脆弱性診断とは
脆弱性診断とは、システムやアプリケーションに、攻撃に悪用され得る弱点（脆弱性）がないかを、専用の道具や専門家の知見で調べる評価のことです。「セキュリティ診断」とも呼ばれます。
健康診断にたとえると、体の不具合を早期に見つける検査にあたります。検査をして問題を発見することが目的で、その後の治療（修正）をしなければ、診断の意味は薄れます。
主に、Webアプリケーション、ネットワーク、スマートフォンのアプリなどを対象にして行われます。実施の頻度やタイミングは、システムの重要度に合わせて決めます。
仕組み・ポイント
診断の進め方は次のとおりです。
- 範囲の決定：どのシステムや機能を診断するか
- 診断の実施：道具による自動の検査と、専門家による手動の確認
- 報告：見つかった問題を、危険度とともに整理
- 修正：問題を直す
- 再診断：修正が正しく行われたかを確認
| 方式 | 特徴 |
|---|---|
| 道具による検査 | 広い範囲を短時間で調べられるが、見逃しもある |
| 専門家による手動の診断 | 業務の流れに関わる問題も調べられるが、費用と時間がかかる |
実施の時期は、公開前と、大きな変更の後が基本です。また、診断はその時点の状況の確認にすぎないため、継続的に実施する必要があります。結果が出た後の修正の担当者、期限、再確認の方法を事前に決めておかないと、報告書が放置されがちです。
実務での使い方・具体例
架空の例として、会員の個人情報を扱う新サービスを公開する前に、診断を実施する場面を考えます。診断の範囲を、ログイン、会員情報の変更、決済の連携に絞り、専門の事業者へ依頼します。
報告書で見つかった問題のうち、危険度が高いものを公開前に修正し、低いものは公開後の計画に入れます。修正後は、再診断で解消を確認します。診断の対象や費用は、事業の重要度や扱う情報の機密度と照らして判断します。依頼先の選び方や基準は、最新の情報を専門家に確認してください。
診断の事業者を選ぶ際は、報告の内容の分かりやすさ、修正の相談への対応、診断の方法の説明が十分かといった点も比較します。結果の報告を受けた後に、修正の方法について質問できるかどうかも重要です。診断を受ける目的を、取引先への説明のためなのか、実際の安全の向上のためなのかを、関係者で確認しておくと、範囲の判断がぶれません。
判断のチェックポイント
- 診断する範囲を、重要度に応じて決めたか
- 実施の時期を、公開前や大きな変更の後に計画したか
- 結果を修正する担当者と、期限を決めたか
- 修正後に再診断する手順を用意したか
- 診断の結果の取り扱いを、関係者で決めたか
- 継続的に実施する計画があるか
よくある誤解と注意点
- 診断を受ければ安全になるわけではない：その時点の状況の確認で、修正が必要です。
- 道具の検査だけで十分とは限らない：業務の流れに関わる問題は、手動の確認が有効です。
- 一度で終わりにしない：変更のたびに、新たな弱点が生じ得ます。
- 報告書をもらって終わらない：修正と再確認までが一連の作業です。
- 対象外の部分は調べられていない：診断の範囲を理解して結果を読みます。
関連用語
- 脆弱性（セキュリティホール）：診断で見つけようとする弱点
- ペネトレーションテスト：攻撃者の視点で侵入を試みる試験
- セキュリティチェックシート：取引先から求められる確認の様式
- SBOM（ソフトウェア部品表）：使っている部品の一覧
Otsumuに相談できること
診断の結果をどう受け止め、どの順で直すかには、事業の重要度の判断が欠かせません。Otsumuでは、扱う情報の性質に応じた、公開前に必要な確認の範囲を、ご一緒に整理できます。
MVP開発のご支援内容もご覧いただけます。進め方に迷う段階であれば、30分の無料相談でお話しください。
執筆：Otsumu株式会社 ／ 編集日 2026.10.04