脆弱性診断とは？種類・やり方・費用をやさしく解説

そもそも「脆弱性」とは？

脆弱性（ぜいじゃくせい）とは、ソフトや設定にある安全上の弱点のことです。IPA（情報処理推進機構）は、攻撃によって機能や性能を損なう原因となり得る、セキュリティ上の問題箇所と説明しています。

建物にたとえると分かりやすくなります。

• 古い錠：何年も更新していないソフト。開け方がすでに知られています。
• 鍵のかかっていない窓：外から入れる状態のまま忘れられた入口（ポート）や管理画面。
• 玄関に置いた合鍵：誰でも見られる場所に置かれた設定ファイルやバックアップ。

弱点があること自体は珍しくありません。どのソフトにも後から見つかります。困るのは、持ち主が知らないまま放っておかれることです。

脆弱性診断では何をするのか

診断は、次の流れで進みます。多くは専用のソフト（診断ツール）が自動で行います。

1. 1

   外から見えるものを数える

   サーバーのどの入口（ポート）が開いていて、どんなソフトのどの版が動いているかを調べます。

2. 2

   知られている弱点と照らし合わせる

   見つけたソフトの版や設定を、公表済みの弱点の一覧と突き合わせます。

3. 3

   設定の不備を確かめる

   暗号化（SSL/TLS）の設定、証明書の期限、公開してはいけないファイルが見えていないか、などを確かめます。

4. 4

   結果を報告書にまとめる

   見つかった弱点を、危険度の高い順に、直し方と一緒に並べます。

診断は「見つける」までの作業です。直すのは持ち主（または保守会社）の仕事で、直した後にもう一度確かめて、はじめて一区切りです。

脆弱性診断の種類（プラットフォーム診断・Webアプリケーション診断）

「何を調べるか」「誰が調べるか」「どこから調べるか」の3つで分けると整理できます。

会社案内だけのホームページや WordPress のサイトなら、まずプラットフォーム診断と、ツールでできる範囲の検査が出発点になります。会員登録や決済など、自社で作った機能があるなら、Webアプリケーションの手動診断も検討に入ります。

脆弱性診断とペネトレーションテストの違い

名前が似ていて混同されますが、目的が違います。診断は「弱点を広く洗い出す」、ペネトレーションテスト（侵入テスト）は「実際に侵入して、どこまで被害が出るかを試す」ものです。

どちらが上という関係ではありません。順番としては、まず診断で分かりやすい弱点をなくし、そのうえで必要な会社がペネトレーションテストを受けるのが無駄のない進め方です。金額の目安は脆弱性診断の費用相場にまとめました。

報告書の見方：CVE と CVSS とは

報告書には、ふつう次のことが書かれています。見つかった弱点の名前、どのサーバーのどこにあるか、危険度、起こり得る被害、直し方です。そこに出てくる2つの記号だけ知っておけば読めます。

読むときは、点数の高いものから順に直します。ただし点数は弱点そのものの深刻さで、あなたの会社での危なさとは少しずれます。インターネットに直接出ているサーバーの弱点は、点数が中くらいでも先に直す価値があります。

脆弱性診断の頻度：年1回で足りるか

年1回の診断は、健康診断と同じで意味があります。ただ、すき間が残ります。

脆弱性に世界共通の番号を付けている CVE プログラムの集計では、2025年の1年間に公表された件数は48,244件でした。1日あたり約130件です。診断の翌日に公表された弱点は、次の診断まで1年近く気づかれないことになります。

• くり返しの自動診断（毎週〜毎日）：新しく出た弱点と、設定の変化を追いかける役目。
• 節目の診断：サーバーの入れ替え、サイトの作り直し、新しい機能の公開の後。
• 人による深い診断：自社で作った機能がある場合に、年1回など。

Security Ready は、このうち「くり返しの自動診断」を受け持つサービスです。外からの診断を毎週、証明書などの軽い確認を毎日行い、新しく公表された脆弱性は1日2回、お使いのソフトと照らし合わせます。

脆弱性診断で分からないこと

診断で何も出なかったことは、安全の保証ではありません。IPA も、検査項目を絞った診断について、検出されなくても安全宣言にはならないと注意しています。特に次の3つは、自動の診断では見つけにくいものです。

• 業務の流れの誤り：他人の注文履歴が見られる、値引きを何度も使える、といった作りの誤り。ソフトは正しく動いているので、機械には異常に見えません。
• ログインの先：ログイン情報を渡して調べない限り、会員ページや管理画面の中は対象外です。
• まだ誰も知らない弱点：公表されていない新しい弱点は、照らし合わせる一覧にないため見つけられません。

Security Ready も自動の診断なので、同じ限界があります。人によるペネトレーションテスト、ログインが必要な画面の深い検査、業務の流れの検査、サイトを止めるおそれのある検査は行いません。

脆弱性診断のやり方：はじめての手順

1. 1

   対象を書き出す

   会社のホームページのアドレス、メールのドメイン、社外から入れる機器（VPN など）を紙に書きます。借りているサーバーなら、契約している会社名も控えます。

2. 2

   許可を確かめる

   自社で管理しているサーバーか、保守会社やサーバー会社が管理しているかを確かめます。他社の管理なら、診断してよいかを先に聞きます。

3. 3

   まず無料で1回受ける

   URL とメールアドレスで無料の精密診断を申し込むと、30分〜1時間ほどで結果と報告書（PDF）が届きます。

4. 4

   危険度の高いものから直す

   「緊急」「重要」から順に、報告書の直し方に沿って対応します。自社で直せないものは、報告書を保守会社に渡します。

5. 5

   直ったかを確かめ、続ける

   直した項目だけをもう一度診断して確かめ、その後は定期の診断に切り替えます。

画面つきの詳しい説明は脆弱性診断のやり方（かんたんガイド）にあります。

診断してよいのは、自社のサーバーか、管理者の許可を得たサーバーだけです。他人のサーバーに無断で診断をかけ、弱点を突いて利用の制限を越えれば、不正アクセス禁止法が禁じる「不正アクセス行為」に当たるおそれがあります。