イントラ設置の業務システムの脆弱性診断は必要か?

DRANK

Peingで表題の質問をいただきました。長くなるので、こちらで回答します。 イントラ設置のスクラッチ開発の業務システムの脆弱性診断(アプリケーション、プラットフォーム)って、必要なのでしょうか？ わざわざ「スクラッチ開発」と断っているのは、「URL構成などが独自なので外部からXSSやCSRF等の受動的攻撃を仕掛けることができない」という趣旨だと推測しました。そういう重要な前提は明記していただきたいです。 しかし、外部からイントラネットのサーバー情報を取得する方