脆弱性診断の頼み方と、報告書の読み方

脆弱性診断を頼むときに大切なのは、何を、どこまで、いつ、どの方法で調べるかを先に決めて、書面で合意しておくことです。範囲があいまいなまま始めると、調べてほしい箇所が抜けたり、調べてはいけない箇所に触れたりするおそれがあります。

脆弱性診断とペネトレーションテストの違い

脆弱性診断とは、システムに脆弱性がないかを、専用のツールや専門の技術者の手作業で調べることです。決めた範囲を、決めた観点で網羅的に調べ、見つかった問題の一覧を出すのが基本の形です。

ペネトレーションテストは、攻撃する側の目的（たとえば、外から入り込んで特定の情報に届くか）を決め、実際に侵入を試みて、守りがどこで働き、どこで働かないかを確かめる試験です。網羅的に調べるというより、目的に向かう道筋を探す点が違います。

はじめて診断を頼む場合や、公開の前の確認であれば、まずは脆弱性診断から始めることが多いと考えられます。守りの仕組みを一通り整えた後に、実際の攻撃に耐えられるかを確かめたい場合に、ペネトレーションテストを検討します。

範囲の決め方

範囲は、守りたい情報と、外から届く入り口から決めます。次の点を、見積もりの前に整理しておくと、話が進みやすくなります。

• 対象：Webアプリ、API、サーバーやネットワークの機器、クラウドの設定、スマートフォンのアプリのどれか
• 範囲：URL・画面・機能の一覧、IPアドレス、クラウドのアカウント。対象に含めないものも書く
• 環境：本番の環境か、本番と同じ作りの検証の環境か
• 日時：診断してよい曜日と時間帯、止めてはいけない時間帯
• 連絡：診断の間に異常が起きたときの、双方の連絡先と止め方

本番の環境で診断する場合は、診断の通信でシステムが重くなる、試しのデータが登録される、といった影響が出ることがあります。事前にバックアップを取る、試しのデータの消し方を決めておく、といった準備も合意の中に含めます。

書面での合意と、不正アクセス禁止法

診断は、システムを管理する立場の方の承諾を得てから行います。不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）は、他人のIDやパスワードを無断で入力する行為や、プログラムの不備を突いて制限を免れる行為などを、不正アクセス行為として禁じています。

警察庁の解説では、アクセス管理者が行う場合や、アクセス管理者などの承諾を得て行う場合は禁止の対象から除いていると説明されており、その理由の例として、コンピューターのセキュリティ・チェックを行う場合が挙げられています。

そのため、診断の前に、対象の範囲・期間・方法と、誰が承諾したかを書面に残しておきます。クラウドのサービスや、ほかの会社が動かしているサーバーが対象に含まれる場合は、その提供元の決まりで、診断に事前の届け出や許可が要ることもあるため、あわせて確かめます。M&Aの検討の中で相手の会社のシステムを診断する場合は、相手の会社のアクセス管理者の承諾が要ります。具体的な場面での扱いは、弁護士などの専門家にご確認ください。

出典：不正アクセス行為の禁止等に関する法律の解説（警察庁）

ツールと手作業の使い分け

ツールによる診断は、よく知られた種類の脆弱性を、広い範囲で短い時間に調べるのに向いています。手作業の診断は、技術者が画面の流れや権限の仕組みを理解したうえで試すため、ほかの人のデータが見えてしまうといった、業務の流れに関わる問題を見つけやすくなります。

ログインの後の画面が多いシステムや、権限の違う利用者がいるシステムでは、ツールだけでは調べきれない部分が残ります。見積もりの段階で、どの部分をツールで、どの部分を手作業で調べるのかを確かめておきます。

報告書の読み方

報告書には、見つかった問題ごとに、内容、再現の手順、危険度、直し方の案が書かれているのが一般的です。読むときは、次の3点を確かめます。

1. 危険度の付け方の根拠：脆弱性の深刻さを数値で表す共通の方法として、FIRST（セキュリティの事故に対応するチームの国際的な団体）が管理する CVSS がよく使われます。2026年10月時点の最新は CVSS v4.0（2023年11月公開）です。どの方法で付けたかが書かれているかを確かめます
2. 自社での影響の大きさ：同じ危険度でも、インターネットから届く画面か、社内からしか届かない画面か、個人の情報を扱うかどうかで、直す急ぎ方が変わります。危険度と、自社にとっての影響をあわせて、直す順番を決めます
3. 診断していない範囲：時間の都合などで調べられなかった範囲が書かれているかを確かめます。報告書に載っていないことは、問題がないことを意味しません

出典：Common Vulnerability Scoring System（FIRST）

直した後の再診断

見つかった問題を直したら、直した箇所を確かめる再診断を行います。直したつもりでも、別の入り口から同じ問題が残っていたり、直したことで別の問題が生じたりすることがあるためです。再診断の範囲と回数、期限を、最初の見積もりの段階から含めておくと、後から話がこじれにくくなります。直すところまでの進め方は脆弱性診断の後、直すところまでで扱っています。

診断の会社を選ぶときの手がかり

経済産業省の「情報セキュリティサービス基準」（2026年10月時点の最新は第4.1版・2025年3月31日）は、脆弱性診断などのサービスについて、専門性を持つ技術者を技術の責任者にすること、品質を管理する担当と手順を設けることなどを定めています。手順には、案件の報告書を、その案件に従事していない人が見直すことも含まれます。

IPAは、この基準に適合するとして審査登録機関に登録されたサービスを「情報セキュリティサービス基準適合サービスリスト」として公開しています。区分には、情報セキュリティ監査、脆弱性診断（ペネトレーションテストはその選択の一つとして扱われます）、デジタルフォレンジック、セキュリティ監視・運用、機器検証があります。IPAは、リストへの掲載は、掲載された事業者やサービスについて IPA が保証するものではないとしています。リストは選ぶときの手がかりの一つとして使い、範囲の決め方や報告書の見本、再診断の扱いもあわせて比べます。

出典：情報セキュリティサービス基準 第4.1版（経済産業省、2025年3月31日）／情報セキュリティサービス基準適合サービスリスト（IPA）

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、書面で合意した範囲だけを診断し、報告書の読み方と直す順番のご相談、直した後の再診断までをご支援しています。当社が開発・運用に関わったシステムを診断する場合は、第三者の診断ではなく自己点検として扱います。まずは自社の状況をおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。