービスでは、以下の11分野について、取得可能な情報およびお客様から提供いただいた情報をもとに確認します。

調査分野主な調査内容
PHPバージョン、サポート期限、主要設定、更新に関する推奨事項
WordPress本体バージョン、更新状況
プラグイン導入一覧、バージョン、更新状況、確認可能な既知の脆弱性
テーマ使用テーマ、バージョン、更新状況、確認可能な既知の問題
HTTPS・SSLHTTPS接続、HTTP転送、証明書、確認可能なTLS設定
HTTPヘッダーHSTS、CSPその他の主要なセキュリティヘッダー
WordPress基本設定更新設定、ユーザー権限、その他の主要設定
ログイン保護二要素認証、ログイン試行制限等の導入・設定状況
バックアップバックアップ機能、取得方法、確認可能な運用状況
サーバー環境PHP設定、主要拡張機能、確認可能なWAF等の設定
総合評価発見事項、重要度、改善優先順位、推奨する対策

各分野について、確認できた事実、確認できなかった事項および推奨する対策を区別して報告します。

調査対象の構成や権限によっては、すべての項目を確認できない場合があります。

第3条（調査方法）

調査は、必要に応じて以下の方法を組み合わせて行います。

  1. 対象Webサイトの公開情報の取得・確認
  2. 当社が提供する診断用WordPressプラグインによる情報収集
  3. お客様から提供いただく情報の確認
  4. 公開されている脆弱性情報や公式サポート情報との照合
  5. 当社担当者による調査結果の確認・評価

診断用プラグインの設置および実行は、お客様の承諾を得たうえで行います。

第4条（診断用プラグイン）

  1. 診断用プラグインは、原則として調査に必要な情報の読み取りおよび送信を目的とします。
  2. 標準診断では、プラグインによるWordPress本体、プラグイン、テーマまたはサーバー設定の自動修正・自動更新は実施しません。
  3. 収集対象は、PHP・WordPress・プラグイン・テーマ等のバージョン情報、設定状態、関連する診断情報など、調査に必要な範囲に限定します。
  4. パスワード、秘密鍵、認証トークン、データベース接続情報、投稿本文、顧客データ等は、原則として収集対象としません。
  5. 収集した情報は、HTTPSによる暗号化通信を通じて当社管理環境へ送信する場合があります。
  6. 診断完了後は、原則として診断用プラグインを無効化・削除します。
  7. プラグインの設置・実行によって予期しない不具合が認められた場合は、状況を確認し、必要に応じて診断を中断します。

第5条（お客様の協力事項）

お客様には、必要に応じて以下へのご協力をお願いします。

  1. 診断対象サイトおよび管理権限の確認
  2. WordPressへの診断用プラグインの設置・実行
  3. バックアップやサーバー設定等についての情報提供
  4. 診断完了後のプラグインの無効化・削除
  5. 不明点の確認や追加ヒアリングへの回答

当社担当者が管理画面等へアクセスする場合は、事前にお客様の許可を取得し、必要な範囲で実施します。

必要な情報や権限が得られない場合、一部項目が未確認となることがあります。

第6条（標準診断の対象外）

標準料金には、以下の作業を含みません。

  1. 侵入テスト・ペネトレーションテスト
  2. 攻撃的な脆弱性スキャンや侵入の実証
  3. ソースコード全量のセキュリティ監査
  4. マルウェア感染の完全調査・駆除
  5. WordPress、PHP、テーマ、プラグイン等の更新・修正
  6. サーバー設定・WAF等の変更作業
  7. データやWebサイトの復旧
  8. バックアップデータを使用した復元テスト
  9. サーバー内部設定の完全監査
  10. 継続的な監視・保守・インシデント対応
  11. その他、標準調査範囲を超える詳細調査や改善作業

上記の作業が必要な場合は、BASYS Security Fix等の別サービスとして、内容・料金を事前にご案内します。

第7条（調査結果の制限）

  1. 調査結果は、診断実施時点の情報に基づくものです。
  2. 未確認の項目について、安全または危険と断定するものではありません。
  3. 利用する脆弱性情報源の範囲外に、未発見または未公表の脆弱性が存在する可能性があります。
  4. 設定の有無のみでは、実際の防御効果を完全に評価できない場合があります。
  5. 一部の項目は、お客様からの申告情報をもとに評価する場合があります。
  6. 本サービスは、すべてのセキュリティ上の問題を発見することや、Webサイトの完全な安全性を保証するものではありません。

第8条（成果物）

本サービスの成果物は、PDF形式のセキュリティ診断レポートです。

原則として、以下の内容を掲載します。

  1. 診断対象・診断実施日時
  2. 調査方法・調査範囲
  3. 総合評価・主要な発見事項
  4. 調査分野別の確認結果
  5. 発見事項とその根拠
  6. 対応優先順位
  7. 推奨される改善策
  8. 必要に応じたBASYS Security Fixのご案内

確認できなかった事項は、未確認であることを明記します。

第9条（診断開始および納品時期）

  1. 診断は、当社による入金確認後、必要な情報・権限およびお客様の協力体制が整った時点で開始します。
  2. 診断レポートの納品は、診断開始に必要な条件が整った日から原則5営業日以内とします。
  3. 営業日は、土曜日、日曜日、国民の祝日および当社が事前に案内する休業日を除く日とします。
  4. 対象サイトの構成、調査状況、お客様の協力状況等により納品予定が変更になる場合は、当社からお客様へ状況を連絡します。
  5. 具体的な対応方法や作業日程については、必要に応じて個別に調整します。

第10条（診断データの保存・削除）

  1. 当社は、診断によって取得した情報を、本サービスの提供、診断結果の確認、レポート作成、問い合わせ対応および必要な改善提案のために利用します。
  2. 詳細な診断技術データは、原則としてレポート納品後90日間保存し、その後は法令上または合理的な必要性がある場合を除き、削除します。
  3. 申込情報、契約・決済記録、請求書等については、会計・税務その他の法令上必要な期間、別途保存する場合があります。
  4. 診断データは適切なアクセス制御のもとで管理します。
  5. 個人情報の取り扱いについては、当社のプライバシーポリシーに従います。

第11条（改善作業について）

  1. 本サービスは調査・評価・報告を目的としたものであり、発見された問題の修正作業は含みません。
  2. 改善作業をご希望の場合は、BASYS Security Fix等として別途お見積もりします。
  3. 改善作業の実施には、作業範囲、料金、納期その他の条件について別途合意が必要です。
  4. 本サービスの利用により、改善作業の申し込み義務が発生することはありません。

株式会社CROSYS

診断実施条件バージョン：1.0

制定日：2026年10月25日

BASYS Security へ戻る