何を確認しているか
ログインしていない状態で、管理画面や機微な情報が外から見える状態になっていないかを確認します。ログインページが公開されていること自体はよくある構成で、それだけでは危険と判定しません。
想定されるリスク
総当たりでパスワードを試される、管理用の画面から設定が推測される、といったおそれがあります。診断では、実際にログインを試すことはしません。
対策の進め方
強いパスワードと多要素認証、ログインの試行回数の制限、アクセス元の制限、管理用URLの変更などを組み合わせます。退職者・外部委託先のアカウントの棚卸しも定期的に行います。