脆弱性診断の実施証明書は何に使えるか。取引先のチェックシート・EC加盟店・SCS評価制度での使い方と、証明書が保証しないこと

取引先から届くセキュリティチェックシートに「外部の脆弱性診断を定期的に受けていますか」という質問があり、答えに困った経験はないでしょうか。「はい」と答えるだけでは根拠にならず、かといって診断の報告書をそのまま渡すと、自社の脆弱性の詳細まで外に出てしまいます。

その間を埋めるのが、脆弱性診断の実施証明書（診断証明書）です。本記事では、実施証明書が何を示す書類なのか、どの場面で使えるのかを、クレジットカード・セキュリティガイドラインや経済産業省のSCS評価制度などの一次資料をもとに整理します。あわせて、証明書が保証しないことと、「合格」「安全」をうたう書類を受け取るときの注意点も説明します。

この記事の要点

診断実施証明書は「いつ、どの範囲を、どの方法で診断し、結果はどうだったか」を第三者として示す書類です。報告書の詳細を出さずに、診断を受けた事実を取引先や監査に示せます

クレジットカード・セキュリティガイドライン6.0版（2025年3月）で、EC加盟店にシステムとWebサイトの「脆弱性対策」が指針対策として加わりました。導入ガイドでは「脆弱性診断又はペネトレーションテストの定期実施」が対策として挙げられ、加盟店契約時や定期調査で実施状況を申告する書式例も示されています

経済産業省のSCS評価制度（IPAのページによれば、評価用ガイドの公表後に運用開始の想定）の★4では、インターネットに公開しているVPN装置やルータなどへの脆弱性検査が技術検証に含まれ、直近の検査結果の提出で代替することも検討されています

証明書は診断した時点・範囲での結果を示すもので、将来の安全や、診断していない範囲の安全を保証するものではありません

ISMS認証は管理の仕組み、情報セキュリティサービス基準は診断会社のサービスに対する評価で、実施証明書とは示すものが違います

診断実施証明書とは

脆弱性診断の実施証明書は、診断を行った会社が発行する、診断の事実と結果の概要を1〜2ページにまとめた書類です。法律や公的制度で書式が決まっているものではなく、各診断会社が独自に発行しています。そのため、何が書かれているかは会社によって違います。最低限、次の項目がそろっているものを選んでください。

項目	記載例	ない場合の問題
発行者	診断会社の名称、所在地、責任者	誰が診断したのか確認できない
診断の依頼者	診断を受けた会社の名称	どの会社の証明か分からない
対象	システム名、URL、IPアドレスなど	証明が会社全体のものと誤解される
診断日	診断の実施期間（再診断の場合はその日付も）	古い診断を最新のように見せられる
方法と基準	ツール診断・手動診断の別、診断項目の基準、深刻度の評価方法	診断の深さが分からない
結果の概要	例：「診断時点で、深刻度『緊急』『重要』に該当する未対応の脆弱性は確認されなかった」	何をもって問題なしとしたか分からない
限定事項	「本書は診断時点・対象範囲での結果を示すものであり、将来の安全を保証するものではない」	書類の効力が過大に受け取られる
証明書番号	発行番号、報告書の版数との対応	発行者に照会できない

特に大事なのは対象・診断日・結果の書き方の3つです。証明書は、取引先が「この会社は自社のシステムを点検し、重大な問題を直している」と判断する材料になります。対象が1台のサーバーなのに会社全体の証明のように見える、1年以上前の診断なのに日付が小さく書かれている、といった書類は、受け取る側の信頼を損ねます。

報告書・要約版との違い

書類	中身	渡す相手
診断報告書	脆弱性の所在・再現手順・対策まで含む全文	社内の責任者、修正を担当する技術者・開発会社
報告書の要約版	総合評価と深刻度別の件数	社内の経営層、守秘義務のある監査人
診断実施証明書	診断の事実と結果の概要、限定事項	取引先、カード会社・決済代行会社、入札・監査の提出先

報告書の構成と読み方は『脆弱性診断の報告書には何が書かれるか』で解説しています。

実施証明書が使える場面

① 取引先のセキュリティチェックシート

大企業や官公庁と取引する際、委託先としてセキュリティ対策の状況を答えるチェックシートの提出を求められることがあります。質問項目は取引先ごとに違いますが、「外部に公開しているシステムに対して脆弱性診断を実施しているか」「検出された脆弱性に対応しているか」といった項目が含まれていることがあります。

このとき、「実施している」と答えたうえで、根拠として実施証明書を添付できると、回答の確からしさが上がります。報告書の全文を求められた場合も、まず証明書と要約版で足りるかを相談し、全文を出す場合は秘密保持契約を結んでからにするのが安全です。

② EC加盟店のクレジットカード・セキュリティ対策

クレジットカード決済を扱うECサイトにとって、最も具体的な場面がこれです。

クレジット取引セキュリティ対策協議会が2025年3月に取りまとめた「クレジットカード・セキュリティガイドライン【6.0版】」では、EC加盟店のカード情報保護対策に、システムとWebサイトの「脆弱性対策」の実施が指針対策として加わりました。改訂ポイントの資料は、カード情報を保持しない「非保持化」が一定の効果を上げた一方で、ウイルス対策や管理者権限、設定の不備などの「脆弱性対策」の不備による不正アクセスやサイトの改ざんで、カード情報の窃取が起きていることを背景に挙げています。導入する対策として示されているのは次の5つです。

システム管理画面のアクセス制限と管理者のID/パスワード管理
データディレクトリの露見に伴う設定不備への対策
Webアプリケーションの脆弱性対策
マルウェア対策としてのウイルス対策ソフトの導入、運用
悪質な有効性確認、クレジットマスターへの対策

このうち3について、同協議会の「附属文書20 EC加盟店におけるセキュリティ対策導入ガイド」（2.1版、2026年3月）は、**「脆弱性診断又はペネトレーションテストの定期実施」**を対策として挙げ、脆弱性診断はECサイトにある諸リスクの所在を明らかにするためのセキュリティ対策として非常に有効だとしています。日本クレジット協会の加盟店向けページも、カード情報を保持しているかどうかにかかわらず、自社システムとWebサイトの定期的な点検と、その結果に基づく追加対策を求めています。

また、同ガイドの関連文書として「ECサイトのセキュリティ対策実施状況申告書（例）」が示されており、新規EC加盟店の契約時の調査と、既存EC加盟店の定期調査で、加盟店が対策の導入状況を申告する内容の例とされています。申告の具体的な求め方は契約先のカード会社や決済代行会社によって異なるため、提出書類の形式は契約先に確認してください。そのうえで、脆弱性診断を実施した日付と結果の概要を示せる実施証明書があれば、申告の根拠として説明しやすくなります。

③ SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）

経済産業省が構築を進め、IPAが情報を公開しているのがSCS評価制度です。IPAのページによれば、委託先のセキュリティ対策が外から見えにくいという課題に対し、委託元が委託先に適切な段階（★）を示し、対策と実施状況の確認を促すことを想定した制度で、サプライチェーン全体の対策水準の向上を目的としています。

IPAの「SCS評価制度の詳細情報」（2026年5月29日更新）で示されている★3と★4の違いは次のとおりです。

段階	評価の方法	要求事項	有効期間	審査の内容
★3	専門家確認付き自己評価	26項目	1年	書面
★4	第三者評価	43項目	3年	書面、実地、技術検証

★4の技術検証では、インターネットに公開している機器のうち、悪用されると組織内部に侵入されるリスクが高い機器（例：VPN装置、ルータ）を対象に、脆弱性検査を実施するとされています。さらに、直近の対象機器への脆弱性検査の実施結果などの証跡を提出・確認することで、検証の実施に代えることも検討するとされています。

運用開始の時期について、同ページのスケジュールは、2026年度下期（10月〜翌3月）に評価用ガイド等を公表し、その後に運用開始を想定する形になっています。詳細は今後具体化されるため、★4の取得を目指す会社は、IPAの最新情報を確認しながら準備を進めてください。いずれにしても、公開機器への脆弱性診断を定期的に受け、その実施日と結果を証跡として残しておくことは、制度の要件が固まる前から始められる準備です。

④ 社内監査・取締役会・入札

社内の内部監査や取締役会への報告で「公開システムの点検状況」を示す資料として、また入札や業務委託の提案書で「セキュリティ対策の実施状況」を示す添付資料として使えます。社内向けであれば報告書の要約版のほうが情報量は多いですが、定型の書式で毎回同じ項目が並ぶ実施証明書は、年ごとの比較や監査の証跡として扱いやすい利点があります。

似た制度・書類との違い

「診断を受けた」ことを示す書類と、よく混同される制度があります。何を示すものかが違うので、取引先から求められているのがどれなのかを確認してください。

名称	示すもの	誰が評価するか	対象
脆弱性診断の実施証明書	特定のシステムを、特定の日に診断した事実と結果の概要	診断会社	自社のシステム（サーバー、Webアプリなど）
ISMS認証（ISO/IEC 27001）	情報セキュリティを管理する仕組みが規格に適合していること	認定を受けた認証機関	組織の管理の仕組み
情報セキュリティサービス基準適合サービスリスト	診断会社のサービスが、経済産業省の基準に照らして審査されていること	審査登録機関	診断会社のサービス
SECURITY ACTION	中小企業が対策に取り組むことを自ら宣言していること	自己宣言	組織
SCS評価制度（★3・★4）	取引先として求められる対策の実施状況	★3は専門家確認付き自己評価、★4は第三者評価	組織（IT基盤）

ISMS認証は、ISMS-ACの説明のとおり情報セキュリティマネジメントシステムに対する第三者適合性評価で、個々のサーバーに脆弱性がないことを示すものではありません。一方、実施証明書は特定のシステムの点検結果で、組織全体の管理体制を示すものではありません。両者は補い合う関係です。

情報セキュリティサービス基準適合サービスリストは、診断会社を選ぶときの参考になる一覧です。ただしIPAは、リストへの掲載はIPAによるいかなる保証も意味しないと明記しています。また掲載期間は、審査登録機関の定める登録有効期間か2年間のうち短いほうとされているので、掲載の有無は最新のリストで確認してください。

実施証明書が保証しないこと

実施証明書の価値を正しく伝えるには、何を保証しないかをはっきりさせておく必要があります。

保証しないこと	理由
将来の安全	診断後に新しい脆弱性が公表されれば、同じシステムでも状態は変わります
対象外の範囲の安全	診断していないサーバーや画面、ログイン後の機能などは「未確認」です
診断後の変更部分の安全	診断後に追加した機能や設定変更は、診断の結果に含まれません
すべての脆弱性の検出	ツール診断・手動診断とも、診断の方法と時間の範囲内での検出です
運用上の安全	パスワードの使い回し、社員の操作ミス、委託先の管理などは診断の範囲外です

そのため、証明書に「合格」「安全を保証」といった言葉だけが大きく書かれていて、診断日・対象・方法・限定事項が書かれていないものには注意が必要です。受け取った取引先が「この会社のシステムは安全だと保証された」と受け止め、後で事故が起きたときに、説明の食い違いが問題になりかねません。

信頼される証明書は、むしろ限定事項がはっきり書かれているものです。「診断時点で、深刻度『緊急』『重要』に該当する未対応の脆弱性は確認されなかった」のように、何を基準にどう判断したかが分かる書き方が望ましい形です。

証明書を取るまでの流れ

対象と範囲を決める：取引先やカード会社に求められている範囲（例：ECサイト、公開しているVPN装置）を確認し、それを含めて診断範囲を決めます
診断を受ける：ツール診断と、必要に応じて手動診断を行います
報告書を受け取り、修正する：「緊急」「重要」の脆弱性から修正します
再診断（修正確認）を受ける：修正が正しく行われたかを確認します
実施証明書の発行を受ける：修正確認の結果を反映した証明書を受け取ります
定期的に繰り返す：証明書には有効期限の決まりはありませんが、取引先や制度が「定期的な実施」を求めるため、年1回など間隔を決めて診断を続けます

「緊急」「重要」が残ったままでも、診断を受けた事実の証明は可能です。ただ、取引先に提出する目的であれば、修正と再診断を経てから発行してもらうほうが、提出先にとって意味のある書類になります。

まとめ

診断実施証明書は、特定のシステムを特定の日に診断した事実と結果の概要を示す書類で、報告書の詳細を外に出さずに診断を受けていることを示せます
取引先のチェックシート、EC加盟店のカード情報保護対策（クレジットカード・セキュリティガイドライン6.0版）、SCS評価制度の★4の技術検証などで、診断の実施を示す根拠として使えます
ISMS認証は管理の仕組み、情報セキュリティサービス基準は診断会社のサービスに対する評価で、実施証明書とは示すものが違います
証明書は将来の安全や対象外の範囲の安全を保証しません。対象・診断日・方法・限定事項が明記されたものを選びます
取引先に出すなら、修正と再診断を経てから発行してもらい、定期的に更新します

よくある質問

Q. 脆弱性診断の実施証明書に法的な書式はありますか？

ありません。法律や公的制度で定められた書式はなく、各診断会社が独自に発行しています。発行者、対象、診断日、方法と基準、結果の概要、限定事項がそろっているかを確認してください。

Q. EC加盟店は脆弱性診断を受けなければいけませんか？

クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン【6.0版】」（2025年3月）で、EC加盟店のシステムとWebサイトの脆弱性対策が指針対策に加わり、導入ガイドでは脆弱性診断またはペネトレーションテストの定期実施が対策として挙げられています。具体的な実施・申告の求め方は、契約先のカード会社や決済代行会社に確認してください。

Q. SCS評価制度の★4を取るには脆弱性診断が必要ですか？

IPAが公開している詳細情報（2026年5月29日更新）では、★4の技術検証として、インターネットに公開しているVPN装置やルータなどへの脆弱性検査を実施するとされています。直近の脆弱性検査の結果を証跡として提出することで代えることも検討されています。評価用ガイドは2026年度下期に公表予定のため、最新情報を確認してください。

Q. ISMS認証を持っていれば脆弱性診断は不要ですか？

ISMS認証は、情報セキュリティを管理する仕組みが規格に適合していることを示すもので、個々のサーバーに脆弱性がないことを示すものではありません。公開システムの状態を確かめるには、別に脆弱性診断が必要です。

Q. 実施証明書があれば、情報漏えいが起きても責任を問われませんか？

いいえ。実施証明書は診断した時点と範囲での結果を示すもので、将来の安全や対象外の範囲の安全を保証するものではありません。診断を定期的に受け、ソフトウェアの更新や設定の管理を続けることが前提です。

この記事に関連するサービス

TodoONada株式会社では、AIを活用したサーバー脆弱性診断を行い、報告書とあわせて診断実施証明書を発行しています。証明書には診断日・対象・方法と基準・結果の概要・限定事項を明記し、「緊急」「重要」の脆弱性が残っている場合は、修正後の再診断を経て発行します。

AIサーバー脆弱性診断（報告書・診断実施証明書つき） — 公開サーバー・Webアプリ・クラウド設定の診断。取引先のチェックシートやEC加盟店の申告に使える診断実施証明書を発行します。費用は対象と範囲に応じてお見積もりします

ご相談はお問い合わせからお気軽にどうぞ。「取引先から診断の証明を求められた」というご相談も歓迎です。