プラットフォーム診断とは？Webアプリ診断との違い・費用相場と依頼先の選び方

自社で運用するサーバーやネットワーク機器に、見落としている脆弱性がないか不安を感じていませんか。Webサイトやアプリケーションの診断は実施していても、その土台となるOSやミドルウェア、ファイアウォールやルーターといった基盤の点検は後回しになりがちです。しかし攻撃者は、設定の不備や修正プログラムの未適用といった基盤側の弱点を突いて侵入してきます。

この基盤層の弱点を外部の専門会社に点検してもらう診断が「プラットフォーム診断」です。アプリケーションの作り込みを見るWebアプリケーション診断とは対象が異なり、サーバーのOS・ミドルウェアやネットワーク機器の既知の脆弱性・設定不備を洗い出します。自社に点検体制がない場合でも、診断会社に依頼すれば短期間で現状を可視化できます。

本記事では、プラットフォーム診断の対象範囲とWebアプリケーション診断・ペネトレーションテストなどとの違い、費用の考え方を整理したうえで、診断手法や対応範囲、報告書、費用で依頼先を選ぶポイントを解説します。主要なプラットフォーム診断サービスを診断手法のタイプ別に比較表とともに紹介しますので、自社に合う依頼先を見つける材料としてご活用ください。

また、自社の状況に合う診断サービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」もご用意しています。ぜひこちらもご活用ください。

プラットフォーム診断とは？

プラットフォーム診断とは、サーバーやネットワーク機器といった、情報システムの土台（プラットフォーム）に潜む脆弱性を外部から点検する脆弱性診断です。サーバーのOSやミドルウェア、ファイアウォール・ルーター・スイッチなどのネットワーク機器を対象に、既知の脆弱性が残っていないか、設定やアカウントに不備がないかを調べます。ネットワーク診断やサーバー診断と呼ばれることもあります。

診断会社は、対象機器に対して外部または内部から通信を送り、応答をもとに弱点を洗い出します。自社に専門の担当者がいなくても、依頼すれば現状の弱点とその深刻度、対策の優先順位を報告書として受け取れる点が特徴です。

診断で確認する対象と項目

プラットフォーム診断が対象とするのは、アプリケーションの一つ下の層にあたる基盤です。主に次のような対象と項目を確認します。

• 開いているポートと稼働サービスの確認：不要なポートが外部に開放されていないか、意図しないサービスが動いていないかを調べます。
• OS・ミドルウェアの既知脆弱性の照合：稼働しているOSやミドルウェアのバージョンを確認し、公開されている脆弱性情報（CVE）と照らし合わせて、修正プログラムの未適用などを検出します。
• 設定・アカウントの不備：初期パスワードのまま運用されていないか、不要な管理者権限が付与されていないか、といった運用上の弱点を確認します。
• ネットワーク機器の脆弱性：ファイアウォールやルーターなどのファームウェア・設定に起因する弱点を調べます。

こうした設定やアカウントの不備は、実際の診断現場でも頻繁に見つかります。サーバーやネットワーク機器などを内部から点検する脆弱性診断を提供する株式会社SYNCHROの北口氏は、診断で見つかりやすい問題について次のように語っています。

どこまでを対象にするかは診断サービスによって幅があり、クラウド上に構築したサーバーを対象に含められるものもあります。自社の環境に合う範囲をカバーできるかは、依頼先を選ぶ際の確認点になります。

プラットフォーム診断が必要になる場面

プラットフォーム診断が検討されるのは、主に次のような場面です。

• 新しくサーバーを構築した、または大きな構成変更を行ったとき
• 取引先や親会社からセキュリティ対策状況の提示を求められたとき
• Webアプリケーション診断は実施しているが、その土台となる基盤の点検が抜けていると気づいたとき
• 定期的な点検を運用の一部として組み込みたいとき

アプリケーションをいくら堅牢に作っても、土台となるOSやミドルウェアに既知の脆弱性が残っていれば、そこから侵入される可能性があります。アプリケーション層と基盤層は点検の対象が異なるため、両方を押さえて初めてシステム全体の弱点を把握できます。

リモート診断とオンサイト診断の違いと使い分け

プラットフォーム診断の実施方法は、診断会社が自社の拠点から対象へアクセスして診断するリモート（遠隔）方式と、診断員が顧客の拠点に出向いて診断するオンサイト（現地）方式に分かれます。

インターネットに公開しているサーバーの外部からの見え方を点検する場合は、リモート方式が基本です。多くのサービスがリモートを標準とし、追加費用なしで対応します。一方、外部からアクセスできない社内ネットワーク内部の機器を点検する場合は、オンサイトでの実施や、診断用の機器を社内に設置する方式がとられます。自社が点検したい対象が外部公開側か内部かによって、対応できる方式を持つ依頼先を選ぶ必要があります。

プラットフォーム診断と似た診断の違い

脆弱性診断には複数の種類があり、守備範囲が重なって見えるため混同しやすいものです。ここでは、プラットフォーム診断と混同されやすい診断との違いを整理します。自社に必要なのがどれかを見極める手がかりになります。

Webアプリケーション診断との違い

Webアプリケーション診断は、Webサイトやアプリケーションそのものの作り込みに潜む弱点を対象とします。入力フォームからの不正なデータ送信（SQLインジェクションなど）や、認証・権限管理の不備といった、アプリケーション層の脆弱性を調べる診断です。

これに対しプラットフォーム診断は、そのアプリケーションが動くサーバーのOS・ミドルウェアやネットワーク機器という土台を対象とします。対象の層が異なるため、両者は代替ではなく補完の関係にあり、システム全体の弱点を把握するにはアプリケーション層と基盤層の双方を点検するのが基本です。

基盤層に限らず、Webアプリケーション診断も含めた脆弱性診断全体で依頼先を見比べたい場合は、診断方法の種類・費用相場・選び方を横断的に整理した次の記事が参考になります。

ペネトレーションテストとの違い

プラットフォーム診断が「弱点を網羅的に洗い出す」ことを目的とするのに対し、ペネトレーションテスト（侵入テスト）は「特定の目標に実際に到達できるか」を疑似的な攻撃で検証することを目的とします。たとえば「社内の機密情報サーバーまで到達できるか」という想定を立て、攻撃者の視点で侵入を試みます。

プラットフォーム診断が弱点の一覧と優先度を示すのに対し、ペネトレーションテストは個別の弱点を組み合わせた侵入経路が成立するかを示します。まず基盤の弱点を幅広く把握したい段階ではプラットフォーム診断、対策がある程度進み、実際の攻撃に耐えられるかを確かめたい段階ではペネトレーションテストが向きます。

脆弱性スキャン・CSPMとの違い

脆弱性スキャンは、ツールを使って既知の脆弱性を自動的に検出する手法です。プラットフォーム診断でもツールによるスキャンは使われますが、ツール単体のスキャンは検出結果に誤検知が含まれることがあり、結果の解釈は利用者側に委ねられます。診断サービスとして提供される場合は、スキャン結果を専門家が精査し、誤検知の除去や対策の優先順位づけまで行う点が、ツール単体の利用との違いです。

CSPM（クラウドセキュリティ態勢管理）は、クラウドサービスの設定ミスを継続的に監視する仕組みです。公開範囲の広すぎるストレージや、過剰な権限設定といったクラウド固有の設定不備を対象とします。サーバーのOS・ミドルウェアの脆弱性を対象とするプラットフォーム診断とは観点が異なりますが、クラウド上に基盤を構築している場合は、両者を組み合わせて点検する考え方もあります。

クラウド上に構築した基盤をどう点検するか、設定診断（CSPM）との使い分けまで含めて確かめたい場合は、クラウドの脆弱性診断の対象・種類・費用を整理した次の記事もあわせてご覧ください。

プラットフォーム診断のタイプ（診断手法別）

ここからは、依頼先を見分けるうえで最も重要な軸となる、診断手法の違いによる3つのタイプを解説します。どこまで深く見るか、どれだけ手間をかけるかが手法によって変わり、費用や納期にも影響します。自社に必要な深さがどのタイプかを見極める参考にしてください。

ツールによる自動スキャン型

診断ツールによる自動スキャンを中心とするタイプです。既知の脆弱性を機械的に照合するため、比較的低コストかつ短納期で、広い範囲を点検できます。クラウド型のサービスでは、契約期間中に繰り返しスキャンを実行し、継続的に状態を点検できるものもあります。

定期的に基盤の状態を確認したい場合や、まず手早く全体を把握したい場合に向きます。一方で、ツールの検出に依存するため、複雑な構成に固有の弱点や、設定の文脈に踏み込んだ判断は不得手な面があります。

ツールと専門家の手動を組み合わせるハイブリッド型

ツールによるスキャンで広く弱点を拾ったうえで、専門家が結果を精査し、誤検知の除去や手動での追加確認を行うタイプです。網羅性と精度のバランスがとれており、プラットフォーム診断サービスの多くがこの方式を採用しています。診断の深さを複数のプランから選べるサービスもあり、点検したい範囲や予算に応じて調整しやすい点も特徴です。費用はツール単体の自動スキャンより高くなる傾向があります。

専門家による手動精査・高度診断型

専門家の手動による精査を中心に据えたタイプです。ツールでは拾いきれない構成固有の弱点や、複数の問題を組み合わせたリスクまで踏み込んで診断します。金融機関や重要なインフラを担う企業など、深い診断が求められる場面に向きます。要塞化（ハードニング）の支援や、ペネトレーションテストなどの高度なサービスを併せて提供する会社も多く、その分、費用と期間は大きくなります。

ネットワークを流れる通信そのものを実測して潜在的なリスクや設定不備を可視化する、これらとは異なる方式のサービスもあります。既知の脆弱性を照合する診断とは観点が違うため、自社が把握したいリスクに合うかを個別に確認するとよいでしょう。

失敗しない依頼先の選び方

診断手法のタイプを押さえたら、ここからは手法以外の観点で依頼先を絞り込みます。対象範囲・報告書・ガイドライン適合・自社運用か委託かの4点を、自社の状況に当てはめて確認しましょう。

診断対象・範囲は自社の環境をカバーしているか

最初に確認すべきは、自社が点検したい対象をそのサービスがカバーしているかどうかです。インターネットに公開しているサーバーの外部診断が目的なのか、社内ネットワーク内部の機器まで含めたいのかで、必要な対応方式が変わります。

クラウド上に構築した基盤を対象にしたい場合は、クラウド環境に対応しているかも確認します。対象機器の数（IPアドレス数）によって費用が変わるサービスが多いため、点検したい対象の規模を把握しておくと見積もりがスムーズです。

報告書の質と診断後の支援は十分か

診断の価値は、報告書を受け取った後に対策へつなげられるかで決まります。検出した脆弱性の深刻度が整理され、対策の優先順位や具体的な対処方法まで示されているかを確認しましょう。多くのサービスがサンプル報告書を提供しているため、依頼前に内容と粒度を確かめられます。

あわせて、報告会の実施や、対策後に再度確認する再診断の有無、質疑への対応期間といった診断後の支援も、自社に専門の担当者が少ない場合ほど重要な判断材料になります。

ガイドライン準拠・第三者認定を確認できるか

診断の品質を外形的に判断する手がかりとして、第三者の基準への適合やガイドラインへの準拠を公表しているかを確認する方法があります。代表的なものに、経済産業省が定めた基準に基づき適合サービスが一覧化される「情報セキュリティサービス基準適合サービスリスト」があります。

基準の策定は経済産業省、リストの公開は情報処理推進機構（IPA）、登録審査は特定非営利活動法人日本セキュリティ監査協会（JASA）が担っています。

また、デジタル庁が公開する「政府情報システムにおける脆弱性診断導入ガイドライン」に準拠していると示すサービスもあります。これは政府情報システムを対象とした文書で、民間企業に法的な義務を課すものではありませんが、診断の進め方の目安として参照されています。

クレジットカード業界のセキュリティ基準であるPCI DSSに関連する外部スキャンに対応する事業者もあります。これらはいずれも品質を見極める手がかりであり、該当するかは各サービスの公表内容で確認します。

自社のツールで回すか、専門家に委託するか

基盤の点検は、自社でスキャンツールを導入して継続的に回す方法と、専門会社に委託する方法があります。クラウド型のスキャンサービスを使えば、自社の運用に組み込んで定期的に状態を確認できますが、結果を読み解き対策を判断する体制が社内に必要です。

専門の担当者を置きにくい場合は、スキャンから結果の精査、対策の助言までを一括して任せられる委託型が向きます。まず現状を把握したい段階は委託で深く見てもらい、その後は自動スキャンで継続的に監視するといった組み合わせも選択肢になります。

プラットフォーム診断の費用の考え方と見積もりに必要な情報

プラットフォーム診断の費用は、多くのサービスで個別見積もりとなっており、公表されている定価は限られます。料金を公開している例では、数IP（数台規模）を対象に15万円前後から、対象や診断手法の深さに応じて数十万円〜百数十万円規模まで幅があります。

見積もり額を左右する主な要因を理解しておくと、相場感をつかみやすく、社内での予算の説明にも役立ちます。

費用は主に次の要因で変わります。

• 診断対象の数（IPアドレス数・機器台数）：点検する対象が多いほど費用は上がります。費用をIPアドレス数で算定するサービスが多く見られます。
• 診断手法の深さ：ツールによる自動スキャン中心か、専門家の手動精査を含むかで費用が変わります。手動の比重が高いほど高くなる傾向があります。
• 対象環境の構成：クラウドの利用有無や、社内ネットワーク内部まで含めるかなど、構成の複雑さが費用に影響します。
• 診断方式：リモートか、診断員の出向を伴うオンサイトかによっても変わります。オンサイトは別途費用が設定されることがあります。

見積もりを依頼する際は、点検したい対象のIPアドレス数や機器構成、クラウドの利用状況、外部公開側か内部かといった情報をあらかじめ整理しておくと、各社の条件をそろえて比較しやすくなります。一部のサービスは一定の対象数を含む基本料金を公開しており、費用の目安として参考になります。具体的な金額は後述の比較表で確認できます。

プラットフォーム診断サービスを比較

ここからは、主要なプラットフォーム診断サービスを、診断手法・対象範囲・診断環境・報告書・ガイドライン適合・費用感といった観点で比較できるよう整理します。自社の点検したい範囲や求める深さに照らして、候補を絞り込む材料としてご活用ください。

主要なプラットフォーム診断サービスの詳細

ここからは、各サービスの診断手法や対象範囲、特徴を個別に紹介します。前述の診断手法のタイプごとに整理していますので、自社に合うタイプのサービスから確認してください。

ツールによる自動スキャン型のサービス

ツールによる自動スキャンや通信の実測によって、基盤の弱点を低コストかつ短納期で広く、あるいは継続的に把握できるサービスです。まず全体像を手早くつかみたい場合や、定期的に状態を確認したい場合に向きます。

1. Aikido Security（株式会社AndGo）

ソースコードやクラウドの設定、サーバーOS・依存ミドルウェアの脆弱性までを1つの管理画面で自動検査するSaaS型のツールです。ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが販売と日本語での一次対応を担います。

基盤層に関わる点検としては、クラウドの設定を調べるCSPM、コンテナイメージや仮想マシン、サーバーOS・依存ミドルウェア起因の脆弱性を検出対象に含みます。検出したアラートは自動でトリアージされ、PDFやCSVのレポートに出力できます。

料金は診断1回ごとではなく、年間契約のサブスクリプション型です。日本窓口の参考価格は1〜10ユーザーのBasicプランで年額3,780ドル、月額5万円台（年間契約・利用者10人まで）から利用でき、請求は為替を考慮した日本円で案内されます。導入前に無料で試せるDeveloperプランも用意されています。

2. セキュア・レントゲン（株式会社クワッドマイナージャパン）

既知の脆弱性をツールで照合するのではなく、ネットワークを実際に流れる通信を100%フルパケットでキャプチャし、専門のアナリストが分析するネットワークリスク診断サービスです。通信を常時監視して脅威や不審な挙動を検知するNDR（ネットワーク検知・対応）製品「Network Blackbox」の技術を基盤としています。

通信の宛先だけでなく中身まで全数検査するため、外部からの攻撃の痕跡に加え、すでに内部へ侵入・潜伏している脅威や不審な通信も検出の対象になります。IT環境に加えOTプロトコルにも対応し、工場などのネットワークも診断できます。一方、クラウドやコンテナ、依存ライブラリは対象に含みません。

機器はミラーリング方式で接続するため、障害が起きてもネットワーク本体に影響しません。顧客側の作業はミラーリング設定が中心で、設置から分析、報告会までを同社が担います。期間は最短1カ月のスポット型（単発）診断で、費用は分析手法やトラフィック量、設置台数によって変わるため問い合わせで確認します。

外部からの防御を固めた組織でも、なぜ内部に目を向けた診断を受けるのか。同社の白垣氏は、入り口と出口の対策が進んだ金融機関でも内部には弱さが残ると話します。

3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

国産のセキュリティ技術「KATABAMI」を使い、サイバー攻撃対策を予防・復旧・補償の3つで束ねたパッケージです。このうち基盤の点検を担うのが、脆弱性診断「KATABAMI VDP」です。

VDPは、サーバーやネットワーク機器、複合機といったネットワーク接続機器を内部から診断します。独自の通信経路を使うことで、従来は訪問が必要だった内部診断をリモートで実施でき、月次（年12回）で約600項目を点検します。初期パスワードのままの複合機や、管理者権限の設定不備などを検出します。

料金はネットワーク接続端末（ノード）数と診断頻度で変わり、100ノード以下で年額90万〜150万円、1台あたり月額1,250円からとされています。検出した脆弱性への対策案は提示しますが、パッチ適用などの実装は原則利用企業側で行い、希望すれば別料金で委託できます。

4. SCT SECURE クラウドスキャン（三和コムテック株式会社）

専用ソフトのインストールや機器の設置をせずに、毎日自動でネットワーク機器やWebサイトを外部から診断するクラウド型のサービスです。対象は、Webサイト（Webアプリケーション層）と、ルーター・ファイアウォール・DNSといったネットワーク機器（プラットフォーム層）です。

診断エンジンには、2024年2月からOutpost24社製を採用しています。これはクレジットカード業界の基準PCI DSSで規定される外部脆弱性診断と同じ内容のテストを実施するもので、診断項目は5万件以上にのぼります。結果はポータル画面で一元管理できます。

ハードウェアやソフトウェアの導入が不要なため、専用機器を置かずに運用できます。1社1ドメインを対象とした無料トライアルも用意されています。ISO/IEC 27001を取得し、IPAの情報セキュリティサービス基準適合サービスリストにも登録されています。料金は公開されておらず、年間契約制で、問い合わせにより確認します。

5. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）

WAF製品などを開発するペンタセキュリティ株式会社が提供し、診断の実施は株式会社ranryuに委託されている脆弱性診断サービスです。専門家による手動診断と、メニューごとの自動ツールスキャンを組み合わせて提供します。

基盤層を対象とするプラットフォーム診断では、サーバーやネットワーク機器、ミドルウェア、OSを対象に、CVE・CVSSに基づいて脆弱性をスコアリングします。主要なポートを中心に調べるクイックスキャンは最短3営業日で結果が得られます。このほかWebサイトやWebアプリ、API、スマートフォンアプリの診断メニューもあります。

検出後は、Cloudbric WAF+などによる対策の提案まで支援します。診断サービスは委託先のranryu名義で、経済産業省の基準に基づく情報セキュリティサービス基準適合サービスリストに登録されています（ペネトレーションテストは対象外）。料金は公開されておらず、問い合わせで確認します。

ツールと専門家の手動を組み合わせるハイブリッド型のサービス

ツールによるスキャンと専門家の精査を組み合わせ、網羅性と精度のバランスをとるサービスです。

6. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）

株式会社ラックは、1995年から脆弱性診断を手がけるセキュリティ専業ベンダーです。基盤層を対象とするプラットフォーム診断をメニューの一つとして用意し、サーバーやネットワーク機器に潜む既知の脆弱性や設定不備を点検します。

診断はツールと専門家の手動検査を組み合わせる方式で、セキュリティ監視を担うJSOCやインシデント対応のサイバー救急センターで培った、攻撃側・防御側双方の知見を持つ点が特徴です。メニュー一覧ではプラットフォーム診断は最短3日、サーバセキュリティ設定診断は最短10日からの提供が示されています。

同じベンダー内に、実際の攻撃シナリオで侵入可否を検証するペネトレーションテストやTLPT（脅威ベースのペネトレーションテスト）まで揃うため、基盤の点検から高度な侵入テストへ段階的に広げたい場合にも相談しやすい依頼先です。費用は対象規模に応じた個別見積もりとなります。

7. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）

NTTドコモソリューションズ（旧NTTコムウェア）がDSCBブランドで展開する診断サービスで、基盤層はネットワーク診断とサーバ構成診断がカバーします。ツールと専門家の手動検査を併用し、対象機器の既知脆弱性や構成の不備を点検します。

ネットワーク診断とWebアプリケーション診断は、経済産業省の「情報セキュリティサービス基準」に適合し、IPAの適合サービスリストに掲載されています。2025年度のネットワーク診断の実績は約670システム・8,950IPで、申込から報告書提出まで約1か月、最短で約2週間から着手できます。

診断契約には条件を満たすとサイバー保険が無償で付帯し、全メニュー合計の契約金額が税抜80万円以上の場合、支払限度額1,000万円（診断契約日から1年間）が補償されます。ネットワーク診断は、報告書提出後3か月以内に最大3回まで無料で再診断を受けられます。

8. SQAT（株式会社ブロードバンドセキュリティ）

セキュリティ専業の株式会社ブロードバンドセキュリティが展開する脆弱性診断ブランドがSQAT（エスキュート）です。基盤層はネットワーク脆弱性診断（SQAT for Network）が対応し、サーバーやネットワーク機器の弱点を点検します。

診断は、専門家による手動診断と独自開発の自動診断を組み合わせるハイブリッド方式です。報告は対応の優先度がわかる形で示され、緊急度の高い脆弱性が見つかった場合は随時連絡されます。診断終了後3か月までの再診断にも対応します。

累計の診断実績は延べ10,300組織・64,280システム超（2025年6月時点）で、提供元はISMSやプライバシーマークに加え、クレジットカード業界のPCI DSS関連でQSAなどの認定を保有します。Web・ネットワーク・スマホアプリ・IoT・クラウドまで診断対象が広い点も特徴です。

9. プラットフォーム診断（GMO Flatt Security株式会社）

GMO Flatt Securityのプラットフォーム診断は、オフィスなどに構築されたネットワーク環境のネットワーク機器・サーバーを対象とする、Webアプリケーション診断とは別立ての基盤層向けメニューです。パブリッククラウド上の構成は、提案に応じて診断項目をカスタマイズします。

診断項目はTCP・UDPのポートスキャンとサービススキャン、サービスやOSのバージョン・設定確認などで、IPA等の基準に同社独自の基準を加えて実施します。専門のセキュリティエンジニアがオフサイト（リモート）で診断し、サンプル報告書をダウンロードで確認できます。

経済産業省の「情報セキュリティサービス基準」にプラットフォーム診断を登録しており、株式会社スマートバンクやみずほリサーチ&テクノロジーズ株式会社などで、Webやスマホアプリ診断と組み合わせた導入実績があります。プラットフォーム診断の料金はページ上で非公開で、見積りは無料です。

10. VAddy（株式会社ビットフォレスト）

VAddyは株式会社ビットフォレストが提供するクラウド型の自動診断ツールで、基盤層については手動のプラットフォーム診断を有償オプションとして用意しています。プラットフォーム診断は1回150,000円（税別、最大3IPまで。4IP以上は要問い合わせ）で、株式会社SHIFTが実施します。

ツール本体はWebアプリケーションやAPIサーバーを対象とする継続診断向けで、初期費用0円・月額19,800円（税別）から利用でき、1週間の無料トライアルがあります。アプリ層をツールで継続的に回しつつ、基盤層は専門家の手動診断で押さえたい場合に、両方を1つの契約先でまかなえます。

手動診断プランは2026年6月に刷新され、プラットフォーム診断の価格改定や、手動診断の単発利用・再診断への対応が行われています。

11. Vex（株式会社ユービーセキュア）

株式会社ユービーセキュアは、自社開発の脆弱性診断ツール「Vex」の提供と、そのツールに診断士の手動診断を組み合わせる診断代行の両方を手がけています。基盤層のプラットフォーム診断（サーバー・ネットワーク機器）は、この診断代行サービスのメニューとして提供されます。

診断代行はツールと診断士の手動診断を併用する方式で、プラットフォーム診断・Webアプリケーション診断・スマートフォンアプリ診断が経済産業省の「情報セキュリティサービス審査登録制度」に登録されています。インターネットに公開していない社内システムは、現地での診断にも対応します。

報告書は脆弱性ごとの再現手順や対象システムに即した指摘を含み、納品後1か月間は診断結果の問い合わせを受け付けます。再診断の有無は契約時に選べます。提供元が開発するツール「Vex」は、ITRの調査でWebアプリケーション脆弱性診断・管理市場のベンダー別売上金額シェア1位（2024年度実績）とされています。

12. プラットフォーム診断（株式会社インターネットイニシアティブ）

インターネットイニシアティブ（IIJ）のプラットフォーム診断は、システムに疑似攻撃を行ってネットワーク・OS・ミドルウェアの脆弱性を調べるメニューです。診断の深さに応じて、プレミアム・スタンダード・エクスプレス・ライトの4段階が用意されています。

このうちプレミアムは複数ツールによる診断に専門家の追加検証を重ね、スタンダードは単一ツールの診断結果を人が検証します。エクスプレスはツール診断のみ、ライトは検出データの提供のみで、人手検証の有無やツール数、報告書の内容で選べます。診断対象はIPv4・IPv6の双方に対応します。

標準はリモート診断で、オンサイトは一部プランのオプションです。プレミアムとスタンダードでは、Web会議での報告会と、報告書提示から1か月以内に1回の無償再診断が受けられます。診断は平日日中帯が標準で、費用は要件に応じた個別見積もりとなります。

13. プラットフォーム診断サービス（株式会社アズジェント）

株式会社アズジェントのプラットフォーム診断サービスは、サーバーやネットワーク機器で稼働するOS・ミドルウェア・サーバソフトウェアや、ルータ・ファイアウォールなどの機器を対象に、脆弱性や設定の問題を検査します。

検査はポートスキャン、ホスト情報収集、複数の診断ツールによる脆弱性検査、検出結果の手動追加検査、サービス設定検査、アカウント検査の6区分で構成されます。ツールによる検査に専門家の手動検査を組み合わせる方式です。

通常はインターネット経由のリモートで実施し、外部から接続できない環境には持込の診断PCや訪問で対応します。経済産業省の「情報セキュリティサービス基準」に適合し、IPAの適合サービスリストに登録されていると公式に記載があり、報告会と報告書納品後30日間のQAサポートが付きます。費用は診断対象のIPアドレス数をもとにした見積もりです。

14. プラットフォーム脆弱性診断サービス（株式会社サイバーセキュリティクラウド）

株式会社サイバーセキュリティクラウドのプラットフォーム脆弱性診断サービスは、ネットワーク経由で到達できるサーバーを対象に、ファイアウォールを含む公開セグメント全体まで点検できます。ツールで広く自動検出し、ツールで見つけにくい問題を専門家が手動で検証するハイブリッド方式です。

検査項目は不正侵入系・サービス妨害系・情報漏えい系の3区分で公開されており、「政府情報システムにおける脆弱性診断導入ガイドライン」に準拠していると記載しています。診断日ごとの簡易報告書に加え、正式な報告書は診断開始から10営業日以内に提供されます。

料金は基本料金350,000円（税別）からで、診断対象5IP分を含む点が明示されています。報告会やオンサイト作業は有償オプションで、関東エリアの報告会は1回50,000円、オンサイト作業は1日目100,000円などの料金が公開されています。

専門家による手動精査・高度診断型のサービス

専門家の手動精査を中心に、構成固有の弱点まで深く診断するサービスです。

15. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）

野村総合研究所を単一株主とするNRIグループのセキュリティ専業会社、NRIセキュアテクノロジーズ株式会社が提供する診断サービスです。プラットフォーム診断は、インターネット側またはLAN側から複数の診断ツールと専門家の手作業診断を併用し、ポートスキャンやアプリケーションバナーの確認、セキュリティホールのチェックなどを行います（DoS攻撃への対策チェックはオプション）。

診断の中核をツールではなく専門家の手作業に置いている点が特徴で、SANS Instituteのトレーニング修了者やCISSP・OSCP・GIACなどの国際資格を持つ診断員が対応します。報告書では検出した問題ごとに具体的な対策を示し、Webアプリケーション診断では過去の診断実績と比較した相対評価も付きます（比較母数・基準は非公開）。

脆弱性診断にとどまらず、攻撃者視点で侵入を試みるペネトレーションテストや、検知・対応体制まで検証するレッドチームオペレーションといった高度なメニューも併せて提供しています。プラットフォーム診断の費用は個別見積りで、ペネトレーションテストは800万円〜（税別）、レッドチームオペレーションは1200万円〜（税別）が公式に示されています。

16. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

2001年のWebアプリケーション診断から診断事業を始めた三井物産セキュアディレクション株式会社（MBSD）が提供する、手動主体の脆弱性診断サービスです。同社は三井物産株式会社が100%出資するサイバーセキュリティ専門企業で、現在はネットワーク診断（プラットフォーム診断）をはじめWeb・スマホアプリ・IoTなど幅広い対象を診断しています。

ネットワーク診断は、セキュリティエンジニアによる手動診断を主体に、独自の補助ツールと商用ツールを組み合わせて疑似攻撃を実施する方式です。診断結果報告書の納品に加え、報告会と質疑応答にも対応します。

ネットワーク診断の実績は2017年4月〜2024年3月の集計で3,200案件・8,000IP以上、JVN（脆弱性情報データベース）への新規脆弱性報告は累計200件以上と公表しています。

ペネトレーションテストやTLPT、要塞化（ハードニング）支援といった高度なメニューも提供し、運営会社はISO/IEC 27001とISO 9001を取得しています。料金は診断範囲・対象に応じた個別見積りです。

17. ネットワーク診断（GMOサイバーセキュリティ byイエラエ株式会社）

ネットワーク診断（プラットフォーム診断）を、Webアプリケーション診断やクラウド診断などと並ぶ脆弱性診断メニューの一つとして提供しています。運営元のGMOサイバーセキュリティ byイエラエ株式会社は、GMOインターネットグループ傘下で国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業です。

診断はホワイトハッカーが診断ツールと独自の知見を組み合わせて行い、設定の不備や修正プログラムの更新状況、通信の安全性などを検証します。OWASP Top 10などの国際的な基準に対応すると公式に記載しており、報告書には診断対象の概要と脆弱性の詳細、対策方法が示されます。報告会はWebミーティング形式でオプション提供されます。

脆弱性診断の次の段階として、組織全体を対象に実際の攻撃者と同じ条件で侵入を試みるレッドチーム演習も提供しており、フィッシングや物理侵入、漏洩情報の悪用まで含めて検知・対応体制を検証できます。会社としてISO 9001・ISO/IEC 27001・ISO/IEC 27017を取得しています。料金はいずれも個別見積りです。

18. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

「セキュリティ診断・評価・調査」として、脆弱性診断からアセスメント、RedTeam/TLPTまでを一つのメニュー群にまとめて提供しています。提供元のエヌ・ティ・ティ・セキュリティ・ジャパン株式会社は、NTTセキュリティホールディングス株式会社の100%子会社で、NTTグループのサイバーセキュリティ専業会社です。

プラットフォーム診断を含む脆弱性診断サービスでは、専門家が複数のツールを組み合わせて網羅的に診断し、リスクの高い脆弱性を洗い出します。あわせて、QualysやTenableを用いて顧客自身が継続的に自社資産の脆弱性を把握できるセルフ診断環境も選べます。

攻撃者視点で人・プロセス・技術を横断して耐性を評価するRedTeam/TLPTや、経済産業省の評価基準に基づくSCS評価制度アセスメント（サプライチェーン全体の対策状況の診断）も提供します。運営会社はISMS認証（認証番号22127-ISMS-001）を取得しています。料金は全メニューが要お問い合わせで、診断対象範囲・規模に応じた個別見積りです。

プラットフォーム診断の進め方と報告書

依頼を検討する際は、診断の進め方と、受け取る報告書の内容をあらかじめ把握しておくと、社内での準備や対策の段取りが立てやすくなります。

診断の流れと準備する情報

一般的なプラットフォーム診断は、問い合わせと見積もりから始まります。診断会社は対象の範囲や構成をヒアリングし、診断方式と費用を提示します。契約後、診断対象の情報（IPアドレスや機器構成、アクセス方法、実施可能な日時など）をすり合わせ、合意した範囲で診断を実施します。実施後、検出された脆弱性をまとめた報告書が納品され、必要に応じて報告会で内容の説明を受けます。

スムーズに進めるには、点検したい対象の一覧、ネットワーク構成、外部公開側か内部かの区別、診断を実施できる時間帯といった情報を事前に整理しておくとよいでしょう。稼働中のシステムに影響を与えないよう、実施日時の調整が必要になる場合もあります。

報告書で確認すべきポイント

報告書は、検出された脆弱性の一覧だけでなく、それぞれの深刻度の評価と、対策の優先順位・具体的な対処方法まで示されているかが重要です。深刻度は、CVSSと呼ばれる共通の指標でスコア化されることが一般的で、どこから手をつけるべきかの判断材料になります。多くの診断会社がサンプル報告書を公開しているため、依頼前に内容の粒度や分かりやすさを確認しておくと、受け取った後の対策につなげやすくなります。

まとめ

プラットフォーム診断は、サーバーのOS・ミドルウェアやネットワーク機器といった基盤の弱点を外部から点検する診断です。アプリケーションの作り込みを見るWebアプリケーション診断とは対象が異なり、システム全体の安全性を高めるには両方を押さえる必要があります。

依頼先を選ぶ際は、まず診断手法のタイプ（自動スキャン型・ハイブリッド型・手動精査型）で自社に必要な深さを見極め、そのうえで対象範囲・報告書・ガイドライン適合・運用体制を確認するとよいでしょう。費用は対象の数や手法の深さで変わるため、点検したい範囲を整理してから複数社に見積もりを依頼すると、条件をそろえて比較できます。

本記事の比較表と選定診断ツールを、自社に合う依頼先を見つける材料としてお役立てください。

よくある質問（FAQ）

Q. プラットフォーム診断とは何ですか？

A. プラットフォーム診断とは、サーバーのOS・ミドルウェアやネットワーク機器といった情報システムの土台（基盤）に潜む脆弱性を、外部の専門会社が点検する脆弱性診断です。開いているポートや稼働サービス、OS・ミドルウェアの既知の脆弱性、設定やアカウントの不備などを洗い出し、弱点とその深刻度、対策の優先順位を報告書として受け取れます。ネットワーク診断やサーバー診断と呼ばれることもあります。

Q. プラットフォーム診断とWebアプリケーション診断は何が違いますか？

A. プラットフォーム診断とWebアプリケーション診断の違いは、点検する対象の層にあります。プラットフォーム診断はサーバーのOS・ミドルウェアやネットワーク機器という「土台」を、Webアプリケーション診断はその上で動くアプリケーション自体の作り込みを対象とします。

SQLインジェクションなどアプリケーション層の弱点はWebアプリケーション診断が、OS・ミドルウェアの既知の脆弱性や設定不備はプラットフォーム診断が担います。両者は代替ではなく補完の関係にあり、システム全体の弱点を把握するには双方の点検が基本です。

Q. プラットフォーム診断はどのようなタイミングで実施すべきですか？

A. プラットフォーム診断は、新しくサーバーを構築したときや大きな構成変更を行ったとき、取引先や親会社からセキュリティ対策状況の提示を求められたとき、定期的な点検を運用に組み込みたいときなどが実施の目安です。

既知の脆弱性は日々新たに公開されるため、構築時の一度きりではなく定期的に繰り返し点検することで、基盤の安全性を保ちやすくなります。Webアプリケーション診断は実施しているが基盤層の点検が抜けていた、と気づいたときも見直しの機会になります。

Q. プラットフォーム診断の費用相場はどれくらいですか？

A. プラットフォーム診断の費用は、多くのサービスで個別見積もりとなっており、料金を公開している例では数IPを対象に15万円前後から、対象や手法の深さに応じて数十万円〜百数十万円規模まで幅があります。

金額は主に、診断対象の数（IPアドレス数・機器台数）、ツールによる自動スキャン中心か専門家の手動精査を含むかという手法の深さ、クラウドや社内ネットワーク内部まで含むかという構成、リモートかオンサイトかによって変わります。点検したい範囲を整理したうえで複数社に見積もりを依頼し、条件をそろえて比較するのが確実です。

Q. プラットフォーム診断の見積もりには何を準備すればよいですか？

A. プラットフォーム診断の見積もりを依頼する際は、点検したい対象のIPアドレス数や機器構成、クラウドの利用状況、外部公開側か社内ネットワーク内部かの区別、診断を実施できる時間帯といった情報をあらかじめ整理しておくとスムーズです。

これらは費用を左右する要因でもあるため、各社に同じ前提を伝えれば見積もりをそろえて比較しやすくなります。稼働中のシステムへ影響を与えないよう、実施日時の希望も併せて伝えるとよいでしょう。

Q. プラットフォーム診断はリモートとオンサイトのどちらを選べばよいですか？

A. プラットフォーム診断の方式は、インターネットに公開しているサーバーの外部からの見え方を点検するならリモート（遠隔）、外部からアクセスできない社内ネットワーク内部の機器を点検するならオンサイト（現地）や診断機器の設置が基本です。

多くのサービスがリモートを標準とし追加費用なしで対応しますが、オンサイトは別途費用が設定されることがあります。自社が点検したい対象が外部公開側か内部かを確認し、必要な方式に対応できる依頼先を選びましょう。

Q. プラットフォーム診断にはどれくらいの期間がかかりますか？

A. プラットフォーム診断の期間は、診断手法と対象規模によって幅があり、ツール中心の簡易な診断なら最短3営業日程度、専門家の手動精査や報告書の作成を含むと数週間から約1か月が目安です。対象のIPアドレス数が多いほど、またオンサイトや手動の比重が高いほど期間は延びる傾向があります。報告会や再診断まで含めたスケジュールを見積もりの段階で確認しておくと、社内での対策の段取りが立てやすくなります。

Q. プラットフォーム診断は自社のツールで行うのと専門会社への委託のどちらがよいですか？

A. プラットフォーム診断は、結果を読み解いて対策を判断できる体制が社内にあるなら自社のスキャンツールで継続的に回す方法が、専門の担当者を置きにくいならスキャンから結果の精査・対策の助言までを任せられる委託型が向きます。

NessusやOpenVAS、Qualysといったスキャンツールを自社運用すれば定期的に状態を確認できますが、ツールの検出結果には誤検知が含まれることがあり、解釈は利用者側に委ねられます。まず現状を委託で深く把握し、その後は自動スキャンで継続的に監視する、といった組み合わせも選択肢になります。

Q. プラットフォーム診断とペネトレーションテストはどちらを受けるべきですか？

A. プラットフォーム診断とペネトレーションテストは目的が異なり、基盤の弱点を幅広く洗い出したい段階ではプラットフォーム診断、対策がある程度進み実際の攻撃に耐えられるかを確かめたい段階ではペネトレーションテストが向きます。

プラットフォーム診断が弱点の一覧と優先度を示すのに対し、ペネトレーションテストは特定の目標に実際に到達できるかを疑似攻撃で検証します。まず基盤を網羅的に点検し、必要に応じて侵入テストへ段階的に広げるのが一般的な進め方です。

Q. プラットフォーム診断で見つかった脆弱性の修正まで対応してもらえますか？

A. プラットフォーム診断で検出された脆弱性については、対策案や優先順位の提示までを診断に含めるサービスが多く、修正プログラムの適用など実際の対処は利用企業側で行うのが基本です。

サービスによっては、対策の実装を別料金で委託できる場合もあります。自社に対応できる体制が十分でないときは、報告会の実施や質疑への対応期間、対策後の再診断の有無といった診断後の支援が手厚い依頼先を選ぶと、検出から対策までをつなげやすくなります。

プラットフォーム診断サービスの資料を一括チェック

MCB FinTechカタログでは、プラットフォーム診断をはじめとする脆弱性診断サービスの最新資料を無料で一括請求できます。診断手法・対象範囲・費用を比べて、自社に合う依頼先の検討にお役立てください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。