Webサイトやシステムの安全性を確保するうえで、定期的な「脆弱性診断」は欠かせません。
しかし現場では、「何を準備すればいいのか」「外部に依頼する際にどこまで必要なのか」など、実務上の不安が多いのも事実です。
この記事では、脆弱性診断のやり方を6つのステップで解説します。
単なる手順ではなく、「なぜ必要か」「どう活かすか」という視点で整理したので、実務担当者の方にもおすすめです。
最初に行うべきは、「なぜ診断を行うのか」を明確にすることです。
目的を定義せずに始めると、診断範囲・レポート内容・改善施策の方向性がばらつき、効果が薄れてしまいます。以下の表は目的別の例です。
| 目的 | 具体的な内容 |
|---|---|
| 予防 | 攻撃を未然に防ぐためのリスク洗い出し |
| 品質保証 | 新規リリース・改修時の安全性チェック |
| 法令遵守 | 個人情報保護法・ISMSなどの要件対応 |
| 顧客・取引先対応 | セキュリティ監査・調達要件のクリア |
脆弱性診断は「守るための診断」か「証明するための診断」か、で目的が異なります。
リスク低減（守るための診断）を目的とする場合は、実行性（対策の実施しやすさ）を重視し、再診断や修正状況の追跡を義務化することが考えられます。
対外説明（証明するための診断）を目的とする場合は、証拠性（説明責任を果たすための根拠）を重視し、ログや証跡の保持、SLA要件の明文化などが考えられます。
最初に目的を明確にしておくことで、診断全体の方向性がぶれず、成果につながりやすくなります。
脆弱性診断を効果的に行うためには、まず「どのシステムを、どの範囲まで」診断するのかを明確にすることが重要です。Webサイト全体を対象にするのか、特定のアプリケーションやAPIだけを検証するのかによって、必要な診断内容や準備が大きく変わります。
対象を整理する際は、次のような観点で洗い出しておきましょう。
最近では、1種類の診断ではリスクを網羅しきれないため、複数の診断を組み合わせて実施する「ハイブリッド診断」が主流になっています。具体的には、Webアプリには「Webアプリ診断」、サーバー設定には「ネットワーク診断」、クラウド環境には「クラウド構成診断」を組み合わせる形です。診断結果を横断的に整理することで優先的に対策すべき領域が明確になり、コストの最適化にもつながります。
参照元： IPA：情報セキュリティサービス基準適合サービスリスト
診断対象ごとに詳しく知りたい方は、以下の記事もあわせてご覧ください。
Webアプリケーションの脆弱性診断の種類は？
プラットフォーム診断とは？ 実施しないリスクとは？
スマートフォンアプリも脆弱性診断は必要？
脆弱性診断の進め方は、大きく「自社で行う」か「外部に依頼する」かに分かれます。
それぞれの特徴を理解して選ぶことが、最適な成果を得る第一歩です。
| 実施方法 | メリット | デメリット |
|---|---|---|
| 自社実施 | ・柔軟な実施スケジュール ・継続的なコスト削減 ・社内ノウハウの蓄積 |
・担当者の工数・スキル確保 ・深い検証の限界 ・客観性の不足 |
| 外部委託 | ・専門家による高精度診断 ・第三者視点での信頼性 ・改善サポート・再診断対応 |
・案件ごとの費用発生 ・調整に時間を要する ・社内知見が残りにくい |
多くの企業では、「自社＋外部」の併用運用を採用しています。
日常的な診断は自社で回し、リリース前や重要システムは外部専門家に依頼することで、コスト・精度・スピードをバランスよく確保できます。
自社で運用する場合は、週次での自動スキャン、月次での脆弱性レビューなどの体制を構築する必要があります。
信頼できる診断サービス事業者を選ぶ際は、公的機関である情報処理推進機構（IPA）が公開している「情報セキュリティサービス基準適合サービスリスト」を参考にするとよいでしょう。このリスト掲載企業は、診断品質や体制、実績などが一定の基準を満たしており、初めて依頼する場合でも安心して選定できる指標になります。
ベンダーの選び方はこちらで詳しく解説しています。
監修：増井さん
価格だけで判断せず、診断後にリスクをどのように低減させるかに注目してください。診断後の支援体制や再診断の対応範囲を基準に選ぶことが重要です。報告書の形式や内容は一定の基準に沿って作成されるため、違いが出るのはその後のサポートです。
特に、自社で継続的に対策できる体制がない場合は、修正方針のアドバイスや再診断を通じて改善を支援してくれるベンダーを選ぶことで、診断結果を“実際のリスク低減”につなげやすくなります。
診断をスムーズに進めるためには、事前準備がとても重要です。
準備不足のまま始めてしまうと、思わぬトラブルや手戻りが発生することがあります。
特に、診断範囲の曖昧さや環境設定の不備はよくある失敗例です。
まずは、次の3点をしっかり整理しておきましょう。
どのシステム・URL・環境を診断するのかを明確にします。
公開前のテスト環境を対象にするのか、運用中の本番環境を含めるのかも判断しましょう。
ログインが必要な画面を診断する場合は、テスト用のアカウントや認証情報を用意します。
アクセス制御やVPN接続がある場合は、事前に設定を確認しておくことが大切です。
診断中はサーバーやアプリに一時的な負荷がかかるため、開発・運用チームに必ず共有しておきましょう。
他の作業と重なると影響が出る場合があるため、スケジュールのすり合わせも欠かせません。
準備段階で情報共有が不十分だと、診断精度が落ちたり、再調整が必要になったりするケースもあります。特に「権限不足で検証ができない」「本番しか環境がない」「障害発生時に復旧できない」といったトラブルは、自社実施・外部委託どちらのケースでも発生しやすいポイントです。
診断担当者（社内／ベンダー）がスムーズに作業できるよう、対象範囲・環境・権限を事前に明確化しておくことが重要です。
診断準備が整ったら、いよいよ実施フェーズです。
診断では、ツールによる自動スキャンと、専門家による手動確認が行われます。
診断後には「報告書」が発行され、発見された脆弱性とその対応策がまとめられています。
設定内容を確認したうえで、対象システムに対してスキャンを行います。
自動診断ツールは大量のパターンを高速に確認でき、人手による診断では気付かない設計上の問題も補えます。
診断ツールの結果には、誤検知（実際には問題のない箇所）が含まれる場合があります。
専門家は結果を精査し、リスクの有無を確認したうえで最終報告書をまとめます。
報告書の内容をもとに、診断ベンダーから結果説明が行われます。
技術的な内容だけでなく、「どのリスクから対応すべきか」「修正の優先度」などもアドバイスされます。
報告書には専門的な表現も多く使われますが、次の3点を意識すれば十分理解できます。
| チェック項目 | 意味 | どう活かすか |
|---|---|---|
| 深刻度 （Severity） |
脆弱性の危険度。Critical／High／Medium／Lowなどで分類 | 優先的に対応すべき項目を判断する |
| 影響範囲 （Impact） |
攻撃を受けた場合に影響が出る範囲 | 経営層や他部門へ説明する際の根拠にする |
| 修正推奨策 （Recommendation） |
どのように修正すればよいかの提案 | 開発チームが具体的な修正方針を立てる |
報告書を読んだら、まず「どの脆弱性をいつまでに対応するか」を決めましょう。
その際、リスクの高いもの（Critical／High）から優先的に対応するのが基本です。
監修：増井さん
報告書の活用には運用ルールが必要です。具体的には、「危険度の高いものから順に修正担当と期限を設定する」「修正に対する検証基準を明記する」「再診断の合格基準を定義する」といったことを事前に社内ルールとして決めておくと、診断結果を改善につなげられます。
診断後に報告書を受け取ったら、次は修正と再診断（リテスト）です。
診断の目的は「脆弱性を見つけること」ではなく、「直して安全にすること」です。
まずは報告書で指摘された問題を確認し、リスクの高いものから順に対応を始めましょう。
修正後は、可能であれば再診断（リテスト）を実施しましょう。
特に重要システムや高リスク項目の場合は、外部機関による再診断を推奨します。
修正・再診断を行った後は、改善の成果を可視化してチームで共有することが大切です。
見える化することで、進捗が明確になり、次のアクションにもつながります。
脆弱性対策は「1回やって終わり」ではなく、続けるしくみをつくることが大切です。
そのためには、次の3つを意識しましょう。
監修：増井さん
診断は「発見」して終わりでは意味がなく、組織の安全を保つために継続して実施しなければなりません。
攻撃者は常に新しい脆弱性を狙っているため、発見された脆弱性を確実に修正し、再発を防ぐしくみをつくることが大切です。1年に1回でも継続して診断を行い、自社が今どのレベルにいるかを把握し続けることが、防御力を維持する唯一の方法です。
脆弱性診断は、単なるチェックリストではなく「企業の守りの文化」をつくるしくみです。一度の診断で終わらせず、継続して改善を重ねることで、システムの信頼性を保ち続けることができます。
脆弱性診断を効果的にする3つの実践ポイント
どんなに優れたしくみも、「今、何が危険なのか」を知らなければ改善は始まりません。
ユービーセキュアでは、無料の脆弱性診断トライアルを通じて、自社システムのリスクを“見える化”するお手伝いをしています。
「まずは現状を知りたい」「どの範囲を診断すればいいかわからない」という方も、お気軽にご相談ください。