--- title: "脆弱性診断の頼み方と、報告書の読み方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/vulnerability-assessment-how-to-order/ description: "脆弱性診断を頼むときは、対象と範囲を決めて書面で合意し、ツールと手作業の使い分け、報告書の危険度の付け方、直した後の再診断までを確かめます。情報セキュリティサービス基準と適合サービスリストの見方もあわせて説明します。" updated: 2026-10-23 publisher: "アメリア・テクノロジー株式会社" --- # 脆弱性診断の頼み方と、報告書の読み方 脆弱性診断を頼むときは、対象と範囲を決めて書面で合意し、ツールと手作業の使い分け、報告書の危険度の付け方、直した後の再診断までを確かめます。情報セキュリティサービス基準と適合サービスリストの見方もあわせて説明します。 2026.10.23 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） ## この記事の要点 - 診断の対象・範囲・日時・やってよいことを決め、システムを管理する立場の方の承諾を書面で残してから始めます。 - 報告書は、危険度の付け方の根拠と、自社のシステムでの影響の大きさをあわせて読み、直す順番を決めます。 - 直した後に、直した箇所を確かめる再診断を、見積もりの段階から含めておきます。 脆弱性診断を頼むときに大切なのは、何を、どこまで、いつ、どの方法で調べるかを先に決めて、書面で合意しておくことです。範囲があいまいなまま始めると、調べてほしい箇所が抜けたり、調べてはいけない箇所に触れたりするおそれがあります。 ## 脆弱性診断とペネトレーションテストの違い [脆弱性診断](https://www.ameliatechnology.co.jp/glossary/vulnerability-assessment/)とは、システムに脆弱性がないかを、専用のツールや専門の技術者の手作業で調べることです。決めた範囲を、決めた観点で網羅的に調べ、見つかった問題の一覧を出すのが基本の形です。 [ペネトレーションテスト](https://www.ameliatechnology.co.jp/glossary/penetration-test/)は、攻撃する側の目的（たとえば、外から入り込んで特定の情報に届くか）を決め、実際に侵入を試みて、守りがどこで働き、どこで働かないかを確かめる試験です。網羅的に調べるというより、目的に向かう道筋を探す点が違います。 はじめて診断を頼む場合や、公開の前の確認であれば、まずは脆弱性診断から始めることが多いと考えられます。守りの仕組みを一通り整えた後に、実際の攻撃に耐えられるかを確かめたい場合に、ペネトレーションテストを検討します。 ## 範囲の決め方 範囲は、守りたい情報と、外から届く入り口から決めます。次の点を、見積もりの前に整理しておくと、話が進みやすくなります。 - 対象：Webアプリ、API、サーバーやネットワークの機器、クラウドの設定、スマートフォンのアプリのどれか - 範囲：URL・画面・機能の一覧、IPアドレス、クラウドのアカウント。対象に含めないものも書く - 環境：本番の環境か、本番と同じ作りの検証の環境か - 日時：診断してよい曜日と時間帯、止めてはいけない時間帯 - 連絡：診断の間に異常が起きたときの、双方の連絡先と止め方 本番の環境で診断する場合は、診断の通信でシステムが重くなる、試しのデータが登録される、といった影響が出ることがあります。事前にバックアップを取る、試しのデータの消し方を決めておく、といった準備も合意の中に含めます。 ## 書面での合意と、不正アクセス禁止法 診断は、システムを管理する立場の方の承諾を得てから行います。不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）は、他人のIDやパスワードを無断で入力する行為や、プログラムの不備を突いて制限を免れる行為などを、[不正アクセス](https://www.ameliatechnology.co.jp/glossary/unauthorized-access/)行為として禁じています。 警察庁の解説では、アクセス管理者が行う場合や、アクセス管理者などの承諾を得て行う場合は禁止の対象から除いていると説明されており、その理由の例として、コンピューターのセキュリティ・チェックを行う場合が挙げられています。 そのため、診断の前に、対象の範囲・期間・方法と、誰が承諾したかを書面に残しておきます。クラウドのサービスや、ほかの会社が動かしているサーバーが対象に含まれる場合は、その提供元の決まりで、診断に事前の届け出や許可が要ることもあるため、あわせて確かめます。M&Aの検討の中で相手の会社のシステムを診断する場合は、相手の会社のアクセス管理者の承諾が要ります。具体的な場面での扱いは、弁護士などの専門家にご確認ください。 出典：[不正アクセス行為の禁止等に関する法律の解説（警察庁）](https://www.npa.go.jp/bureau/cyber/pdf/1_kaisetsu.pdf) ## ツールと手作業の使い分け ツールによる診断は、よく知られた種類の脆弱性を、広い範囲で短い時間に調べるのに向いています。手作業の診断は、技術者が画面の流れや権限の仕組みを理解したうえで試すため、ほかの人のデータが見えてしまうといった、業務の流れに関わる問題を見つけやすくなります。 ログインの後の画面が多いシステムや、権限の違う利用者がいるシステムでは、ツールだけでは調べきれない部分が残ります。見積もりの段階で、どの部分をツールで、どの部分を手作業で調べるのかを確かめておきます。 ツールによる診断と、手作業の診断 - **ツールによる診断**：よく知られた種類の脆弱性を、広い範囲で短い時間に調べるのに向いている - **手作業の診断**：画面の流れや権限の仕組みを理解して試すため、ほかの人のデータが見えてしまうといった、業務の流れに関わる問題を見つけやすい ログインの後の画面が多いシステムや、権限の違う利用者がいるシステムでは、**ツールだけでは調べきれない部分**が残ります ## 報告書の読み方 報告書には、見つかった問題ごとに、内容、再現の手順、危険度、直し方の案が書かれているのが一般的です。読むときは、次の3点を確かめます。 1. 危険度の付け方の根拠：脆弱性の深刻さを数値で表す共通の方法として、FIRST（セキュリティの事故に対応するチームの国際的な団体）が管理する CVSS がよく使われます。2026年10月時点の最新は CVSS v4.0（2023年11月公開）です。どの方法で付けたかが書かれているかを確かめます 2. 自社での影響の大きさ：同じ危険度でも、インターネットから届く画面か、社内からしか届かない画面か、個人の情報を扱うかどうかで、直す急ぎ方が変わります。危険度と、自社にとっての影響をあわせて、直す順番を決めます 3. 診断していない範囲：時間の都合などで調べられなかった範囲が書かれているかを確かめます。報告書に載っていないことは、問題がないことを意味しません 出典：[Common Vulnerability Scoring System（FIRST）](https://www.first.org/cvss/) ## 直した後の再診断 見つかった問題を直したら、直した箇所を確かめる再診断を行います。直したつもりでも、別の入り口から同じ問題が残っていたり、直したことで別の問題が生じたりすることがあるためです。再診断の範囲と回数、期限を、最初の見積もりの段階から含めておくと、後から話がこじれにくくなります。直すところまでの進め方は[脆弱性診断の後、直すところまで](https://www.ameliatechnology.co.jp/blog/after-assessment-remediation/)で扱っています。 ## 診断の会社を選ぶときの手がかり 経済産業省の「情報セキュリティサービス基準」（2026年10月時点の最新は第4.1版・2025年3月31日）は、脆弱性診断などのサービスについて、専門性を持つ技術者を技術の責任者にすること、品質を管理する担当と手順を設けることなどを定めています。手順には、案件の報告書を、その案件に従事していない人が見直すことも含まれます。 IPAは、この基準に適合するとして審査登録機関に登録されたサービスを「情報セキュリティサービス基準適合サービスリスト」として公開しています。区分には、情報セキュリティ監査、脆弱性診断（ペネトレーションテストはその選択の一つとして扱われます）、デジタルフォレンジック、セキュリティ監視・運用、機器検証があります。IPAは、リストへの掲載は、掲載された事業者やサービスについて IPA が保証するものではないとしています。リストは選ぶときの手がかりの一つとして使い、範囲の決め方や報告書の見本、再診断の扱いもあわせて比べます。 出典：[情報セキュリティサービス基準第4.1版（経済産業省、2025年3月31日）](https://www.meti.go.jp/policy/netsecurity/shinsatouroku/zyouhoukizyun4_1.pdf)／[情報セキュリティサービス基準適合サービスリスト（IPA）](https://www.ipa.go.jp/security/service_list.html) ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、書面で合意した範囲だけを診断し、報告書の読み方と直す順番のご相談、直した後の再診断までをご支援しています。当社が開発・運用に関わったシステムを診断する場合は、第三者の診断ではなく自己点検として扱います。まずは自社の状況をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - 脆弱性診断 - ペネトレーションテスト - セキュリティ - 発注 ## この記事に出てくる用語 - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [脆弱性診断](https://www.ameliatechnology.co.jp/glossary/vulnerability-assessment/) - [ペネトレーションテスト](https://www.ameliatechnology.co.jp/glossary/penetration-test/) - [見積もり](https://www.ameliatechnology.co.jp/glossary/estimate/) - [Webアプリケーション](https://www.ameliatechnology.co.jp/glossary/web-application/) - [API](https://www.ameliatechnology.co.jp/glossary/api/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) ## 関連する法令・指針（参考情報） - 法令 不正アクセス禁止法第2条第4項（定義） 不正アクセス行為を定めています。アクセス制御のあるコンピューターに、ネットワークを通じて他人のIDやパスワードなどの識別符号を無断で入力して使える状態にする行為や、制限を免れる情報や指令を入力して使える状態にする行為などです。 不正アクセス行為の禁止等に関する法律・平成11年法律第128号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/411AC0000000128) - 法令 不正アクセス禁止法第3条（不正アクセス行為の禁止） 何人も、不正アクセス行為をしてはならないと定めています。 不正アクセス行為の禁止等に関する法律・平成11年法律第128号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/411AC0000000128) - 指針 経済産業省「情報セキュリティサービス基準」（第4.1版（2025年3月31日）） 情報セキュリティ監査・脆弱性診断・デジタルフォレンジック・セキュリティ監視運用などのサービスについて、一定の品質を保つために事業者が満たすべき技術と品質管理の要件を定めた基準です。この基準に適合すると審査されたサービスは、IPAの「情報セキュリティサービス基準適合サービスリスト」に掲載されます。 [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/shinsatouroku/zyouhoukizyun4_1.pdf) - 指針 独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方」 Webサイトの開発者や運営者に向けて、SQLインジェクションやクロスサイト・スクリプティングなど、よく知られた脆弱性とその対策をまとめた資料です。運用の点検項目をまとめた「安全なウェブサイトの運用管理に向けての20ヶ条」も案内しています。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/vuln/websecurity/index.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [脆弱性診断の後、直すところまで](https://www.ameliatechnology.co.jp/blog/after-assessment-remediation/) - [Webシステムとは：Webサイトとの違いと仕組み](https://www.ameliatechnology.co.jp/blog/what-is-web-system/) - [Webシステムのセキュリティ対策の基本](https://www.ameliatechnology.co.jp/blog/web-security-basics/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### システムとAIの弱点を診断し、直す Web・クラウド・ネットワークと生成AIを使ったシステムを、書面で合意した範囲で診断し、見つかった問題を直すところまで受け持ちます。 [セキュリティ診断と対策を見る](https://www.ameliatechnology.co.jp/service/security/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「脆弱性診断の頼み方と、報告書の読み方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/vulnerability-assessment-how-to-order/