脆弱性診断（セキュリティ診断）とは？診断の種類やツールの選び方、おすすめ製品を解説

企業のサイバー攻撃リスクが高まる中、『脆弱性診断（セキュリティ診断）』は「被害を未然に防ぐための基本施策」として重要性が増しています。
本記事では、初学者でも理解できる基礎から、意思決定層が判断しやすい選定ポイントまで、脆弱性診断を体系的に整理します。

脆弱性診断（セキュリティ診断）とは？

脆弱性診断とは？どんな診断をするのか？

脆弱性診断（セキュリティ診断）とは、システムやアプリ、ネットワーク設定などに存在する『攻撃に悪用され得る弱点（脆弱性）』を洗い出し、影響と対策を整理する取り組みです。
一般に、(1)対象整理、(2)診断（ツール/手動）、(3)重要度評価、(4)対策提示、(5)改修後の再確認（再診断）という流れで実施されます。
デジタル庁の脆弱性診断導入ガイドライン（DS-221）でも、診断を効果的に導入するための基準・ガイダンスが整理されており、診断は単発ではなくプロセスとして設計することが重要とされています。

脆弱性診断の目的

脆弱性診断の目的は、大きく次の3つです。

1. 脆弱性の特定と可視化：どこに弱点があるかを把握する
2. 危険度の把握と優先順位付け：限られた工数・予算で「先に直すべき箇所」を決める
3. 事業影響の最小化：情報漏えい・改ざん・なりすまし等の被害を防ぐ

TISの脆弱性診断サービスにおいても、危険度が高い問題を検知した場合の速報・緊急報告や、報告書による対策方針の提示を重視しており、お客様が上記3点の目的を達成することに寄与しています。

脆弱性診断が継続的に必要な理由

脆弱性は日々発見され、攻撃手法も更新されるため、時間の経過とともに“相対的に安全性が低下”し得ます。
DS-221では、構築時診断と定期診断を組み合わせて継続運用する考え方が整理されています。
TISとしても、公開前／改修時と最低限年1回の定期診断を実施することで、「診断→改修→対策→強化」のサイクルで安定運用に繋げることを推奨しています。

脆弱性診断とペネトレーションテストの違い

ペネトレーションテストとは？

ペネトレーションテスト（侵入テスト）は、攻撃者の視点で侵入シナリオを組み立て、実際に侵入できるか／どこまで到達できるかを検証するテストです。

ペネトレーションテストとは

ペネトレーションテストとの違い

以下のような違いがあります。

• 脆弱性診断：広く弱点を洗い出し、改善対象を棚卸しする（網羅性重視）
• ペネトレーションテスト：侵入～横展開など“攻撃の成立”を実証し、現実的な影響を評価する（深さ重視）

DS-221でも、目的や対象領域に応じて、診断と侵入テストを使い分ける考え方が提示されています。
実務では、「外部公開面は継続的に診断しつつ、重要システムは定期的に侵入まで含めて検証する」など、両者を組み合わせることが効果的です。

脆弱性診断の主な方法

手動診断とは？

手動診断は、仕様や権限、画面遷移や業務ロジックを踏まえ、ツールだけでは見つけづらい欠陥（認可不備、なりすまし、権限昇格など）を検証する方法です。
TISの脆弱性診断サービスにおいても、ツール診断に加えてプロキシツール等による手動診断を組み合わせる方法を標準のサービスレベルとして提供しています。

ツール診断（クラウド診断）とは？

ツール診断は、スキャナ等により既知の脆弱性や設定不備を機械的に検出する方法で、広範囲を高速・反復的に診断できる点が特徴です。
クラウド型プラットフォームでは、継続スキャン、可視化、優先順位付け、修復管理まで一体化して提供されることが多く、運用に乗せやすいメリットがあります。

外部サービスによる診断とは？

外部サービス（診断ベンダー委託）は、専門家が計画～実施～報告～再診断まで伴走し、品質担保や説明責任（報告会/エグゼクティブサマリ）まで含めて提供される形態です。
IPAでも、外部事業者への委託を含む運用が一般的であることが示唆されています。

３つの方法のメリット・デメリット一覧表

脆弱性診断の主な対象

Webアプリケーション診断

Webアプリケーション診断は、SQLインジェクション、XSS、CSRF、アクセス制御不備など、Web経由で悪用される欠陥を確認します。
OWASP Top 10は、Webアプリの主要リスクを整理した標準的な啓発資料として広く参照されています。

ネットワーク診断

ネットワーク診断は、IP/ポート/稼働サービス/設定/既知脆弱性（パッチ不足等）を対象に、外部公開面・内部面の両方からリスクを確認します。
深刻度評価にはCVSSが使われることが多く、NVDはCVSS v3.xの定性的区分（Low/Medium/High/Critical）を示しています。

スマホアプリ診断

スマホアプリ診断は、アプリ本体だけでなく、通信・認証・バックエンドAPIまで含めて評価するのが一般的です。
OWASP Mobile Top 10は、スマホアプリの主要リスクを整理した標準的な啓発資料として広く参照されています。

IaaS設定診断

IaaS設定診断は、クラウド（AWS/Azure/GCP等）のアカウント管理、ログ、監視、ネットワーク設定などの不備を点検する領域です。
DS-221でもWeb APIやクラウドを含む対象範囲の考慮が追補されており、クラウドを診断対象に含める重要性が増しています。
CISベンチマークは、クラウドの主要リスクを整理した標準的な啓発資料として広く参照されています。

おすすめの脆弱性診断プラットフォーム「Tenable」

Tenableは、継続的な資産スキャンと可視化、優先度付け、修復支援を統合した脆弱性管理プラットフォームです。
公式にも「継続的なスキャン」「自動リスク優先順位付け」「修復のガイダンス」といった価値が示されています。

Tenableとは

Tenableによる脆弱性診断の実施手順

スキャン設定（作成）

対象資産（IP/FQDN/タグ等）と目的（外部公開面、内部、認証スキャン等）を整理し、スキャンポリシーを作成します。
Tenableの設定項目には「Safe Checks」など、対象影響を抑える設計もあり、運用要件に合わせた調整が可能です。

スキャンの実行と監視

スキャン実行後は、進捗や対象ホストの応答状況を監視し、必要に応じて時間帯や方式を調整します。
TISの診断フローでも、開始前のヒアリング、緊急速報、報告会、再診断まで一連の運用が示されています。

結果の分析と優先順位付け

結果はまず誤検知を精査し、資産重要度（重要システム／外部公開／個人情報取扱い等）を踏まえて優先順位付けします。
CVSSは深刻度を示す共通尺度で、CVSS v3.1仕様ではスコアが0～10で表現されます。
ただしCVSSは“リスクそのもの”ではなく深刻度指標である点に留意し、脅威状況や露出状況と合わせて判断することが重要です。

レポート作成と対策

レポートは「対象」「検出事項」「影響」「根拠」「推奨対策」「優先順位」を、現場と決裁の両方が読める形でまとめます。
TenableではPDF/HTML/CSVなどでレポート出力が可能で、テンプレートで章立ても調整できます。

Tenableの脆弱性診断のレポート例

脆弱性診断プラットフォームの選び方

プラットフォーム選定は「導入のしやすさ」だけでなく、「運用で回るか（継続性）」と、「優先順位付けができるか（改善が進むか）」で判断するのがポイントです。
チェック観点は以下です。

• 対象範囲（Coverage）：オンプレ、クラウド、Web、端末等に対応できるか
• 資産可視化（Discovery/ASM）：未知資産や公開面も把握できるか
• 方式の柔軟性：認証スキャン等、環境に合う手法が選べるか
• 優先順位付け：CVSS等に加え、対応順を作れるか
• レポートと説明責任：決裁層向け要約と現場向け詳細を両立できるか
• 継続運用：構築時＋定期の運用に乗るか