無料のセキュリティ診断は信じてよい？受ける前に確かめる3つ⁠の点を解説

無料のセキュリティ診断は現状を知る入口として使えますが、結果は調べた範囲の話なので、それだけで安全とも危険とも決められません。

今日やることは、IPAの5分⁠でできる！情報セキュリティ自社診断⁠に答えることです。25の項目に答えると、自社の対策状況を把握できます。社外に情報を渡さず始められるので、他社の無料診断を受けるかどうかは、そのあとで決めても遅くありません。

無料診断で分かるのは何？

「無料診断」⁠と呼ばれるものは、調べ方によって分かることが違います。

質問に答える型の代表が、先のIPAの自社診断です。2026年4月にExcel版、9月⁠に全110ページ⁠の解説編が加わりました。中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の付録なので、答えたあとの直し方まで同じ資料でたどれます。

PCで動かす型には、NTT東日本の無料セルフ診断⁠があります。ツールを実行したPCの通信環境やOSの更新状況などを自動で診断すると案内しています。

外から調べる型の考え方は、IPAのASM診断の報告書⁠が参考になります。ASMは、インターネットから把握できる情報をもとに、公開されたサーバーや機器などの侵入経路になり得る点を見つける手法です。

「問題なし」「危険あり」⁠はどう読む？

問題なしの結果は、調べた範囲で見つからなかったという意味です。IPAのウェブ健康診断仕様は、13項目⁠に絞った診断について、脆弱性が検出されなくても安全宣言にはつながらないと書いています。

問題ありの結果も、そのまま緊急とは読めません。先のIPAの報告書では、126社⁠の中小企業へASM診断を行い、全社で何らかの脆弱性を検知しています。つまり何か見つかること自体は珍しくありません。読むのは「何か出たか」でなく、次の2点です。

• その項目が自社で悪用されると、実際に何が起きるのか
• 自社や委託先の設定変更で直せるのか、製品の購入が要るのか

点数や想定被害額が出る診断もあります。先の報告書のレポートにもリスクスコアと想定被害額が載っています。無料診断の点数や金額が出たら、計算のもとになる条件を聞いてください。条件が分からない数字は、判断の材料になりません。

デジタル庁のガイドラインも、深刻度の基本評価は技術的な性質を示すもので、それだけで対応の優先度を決めるものではないとしています。

受ける前に確かめる3つの点は？

1. 何を調べ、何を調べないのか

調べる対象を文章で出してもらいます。「会社のセキュリティを診断します」だけでは、質問票なのか、1台⁠のPCなのか、公開サイトなのかが分かりません。

あわせて、結果の形も確かめます。見本があれば、点数だけでなく、項目ごとの根拠と直し方が書いてあるかを見ます。

2. 結果のあとの営業と情報の扱い

無料の診断は、提供する会社の販売につながっていることがあります。それ自体は悪いことではありません。IPAの2022年⁠の無償診断のように国の補助で行う事業もあれば、製品やサービスの案内と一緒に行うものもあります。先に次のことを聞いておきます。

• 結果の説明の場で、製品やサービスの案内があるか
• 断ったときに、結果の資料は受け取れるか
• 診断の結果とメールアドレスなどの情報を、何に使い、どこへ渡し、いつ消すか
• 同意書や申込書に、有料サービスへの移行の条件がないか

実際に、NTT西日本の法人向けページ⁠はセキュリティの製品の案内の中で無料診断を紹介しています。こうした案内なら、製品の話があると分かったうえで受けられます。分かりにくいのは、販売元がはっきりしない案内です。

弱点の情報は、他社に知られたくないものです。見つかった内容がどこに残るのかは、無料でも有料と同じように確かめてください。

3. 誰の許可で、何を操作するのか

診断には、システムの持ち主と管理者の了解が要ります。公開サイトが制作会社やクラウドの上で動いているなら、そちらの決まりも関係します。先のIPAの無償診断も、IaaS環境のサイトは運営者が事業者から診断の許可を得ることを前提にしていました。デジタル庁のガイドラインも、インフラ提供者が禁止する診断項目は避けるよう書いています。

疑似的な攻撃を行う診断は、システムの停止や不要なデータの残存などを招くおそれがあります。無料でもこの点は変わりません。次のことを必ず確かめます。

• 社内のPCにソフトを入れるか、遠隔で操作するか
• 外から公開サイトへ通信を送るか、その量と時間帯
• 会社の誰が同意するのか
• 止まったときに誰へ連絡するのか

製造業なら、たとえば工場の設備につながるネットワークは、無料診断の対象から外すと先に決めておくと安全です。生産に影響が出たときの責任を、無料の診断で取ってもらうのは難しいからです。

この3点⁠に答えがないなら、受けない判断でかまいません。電話や訪問で無料診断を持ちかけられたときは、会社として確かめる手順と断り方⁠を先に読んでください。

無料で受けられる公的な支援はある？

先のIPAの自社診断は、いつでも使えます。自治体や商工会議所の無料の支援は、年度ごとに内容が変わります。たとえば愛知県の事業は2025年⁠に無料診断とセミナーを案内し、東京都は2025年5月⁠に先着50社⁠の点検支援の受付を始めた⁠と報じられました。今年度の有無は、都道府県や地域の商工会議所に確かめてください。

自社のルーターやカメラが気になるなら、総務省などが進める NOTICE のサイトに、安全な管理方法の案内があります。申し込む診断ではなく、グローバルIPアドレスで接続された機器を観測して注意を促す取り組みです。

平時の対策を相談したいときは、IPAの企業組織向けサイバーセキュリティ相談窓口⁠がメールで受け付けています。無料診断で出た項目の読み方に迷ったら、販売の話と切り離して聞ける先として使えます。

無料で足りないときは、どこへ進む？

会員ページや受発注の画面、取引先が使うログイン機能があるなら、有料の診断を検討する段階です。ログイン後の権限の問題は、外からの巡回だけでは確かめられないことがあります。

取引先のチェックに備えて自社が外からどう見えるかを知りたいなら、セキュリティ評価サービスの比較で、評価の項目を確かめます。Webアプリそのものを調べるなら、脆弱性診断サービスの比較が次の入口です。自社診断の結果から何を優先するかを決めきれないときは、セキュリティコンサルの比較で相談の範囲を見ます。

有料に進むときに見積もりで比べる点は、脆弱性診断の会社の選び方⁠にまとめました。発注の仕様に使える公的な資料は、脆弱性診断のガイドラインの使い方⁠で案内しています。診断の全体像は脆弱性診断・セキュリティ診断のカテゴリからたどれます。