取引先からセキュリティの対策状況を聞かれた、会員ページや予約の機能を新しく作った、ホームページを全面的に作り直した。こうした場面で検討されるのが、外部の専門会社によるWebサイトの脆弱性診断です。一方で、「どんな種類があるのか」「どこまで頼めばよいのか」「見積もりの何を見ればよいのか」は、初めて頼む担当者には分かりにくいものです。
この記事の要点
- 脆弱性診断は、Webサイトやサーバーに攻撃に使われうる弱点がないかを、攻撃者と同じような手法で確かめる検査です。自動のツールで行う診断と、専門家が手作業で行う診断があります。
- 会員登録やログイン、決済、予約など、入力や個人情報を扱う機能があるサイトほど、手作業の診断の価値が高くなります。
- 診断会社を選ぶときは、経済産業省の基準に適合したサービスの一覧（IPAが公開）を参考にできます。
- 診断は「受けて終わり」ではなく、報告された弱点を直し、直ったかを再診断で確かめるまでが一つの流れです。
この記事は、Webサイトの脆弱性診断を外部に頼むことを検討している情報システム・総務・広報の担当者向けです。自社でできる確認との違い、診断の種類、診断会社の選び方、見積もりと報告書で確認すること、診断の後の段取りを整理します。結論を先に言うと、診断の範囲は「サイトのどこで、誰が、何を入力するか」から決めます。会社案内だけのサイトと、会員の情報を扱うサイトでは、必要な診断がまったく違います。
脆弱性診断とは何か
脆弱性とは、ソフトウェアや設定の不備など、攻撃に悪用されうる弱点のことです。Webサイトでは、入力欄から不正な命令を送り込まれてデータベースの情報を盗まれる、別の利用者の画面に不正なプログラムを仕込まれる、といった被害の原因になります。脆弱性診断は、こうした弱点がないかを、攻撃者と同じような手法で確かめる検査です。
IPAの「安全なウェブサイトの作り方」は、SQLインジェクション、OSコマンド・インジェクション、クロスサイト・スクリプティングなど、代表的な11種類の脆弱性について、原因と対策、確認用のチェックリストをまとめています。脆弱性診断は、こうした弱点が実際のサイトに残っていないかを、外から確かめる作業と考えると分かりやすくなります。
自社でできる確認と、外部の診断の違い
WordPressなどのCMSを使ったサイトなら、本体や拡張機能のバージョンが最新か、使っていない拡張機能がないか、管理画面の設定に問題がないかは、自社でも確認できます。手順はWordPressセキュリティ診断：自社で確認する12項目で紹介しています。
一方で、独自に作った問い合わせの仕組みや会員の機能、予約や決済の画面に弱点がないかは、専門の知識と道具がないと確かめられません。外部の診断は、こうした「作った部分」の弱点を見つけることに強みがあります。また、第三者が確かめたという記録は、取引先や社内への説明にも使えます。自社の確認と外部の診断は、どちらか一方ではなく、組み合わせて使うものと考えてください。
| 確認の方法 |
分かること |
分かりにくいこと |
| 自社での確認（チェックリスト・ツール） |
CMSや拡張機能の更新の状況、基本的な設定、既知の脆弱性情報との照合 |
独自の機能の作り方に起因する弱点 |
| 外部のツール診断 |
代表的な脆弱性の有無を、多くのページについて効率よく確かめられる |
画面の流れや権限に関わる複雑な弱点、誤検知の切り分け |
| 外部の手作業の診断 |
ログインや権限、画面の遷移に関わる弱点、ツールが見落とす問題 |
費用と期間がかかる。範囲を絞る必要がある |
Service
運用保守・集客改善のご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
診断の種類と、範囲の決め方
脆弱性診断には、大きく分けて、Webアプリケーションの診断と、サーバーやネットワークの診断（プラットフォーム診断と呼ばれることがあります）があります。さらに、実際に侵入を試みるペネトレーションテストを追加で行うこともあります。
範囲は、サイトの機能と扱う情報で決めます。次の表を目安に、どこを重点的に診断するかを決めてください。
| サイトの機能 |
扱う情報の例 |
診断の考え方 |
| 会社案内と問い合わせフォームだけ |
問い合わせの内容、氏名、連絡先 |
フォームとCMSの管理画面を中心に。自社の確認とツール診断で足りることも多い |
| 資料のダウンロード（登録制） |
会社名、氏名、メールアドレス |
登録の画面と、資料の受け渡しの仕組みを確認 |
| 会員ページ・マイページ |
会員の個人情報、利用履歴 |
ログイン、権限、他人の情報が見えないかを手作業で確認 |
| 予約・申込み・決済 |
予約の内容、支払いに関わる情報 |
画面の流れと入力の検証、外部サービスとの連携を重点的に |
診断の対象にするURLや機能の一覧、ログインが必要な画面のテスト用アカウント、診断を行ってよい日時を、事前に診断会社と決めます。本番のサイトで診断する場合は、サーバー会社への事前の連絡が必要かも確かめます。診断中は大量のアクセスがあるため、サーバー会社の側で攻撃と判断されて通信が止められることがあるからです。
診断会社の選び方
診断会社を選ぶときは、経済産業省の情報セキュリティサービス基準に適合したサービスを、IPAが公開している情報セキュリティサービス基準適合サービスリストで調べることができます。リストには、脆弱性診断サービスのほか、情報セキュリティ監査、デジタルフォレンジック、セキュリティ監視・運用などの区分があります。IPA自身がサービスの品質を保証するものではない点には注意が必要ですが、基準に沿った審査を受けたサービスを探す出発点になります。
- 自社のサイトと同じような規模や機能の診断の経験があるか。
- ツール診断と手作業の診断の範囲を分けて説明してくれるか。
- 報告書の見本を見せてもらえるか。
- 報告の後に、直し方の相談や再診断に対応しているか。
- 診断中に重大な弱点を見つけたとき、すぐに連絡してくれるか。
見積もりと報告書で確認すること
見積もりは、対象の画面や機能の数、診断の方法（ツールか手作業か）、再診断の有無で大きく変わります。同じサイトでも、ログイン後の画面を含めるかどうかで手間が大きく違うため、見積もりを依頼するときは、画面の一覧と、ログインが必要な範囲を一緒に渡します。複数の会社から見積もりを取るときは、範囲をそろえて依頼します。
| 確認する項目 |
見るポイント |
| 対象の範囲 |
診断するURLや画面の数、ログイン後の画面を含むか |
| 診断の方法 |
ツール診断、手作業の診断、サーバーの診断のどれを含むか |
| 期間と日時 |
診断を行う日時、報告書の提出までの期間 |
| 報告書の内容 |
弱点ごとの危険度、再現の手順、直し方の提案が書かれるか |
| 再診断 |
直した後の確認が費用に含まれるか、回数 |
| 緊急時の連絡 |
重大な弱点を見つけたときの連絡の方法と時間 |
IPAの資料でも、絞り込んだ検査で弱点が見つからなかったことは、安全だと言い切れることを意味しないとされています。報告書で「検出なし」となった場合も、診断の範囲と方法を確かめておくことが大切です。
診断の前に整えておくこと
診断を受ける前に、基本の対策を済ませておくと、報告書が「更新されていない」「設定が甘い」といった基本的な指摘で埋まることを避けられます。限られた費用で、本当に専門家に見てもらいたい部分に時間を使ってもらうための準備です。
- CMS本体、拡張機能、テーマを最新にし、使っていない拡張機能を削除する。
- 管理画面のアカウントを棚卸しし、不要なアカウントを削除する。二段階認証を設定する。
- サーバーのPHPなどのバージョンが、サポート期間内であることを確かめる。
- バックアップを取り、復元できることを確かめる。診断の前後で万一のことがあっても戻せるようにする。
- サイトの機能の一覧と、ログインが必要な画面、外部のサービスとの連携の一覧を作る。
基本の対策の優先順位はWordPressのセキュリティ対策チェックリスト、バックアップの考え方はサーバーのバックアップと復元で説明しています。
取引先への説明と、評価制度との関係
取引先から対策の状況を聞かれたとき、脆弱性診断を受けていることは、具体的な説明の材料になります。経済産業省は、取引先の対策の状況を共通の基準で示すSCS評価制度の開始を2026年度末頃に目指すとしており（2026年11月時点）、企業のIT基盤の管理を説明できる状態にしておくことの重要性は高まっています。制度の概要はセキュリティ対策評価制度（SCS）とはでまとめています。
説明するときは、診断を受けた日、対象の範囲、重大な弱点の有無と修正の状況、次の診断の予定を、1枚の要約にまとめておくと便利です。要約は、診断のたびに更新します。
診断の後に直す段取り
- 報告書を、制作会社や保守の会社と一緒に読み、危険度の高い弱点から順に直す計画を立てる。
- 直すための費用と期間を見積もる。CMSの更新で直るものと、作り直しが必要なものを分ける。
- 直した後、診断会社に再診断を依頼し、直ったことを確かめる。
- 報告書と再診断の結果を保管し、取引先から聞かれたときに説明できるようにする。
- 次の診断の時期（大きな改修のとき、年1回など）を決める。
- 同じ種類の弱点が繰り返し見つかる場合は、作り方の決まりを見直す。
危険度の高い弱点が見つかった場合は、直すまでの間、該当する機能を一時的に止める、入力を受け付けないようにする、といった応急の対応も検討します。弱点が見つかったことを、制作会社の責任だけにするのは避けたいところです。公開した後に新しい攻撃の手口が見つかることもあるため、診断と修正を繰り返して安全な状態を保つ、という考え方で進めます。
よくあるご質問
会社案内だけのサイトでも、脆弱性診断は必要ですか？
必須とは限りません。CMSの更新、管理画面の保護、バックアップなど基本の対策を続け、自社の確認やツール診断で状態を確かめる方法があります。取引先から診断の結果を求められる場合や、大きく作り直した場合には、外部の診断を検討します。
本番のサイトで診断して、サイトが止まることはありますか？
診断の方法によっては、サーバーに負荷がかかったり、テスト用のデータが登録されたりすることがあります。診断の日時を業務の少ない時間にする、検証用の環境で行う、といった方法を診断会社と相談してください。
WordPressのサイトでも、手作業の診断は意味がありますか？
独自の機能や会員の仕組み、外部のサービスとの連携がある場合は意味があります。CMSと拡張機能だけで構成された簡単なサイトなら、更新の状況の確認とツール診断を中心にする考え方もあります。
どのくらいの頻度で受ければよいですか？
大きな改修や機能の追加のとき、そして年に1回程度が一つの目安です。扱う情報が重要なサイトほど、頻度を上げることを検討します。
制作会社に診断を頼んでもよいですか？
制作会社が自社で作ったサイトを自社で診断すると、見落としに気づきにくいことがあります。第三者の目で確かめる意味を重視するなら、制作とは別の会社に依頼する方法があります。制作会社には、診断の準備と、報告された弱点の修正を担ってもらう分担が一般的です。
診断の結果は取引先に見せてもよいですか？
報告書には弱点の詳しい情報が含まれるため、そのまま渡すのは避けます。診断を受けた日、範囲、重大な弱点が直っていることをまとめた要約を用意する方法が一般的です。
診断の前後の対策を任せる場合
フェニックスデザインでは、診断の範囲の整理や、報告された弱点の修正、CMSの更新と監視など、診断の前後の対策を担当しています。対応範囲はWEBサイトのセキュリティ対策のページで紹介しています。
まとめ
- 脆弱性診断は、攻撃に使われうる弱点を、攻撃者と同じような手法で確かめる検査です。
- 自社でできる確認、ツール診断、手作業の診断には、それぞれ得意な範囲があります。
- 範囲は、サイトの機能と扱う情報で決め、入力や個人情報を扱う機能ほど手作業の診断を重視します。
- 診断会社は、IPAの基準適合サービスのリストを参考に、経験と報告書、再診断への対応で選びます。
- 報告された弱点を直し、再診断で確かめ、記録を残すまでを一つの流れにします。
- 診断の前にCMSの更新やアカウントの整理など基本の対策を済ませ、限られた費用を重要な部分に使います。