脆弱性診断とは、システムやソフトウェアの弱点を、知見のある専門家が調べて報告するサービスです。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、ウェブアプリケーション、プラットフォーム、スマートフォンアプリケーションの診断を例に挙げています。
今日やることは、外に出しているものを1枚に書き出すことです。サイトのURL、社外から入る機器のIPアドレス、それぞれの管理会社と最後の改修日を並べます。この一覧があれば、見積もりも、診断後の修正の依頼も進みます。
脆弱性診断では何を調べる？
調べる場所は、大きく2つに分かれます。発注の前に、どちらを頼むのかを決めます。
| 種類 |
対象 |
見つかるものの例 |
| Webアプリケーション診断 |
問い合わせフォーム、会員サイト、取引先向けサイト |
入力欄の処理の不備、アクセス制御の不備 |
| プラットフォーム診断 |
サーバー、VPN機器などのネットワーク機器 |
古いOSやミドルウェア、不要なポートの開放、設定の不備 |
見つかるものの例は、PFUの診断サービスの説明にも同じ分け方で書かれています。
なぜ今この話が増えているのか。IPAの情報セキュリティ10大脅威 2026の組織編では、システムの脆弱性を悪用した攻撃が4位に入りました。1位はランサム攻撃による被害です。警察庁の2026年上半期の資料では、ランサムウェア被害企業の約6割が中小企業、業種別では製造業が約3割でした。
求められる場面も出てきました。カードを扱うEC事業者は、クレジット取引セキュリティ対策協議会の導入ガイドで、脆弱性診断またはペネトレーションテストの定期実施が挙げられています。2026年3月の6.1版の改訂資料では、脆弱性対策がEC加盟店の指針対策として引き続き示されています。
診断の種類をもう少し広く整理したいときは、セキュリティ診断の種類と頼む順番にまとめました。診断全体の位置づけはセキュリティ診断のカテゴリから確かめられます。
発注の前に決めておくことは？
診断の中身を左右するのは、業者の腕だけではありません。発注側が決めることが3つあります。
対象と、対象から外すもの
書き出した一覧から、診断するものに印を付けます。外すものも、理由と一緒に残します。「今回は調べていない」と後から説明できるようにするためです。
許可と、止まったときの責任
診断は、持ち主の許可を受けて行います。自社サイトでも、サーバーやクラウドの管理会社が別にあれば、相手の決まりを確かめます。AWSであれば、ペネトレーションテストのポリシーで、事前の承認なしにテストできるサービスを示しています。
止まる可能性も説明を受けます。IPAのSCS評価制度の★4技術検証ガイド（2026年10月28日）は、この制度の診断について、稼働中のサービスを止める、遅くするなどの影響がありうると十分に説明し、責任の範囲を契約等で合意するよう定めています。制度の外で頼む場合も、同じ点を見積もりの段階で聞けます。
直す人と再診断
見積もりを取る前に、修正の担当を決めます。制作会社に任せているサイトなら、修正が保守契約に入っているか、別料金かを確かめます。再診断の回数と期間も見積もりの項目に入れます。金額の動き方は脆弱性診断の費用の考え方で分解しました。
報告書はどこから読めばいい？
最初に読むのは、最後のページの対策ではなく、調べた範囲です。範囲が分かってはじめて、指摘の少なさに意味が出ます。
報告書で確かめる順番
- 調べた範囲と、調べていない範囲
- 使ったのはツールだけか、人の確認も入っているか
- 指摘ごとの対象、深刻度、再現の条件、対策
- 誤検知の確認が済んでいるか
深刻度の数字はCVSSで読む
深刻度の欄によく出るのがCVSSです。IPAのCVSSv3の解説では、次の4段階に分けています。
| 深刻度 |
スコア |
| 緊急 |
9.0〜10.0 |
| 重要 |
7.0〜8.9 |
| 警告 |
4.0〜6.9 |
| 注意 |
0.1〜3.9 |
注意したいのは、基本値は弱点そのものの深刻さだという点です。IPAのCVSSの説明にあるとおり、基本値は時間の経過や利用環境が違っても変わりません。社内の使い方や、外から届くかどうかは、基本値だけでは分かりません。
誤検知と検知漏れがある
IPAの制御システムのセキュリティリスク分析ガイド第2版（2026年4月）は、検査の注意点として2つを挙げています。弱点がないのにあると判定する誤検知と、あるのに見逃す検知漏れです。
ツールの結果をそのまま渡される契約だと、誤検知の確認は発注側の仕事になります。人が確かめるのかどうかを、発注の前に聞きます。
脆弱性はどの順番で直す？
私たちは、点数の順に上から直すより、次の順番で考えるほうが発注者には扱いやすいと見ています。IPAやCISAの資料をもとにした私たちの整理で、公的な決まりではありません。
| 順 |
条件 |
動き方 |
| 1 |
悪用の実績があり、外から届く |
その日のうちに担当へ連絡し、更新か回避策を決める |
| 2 |
外から届き、深刻度が緊急・重要 |
期限を切って修正する |
| 3 |
ログインの後で届き、個人情報や図面に関わる |
次の改修までに修正する |
| 4 |
暗号化の設定やヘッダーの不足など |
保守の作業にまとめて入れる |
悪用の実績は、米国CISAのKnown Exploited Vulnerabilitiesカタログで確かめられます。実際に悪用された弱点の一覧で、CISAは脆弱性管理の判断材料に使うよう案内しています。報告書のCVE番号で検索すれば、英語が苦手でも有無は確かめられます。
基準を数字で置くなら、SCS評価制度の★4が参考になります。インターネットとの境界に置く機器のOSとファームウェアについて、CVSS基本値7.0以上の弱点がないことを評価基準としています。
すぐに更新できないとき
更新が出ていない、止められない機器を使っている、という場面はあります。SCS評価制度の技術検証ガイドは、更新プログラムが無い場合の手立てとして次の4つを挙げています。
- 悪用の対象になる機能を無効にする
- メーカーが示す回避策を実施する
- 対象の機器をネットワークから切り離す
- 不正な通信を監視し、検出できるよう設定を強める
修正と同じように、どれを選んだかを記録に残します。
製造業のサイトではどう読む？
たとえば、部品メーカーが取引先向けにログイン付きのサイトを持ち、図面や納期を見せている場合で考えます。
ログインの後の画面で、別の取引先の図面番号を指定すると見えてしまう、という指摘があれば、CVSSの点数にかかわらず先に動きます。自社の情報だけでなく、取引先の情報の問題になるからです。
逆に、会社案内のサイトでセキュリティヘッダーが足りない、という指摘は、保守の作業にまとめても話が通りやすいものです。
同じ報告書でも、何を守るかで順番は変わります。点数は業者が付けられますが、この判断は自社にしかできません。
工場の制御システムは、別に扱います。IPAのガイドは、本番環境で検査すると障害が起きる場合があるとして、新しいシステムの稼働前や定期修理の期間に検討するよう示しています。Webサイトの診断と同じ感覚で、稼働中の設備を対象に含めないでください。
「指摘ゼロ」はどう受け取る？
範囲の中で見つからなかった、という意味です。安全の証明にはなりません。
IPAの安全なウェブサイトの作り方の別冊「ウェブ健康診断仕様」は、13の診断項目に絞った簡易な診断です。検出されなかった場合でも安全宣言にはつながらない、と明記しています。絞らない診断でも、調べた範囲の外や検知漏れは残ります。
もう1つ気をつけたいのが、社内での受け止め方です。IPAのASM診断の実施報告書の概要（2026年3月）は、126社の調査で、経営層の関与が薄い企業では結果を改善に結び付けない傾向があったと整理しています。報告の場に社長か役員が1人入り、修正の予算をその場で決めるだけでも、止まりにくくなります。
直したあとにやることは？
修正が終わったら、再診断で確かめます。SCS評価制度の★4では、CVSS 7.0以上が見つかった場合、合否の通知から1か月以内に再診断またはリスク低減策の確認を依頼しないと不合格になります。制度の外の話でも、1か月は期限の目安として置きやすい長さです。
最後に、次回の予定を決めます。診断の結果は受けた時点のものなので、その後に公開された弱点や、改修で入った弱点は含みません。
毎回すべてを診断するのが難しければ、日々の更新の管理と分けて考えます。脆弱性管理ツールの比較では、機器の弱点を継続して追う製品を確かめられます。外部の専門家に頼む場合は、脆弱性診断サービスの比較で、範囲と報告の中身を見比べます。
業者の候補を絞るときは、IPAの情報セキュリティサービス基準適合サービスリストが使えます。経産省の基準への適合が審査されたサービスの一覧で、2026年10月9日の掲載分が出ています。
侵入できるかどうかまで試す検査は別物です。必要かどうかはペネトレーションテストが必要な会社の条件を読み、ペネトレーションテストの比較とあわせて判断します。診断を一度も受けていない会社なら、こちらが先に来ることはあまりありません。
