発注者がまず読む脆弱性診断のガイドラインは、デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）」です。
今日やることは、この資料の3章だけを開き、自社で必要な要件に印を付けることです。全部で読もうとしなくてかまいません。診断の範囲、報告書、再診断の3か所が見積もりの仕様にそのまま使えます。
公的資料はどれを、何に使う？
目的ごとに読む資料を分けると、全文を読まずに済みます。
| やりたいこと |
読む資料 |
読む部分 |
| 見積もりの仕様を作る |
デジタル庁 DS-221 |
3章の範囲と要件 |
| 診断の会社の候補を探す |
IPA 適合サービスリスト |
脆弱性診断サービスの一覧 |
| 候補の条件の根拠を知る |
経産省 サービス基準 |
脆弱性診断の要件 |
| Webの弱点の種類を確かめる |
IPA 安全なウェブサイトの作り方 |
巻末のチェックリスト |
| 手動の診断項目の水準を知る |
脆弱性診断ガイドライン 第1.2版 |
診断項目の一覧 |
DS-221 は2024年1月31日の改定版が、私たちの確かめた範囲の最新です。Web API の診断の記述が加わり、CVSS の版の指定もなくなりました。最新の版は、デジタル庁の標準ガイドラインの一覧で確かめてください。
DS-221 のどこを見積もりに写す？
資料の本文には「適用の遵守を求めるものではない」と書かれています。必須・推奨の区分も、政府情報システムの話です。民間の発注者は、次の4か所を条件の候補として使います。
見積もりの依頼に写す4か所
- 3.2 実施範囲：対象の数の上限と選び方
- 3.3 共通要件(9)：実施計画書の項目
- 3.3 共通要件(11)：報告書の項目
- 3.3 共通要件(16)：再診断の条件
範囲（3.2節）
定期診断では、対象の上限を決めて調達する形が示されています。目安は、プラットフォーム診断が10〜30IP程度、Webアプリ診断が50〜100リクエスト程度、スマートフォンアプリ診断が10〜20画面程度です。
見積もりの依頼には「この対象数の中で、優先度を決めて調べる」と書き、対象の一覧を付けます。同じ作りの画面は代表する1画面にする方針や、次回は前回と違う画面を調べる方針も書いておくと、比較しやすくなります。
Webアプリ診断なら、診断の対象が「外部公開インタフェース」と定義されている部分も参考になります。IPアドレス制限などで守られた管理画面は、必要に応じて対象にする扱いです。自社の管理画面がどちらなのかを確かめるきっかけになります。
実施計画書（共通要件(9)）
実施の前に、方針と内容、スケジュール、体制、情報の管理体制、留意事項を書いた計画書を出す形です。依頼文には「実施前に計画書を出すこと」と1行書けば足ります。
報告書（共通要件(11)〜(14)）
項目は、概要、深刻度、影響、対策方法、検出した全パラメータ、検出時の入力文字列の6つです。平易さの目安として、サイバーセキュリティに1年程度従事した職員が読める文章を挙げています。
依頼文には、この6項目のほかに「社内の非専門家が読める文章」と書きます。見本で確かめる点は脆弱性診断の会社の選び方にまとめました。
再診断（共通要件(16)）
報告書の納品から最低1か月以内の期間に1回以上、と定められています。民間では、制作会社の修正日程に合わせて期間を決めます。依頼文には回数と期間、追加料金の有無を答えてもらう欄を設けます。
そのまま写してはいけない要件は？
政府情報システム向けの条件には、そのまま求めると候補が減ったり金額が大きく上がったりするものもあります。たとえば次の3つです。
- 経済産業省の基準に基づく認定を取得した会社に限る
- 作業従事者のうち1名以上が2年以上の経験を持つ
- ビジネスロジックなどに関わる診断をすべて人の手で行う
これらを外すかどうかは、対象の重要さで決めます。製造業なら、たとえば取引先が図面や見積もりを見るログイン画面は、手動の要件を残す候補です。製品紹介だけのサイトは自動の診断を中心にして、更新のたびの簡単な確認で済ませるという決め方もありえます。
外した条件は、理由を1行で残しておきます。後から取引先に説明するとき、なぜその範囲にしたかを答えやすくなるからです。
WAFなどの防御の仕組みを診断時に無効にする推奨も、そのまま受け入れず、運用の担当と相談します。弱点が隠れないようにする趣旨ですが、本番での扱いは影響を見て決めます。
会社選びに使う公的資料は？
候補の入口は、IPAの情報セキュリティサービス基準適合サービスリストです。2026年10月9日掲載の版が公開されています。一覧には、サービスの概要、主な顧客の分野、対象の地域、有効期限などの欄があるので、製造業の実績や地域で候補を絞れます。
基準の中身は、経済産業省の情報セキュリティサービス基準 第4.1版（2025年3月31日）にあります。脆弱性診断では、技術責任者の配置や、品質管理の担当者の割り当て、検査の報告書を案件の担当者以外が確認する手続きなどが要件に入っています。
リストに載っていても確かめることは残る
IPAは、掲載が事業者やサービスのいかなる保証も意味しないとしています。登録の有効期限も一覧で確かめてください。掲載期間は登録の有効期間か2年間の短いほうです。
Webの中身を確かめる資料は？
診断項目の話が出たら、次の資料を手元に置きます。
IPAの「安全なウェブサイトの作り方」改訂第7版は、開発者と運営者向けの資料です。発注者は全文を読まず、巻末のチェックリストを制作会社との確認に使います。
ウェブ健康診断仕様は13項目に絞った診断の仕様です。2012年の資料で、調べる型を絞っているため安全宣言にはつながらないと明記されています。最低限の確認の参考に留めます。
Webアプリケーション脆弱性診断ガイドライン 第1.2版は、日本ネットワークセキュリティ協会の作業部会と OWASP Japan の共同プロジェクトの資料です。公的機関の文書ではありませんが、DS-221 が基準の1つに挙げています。手動の診断の最低限の項目を定義しているので、会社に「この項目のどこまで対応するか」を聞く材料になります。
自社の体制を考える段階なら、IPAの産業サイバーセキュリティセンターの卒業プロジェクトがまとめた脆弱性診断内製化ガイド（2025年7月31日公開、8月29日改訂）が役に立ちます。外部発注と内製の特徴、コスト構造を比べた第3章だけでも読めます。専門の担当者がいない会社は、外部に頼む前提で読めば十分です。
依頼文に書くとどうなる？
資料を読んだら、次の形で各社へ送ります。同じ条件で返ってくるので、金額を比べやすくなります。
- 対象：公開IP 5個、ログイン画面を含むWeb 1式（一覧は別紙）
- 方法：ツールと手動の分担を明記。手動の範囲を別に記載
- 環境：本番か検証環境かを提案。実施の時間帯は別途相談
- 報告：概要、深刻度、影響、対策、検出パラメータ、入力文字列
- 再診断：回数、期間、追加料金の有無を回答
- 体制：担当者の役割、人数、期間、情報の管理方法を回答
数字は例です。自社の一覧に合わせて書き換えてください。
候補は脆弱性診断サービスの比較で確かめられます。侵入の可否まで試すならペネトレーションテストの比較、仕様そのものを一緒に作ってほしいならセキュリティコンサルの比較が次の入口です。
無料でできる確認は無料のセキュリティ診断の確かめ方に、訪問や電話で診断を勧められたときの手順は訪問営業への対応に書きました。診断の全体像は脆弱性診断・セキュリティ診断のカテゴリにまとめています。
