家のドアに鍵がかかっているか、窓が開けっぱなしになっていないかをチェックするようなものです。ウェブサイトやシステムに潜むセキュリティ上の弱点（脆弱性）を自動的に見つけ出す検査を指します。セキュリティの穴を見つけて、悪者が侵入する前に塞ぐことが大切なんです。
面接官：脆弱性スキャンについて説明してください。
私：脆弱性スキャンとは、ソフトウェアやシステムに存在するセキュリティ上の弱点（脆弱性）を自動的に検出するプロセスです。
以前、ECサイトのセキュリティ強化プロジェクトに携わった際、定期的な脆弱性スキャンを導入しました。導入前は、手動でのセキュリティテストに頼っていましたが、時間とコストがかかり、網羅性も低いという課題がありました。
そこで、自動脆弱性スキャンツールを導入し、定期的にウェブアプリケーション全体をスキャンするようにしました。その結果、SQLインジェクションの脆弱性やクロスサイトスクリプティング（XSS）の脆弱性など、複数の深刻な脆弱性を早期に発見することができました。
発見された脆弱性に対しては、速やかに修正パッチを適用し、ウェブアプリケーションのセキュリティレベルを大幅に向上させることができました。また、脆弱性スキャンを定期的に行うことで、セキュリティリスクを継続的に監視し、セキュリティインシデントの発生を未然に防ぐことが可能になりました。
現役エンジニアによる深掘り解説
メリット
早期発見: 脆弱性を早期に発見することで、攻撃者による悪用を防ぎ、セキュリティインシデントのリスクを軽減できます。
網羅性: 自動化されたスキャンにより、手動テストでは見落としがちな脆弱性も検出できます。
効率化: 手動テストに比べて時間とコストを削減できます。
継続的監視: 定期的なスキャンにより、セキュリティリスクを継続的に監視できます。
コンプライアンス: 多くの業界標準や規制（PCI DSS、HIPAAなど）で、脆弱性スキャンの実施が義務付けられています。
デメリット
誤検知: スキャンツールによっては、実際には脆弱性でないものを脆弱性と誤って検出する場合があります（False Positive）。
過検知: 脆弱性を検出しても、その影響度を過大評価する場合があります。
リソース消費: スキャンにシステムリソース（CPU、メモリ、ネットワーク帯域）を消費します。
設定の複雑さ: スキャンツールによっては、設定やカスタマイズが複雑な場合があります。
実行環境への影響: スキャンの種類によっては、システムに負荷をかけ、サービス停止を引き起こす可能性があります。
⚠️ 面接突破のワンポイント
- 面接では、脆弱性スキャンの種類（SAST、DAST、IASTなど）と、それぞれの特徴を理解していることをアピールしましょう。それぞれの違いと、どのような状況でどのスキャンが適しているかを説明できると高評価につながります。
- 脆弱性スキャンの結果をどのように分析し、優先順位付けを行い、修正につなげるか、具体的なフローを説明できるように準備しましょう。単にツールを動かすだけでなく、その後の対応まで含めて説明できると、実務経験をアピールできます。
