脆弱性診断・セキュリティ診断：何を調べ、結果をどう直していくのか

脆弱性診断とは、サイトやサーバーなどの弱点を調べ、悪用される前に直すための検査です。IPAの情報セキュリティ10大脅威 2026でも「システムの脆弱性を悪用した攻撃⁠」⁠は組織編の4位⁠に挙げられています。

何から手を付けるか

順番は、自分で確かめる、範囲を決める、頼む、直す、続ける、です。

1. 自社診断の25項目に答える
2. 社外から見える機器、サイト、サービスの一覧を作る
3. 止まると困るもの、個人情報を扱うものに印を付ける
4. 印の付いたものから診断を頼む
5. 見つかった弱点を、重さと影響の順に直す
6. 直ったことを確かめ、次の時期を決める

何のために受けるのか

IPAの2024年度の実態調査⁠で不正アクセスを受けた企業（419社）⁠に手口を尋ねると、脆弱性を突かれたという回答が48.0%⁠で最も多くなっています。修正できる弱点を残さないことは、理屈の上でも数字の上でも筋が通っています。

一方で、診断は「安全の証明」ではありません。調べた時点の、決めた範囲についての結果です。範囲の外にある機器や、翌月に見つかった弱点は含まれません。この前提を社内で共有しておかないと、「診断を受けたから大丈夫」という誤解が残ります。

種類を、調べる場所で分ける

会社案内だけの静的なサイトと、顧客がログインする受発注サイトでは、調べる意味がまったく違います。発注者の側で「何を守りたいのか」⁠を決めておくと、見積もりの比較がしやすくなります。

脆弱性診断サービス⁠を比べるときも、まず範囲を揃えます。ペネトレーションテストは、攻撃者の視点で確かめたい重要なシステムがある段階で考えれば足ります。

頼む前に決めること

見積もりを頼むときに聞かれることは、おおむね決まっています。先に用意しておくと話が早く進みます。

• 調べる対象の一覧（URL、IPアドレス、画面の数）
• 本番環境で調べてよいか。止められない時間帯はあるか
• サイトやサーバーを管理している会社の了解は取れているか
• 報告書を誰が読み、誰が直すのか

3つ目はよく抜けます。制作会社やサーバーの管理会社に無断で調べると、攻撃と間違えられることがあります。契約の範囲も確かめておきます。

診断会社の探し方

手がかりとして使えるのが、IPAの情報セキュリティサービス基準適合サービスリストです。脆弱性診断サービスの区分があり、2026年10月9日⁠に更新されています。

サイトについては、IPAの安全なウェブサイトの作り方と、13項目⁠の診断内容を示す「ウェブ健康診断仕様」⁠が公開されています。制作会社と話すときの共通の土台になります。

報告書を受け取ったら

大事なのはここからです。報告書を読む人と直す人を決め、次の順で進めます。

1. 危険度が高く、社外から届くものを先に直す
2. すぐに直せないものは、通信を絞るなどの代わりの対策を入れる
3. 直せないと判断したものは、理由と責任者を書き残す
4. 再診断で、直ったことを確かめる

見積もりの金額は、何で変わるのか

診断の費用は、調べる対象の量と深さで変わります。画面やURLの数、機器の台数、ログインが必要な機能の有無、人の手でどこまで確かめるか、再診断を含むかなどです。

同じ金額に見えても、範囲が違えば比べられません。たとえば「サイトの診断」⁠で⁠も⁠、問い合わせフォームだけなのか、会員の画面まで含むのかで中身が変わります。予算が限られるなら、重要な機能に範囲を絞って頼めます。安く済ませるために範囲を狭めたときは、外した部分を報告書の控えに書き残します。

一度きりにしないために

弱点は新しく見つかり続けます。IPAの早期警戒パートナーシップのように、弱点の情報を受け付け、調整して公表する仕組みもあります。使っている製品の更新情報を受け取り、優先順位を付けて当てる日常の作業を脆弱性管理と呼びます。

自社で把握していない公開機器を外側から洗い出すASMという方法もありますが、まずは手作業の一覧で十分です。サイトの守り方はWebサイト・サーバー防御に、取引先に結果を説明する場面はサプライチェーンと取引先対応に、全体の順番はセキュリティ対策の全体像⁠に書きました。