脆弱性診断とは？ツール診断・手動診断・ペネトレーションテストの違いと、対象別の種類【2026年版】

情報流出のニュースが続き、取引先から「脆弱性診断は受けていますか」と聞かれる場面が増えました。ところが、いざ調べると「Web診断」「プラットフォーム診断」「ツール診断」「手動診断」「ペネトレーションテスト」と似た言葉が並び、何を頼めばよいのか分かりにくいのが実情です。

本記事では、経済産業省の「情報セキュリティサービス基準」の定義を軸に、脆弱性診断の種類を**「何を診るか（対象）」と「どう診るか（やり方）」の2つの軸**で整理します。そのうえで、目的別の選び方、診断の前に必ず必要な許可、診断会社を選ぶときの目安までまとめます。

この記事の要点

• 脆弱性診断は、システムやソフトウェアの弱点（脆弱性）を、専門の知見を持つ人が調べるサービスです。経済産業省の基準では、Webアプリケーション、プラットフォーム（サーバー・ネットワーク機器など）、スマートフォン／タブレットのアプリの3つに分けて定義されています
• やり方は大きく、ツールで網羅的に調べる「ツール診断」、技術者が手で確かめる「手動診断」、攻撃者と同じ手法で目的を達成できるかを試す「ペネトレーションテスト」の3つです。ペネトレーションテストは、基準上は脆弱性診断の「オプション」という位置づけです
• 診断で脆弱性が見つからなくても「安全」の証明にはなりません。IPAも、検査パターンを絞った診断では脆弱性が検出されなくても安全宣言にはつながらないと明記しています
• 診断は必ず、対象システムの管理者の許可を得てから行います。許可なく制限を回避してアクセスすると、不正アクセス禁止法の不正アクセス行為にあたるおそれがあります
• 初めてなら、外部に公開しているサーバーとWebアプリを対象に、ツール診断＋手動での確認から始めるのが現実的です

脆弱性診断とは

脆弱性とは、ソフトウェアの不具合や設定の誤りなどによって生まれる、セキュリティ上の弱点のことです。攻撃者はこの弱点を突いて、情報を盗んだり、サーバーを乗っ取ったりします。

脆弱性診断は、この弱点を攻撃者より先に見つけるための点検です。経済産業省の「情報セキュリティサービス基準 第4版」では、脆弱性診断サービスを次のように定義しています。

システムやソフトウェア等の脆弱性に関する一定の知見を有する者が、システムやソフトウェア等に対して行う次に掲げるいずれか又は全てのサービス ア Webアプリケーション脆弱性診断 イ プラットフォーム脆弱性診断 ウ スマートフォン／タブレット端末アプリケーション脆弱性診断

人間ドックにたとえると分かりやすいでしょう。診断の結果、見つかった弱点に「深刻度」をつけ、どこから直すべきかを報告書にまとめます。報告書に何が書かれるかは『脆弱性診断の報告書には何が書かれるか』で詳しく説明しています。

診断で分かること、分からないこと

診断で分かるのは、診断した日に、診断した範囲で、診断した方法で見つかった弱点です。逆に言えば、次のことは分かりません。

• 診断の範囲に入れなかったサーバーや画面の弱点
• 診断の後に公表された新しい脆弱性
• 診断の後に変えた設定や、追加した機能の弱点
• すでに侵入されているかどうか（これは「侵害調査」の領域です）

IPAは、簡易な診断の仕様である「ウェブ健康診断仕様」について、「検査パターンを絞り込んだ診断ですので、脆弱性が検出されなかった場合でも、安全宣言には繋がりません」と明記しています。これは簡易診断に限らず、診断全般に通じる考え方です。診断は「安全の保証」ではなく、「その時点での点検の記録」です。診断の結果を取引先に示すときの考え方は『脆弱性診断の実施証明書は何に使えるか』にまとめています。

対象別の種類：何を診るか

まず「何を診るか」で分けます。経済産業省の基準の3区分に、実務でよく依頼されるクラウド設定の点検を加えると、次のようになります。

種類	主な対象	主に見つかる弱点の例	こんな会社に
Webアプリケーション診断	自社のWebサイト、会員サイト、管理画面、API	入力値の処理の不備、認証・セッション管理の不備、権限の確認漏れ	会員情報や問い合わせ内容を扱うWebサービスを運営している
プラットフォーム診断（サーバー・ネットワーク）	公開サーバーのOS、Webサーバー・DBなどのミドルウェア、ネットワーク機器、VPN機器	古いバージョンのまま放置されたソフト、不要に開いているポート、弱い設定	自社でサーバーやVPN機器を運用している
スマートフォンアプリ診断	iOS・Androidアプリと、アプリが通信するサーバー	端末内への情報の保存方法、通信の保護の不備	自社アプリを配布している
クラウド設定の点検	AWS・Azure・Google Cloudなどの権限、ストレージ、ネットワーク設定	外部から見えるストレージ、広すぎる権限、ログの未取得	システムをクラウドで運用している

Webアプリケーション診断とプラットフォーム診断は、診るレイヤーが違う点に注意してください。Webアプリ診断は、アプリの入力と出力（ログイン画面、検索フォーム、APIなど）を調べます。プラットフォーム診断は、その下で動くOSやミドルウェア、公開しているポートを調べます。Webサイトを持つ会社なら、両方が必要になるのが普通です。

なお、経済産業省の基準には、IoT機器などのハードウェアを対象にした「機器検証サービス」という別の区分もあります。

やり方の違い：ツール診断・手動診断・ペネトレーションテスト

次に「どう診るか」で分けます。

やり方	何をするか	得意なこと	苦手なこと
ツール診断（自動診断）	診断ツールで、既知の脆弱性や設定の誤りを網羅的に調べる	範囲が広くても短時間で調べられる。定期的な点検に向く	誤検知（本当は問題ないもの）が混ざる。業務の流れに依存する弱点は見つけにくい
手動診断	技術者が画面や通信を確かめながら、ツールの結果の確認と、ツールでは見つけにくい弱点を調べる	権限の確認漏れなど、業務の流れに依存する弱点。誤検知の除外	人手がかかるため、範囲を絞る必要がある
ペネトレーションテスト（侵入試験）	攻撃者と同じ手法で、決めた目的（例：顧客データに到達できるか）を達成できるかを試す	「実際にどこまで侵入されうるか」という現実の被害の大きさ	網羅性ではなく目的の達成可否を見るため、弱点の一覧づくりには向かない

実際のサービスでは、ツール診断と手動診断を組み合わせるのが一般的です。ツールで広く調べ、技術者が結果を確かめて誤検知を除き、ツールが苦手な部分を手で補います。

ペネトレーションテストは脆弱性診断の「上位版」なのか

経済産業省は2024年4月、情報セキュリティサービス基準を第4版に改訂し、ペネトレーションテスト（侵入試験）サービスを審査登録制度の対象に加えました。基準ではペネトレーションテストを次のように定義しています。

脆弱性診断のサービスの定義を満たすサービスのうち、攻撃者が実際に侵入等を行うために用いる手法と同様の手法により、アプリケーション、システム、又はネットワークのセキュリティ機能を回避して攻撃の目的を達成できるかの観点から試験を行い、その結果をもとに助言を行うサービス

経済産業省の発表では、ペネトレーションテストは既存の「脆弱性診断サービス」のオプションとして位置づけられ、登録されたサービスは脆弱性診断サービスを包含するものとして扱われるとしています。

つまり制度上は「脆弱性診断の基準を満たしたうえで、さらに侵入を試みるもの」です。ただし目的が違うので、上位版というより問いが違うと考えたほうが分かりやすいでしょう。

• 脆弱性診断：「どこに、どんな弱点があるか」を一覧にする
• ペネトレーションテスト：「その弱点を組み合わせると、どこまで侵入されるか」を確かめる

目的別の選び方

状況	おすすめ	理由
一度も診断を受けたことがない	公開サーバーとWebアプリの、ツール診断＋手動での確認	まず弱点の全体像をつかむ。いきなり侵入試験をしても、基本的な弱点の一覧が手に入らない
取引先から診断結果の提出を求められた	対象を取引先に関わるシステムに絞った診断と、報告書・実施証明書	取引先が知りたいのは「いつ・何を・どの方法で診断し、重大な弱点は直したか」
新しいWebサービスを公開する前	公開前のWebアプリ診断（手動を厚めに）	公開後に直すより、公開前のほうが修正の手間も影響も小さい
定期的に点検したい	四半期〜半年ごとのツール診断と、変更点への手動診断	新しい脆弱性は日々公表される。一度きりの診断では古くなる
対策は一通り終えた。実際の侵入耐性を知りたい	ペネトレーションテスト	弱点の一覧ではなく、実際の被害の大きさを経営判断に使う
すでに侵入されたかもしれない	診断ではなく侵害調査	診断は「これから」の弱点を探すもの。侵入の有無と影響範囲の調査は別の作業

最後の行は特に大事です。不審なログイン、見覚えのないファイル、改ざんの痕跡などがある場合は、診断より先に侵害調査と初動対応が必要です。最初にやるべきことは『ハッキング・不正アクセスが疑われるとき、最初の24時間でやること』にまとめています。

診断の進め方

一般的な流れは次のとおりです。NISTのSP 800-115（情報セキュリティの技術的な試験・評価のガイド）も、計画・実施・事後対応の段階に分けて整理しています。

1. 対象と範囲を決める：IPアドレス、ドメイン、画面、APIなど、診断する範囲を一覧にします。範囲の外は診断しません。
2. 許可と手続きをそろえる：システムの管理者（自社でなければ委託先・クラウド事業者も）の書面での同意を取ります。詳しくは次の節で説明します。
3. 日時と影響への備えを決める：本番環境で行う場合は、時間帯、緊急連絡先、中止の条件、バックアップを事前に決めます。
4. 診断を実施する：ツール診断と手動診断を行います。Webアプリの診断項目は、OWASPの「Web Security Testing Guide」のような公開の基準を参照するのが一般的です。
5. 報告を受ける：見つかった弱点、深刻度、再現の条件、修正方法を報告書で受け取ります。
6. 修正して再診断する：深刻度の高いものから直し、直ったことを再診断で確かめます。

5と6が抜けると、診断は「弱点の一覧をもらって終わり」になりがちです。診断は直して初めて意味があります。

診断の前に必ず必要なこと：許可

脆弱性診断は、使う技術だけを見ると攻撃と似ています。違いはシステムの管理者の許可があるかどうかです。

不正アクセス禁止法は、アクセス制御の機能を持つコンピュータに、その制限を免れる情報や指令を入力して、制限されている利用をできる状態にする行為などを「不正アクセス行為」と定め、禁止しています（第2条第4項、第3条）。ただし、アクセス管理者自身が行うものや、アクセス管理者の承諾を得て行うものは除かれています。違反した場合の罰則は、3年以下の拘禁刑または100万円以下の罰金です（第11条）。

実務では、次の点を確認してから診断に入ります。

• 書面での同意：対象、期間、方法、担当者を書いた同意書を、システムの管理者から取ります。
• 委託先の同意：サーバーの運用を外部に委託している場合や、レンタルサーバーを使っている場合は、運用会社や事業者の規約と同意も確認します。
• クラウド事業者の規約：たとえばAWSは、EC2やRDSなど一覧に載ったサービスについては、事前の承認なしにセキュリティ評価やペネトレーションテストを行えるとしています。一方で、DoS・DDoS攻撃や、それに類する大量の通信は禁止しています。他のクラウドにもそれぞれの規約があります。
• 範囲外への配慮：共有のサーバーやCDNの向こう側など、自社のものではない機器を診断しないよう、範囲を確認します。

「自社のサイトだから」と思っても、実際の機器やサービスの管理者が別にいる場合があります。迷ったら、診断を頼む会社に確認しましょう。

診断会社を選ぶときの目安

診断会社を選ぶときの客観的な目安として、IPAが公開している**「情報セキュリティサービス基準適合サービスリスト」**があります。経済産業省の情報セキュリティサービス基準に適合すると審査されたサービスの一覧で、脆弱性診断サービスやペネトレーションテストサービスなどの区分ごとに掲載されています。経済産業省によると、このリストに掲載されたサービスを政府や地方公共団体の調達で活用することが推奨されています。

ただし、IPAはリストについて、掲載がいかなる保証も意味しないこと、掲載期間は登録有効期間と2年間のうち短いほうであることも明記しています。リストに載っているかどうかに加えて、次の点を確認するとよいでしょう。

確認すること	なぜ大事か
診断の範囲と方法が見積もりに明記されているか	「どこまで診てくれるのか」が曖昧だと、診断していない場所を診断済みと思い込む
ツール診断だけか、手動での確認があるか	ツールの結果だけでは誤検知が混ざり、業務の流れに依存する弱点を見落とす
報告書の見本を見せてもらえるか	深刻度の根拠と修正方法が書かれていないと、社内で直せない
報告書を担当者以外がレビューしているか	経済産業省の基準でも、案件の担当者以外による報告書のレビューを品質管理の要件にしている
再診断が含まれるか、費用はどうか	直したことを確かめられないと、取引先への説明が難しい
診断で得た情報の扱い	報告書は「自社の弱点の一覧」そのもので、漏れると攻撃の手がかりになる

AIを使って診断を効率化するサービスも出てきています。AIがどこまで役に立ち、どこは人が確かめる必要があるかは『AIで脆弱性診断はどこまでできるか』で整理しています。

よくある質問

脆弱性診断とセキュリティ診断は同じですか？

ほぼ同じ意味で使われることが多いですが、「セキュリティ診断」のほうが広い意味で使われることがあります。社内規程や運用体制の点検まで含めて「セキュリティ診断」と呼ぶ会社もあるため、見積もりの段階で、対象と方法を具体的に確認してください。

脆弱性診断とペネトレーションテストの違いは何ですか？

脆弱性診断は「どこに、どんな弱点があるか」を網羅的に調べて一覧にするものです。ペネトレーションテストは、攻撃者と同じ手法で、決めた目的を達成できるか（どこまで侵入されうるか）を試すものです。経済産業省の情報セキュリティサービス基準では、ペネトレーションテストは脆弱性診断サービスのオプションという位置づけです。

自社のサーバーなら、自分で診断ツールを使ってもよいですか？

自社が管理者であるシステムに、自社の判断で行う点検は可能です。ただし、レンタルサーバーやクラウド、運用委託先の機器など、管理者が別にいる部分は、その管理者の規約と同意を確認してください。また、本番環境に負荷をかけて止めてしまうこともあるため、時間帯やバックアップの準備も必要です。

診断で脆弱性が見つからなければ安全ですか？

安全の証明にはなりません。診断で分かるのは、診断した日に、診断した範囲と方法で見つかった弱点だけです。IPAも、検査パターンを絞り込んだ診断では、脆弱性が検出されなくても安全宣言にはつながらないと明記しています。

どのくらいの頻度で診断すればよいですか？

新しい脆弱性は日々公表されるため、一度きりでは不十分です。大きな改修や新機能の公開の前後に加え、定期的な点検（例：四半期〜半年ごとのツール診断）を組み合わせるのが現実的です。頻度は、扱う情報の重要さと、システムの変更の頻度で決めます。

---

この記事に関連するサービス

TodoONada株式会社では、AIを使ったサーバー脆弱性診断を行っています。ツールによる診断の結果をAIで整理・優先度づけし、技術者が確認したうえで、調査報告書・経営層向けのレポート・診断実施証明書をお渡しします。

• AIサーバー脆弱性診断（報告書・診断実施証明書つき） — 公開サーバー・Webアプリ・クラウド設定の診断。対象と範囲をうかがってお見積もりします
• 不正アクセス・ハッキング調査と対策支援 — すでに侵入されたかもしれない場合の、侵害の有無・侵入経路・影響範囲の調査と再発防止

ご相談はお問い合わせからお気軽にどうぞ。「何を診断すればよいか分からない」という段階のご相談も歓迎です。