脆弱性診断は、自社で資産の一覧と更新状況を確かめ、攻撃を模した通信を送る検査は外部に任せる形で進めます。専任がいない会社でも、順番を守れば兼任の担当者で始められます。
今日は、インターネットから直接届く機器とサイトを書き出してください。VPN機器、ルーター、ファイアウォール、公開サイト、メールサーバーなどです。分からないものは保守会社に聞きます。診断の見積もりも修正の計画も、この一覧から始まります。
どこまで自社で、どこから外部？
分け方の基準は2つです。本番に影響する操作かどうかと、結果を判断できる人がいるかどうかです。
| 作業 |
自社 |
外部 |
理由 |
| 資産の一覧づくり |
○ |
補助 |
何を守るかを知るのは自社 |
| 自社診断シートでの点検 |
○ |
|
25項目の設問に答える形 |
| 更新状況の確認 |
○ |
保守会社 |
製品の情報を見れば進む |
| 攻撃を模した検査 |
条件つき |
○ |
本番への影響がある |
| 結果の精査 |
条件つき |
○ |
経験のある人が要る |
| 直す順番の判断 |
○ |
助言 |
事業の影響は自社にしか分からない |
| 修正の作業 |
一部 |
保守会社 |
誰が持つかを先に決める |
「条件つき」は、知識のある人がいて、対象と管理者の許可がそろっている場合です。無料の道具で試すときの条件は無料の脆弱性診断ツールの範囲と注意点に書きました。
IPAの制御システムのセキュリティリスク分析ガイド第2版（2026年4月）は、制御システムの検査について、検出結果には誤検知が含まれ、精査には経験豊富な技術者が必要としています。この点は事務所のシステムの診断でも変わりません。
進める順番は？
外部に頼むのは4番目です。順番を飛ばすと、診断の費用で既知の問題を教えてもらうことになります。
- 外から届くものの一覧をつくる
- 社内の設定と運用を点検する
- 古いものを直し、不要なものを止める
- 対象を絞って外部の診断を受ける
- 結果を見て直す順番を決め、直す
- 再確認し、次の時期を決める
IPAの20ヶ条も、社内で対策を確かめた上で外部の検査や監査を受けることを、対策漏れを洗い出す手段としています。
1. 一覧はどう作る？
機器とサイトを表にします。経済産業省のASM導入ガイダンス（2023年）は、脆弱性診断の対象は把握している資産で、ASMは未把握の資産も対象にすると説明しています。一覧から漏れた機器は、診断を受けても調べられません。
項目は、SCS評価制度の★4技術検証ガイド（2026年10月）が診断を受ける組織に求める資料に、管理者と業務への影響を足した形にします。
- 製造元とモデル
- グローバルIPアドレスと、利用しているポート
- OSとファームウェアのバージョン
- 管理者（社内の担当、保守会社）
- 止まったときの業務への影響
製造業なら、どう書く？
たとえば、社員100名ほどの部品メーカーで、総務が情シスを兼ねている場合で考えます。外から届くものは次のように並びます。
- 本社のVPN機器、工場の拠点間VPNの機器
- 会社案内のサイト（制作会社が保守）
- 取引先向けの図面共有サイト（保守会社のサーバー）
- メールやファイル共有のクラウドサービス
工場の生産設備は別の表に分けます。今回の診断の対象からいったん外し、外につながっているかどうかだけを確かめておきます。
外部の目で確かめたいときは、ASMのサービス比較で候補を見られます。IPAの2026年3月の報告では、参加した中小企業126社の全社で何らかの弱点が検知されました。例として、VPNの管理画面の露出、サポートが切れたソフト、管理パネルの露出、期限切れの証明書が挙げられています。
2. 社内の点検は何を使う？
IPAの5分でできる！情報セキュリティ自社診断が使えます。ガイドライン第4.0版の付録にある25項目のチェックシートで、第4.0版では不要な通信の遮断やWebサイトの安全な運用に関する項目が加わりました。
サイトを持っている会社は、IPAの20ヶ条も見ます。公開すべきでないファイルや、不要なページの放置など、確認だけなら画面と管理者への聞き取りで進む項目があります。サイトの型による判断は会社案内と問い合わせフォームの場合の判断に分けました。
ログは、調べる道具より先に「取れているか」を確かめます。IPAのiLogScannerは、アクセスログから攻撃と思われる痕跡を探すツールです。弱点の有無ではなく攻撃の痕跡を見る道具で、ログが残っていなければ使えません。
3. 外部に頼む前に何を直す？
診断の前に、自分で分かる古いものを片づけます。一覧のバージョンと、製品の公式の更新情報を突き合わせるだけで、多くは分かります。
- ファームウェアが古い機器を更新する
- サポートの切れた製品の入れ替えを計画する
- 使っていない機器、公開ページ、アカウントを止める
- 管理画面が外から見えないようにできるか、保守会社に確かめる
優先の根拠には、警察庁の令和8年上半期の資料が使えます。ランサムウェアの被害は123件で、半期としては統計の開始以降で最多です。被害組織へのアンケートでは、侵入経路の約5割がVPN機器でした。被害の約6割が中小企業、約3割が製造業です。VPNを使っている会社は、ここから確かめる理由があります。
4. 外部の診断は、どこから頼む？
インターネットから直接届く機器と、預かる情報の重いサイトから頼みます。 全部をいっぺんに頼むと、結果を直しきれません。
頼む範囲は2種類に分かれます。
| 種類 |
対象 |
向いている場面 |
| プラットフォームの診断 |
VPN機器、サーバー、ネットワーク機器 |
外から届く機器の確認 |
| Webアプリの診断 |
ログインや入力のある画面 |
取引先や個人の情報を預かるサイト |
SCS評価制度の★4の技術検証は、前者の考え方に近いものです。外から直接届くVPN機器やルーターなどを対象に、CVSSの基本値が7.0以上の弱点の有無を確かめます。★4を目指す会社は、同じ基準を見ておくと診断結果を活かしやすくなります。ただし、制度に使えるのは定められた条件を満たす場合に限られるので、ガイドの条件を確かめます。
見積もりを取るときに渡すものは、次の5つです。
- 対象の一覧と、対象から外すもの
- ログインが要る画面の数と権限の種類
- 希望する時期と、避けたい時間帯
- サーバーやクラウドの管理者の許可の状況
- 再診断の要否
業者の候補は脆弱性診断サービスとツールの比較で確かめられます。公的な材料には、IPAの情報セキュリティサービス基準適合サービスリストがあります。
工場の設備は分けて考える
IPAのガイドは、本番での検査で制御システムに障害が起きる場合があるとし、バックアップと復旧手順のテストの完了を求めています。実施の時期は、新しいシステムの稼働前や定期修理の期間を挙げています。事務所のシステムと同じ契約にせず、設備の保守会社も入れて別に相談します。
侵入できるかまで確かめたい段階なら、ペネトレーションテストの頼み方と、ペネトレーションテストのサービス比較に進みます。
5. 結果が出たら、誰が何を決める？
外部に任せても、直す順番の判断は自社に残ります。報告書を受け取る前に、3つの役を決めます。
- 判断する人：止められる時間と費用を決める
- 窓口：業者との質問のやり取りを持つ
- 直す人：機器の保守会社、サイトの制作会社
順番は、深刻度の点数だけで決めません。外から届くか、攻撃が現実に起きているか、預かる情報は何か、を加えて決めます。参考になる基準として、SCSのガイドは、CVSSの基本値7.0以上の弱点が見つかった場合に14日以内の対応を求めています。これは★4の制度の話なので、自社の基準を決めるときの目安と考えます。
修正が多くて追いきれなくなったら、脆弱性管理ツールの製品比較を見ます。見つけた弱点、担当、期限をまとめて扱う道具です。
見つからなかった項目の受け止め方にも注意が要ります。IPAのASM診断の報告概要は、経営層の関わりが薄い会社で「重要な問題は検出されなかった」として結果を改善に結び付けない傾向を挙げています。範囲の中で見つからなかった、という意味に留めて報告します。
6. 次はいつ受ける？
公的に決まった回数はありません。IPAの20ヶ条は、公開や運用の後も定期的な検査を続けることを勧めています。
私たちは、定期の時期を決めたうえで、次のときに追加で検討する形を勧めます。
- 外から届く機器を入れ替えた、または増やした
- サイトに入力欄やログインを追加した
- 取引先や制度から診断結果を求められた
- 保守会社が変わった
IPAのASM診断の報告では、ヒアリングで「どこまでやれば十分か」の基準がないことが共通の課題に挙がり、製造・建設や卸売・小売では情報システムの担当が兼務である体制が標準とされています。基準がないなら、自社で決めて経営層の承認を取ります。
たとえば「外から届く機器は年1回と入れ替えの時に診断する。深刻な弱点は2週間以内に対応か回避を決める」という1文で足ります。診断の種類ごとの位置づけはセキュリティ診断のカテゴリにまとめています。
