セキュリティ診断とは、会社のシステムや管理の弱いところを調べるサービスの総称です。調べる場所でWeb、ネットワーク、設定、組織の4種類に分けると、何から頼むかを決めやすくなります。
今日やることは、自社がこのあとの5つの状況のどれに近いかを決めることです。同時に、IPAの5分でできる！情報セキュリティ自社診断に答えます。無料で、外部に頼む前の現在地が分かります。
セキュリティ診断にはどんな種類がある？
「セキュリティ診断」という言葉に公的な決まった定義は見当たりません。業者によって指す範囲が違うので、私たちは次の4種類に分けて整理しています。この分け方は私たちのものです。
| 種類 |
調べる場所 |
分かること |
| Web |
フォーム、会員サイト、取引先向けサイト |
入力の処理やアクセス制御の不備 |
| ネットワーク |
サーバー、VPN機器などの機器 |
古いソフト、不要なポート、機器の不備 |
| 設定 |
クラウド、メール、管理画面の設定 |
公開範囲や認証の設定の誤り |
| 組織 |
規程、担当、委託先の管理、緊急時の手順 |
決まりと運用の抜け |
上の2つは、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版がいう脆弱性診断サービスに当たります。ガイドラインはWebアプリケーション、プラットフォーム、スマートフォンアプリケーションを例に挙げています。報告書の読み方は脆弱性診断の報告書と直す順番にまとめました。
設定の診断で何を見る？
クラウドの設定は、自社の担当分です。AWSの責任共有モデルは、ゲストOSの更新やセキュリティグループのファイアウォール設定を利用者の責任としています。クラウドに置けば事業者がすべて守ってくれる、というわけではありません。
設定の抜けは実際に見つかっています。IPAが中小企業126社を調べた事例集（2026年3月）は、ファイル一覧が見えてしまう状態などを実例として紹介しています。報告書の概要には、データベースの外部公開や、メール認証の設定の不備も挙がっています。
組織の診断で何を見る？
組織の診断には、段階があります。
規程と運用の確認が中心で、機器に通信を送る診断とは進め方が違います。ただし、★4には技術の確認も含まれます。
会社の状況別に、どの順番で頼む？
5つの状況に分けます。順番は、IPAなどの資料を読んだうえでの私たちの提案です。2つ以上当てはまる会社は、期限のあるものを先にします。
状況1：専任がいない、何もしていない
- IPAの自社診断25項目に答える
- 外に出ているサイトと機器を書き出す
- 社外から入る機器のプラットフォーム診断を頼む
- ログイン付きのサイトがあれば、Web診断を頼む
最初に機器を見るのには理由があります。IPAの事例集では、126社のうち10社でVPN装置に関わる指摘が見つかりました。ログイン情報の流出は101社です。VPNを使っている会社は、機種と更新の状況から確かめます。
洗い出しに手が回らなければ、外から資産を見つけるASMツールの比較が手がかりになります。経済産業省の導入ガイダンスも2023年5月に出ています。
状況2：取引先に求められた
- 求められているものを文面で確かめる
- チェックシートなら、自社診断と規程の整備で答える
- 第三者の診断結果を求められたら、対象をそろえて頼む
- SCS評価制度の★3・★4を視野に入れる
取引先が「診断」と言っても、質問票の回答で足りることもあります。頼む前に確認すれば、費用の無駄を防げます。
IPAの案内では、★3・★4の受付開始は2027年3月の予定で、要求項目は★3が26件、★4が43件です。★4では技術の確認もあります。★4技術検証ガイドによると、インターネットとの境界の機器に外部から診断を行い、CVSS基本値7.0以上の弱点の有無を確かめます。
★4を目指す会社は、境界の機器の診断を先に受けておくと、指摘の修正に時間を使えます。
状況3：自社でECやWebシステムを持っている
- Web診断を頼む（ログイン、決済、管理画面を優先）
- サーバーのプラットフォーム診断を頼む
- 改修のたびに範囲を決めて受け直す
カードを扱うEC事業者は、クレジット取引セキュリティ対策協議会の導入ガイドで、脆弱性診断またはペネトレーションテストの定期実施が挙げられています。IPAのECサイト構築・運用セキュリティガイドラインには、構築時と運用時のチェックリストも付いています。
大きなサイトの費用が気になる場合は、脆弱性診断の費用が変わる要素と範囲の絞り方を先に読むと、見積もりの条件を整えられます。
状況4：クラウドとSaaSが中心で、社内にサーバーがない
- 管理者アカウントと多要素認証の状況を確かめる
- 共有設定、公開設定、メール認証の設定を確かめる
- 外から見えるものをASMなどで確かめる
- 独自に開発した部分があれば、Web診断を頼む
サーバーを持たない会社でも、ログイン情報の流出と設定の問題は残ります。機器の診断より、設定の確認に予算を寄せます。専門家に頼むなら、セキュリティ診断・コンサルティングの比較で、設定の確認が範囲に入るかを確かめます。
状況5：工場の設備がある
- 事務系のネットワークと工場の境界を図にする
- 境界のファイアウォールとリモート保守の入口を確かめる
- 事務系の診断を先に済ませる
- 制御系は定期修理の期間に計画する
たとえば、金属加工の工場で、設備メーカーが遠隔保守の回線を持ち込んでいる場合、その回線が1つ目の確認先になります。どの会社が管理し、誰が更新するのかを書き出します。
本番の設備には、別の注意が要ります。IPAの制御システムのセキュリティリスク分析ガイド第2版（2026年4月）は、本番環境の検査で障害が発生する場合があるとして、対象機器のバックアップと復旧の確認を前提にしています。本番で行う時期は、稼働前や定期修理の期間です。
同じガイドは、ファイアウォールの脆弱性検査は定期的に本番環境で実施するよう推奨しています。境界から始める順番は、この考え方に沿っています。境界の機器を比べるならファイアウォールの比較があります。
状況別の順番を表で見ると？
| 状況 |
最初に頼むもの |
次に頼むもの |
急ぐ理由 |
| 専任がいない |
自社診断、資産の洗い出し |
プラットフォーム診断 |
入口が分からない |
| 取引先の要請 |
要請の確認、組織の整備 |
境界の機器の診断 |
期限がある |
| EC、Webシステム |
Web診断 |
プラットフォーム診断 |
顧客の情報を預かる |
| クラウド中心 |
設定の確認 |
ASM、Web診断 |
設定が守りの中心 |
| 工場の設備 |
境界の確認 |
定期修理での検査 |
止められない |
ペネトレーションテストや監視はどこに入る？
どの状況でも、最初には来ません。
侵入できるかを試すペネトレーションテストは、脆弱性診断とは目的が違います。私たちは、基本の対策が済んでから検討する順番で考えています。要否はペネトレーションテストが必要な会社の条件で確かめてください。
監視は診断ではありません。診断はその時点の状態を調べるもので、その後に起きる異常は見ません。IPAのサイバーセキュリティお助け隊サービスは、中小企業向けに必要な機能と利用しやすい価格をそろえたサービスとして案内されています。診断と別の枠で考えます。
診断のあと何が残れば十分？
診断の成果は報告書そのものより、修正の記録と次の予定です。IPAのASM診断の実施報告書の概要は、126社のほぼ全体で専門人材の不在や教育の不足が課題に挙がったと整理しています。だからこそ、社内で管理するものは簡単にしておきます。
- 対象と、調べた範囲の一覧
- 指摘ごとの担当、期限、対応の結果
- 次に調べる時期（大きな改修の前後を含む）
業者を探すときは、IPAの情報セキュリティサービス基準適合サービスリストが使えます。経産省の基準への適合が審査されたサービスの一覧で、2026年10月9日の掲載分が出ています。脆弱性診断のほか、情報セキュリティ監査のリストも同じページにあります。
Webとネットワークの診断業者を比べるなら、脆弱性診断サービスの比較で範囲と報告の中身を確かめます。ほかの選び方はセキュリティ診断のカテゴリにまとめています。
