脆弱性診断（セキュリティ診断）とは？やり方や種類、確認すべきガイドラインを解説

脆弱性とは

脆弱性（ぜいじゃくせい）とは、OSやソフトウェア、ハードウェアにおいて、情報の安全性を脅かす恐れのある欠陥のことを指します。脆弱性診断を実施することでセキュリティの現状を確認し、現状の課題に応じた適切な対策を実施することで、情報漏洩などのリスクを軽減することができるでしょう。

脆弱性診断の目的

脆弱性診断の目的は、脆弱性を悪用された場合に情報漏えいやシステムが使用不能となってしまうなど、意図的、または意図的ではない侵害につながる可能性のある既知の脆弱性の特定・ランク付け・および報告をすることです。発見された脆弱性は種類（カテゴリ）や危険性（重要度）を「共通脆弱性評価システム（CVSS）」というもので評価し、必要な対策を講じます。

ペネトレーションテストとの違い

脆弱性診断と似たセキュリティ診断にペネトレーションテストがありますが、このふたつは行う目的が異なります。

「脆弱性診断」は、システム全体に対して網羅的な検査を行い、サイバー攻撃のきっかけとなる脆弱性（リスク）を発見するものです。一方、「ぺネトレーションテスト」はシステムに実際に侵入し、現実的な攻撃シナリオを用いて問題点を発見・改善することで、サイバー攻撃の予防につなげるものとなります。

下記に目的・調査対象の違いをまとめました。

脆弱性診断とペネトレーションテストは双方とも脆弱性などを検出する点では似ていますが、目的と方法が異なります。脆弱性診断ではシステムの不備を網羅的に把握するためにシステム全体に対して実施するのに対し、ペネトレーションテストは実際にサイバー攻撃を受けた際と同様の手法を使い特定の目的を達成できるか確認するために実施するものです。

双方のセキュリティ診断の目的が異なるため、把握したいリスクの内容によって使い分けて行うことが重要でしょう。

【関連記事】サイバー攻撃とは？種類や被害事例、対策方法についてわかりやすく解説

【関連記事】ペネトレーションテスト（侵入テスト）とは｜脆弱性診断との違いや種類・やり方

サイバー攻撃の標的になる

脆弱性が存在するシステムは、攻撃者にとって格好の標的です。攻撃者はインターネット上を常に探索しており、脆弱性の情報が公開されると、パッチ（修正プログラム）が当たっていないシステムを狙って攻撃を仕掛けてきます。これを「ゼロデイ攻撃」「既知脆弱性の悪用」と呼び、脆弱性が発見されてから修正が完了するまでの空白期間が、攻撃者にとって最大のチャンスとなります。

特にランサムウェアはシステムやデータを人質にとり、復旧と引き換えに身代金を要求するサイバー攻撃で、業種や規模を問わずあらゆる組織が被害を受けています。脆弱性診断によって弱点を早期に把握し、対策を施しておくことが攻撃被害を未然に防ぐ最善策です。

参考：IPA「情報セキュリティ10大脅威 2025」

情報漏洩・金銭的損失が発生する

脆弱性を悪用されて不正アクセスが発生した場合、顧客の個人情報やクレジットカード情報が流出するリスクがあります。IPAが2024年度に実施した中小企業4,191社を対象とした実態調査では、不正アクセス被害を受けた企業の約5割が「脆弱性を突かれた」ことが侵入経路だったと回答しており、脆弱性の放置が直接的な被害につながっていることがわかります。

さらに、経済産業省の有識者会議に提出された調査データによると、セキュリティ事故を起こした企業では、発生年度の純利益が平均21%下落したことが報告されています。損害賠償・原因調査・対応窓口の設置・再発防止策の実装など、事故後の対応コストは多岐にわたり、中小企業にとっては事業継続を脅かす規模になり得ます。

参考：IPA「2024年度中小企業等実態調査結果」速報版

参考：経済産業省「取締役会で議論するためのサイバーリスクの数値化モデル」（JCIC）

企業の信頼失墜・事業継続への影響

情報漏洩が発覚した場合、金銭的損失だけでなく企業の社会的信用が大きく損なわれます。経済産業省の有識者会議に提出されたJCICの調査によると、セキュリティ事故を起こした企業の株価は平均10%下落し、東証一部以外の企業では平均15%下落したことが明らかになっています。また、同調査では事故発生年度の純利益が平均21%下落したことも示されており、財務への打撃は甚大です。

自社の被害にとどまらず、サービス停止・遅延や情報流出がサプライチェーン全体に波及するリスクもあり、取引関係の悪化や契約解除につながるケースもあります。信頼を回復するには時間と多大なリソースを要することから、脆弱性診断による予防的な対策がいかに重要かがわかります。

参考：経済産業省「取締役会で議論するためのサイバーリスクの数値化モデル」（JCIC）

参考：IPA「2024年度中小企業等実態調査結果」速報版

Webアプリケーション診断

アプリケーション診断とは、企業が開発したWebアプリケーションに内在する脆弱性を発見する診断手法となります。

調査対象となるアプリケーションはECサイトやゲームアプリ、SNS、バックオフィスなどWeb上で使用できるすべてのアプリケーションが対象となります。Webアプリケーションはお客様のニーズによって様々な機能が実装されており、脆弱性が発見される箇所は千差万別です。使用するプログラミング言語も様々なため、Webアプリケーションの特性に応じた柔軟な診断を行う必要があります。

こうした状況において、Web アプリケーションの脆弱性として知られる「SQL インジェクション」や「クロスサイトスクリプティング」、「なりすまし」などはもちろんのこと、システムの利用環境に合わせた診断方法で調査を実施しシステム停止や情報漏えい・データ改ざん・不正アクセス・認証回避などにつながる脆弱性を洗い出します。

プラットフォーム診断（ネットワーク診断）

プラットフォーム診断とは、Webアプリケーションを使用するためのネットワーク機器やOS、サーバー、ミドルウェアに脆弱性がないか、設定に問題がないかを検査する方法です。

上記の対象に対して、インターネットに公開されているお客さまのネットワーク機器やサーバー等に対して診断を実施し、ネットワークスキャナなどを用いた脆弱性の検出や各種機器の設定状態の確認を行います。新規のWebサービスをリリースする企業や前回の脆弱性診断を受けてから1年以上経過している企業はプラットフォーム診断を実施したほうが良いでしょう。

クラウド診断

クラウド診断は、AWSやAzure・GCPなどのパブリッククラウド環境における設定不備やセキュリティリスクを検出する診断です。クラウドでは、バケットの公開設定ミスや過剰な権限付与、セキュリティグループの設定漏れなど、設定のわずかなミスが大規模な情報漏洩につながるリスクがあります。

企業のクラウド移行が進む一方、クラウド特有のセキュリティ設定は複雑で、担当者でも見落としが発生しやすい領域です。クラウドを活用したサービスやシステムを運用している場合は、Webアプリケーション診断やプラットフォーム診断と合わせてクラウド診断も実施することをおすすめします。

ソースコード診断（ホワイトボックス診断）

ソースコード診断は、アプリケーションのソースコードを直接解析し、コードレベルに潜む脆弱性を検出する手法です。外部からの通信では発見しにくい「論理的な設計ミス」や「認証処理の不備」なども検出できるのが特長です。

開発工程の早い段階でソースコード診断を実施することで、リリース後の修正コストを大幅に削減できます。本番リリース後に脆弱性が発覚した場合、修正・再テスト・再リリースのコストは開発中の修正と比較して数倍以上になるともいわれています。セキュリティを「作り込む」という観点から、特に新規開発プロジェクトで有効な診断手法です。

スマートフォンアプリ診断

スマートフォンアプリ診断は、iOS・Androidアプリが持つ固有の脆弱性を検出する診断です。具体的には、端末内への機密情報の不適切な保存、通信の暗号化不備、バイナリ解析への対策不足などが検出対象となります。

スマートフォンアプリは利用者の手元に直接インストールされるため、アプリそのものが解析・改ざんされるリスクもあり、Webアプリとは異なる視点での診断が必要です。また、AppleやGoogleのストア申請ガイドラインでもセキュリティへの対応が求められており、ユーザー向けのアプリを提供している企業には特に推奨される診断です。

STEP1. 事前準備（診断範囲・目的の設定）

診断を始める前に、「何を・どの範囲で・どの深度で診断するのか」を明確にしておく必要があります。具体的には、診断対象のURL・ネットワーク範囲・アプリケーション機能の洗い出し、診断スケジュールの調整、サービス事業者との情報共有などが含まれます。

診断範囲が曖昧なまま依頼すると、重要な箇所が診断から漏れたり、不要なコストが発生したりするリスクがあります。「なぜ今診断が必要なのか（新規リリース前・定期点検・コンプライアンス対応など）」という目的を整理しておくと、診断内容の選定がスムーズになります。

STEP2. 診断の実施

事前準備が完了したら、実際に診断を実施します。ツール診断の場合は、Webブラウザからツールを操作して自動スキャンを実行し、最短数分〜数時間で診断が完了します。手動診断の場合は、専門エンジニアが対象システムに対して実際に操作・通信を行いながら検査を進め、数日〜数週間を要するのが一般的です。

診断中はシステムへの負荷が発生する場合があるため、本番環境で実施する際は、業務への影響が少ない時間帯に設定することが推奨されます。事前にサービス事業者と実施タイミングを確認しておきましょう。

STEP3. レポートの確認と対策実施

診断が完了すると、発見された脆弱性をまとめたレポートが提出されます。レポートには脆弱性の種類・再現手順・リスクレベルが記載されており、リスクレベルの評価には「CVSS（共通脆弱性評価システム）」のスコアが用いられることが一般的です。

レポートを受け取ったら、危険度の高い脆弱性から優先的に対策を実施することが重要です。対策後に再診断（修正確認）を実施してくれるサービスもあるため、事前に確認しておくと安心です。脆弱性診断はあくまでスタートラインであり、発見した課題を確実に解消していくサイクルを回すことが、セキュリティ強化の本質です。

社内実施の場合

社内に情報セキュリティの専門人材がいる場合、自社でオープンソースのツールを活用して診断を実施することも可能です。コストを抑えられるほか、自社システムへの理解が深いエンジニアが診断を行えるため、対象の特性に応じた確認ができるという利点もあります。

一方で、専任のセキュリティ人材がいない企業では、適切な診断ツールの選定・運用・結果の解釈に多大な工数が発生するリスクがあります。また、内部の担当者による診断は客観性に欠けやすく、固定観念による見落としが生じる場合もあるでしょう。

外注（専門会社への依頼）の場合

専門のセキュリティ企業に外注する最大のメリットは、最新の攻撃手法を熟知した専門エンジニアによる精度の高い診断を受けられる点です。第三者の客観的な視点で評価が行われるため、社内では見落としやすいリスクも検出されやすくなります。診断後の改善提案や再診断サポートがある企業も多く、セキュリティ対策を体系的に進めやすい環境が整います。

デメリットとしては、費用がかかること、および診断のためにシステム情報を外部と共有する必要があることが挙げられます。依頼先を選ぶ際は、実績・資格・情報管理体制をしっかり確認することが大切です。

個人情報保護法・改正への対応

個人情報保護法では、個人情報取扱事業者に対して「安全管理措置」を講じることが義務づけられています。これには、個人データへの不正アクセスを防止するための技術的・組織的対策が含まれており、脆弱性診断はその具体的な実施手段のひとつに位置づけられます。

2022年施行の改正個人情報保護法では、漏洩等の事案が発生した場合の個人情報保護委員会への報告義務が新たに設けられ、違反した事業者に対する罰則も強化されました。「万が一漏洩しても対応すればよい」という考えは通用しなくなっており、事前の脆弱性診断による予防的な対策が求められています。

参考：個人情報保護委員会「個人情報保護法について」

経済産業省・IPAのガイドラインとの関係

経済産業省が策定した「サイバーセキュリティ経営ガイドライン」では、経営者が認識すべきセキュリティ対策の重要事項として、自社や委託先のシステムに対するリスク管理が明記されています。また、IPAの「安全なウェブサイトの作り方」では、Webサイトの脆弱性対策として具体的な診断項目が示されており、実務の参考として広く活用されています。

業界標準の観点では、クレジットカード情報を取り扱う事業者に義務付けられているPCI DSSでは、定期的な脆弱性スキャンとペネトレーションテストの実施が要件として定められています。また、ISMS（ISO/IEC 27001）の認証取得においても、脆弱性管理は重要なコントロール項目のひとつです。このように、業種や取り扱うデータの性質によって準拠すべき基準が異なるため、自社に関連するガイドラインを把握したうえで診断を計画することが重要です。

参考：経済産業省「サイバーセキュリティ経営ガイドライン」

参考：IPA「安全なウェブサイトの作り方」

脆弱性診断（セキュリティ診断）サービスの選び方

脆弱性診断サービスは診断する範囲、診断の深度、費用、アフターフォローなどを検査対象のシステム環境やシステムの特性を考慮して選ぶ必要があります。次章では各項目についてサービスを選ぶ際に注意するポイントをまとめました。

脆弱性診断に関するよくある質問