スマホアプリ診断はいつ申し込めば間に合う？流れと期間をリリース日から逆算

リリースの日程が決まり、その前に脆弱性診断を受けることになった。

ところが調べてみると、診断作業の日数は載っていても、申し込みから報告書が届くまで全部で何日かかるのかが、なかなか見えてこない。

「このままでリリースに間に合うのか」「いつまでに申し込めばいいのか」。 そこが分からないと、社内のスケジュールも立てられませんよね。

スマホアプリの診断にかかる時間は、診断作業そのものの日数だけでは決まりません。申し込みから診断が始まるまでの準備と、報告書が届くまでの時間、そして自社での修正まで含めて、リリース日から逆算しておきたいところです。

スマホアプリ診断の期間は「開始まで・診断・報告書」の3つで考える

スケジュールを立てるときは、検査そのものの日数だけでなく、前後を含めた「3つの期間の合計」で見るのがポイントです。

診断会社に確認する際は、提示された日数が「実際の検査期間だけ」なのか「報告書が手元に届くまでの全体」なのかを確かめておくことが大切です。検査の日数だけで計画を立ててしまうと、リリースまでの予定が後ろにずれてしまうおそれがあります。

期間の目安は会社によって異なりますが、IFTの場合は次のとおりです。

期間	目安	補足
申し込み〜診断開始	10営業日前後	アプリを預かるため、送付方法の決定やサーバーへの接続確認を含む
診断	3〜5営業日程度	アプリの構成によって前後する
報告書の提出	診断完了後、通常5営業日以内	早急な改修が必要なものは、報告書の前に速報が届く

この3つを合わせると、IFTの場合、申し込みから報告書が手元に届くまでは約4週間かかります。このあと、流れを確かめてから、リリース日から逆算します。

スマホアプリ診断の流れと、依頼した側がやること

細かい呼び方や進め方は会社によって少し違いますが、ここではIFTの6つのステップをもとに、依頼した側がそれぞれ何をするのかを整理しました。

この6つのステップは、大きく「申し込み〜日程確定」「診断」「報告〜修正」の3つの時期に分かれます。自社で対応が必要になるのは主に最初と最後で、診断の間は基本的に結果を待つ時間です。

時期	IFTのステップ	依頼した側がやること
申し込み〜日程確定	①お問い合わせ、②ヒアリング・お見積もり、③ご発注・日程確定	ヒアリングへの回答、見積もりの確認、アプリファイルの受け渡し
診断	④脆弱性診断	基本は待つ（速報が届いたら修正の準備）
報告〜修正	⑤結果の報告、⑥アフターサポート	報告書をもとに修正し、再診断で確かめる

申し込み〜日程確定：診断範囲と日程を決める

最初に決めるのは、どこまで診断するかといつ行うかです。

①お問い合わせ：フォームに必要事項を記入して問い合わせます。そのあと、IFTの担当者から折り返しメールで連絡が来ます。

②ヒアリング・お見積もり：IFTからのヒアリングに対し、アプリの構成や機能を回答して、診断範囲と見積もり内容を確認します。

③ご発注・日程確定：見積もりの内容に合意して発注し、日程を確定させます。あわせて、診断に必要なアプリファイルの受け渡し準備を進めます。

なお、費用はアプリの構成やどこまで調べるかによって変わるため、個別見積もりとなります。

診断：預けたアプリをIFTが検査する

④脆弱性診断：IFTがツールによる自動診断と診断員による手動診断を進めるあいだ、自社は結果を待ちます。早急な改修が必要な脆弱性が見つかった場合は、報告書より先に速報を受け取ります。

速報を受け取った段階で社内の担当者や制作会社に連絡しておけば、改修の段取りにすぐ入れます。

報告〜修正：報告書をもとに直し、直ったことを確かめる

報告書が届いた時点でIFTの検査は一段落しますが、自社にとってはここからが改修の本番です。

⑤結果の報告：届いた報告書を受け取り、社内や開発チームと内容を確認します。脆弱性は「緊急・高・中・低」の危険度別に整理されており、希望に応じて対面やWeb会議での報告会（有償のオプション）で直接説明を聞くこともできます。

⑥アフターサポート：報告書をもとに修正を進め、対策や修正方法で分からない点はIFTに相談します。修正が終わったら再診断を頼み、直ったことを確かめます。

修正にかかる日数は、見つかった脆弱性の数や内容、開発体制によってさまざまです。委託先の制作会社に直してもらう場合は、報告書が届く予定日を前もって伝えておきましょう。そうすれば、相手も改修に必要なエンジニアの手を空けておけます。

スマホアプリ診断はいつ申し込む？リリース日から逆算する

では、実際にいつ申し込めばいいのでしょうか。

申し込みのタイミングを出すには、先ほどの3つの期間（申し込み〜診断開始、診断作業、報告書の提出）を足し、そこに自社での「修正と再診断」にかかる日数を見込んで、リリース日から逆算します。

IFTの場合、申し込んだ日から数えると次のように進みます。

工程	かかる日数	申し込んだ日から数えると
申し込み〜診断開始	10営業日前後	約2週間後に診断が始まる
診断	3〜5営業日程度	約3週間後に診断が終わる
報告書の提出	診断完了後、通常5営業日以内	約4週間後に報告書が届く
修正と再診断	見つかった内容と開発体制による	ここに自社で見込む日数を足す

報告書が届くまでの約4週間に足す「修正と再診断」の日数は、開発チーム（委託している場合は制作会社）に先に見込みを聞いておくと、逆算に入れやすくなります。たとえば修正に2週間見込むなら、リリースの約6週間前には申し込みたい計算です。

たとえばリリースまで約2カ月なら、残りは約2週間です。この中に、社内で発注を決めるまでの手続きや、アプリストアの審査にかかる日数が収まるかも確かめておきます。

報告書が届いたら、危険度を見ながら、リリース前にどこまで直すかを社内や開発チームと決めます。報告書は危険度別に分かれているので、どれから手をつけるかの順番もつけやすくなります。

なお、新規リリースではなく機能追加なら「アップデートの公開日」を、取引先などからセキュリティ評価を求められているなら「その提出期限」を起点にして同じように逆算できます。

※上の目安はIFTの場合です。ほかの会社に頼む場合は、その会社が提示する日数を入れて計算してみてください。

診断をスムーズに始めるための事前準備

見積もりを出すにも、診断を始めるにも、あらかじめ決めておくことがいくつかあります。社内で事前に整理しておくと、日程調整のやり取りもスムーズに進みます。

OSの種類や希望スケジュールなど、見積もりに必要な情報を整理する

何のアプリを、どのOSで、どんな形で渡せるのか、いつまでに診断してほしいのか。これらが整理できていないと、診断の範囲や日程を確定するのが難しくなります。

IFTのヒアリングでも、主に次の4項目を確認しています。