自社で運用するサーバーのOSやミドルウェアに、気づかないうちに既知の脆弱性や設定の不備が残っていないか、不安を感じていませんか。Webアプリケーションの脆弱性診断は受けていても、その土台となるサーバーやネットワーク機器までは手が回っていない、という企業は少なくありません。取引先のチェックシートやISMS・監査でサーバーの診断を求められ、何をどこまで診てもらうべきか判断に迷う場面も増えています。
サーバーを対象にした脆弱性診断は「プラットフォーム診断」とも呼ばれ、Webアプリケーション診断とは診る対象も手法も異なります。自社のサーバーに受けるべき診断を正しく見極めるには、どの層の弱点を・どの方式で・どの依頼先に任せるのかを整理することが欠かせません。
本記事では、サーバーの脆弱性診断（プラットフォーム診断）が具体的に何を診るのかを、Webアプリケーション診断との違いとあわせて整理します。診断方式の選び分け、費用の目安、依頼先となるサービスの比較までを通して、自社のサーバーに必要な診断を判断するための材料をまとめました。
また、自社の体制や診断したい範囲に合うサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」もご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
サーバーの脆弱性診断（プラットフォーム診断）とは
サーバーの脆弱性診断は、サーバーのOSやミドルウェア、ネットワーク機器に残る既知の脆弱性や設定の不備を、攻撃者に悪用される前に洗い出す診断です。デジタル庁のガイドラインでは「プラットフォーム診断」と呼ばれ、サーバーやネットワーク機器を対象に、ツールによる自動スキャンと診断員の手作業を組み合わせて実施すると定義されています。
ここからは、サーバー診断が具体的に何を診るのか、Webアプリケーション診断とどう違うのか、そして診断を受けることでどんなリスクを防げるのかを順に整理します。
何を診るか（OS・ミドルウェア・ネットワーク機器・ポート・設定不備）
プラットフォーム診断が対象にするのは、Webアプリケーションを動かす土台となるインフラ層です。デジタル庁のガイドラインでは、検出される脆弱性として、不要なポートの公開、脆弱なバージョンのソフトウェアの使用、設定の不備、プロトコル固有の弱点などが挙げられています。具体的には次の要素を診ます。
- サーバーOS（Linux・Windows Server など）の既知の脆弱性やパッチ未適用の状態
- ミドルウェア（Webサーバー・データベース・メールサーバーなど）のバージョンや設定の不備
- ネットワーク機器（ファイアウォール・ロードバランサ・VPN機器など）の脆弱性や設定の不備
- 開いているポートや稼働中のサービスのうち、不要なもの・公開すべきでないもの
- 暗号化方式や認証設定の不備（SSL/TLSの設定など）
これらは、アプリケーションの作り込みではなく、インフラの構築・運用・保守の過程で生まれる弱点です。パッチの適用漏れや初期設定のまま運用されている機器は、公開されている攻撃コードで悪用されやすく、プラットフォーム診断はこうした「土台の穴」を一覧化して、改善の優先度とともに提示します。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（https://www.digital.go.jp/resources/standard_guidelines）
Webアプリケーション診断との違い（切り分け表）
脆弱性診断には、サーバーやネットワーク機器を対象にするプラットフォーム診断と、Webサイトやアプリの作り込みを対象にするWebアプリケーション診断があります。両者は診る層が異なり、一方を受けても他方の弱点は見つかりません。
デジタル庁のガイドラインでも、脆弱性が生まれる部位としてプラットフォーム層（ファイアウォール・ロードバランサ・サーバーOS・ミドルウェア・VPN機器）とWebアプリケーション層が分けて整理されています。どちらがどの層を診るのかを次の表にまとめました。
| 診断対象の層 | ネットワーク機器（FW・ロードバランサ・VPN機器） | サーバーOS（Linux・Windows Server など） | ミドルウェア（Webサーバー・DB・メール等） | Webアプリケーション本体（自社開発の画面・機能） |
|---|---|---|---|---|
| プラットフォーム診断（サーバー診断） | ● | ● | ● | × |
| Webアプリケーション診断 | × | × | × | ● |
| 主に検出する弱点の例 | 不要な公開ポート・既知の脆弱性・設定不備 | OSの既知脆弱性・パッチ未適用・不要なサービスの稼働 | ミドルウェアの既知脆弱性・暗号/認証設定の不備 | SQLインジェクション・クロスサイトスクリプティング等の実装起因の弱点 |
※上記は診断の対象層を整理した一般的な区分です。各サービスの実際の診断範囲は提供各社の情報をご確認ください。
Webアプリケーションの実装起因の弱点は、OWASP Top 10やIPA「安全なウェブサイトの作り方」が示すSQLインジェクションやクロスサイトスクリプティングなどが中心で、Webアプリケーション診断の領域です。一方、サーバーOSやミドルウェアの脆弱性・設定不備はプラットフォーム診断が担います。
自社開発のWebサービスを公開している場合は両方の診断が必要になり、サーバーの運用だけを行っている場合はプラットフォーム診断が中心になります。
出典・参考資料（2件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（https://www.digital.go.jp/resources/standard_guidelines）
- 参考資料：安全なウェブサイトの作り方｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/vuln/websecurity/about.html）
自社でWebサービスも公開しているなど、サーバー診断に限らずWebアプリケーション診断まで含めて依頼先を比較したい場合は、診断方法・費用相場・選び方を横断的にまとめた次の記事もあわせてご覧ください。
サーバー診断で防げるリスク（必要性）
サーバーのOSやミドルウェアの脆弱性は、公開された時点で攻撃コードも出回りやすく、パッチの適用が遅れるほど悪用の危険が高まります。設定の不備や不要なポートの公開も、外部からの侵入やサービス妨害の入口になります。プラットフォーム診断は、こうした弱点を定期的に棚卸しし、どこから優先して塞ぐべきかを明らかにします。
Webアプリケーション診断だけを実施していると、アプリの画面や機能に問題がなくても、その土台のサーバーに既知の脆弱性が残り続けるおそれがあります。インフラ層を定期的に診断することは、自社のサーバーを起点とした情報漏えいやサービス停止を防ぎ、取引先や監査に対して安全性を説明する根拠にもなります。
サーバー診断の方式の選び分け
サーバーの脆弱性診断は、誰がどのように診断するか（ツールか専門家か）と、どこから診断するか（リモートかオンサイトか）で方式が分かれます。自社の体制・頻度・予算によって適した方式が変わるため、まずは方式ごとの違いを押さえておくと、依頼先を選ぶときに判断がぶれません。ここからは、方式ごとの違い、ペネトレーションテストとの違い、自社に合う方式の選び方を順に解説します。
方式ごとの違い（ツール自動・専門家の手動・ハイブリッド、リモート/オンサイト）
診断のやり方は、大きく3つに分かれます。ツールによる自動スキャンは、スキャナーが既知の脆弱性を機械的に検出する方式で、短期間・低コストで繰り返し実施しやすい反面、設定の妥当性などツールが判断しにくい弱点は見つけにくい傾向があります。専門家による手動診断は、診断員がツールの結果を精査し、擬似的な攻撃を交えて深く検証する方式で、精度は高い一方で費用と期間がかかります。
両者を組み合わせたハイブリッド方式は、ツールで広く洗い出したうえで専門家が重要な箇所を精査する折衷型で、多くの診断サービスが採用しています。
診断を行う位置にも違いがあります。リモート診断（外部診断）は、インターネット越しに外部から公開サーバーを診断する方式で、攻撃者と同じ視点で外部に露出した弱点を確認できます。オンサイト診断（内部診断）は、診断員が社内ネットワークに入る、または内部に機材を設置して、内部からしか到達できないサーバーや機器を診断する方式です。
デジタル庁のガイドラインでは外部からの診断を優先しつつ、内部の診断が必要な場合にオンサイトを追加する考え方が示されています。
| 診断方式 | ツールによる自動スキャン | 専門家による手動診断 | ハイブリッド（ツール＋手動） |
|---|---|---|---|
| 特徴 | スキャナーで既知の脆弱性を機械的に検出。短期間で繰り返しやすい | 診断員がツール結果を精査し擬似攻撃で深く検証。精度が高い | ツールで広く洗い出し専門家が重要箇所を精査する折衷型 |
| 向いているケース | 費用を抑えて定期的に広く回したい | 重要システム・取引先要件・監査で精度が求められる | 網羅性と精度のバランスを取りたい |
※方式ごとの一般的な傾向です。実際の診断内容・費用・期間は各サービスにより異なります。
ペネトレーションテストとの違い
サーバーの脆弱性診断とよく混同されるのが、ペネトレーションテスト（侵入テスト）です。脆弱性診断が「既知の弱点を網羅的に洗い出す」ことを目的にするのに対し、ペネトレーションテストは「特定の目標に対して実際に攻撃が成立するか」を疑似攻撃で検証することに重点があります。
脆弱性診断は、どこに弱点があるかを一覧化して改善の優先度を示す定期点検に近い位置づけです。ペネトレーションテストは、見つかった弱点を足がかりにどこまで侵入できるかを検証する、より踏み込んだ評価です。まずはプラットフォーム診断で全体の弱点を把握し、特に守りたいシステムについてペネトレーションテストで侵入耐性を確かめる、という使い分けが一般的です。
両者の違いは、目的・費用・選び方の観点でさらに踏み込んで整理した記事があります。どちらを先に実施すべきか迷う場合は、あわせてご確認ください。
自社に合う方式の選び方
方式を絞り込むときは、診断する体制・頻度・対象範囲の3点から考えると判断しやすくなります。
社内に専任のセキュリティ担当がいて、開発や運用のなかで継続的に脆弱性を潰していきたい場合は、ツール型やSaaS型で高頻度に自動スキャンを回す方式が合います。一方、重要な業務システムを抱えていて、取引先の要件や監査に対して精度の高い報告書が必要な場合は、専門家による手動・ハイブリッド診断をスポットで依頼する方式が向いています。
どの頻度で診断するかを判断するうえでは、攻撃側の変化も踏まえておく必要があります。脆弱性診断を手がける事業者からも、従来の実施頻度の見直しを促す見方が示されています。
これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
診断の位置は、公開サーバーが中心ならリモート診断から始め、社内の基幹サーバーや閉じたネットワークの機器も対象にするならオンサイト診断を加えます。専任の担当者を置きにくい企業では、診断から対策・補償までをまとめて任せられる継続パッケージ型も選択肢になります。このあと要件を押さえたうえで、記事内の選定診断ツールから、自社に合いやすいサービスを絞り込めます。
取引先チェックシート・ISMS・監査で求められる要件への対応
サーバー診断を検討するきっかけが、取引先から提出を求められたセキュリティチェックシートや、ISMS（情報セキュリティマネジメントシステム）・監査への対応であるケースも少なくありません。ここからは、こうした外部要件で何が求められるのか、そして診断が準拠すべき基準を整理します。
取引先チェックシート・ISMS・監査で求められるサーバー診断要件
取引先のチェックシートやISMSの運用では、脆弱性診断を定期的に実施し、検出された弱点に対して改善を講じているかが問われます。求められるのは、診断を一度行ったという事実だけでなく、対象範囲・実施時期・検出された脆弱性と深刻度・改善の状況を示せる報告書です。
サーバーやネットワーク機器を対象にした診断を、年次などの定期的な頻度で実施し、結果を記録・報告できる体制を整えておくことが、要件を満たすうえで重要になります。
そのため、報告書の内容や再診断の扱い、改善後の確認までを含めてサービスを選ぶと、監査や取引先への説明がしやすくなります。審査登録機関や大手のセキュリティ事業者が提供する診断は、経営判断や対外説明に使える報告書を特徴にしていることがあり、要件対応を重視する場合の判断材料になります。
準拠すべき診断基準（CVE・CVSS・CISベンチマーク・デジタル庁ガイドライン）
サーバー診断の品質を判断するには、診断が依拠する基準を知っておくと役立ちます。検出された脆弱性は、共通の識別子であるCVE（採番は非営利団体のMITREが担う）で管理され、深刻度はCVSS（共通脆弱性評価システム）で評価されます。CVSSはFIRSTが公開する評価指標で、0.0から10.0までのスコアと5段階の深刻度で弱点の重大さを示します。
報告書にCVSSスコアが付いていれば、どの弱点から優先して対処すべきかを客観的に判断できます。
サーバーOSやミドルウェア、ネットワーク機器の設定の妥当性については、CISベンチマークが参考になります。これは非営利団体のCISが公開する設定基準で、OS・サーバーソフトウェア・ネットワーク機器ごとに推奨される堅牢化の設定が定められています。
また、デジタル庁の「脆弱性診断導入ガイドライン」は、プラットフォーム診断の対象・方式・報告のあり方を体系的に示しており、診断の進め方を確認する際の拠り所になります。クレジットカード情報を扱う場合は、PCI DSSが外部からの脆弱性スキャンを要件としており、該当する企業は準拠状況もあわせて確認します。
出典・参考資料（4件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（https://www.digital.go.jp/resources/standard_guidelines）
- 出典：Common Vulnerability Scoring System（CVSS）｜FIRST（https://www.first.org/cvss/）
- 出典：CIS Benchmarks｜Center for Internet Security（https://www.cisecurity.org/cis-benchmarks）
- 参考資料：PCI DSS｜PCI Security Standards Council（https://www.pcisecuritystandards.org/）
クレジットカード情報を扱う企業に求められるPCI DSSの外部脆弱性スキャン（ASVスキャン）については、要件11.3.2で四半期ごとに何が求められるのかを次の記事で詳しく解説しています。該当する場合はあわせてご確認ください。
自社がどのタイプの診断に適しているかを判断しづらい場合もあります。そのような場合でも、自社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
一括ダウンロードする
サーバー・プラットフォーム診断の費用レンジ（方式別・依頼先別）
サーバー診断の費用は、診断方式と対象の規模で大きく変わります。多くのサービスが見積りによる個別対応のため一律の相場は示しにくいものの、費用がどう決まるかの考え方と、公開されている価格を押さえておくと、見積りを比べる際の目安になります。
デジタル庁のガイドラインでは、プラットフォーム診断の費用は診断対象のIPアドレス数に応じて変動し、外部からのリモート診断を優先して、内部のオンサイト診断を加える場合は追加の費用がかかるとされています。つまり、対象となるサーバーや機器の台数（IP数）が増えるほど費用は上がり、オンサイトでの実施はリモートより高くなるのが基本です。
方式別の費用の傾向をまとめると次のようになります。ツール型の継続診断は月額・年額のサブスクリプションで比較的費用を抑えやすく、専門家による手動・ハイブリッド診断は対象範囲に応じた個別見積りで、数十万円から規模により数百万円に及ぶこともあります。
| 費用の目安 | ツール型／SaaS型の継続診断 | 専門家による手動・ハイブリッド診断（スポット） | 予防・復旧・補償をまとめた継続パッケージ |
|---|---|---|---|
| 費用の決まり方 | 月額・年額のサブスクリプション（対象IP・FQDN数で変動） | 対象のIP数・機器数に応じた個別見積り。オンサイトは追加費用 | 定期診断にバックアップ・保険などを含む月額・年額 |
| 公開されている価格の例 | クラウド型は3IP／FQDN規模で年額56万4,000円（税抜）から。対象を限定した低額プランもある | 個別見積りが中心。ハイブリッドのプラットフォーム診断は5IPで35万円（税別）から、手動のネットワークペネトレーションテストは100万円からの例も | 個別見積りが中心。内部診断を1台あたり月額1,250円からとする例もある |
※費用は診断方式・対象規模・実施形態により変動します。実額は各サービスの見積りをご確認ください。
上の表に挙げた公開価格は、いずれも対象範囲（IP数・FQDN数）が限定された条件でのものです。実際の費用は自社が診断したいサーバーや機器の規模によって変わるため、対象範囲をそろえた見積りを取り寄せて比較することが大切です。費用の比較は、後述の比較表で方式・対象とあわせて確認してください。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（https://www.digital.go.jp/resources/standard_guidelines）
サーバー・プラットフォーム診断対応サービス比較
ここからは、サーバー・プラットフォーム診断に対応する主要なサービスを、診断方式・診断対象・実施形態・費用の目安などの軸で横断的に比較します。自社の体制や診断したい範囲に照らして、候補を絞り込む際にご活用ください。
| サービス名 | CoWorker 脆弱性診断サービス | セキュリティ診断サービス（ラック） | プラットフォーム診断（NRIセキュア） | セキュリティ診断（NTTセキュリティ・ジャパン） | 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ） | 脆弱性診断サービス（MBSD） | SQAT（ブロードバンドセキュリティ） | INTELLILINK セキュリティ診断サービス（NTTデータ先端技術） | セキュリティ診断サービス（三菱総研DCS） | 脆弱性診断サービス（セキュアスカイ・テクノロジー） | Cloudbric脆弱性診断（ペンタセキュリティ） | サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ） | 専門家による脆弱性診断・ITインフラ診断（日立システムズ） | JICQA サーバ脆弱性診断サービス（日本検査キューエイ） | プラットフォーム脆弱性診断（サイバーセキュリティクラウド） | ネットワーク＆Webアプリケーション脆弱性診断（ネットワールド） | セキュリティ診断・ペネトレーションテスト（サイバーディフェンス研究所） | 脆弱性診断・ペネトレーションテスト（レイ・イージス・ジャパン） | Aikido Security（AndGo） | SCT SECURE クラウドスキャン（三和コムテック） | KATABAMI サイバーセキュリティ対策パッケージ（SYNCHRO） |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 診断方式 | ハイブリッド（AI自動＋専門家確認） | 専門家の手動＋ツール | 専門家の手動＋ツール併用 | ハイブリッド（ツール＋手動） | 専門家の手動＋ツール | 専門家の手動＋ツール | ハイブリッド（手動＋独自自動） | 専門家の手動＋ツール | ハイブリッド（ツール＋手動） | ツール＋手動併用 | ハイブリッド（手動＋自動） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋専門家の手動精査） | ハイブリッド（ツール自動＋手動攻撃テスト） | ハイブリッド（ツール＋手動） | ハイブリッド（Nessus＋専門家分析） | 専門家の手動（ネットワークペネトレーションテスト） | ハイブリッド（AIツール＋手動） | ツール自動（SaaS） | ツール自動（クラウド型） | ツール自動（内部設置アプライアンス） |
| 主な診断対象 | サーバー・NW機器（ネットワークペネトレーションテスト） | サーバー・NW機器（プラットフォーム診断・設定診断） | サーバー・NW機器（ポート/バナー/セキュリティホール/DoS対策） | サーバー・NW機器（プラットフォーム診断） | サーバー・NW機器（ネットワーク診断） | サーバー・NW機器（ネットワーク診断） | サーバー・NW機器（SQAT for Network） | サーバー・NW機器（ネットワークペネトレーション診断・FWルール） | サーバー・NW機器（ポート・セキュリティホール・パッチ・SPAMリレー） | OS・ミドルウェア（プラットフォーム診断） | サーバー・NW機器・ミドルウェア・OS（CVE/CVSS評価） | サーバー・NW機器（ネットワーク診断・サーバ構成診断） | サーバー・NW機器のOS・ミドルウェア（ポート/バナー/アカウント/暗号設定） | Web・業務・社内・インターネットサーバ（メール・DNS・VPN・FW含む） | サーバー・NW機器上のOS/サービス（3系統12項目） | サーバー・NW機器（パッチ/既知脆弱性/設定不備/ポート/DoS耐性） | サーバー・NW機器（侵入テストで現実の脅威を検証） | プラットフォーム（サーバー）＋Webアプリ | サーバーOS・依存ミドルウェア（＋コード・クラウド設定） | NW機器（ルータ/FW/DNS）・OS・ポート・SNMP | 内部のサーバー・NW機器・複合機（約600項目） |
| 実施形態 | 要確認 | 要確認 | リモート・オンサイト（インターネット側／LAN側） | 要確認 | 要確認 | 要確認 | 要確認 | リモート＋オンサイト（現地立会い診断を含む） | 要確認 | リモート（オンサイトは個別相談） | 要確認 | 要確認 | リモート（オンサイトはオプション） | 要確認 | 両対応（リモート／オンサイト選択可） | リモート（オンサイトはオプション） | 要確認 | 要確認 | リモート（SaaS自動スキャン） | リモート（クラウド型） | オンサイト（内部ネットワークに設置） |
| 提供形態 | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（報告書型） | スポット（定期診断プランあり） | スポット（報告書型） | スポット（FQDN単位の定額制） | 継続・月額（サブスクリプション） | 継続（年額・毎日自動診断） | 継続（月額・月次診断＋バックアップ・保険） |
| 費用の目安 | ネットワークペネトレーションテスト100万円〜 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 基本料金55万円〜（税抜・Webアプリとのセット） | 要問い合わせ | 要問い合わせ（税抜80万円以上でサイバー保険付帯） | 要問い合わせ | 要問い合わせ | 350,000円〜（税別・5IP込） | 要問い合わせ（10IPまで基本料金） | 要問い合わせ | 要問い合わせ（FQDN単位の定額制） | 年額3,780ドル〜（Basicの参考価格・日本円請求） | 年額564,000円〜（税抜・3IP/FQDN、初年度） | 月額1,250円〜（1台あたり） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式資料を見る | サービス詳細を見る | ミーティングを予約 |
※本表は各社の公開情報をもとに作成しています（2026年11月時点）。料金は税表記や対象範囲（IP数・FQDN数など）により異なり、多くは個別見積もりです。実際の診断範囲・実施形態・費用は各サービスの公式情報・資料をご確認ください。
サービス個別紹介
比較表で挙げたサービスを、診断方式のタイプごとに紹介します。自社が「専門家に依頼したい」「ツールで継続的に回したい」「まとめて任せたい」のどれに近いかを踏まえて読み進めてください。
専門家による手動・ハイブリッドのプラットフォーム診断（スポット・報告書型）
セキュリティ専門家がツールの結果を精査し、擬似攻撃を交えてサーバーやネットワーク機器の弱点を深く検証する方式です。重要システムや、取引先要件・監査で精度の高い報告書が求められる場合に向いています。
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発のAI「Red Agent」による自動解析と、社内セキュリティ専門家の最終確認を組み合わせた診断を提供しています。ソースコード診断から、稼働中のWeb・APIを対象とする動的診断、ペネトレーションテストまでを、対象に応じて段階的に選べる構成です。
サーバーやネットワーク機器を対象にしたい場合は、侵入可否まで踏み込んで確かめるネットワークペネトレーションテストが該当します。同社はソースコードAI診断を15万円から、ネットワークペネトレーションテストを100万円からとして提示しており、診断する対象の層によって料金が分かれます。
AIの解析結果のうちハルシネーションの可能性がある箇所は、人の目で確認して承認する流れをとっています。プレスリリースでは、診断開始から最短3営業日で報告書をPDF形式で納品した実績を挙げています。
2. セキュリティ診断サービス（株式会社ラック）
株式会社ラックは1995年から診断サービスを提供してきたセキュリティ企業です。サーバーやネットワーク機器を対象とするプラットフォーム診断と、サーバセキュリティ設定診断をメニューに揃えています。
プラットフォーム診断は最短3日、サーバセキュリティ設定診断は最短10日から実施できます。攻撃側の脅威情報と、JSOC（監視センター）やサイバー救急センターで培った防御側のノウハウを、同一ベンダーで組み合わせられる点が特徴です。
さらに上位の検証として、情報システムペネトレーションテストやTLPT（脅威ベースのペネトレーションテスト）まで段階的に用意されています。料金は対象規模に応じた個別見積もりです。
3. プラットフォーム診断（NRIセキュアテクノロジーズ株式会社）
野村総合研究所グループのセキュリティ専業会社が提供する、専門家の手作業を主体にしたセキュリティ診断です。サーバーやネットワーク機器を対象とするプラットフォーム診断では、インターネット側またはLAN側から、複数の診断ツールと専門家による手動診断を併用して、OS・ミドルウェア・設定の弱点を検証します。
主な診断項目は、ポートスキャン、アプリケーションバナーのチェック、セキュリティホールのチェックで、DoS攻撃への対策チェックはオプションで追加できます。SANSの専門トレーニング修了者やCISSP・OSCPなどの国際資格を持つ診断員が手作業で精査する、手動主体の診断を特徴としています。
プラットフォーム診断の料金は、対象範囲に応じた個別見積もり（要問い合わせ）です。さらに踏み込んだ検証を求める場合に向けて、疑似攻撃で侵入耐性を確かめるペネトレーションテスト（800万円〜・税別）やレッドチームオペレーションといった別メニューも用意されています。
4. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
専門家が複数のツールを組み合わせて網羅的に診断する「脆弱性診断サービス（Web APP／プラットフォーム）」を提供しています。プラットフォーム層も診断対象に含む構成です。
顧客自身が継続的に脆弱性を把握する「セルフ脆弱性診断（Qualys／Tenable）」も選べ、さらに攻撃耐性を評価するRedTeam／TLPTやアセスメントまでをそろえています。NTTセキュリティホールディングスの100%子会社で、ISMS認証（登録番号22127-ISMS-001）を取得しています。
料金は公式には公開されておらず、診断対象の範囲・規模に応じた個別見積もりとなります。
5. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
GMOインターネットグループのセキュリティ企業で、Web・スマホアプリ・クラウド・ネットワーク（プラットフォーム）診断から、ペネトレーションテストやレッドチーム演習までを扱っています。
サーバーやネットワーク機器は、脆弱性診断のうちネットワーク診断（プラットフォーム診断）が対象です。会社全体で累計診断数16,000件超の実績があり、経済産業省「情報セキュリティサービス基準」に適合しています（登録番号019-0004-60）。
社内のセキュリティ体制が確立した組織向けには、組織全体を対象に実際の攻撃と同じ条件で検証するレッドチーム演習も用意されています。料金は要問い合わせです。
6. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産が100%出資するセキュリティ専門企業で、2001年のWebアプリケーション診断から診断サービスを展開してきました。サーバーやネットワーク機器は、ネットワーク診断が対象です。
ネットワーク診断は、セキュリティエンジニアによる手動診断を主体に、独自の補助ツールと商用ツールを併用して疑似攻撃を実施します。脆弱性診断の実績は合計8,000件以上（2017年4月〜2024年3月の累計）で、JVNへの新規脆弱性（0day）報告も累計200件以上にのぼります。
診断結果は報告書にまとめ、報告会で説明します。料金は診断範囲・対象に応じた個別見積もりです。
7. SQAT（株式会社ブロードバンドセキュリティ）
SQAT®（エスキュート）は、東証スタンダード市場に上場する2000年創業の株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランドです。精度の高い手動診断と独自開発の自動診断を組み合わせて実施します。
サーバーやネットワーク機器は、ネットワーク脆弱性診断（SQAT® for Network）が対象です。延べ10,300組織・64,280システム超の診断実績があり（2025年6月時点）、診断終了後3か月までの再診断にも対応します。
Webアプリ向けには、報告書提出まで最短7営業日の短納期メニュー「Swift Delivery」も用意されています。料金は対象数に応じた個別見積もりです。
8. INTELLILINK セキュリティ診断サービス（株式会社NTTデータ先端技術）
株式会社NTTデータ先端技術が「INTELLILINK」ブランドで提供する診断サービスで、システムの開発段階から運用後までを一貫してカバーします。NTTデータ公式サイトでも同じラインアップが紹介されています。
サーバーやネットワーク機器は、実際に攻撃が成立するかまで試すネットワークペネトレーション診断が対象です。既知のサーバー脆弱性から、ネットワーク設計やファイアウォールルールの妥当性まで検査し、顧客管理者が立ち会う現地（オンサイト）診断を含む4ステップで進めます。
最新の脅威情報を持つホワイトハッカーや専門の検査員が実施します。会社全体では年間1,200件以上の診断実績があるとしています。料金は要問い合わせです。
9. セキュリティ診断サービス（三菱総研DCS株式会社）
三菱総研DCSのセキュリティ診断サービスは、診断対象・手法別に複数のメニューで構成されています。このうちプラットフォーム診断サービスは、専門家がサーバやネットワーク機器を診断します。
診断では、不要・外部接続可能なポート、セキュリティホール、パッチの適用状況、SPAMリレーなどを確認し、DoS対策チェックはオプションで追加できます。ツールによる網羅的チェックと専門家による詳細検査を組み合わせる流れです。
診断後は、報告書の提出と報告会を行います。料金は要件のヒアリング後の個別見積もりです。
10. 脆弱性診断サービス（株式会社セキュアスカイ・テクノロジー）
株式会社セキュアスカイ・テクノロジー（SST）はWebアプリケーションセキュリティに特化した企業で、プラットフォーム診断ではOS・ミドルウェアの脆弱性を対象にしています。
自社開発のツール診断と手動診断を併用し、基本は診断サーバー経由のリモート診断で実施します（オンサイトは個別相談）。Webアプリ診断とのセットプランは基本料金55万円（税抜）で、Web 10リクエストまたは5APIとプラットフォーム3IPまたは3FQDNを含み、プラットフォームの追加は1IPあたり5万円（税抜）です。
改修後の再診断（1案件1回）やQAサポートは無償で、料金に含まれます。
11. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
技術者の手動診断と、メニューに応じた自動ツールスキャンを組み合わせる診断サービスです。ペンタセキュリティ株式会社が「Cloudbric（クラウドブリック）」ブランドで提供しています。
プラットフォーム診断は、サーバー・ネットワーク機器・ミドルウェア・OSを対象にCVE/CVSSでスコアリングします。主要ポート中心のクイックスキャンは最短3営業日で実施できます。
診断の実施は株式会社ranryuに委託され、同社名義で情報セキュリティサービス基準適合サービスリストに登録されています（登録番号021-0017-20）。料金は要問い合わせです。
12. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
ネットワーク診断・サーバ構成診断を含む5メニューをそろえた脆弱性診断サービスで、NTTドコモソリューションズ（旧NTTコムウェア）がDSCBブランドで提供しています。
診断はツールと専門家の手動検査を併用するハイブリッド方式で（Webアプリのライト版はツールのみ）、IPA「ウェブ健康診断仕様」やOWASP ASVSに準拠します。2025年度の年間実績は、ネットワーク診断で約670システム・8,950IPにのぼります。
全メニュー合計の契約金額が税抜80万円以上の場合、サイバー保険が無償で自動付帯します（支払限度額1,000万円・診断契約日から1年間）。改修後の無償再診断にも対応します。料金は対象システムのヒアリングのうえ個別見積もりです。
13. 専門家による脆弱性診断・ITインフラ診断（株式会社日立システムズ）
旧セキュアブレインが手がけていた脆弱性診断を、2024年4月1日付の合併で株式会社日立システムズが引き継いだITインフラ診断です。サーバーやネットワーク機器のOS・ミドルウェアを対象に、開放ポートやソフトウェアのバージョン、OSの脆弱性、デフォルトアカウントや簡易パスワード、暗号化設定の不備などを確認します。
診断ツールの出力をそのまま納品せず、専門のアナリストが手動で確認・追加調査を行い、誤検知を除いて読みやすい報告書にまとめる方式をとっています。事前に合意した攻撃ゴールへ到達できるかを検証する侵入テストを、オプションで組み合わせることもできます。
診断は既定でリモート実施で、外部公開していないサーバーの内部リスクを確認するオンサイト診断はオプションです。夜間・休日の診断にも対応します。費用は診断対象の規模をヒアリングしたうえでの個別見積もりで、公式サイトに金額の記載はありません。
14. JICQA サーバ脆弱性診断サービス（日本検査キューエイ株式会社）
ISO審査登録やJIS製品認証を手がける日本検査キューエイ株式会社（JICQA）が、1992年設立の審査機関として提供するサーバ脆弱性診断です。ホームページやWebアプリケーションを動かすWebサーバ、営業支援・顧客管理などの業務サーバ、メール・DNS・VPN・ファイアウォールといったインターネットサーバ、社内サーバを対象に、既知の脆弱性を洗い出します。
技術検査は診断ツールによる自動スキャンと、診断員による個別の手動攻撃テストを組み合わせて実施します。事前の資料調査とヒアリングでネットワーク構成・システム構成を把握したうえで検査し、結果を分析して診断結果報告書にまとめる流れです。
公式ページは、マネジメントシステムの視点を持つ診断員が結果を分析し、経営判断の材料として使える形にまとめると案内しています。診断結果報告会と再診断はオプションです。料金は公式サイトに記載がなく、問い合わせフォームや電話での個別見積もりとなります。
15. プラットフォーム脆弱性診断（株式会社サイバーセキュリティクラウド）
サーバーやネットワーク機器上のOS・サーバー・アプリケーションの脆弱性を、不正侵入系・サービス妨害系・情報漏えい系の3系統・計12項目で検出するプラットフォーム診断です。東証上場の株式会社サイバーセキュリティクラウドが、ツール診断と専門家による手動診断を組み合わせたハイブリッド方式で提供します。
デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン」に準拠し、経済産業省の情報セキュリティサービス基準に適合してIPAの適合サービスリストに登録されています（登録番号024-0025-20）。診断環境はインターネット経由のリモートと、指定場所の内部ネットワークからのオンサイトを選べ、診断期間は約2週間が目安です。
料金はプラットフォーム脆弱性診断が350,000円（税別）からで、診断対象5IP分を含みます。オンサイト作業や報告会はエリア別の追加費用で対応します。正式な報告書は、診断開始から10営業日以内に提出されます。
16. ネットワーク＆Webアプリケーション脆弱性診断（株式会社ネットワールド）
Fortinetやトレンドマイクロなどのセキュリティ製品を扱う株式会社ネットワールドの脆弱性診断で、サーバー・ネットワーク機器を対象とするネットワーク診断がプラットフォーム診断にあたります。ネットワーク診断とWebアプリケーション診断の2種類があり、公式ページは両者の併用を推奨しています。
ネットワーク診断は、診断ツールNessusとフリーの診断ツールによる自動診断に、専門家の分析結果を組み合わせます。パッチの適用状況や既知の脆弱性への攻撃試行、不要な共有・デフォルト設定などの設定不備、デフォルトのビルトインアカウントのほか、ポートスキャンやDoS耐性なども確認します。
診断は公式ページで「リモート診断となります」と記載され、オンサイト診断はIP追加・定期診断プラン・結果報告会とあわせてオプションで選べます。報告書は深刻度別にまとめられ、Critical・Highには詳細情報と推奨対策が付きます。料金は10IPアドレスまでを対象とする基本料金が設定されていますが、金額は公式サイトに記載がなく問い合わせが必要です。
17. セキュリティ診断・ペネトレーションテスト（株式会社サイバーディフェンス研究所）
2008年設立の株式会社サイバーディフェンス研究所は、Webアプリケーション・ネットワーク・組み込み機器／IoT・制御システムを対象にした診断とペネトレーションテストを手がける専門企業です。サーバーやネットワーク機器の弱点には、現実の攻撃に近い手口で侵入耐性まで検証するネットワークペネトレーションテストが対応します。
準備から報告会まですべて自社エンジニアが行い、外部委託はしていないと公式ページに明記しています。防衛省・内閣官房・デジタル庁などの官公庁への契約実績や、メルカリ・freee・日立製作所といった民間企業の導入事例が公式ページに掲載されています。
会社としてISMS（認証番号JP025033）を取得し、ネットワークペネトレーションテストなどが情報セキュリティサービス基準適合サービスリストに登録されています。Web診断では、修正後1ヶ月以内の修正箇所の再診断を無償としています。料金は対象の仕様・構成・規模に応じた個別見積もりで、公式サイトに金額の記載はありません。
18. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）
台湾のセキュリティベンダーRayAegisの日本法人、株式会社レイ・イージス・ジャパンが提供する脆弱性診断・ペネトレーションテストです。AI搭載の脆弱性探査ツールと診断エンジニアによる手動診断を組み合わせ、Webアプリケーション・プラットフォーム・モバイルアプリ・APIを対象とします。サーバーやネットワーク機器については、実際に侵入を試みるペネトレーションテスト（侵入テスト）が主な訴求です。
診断項目はOWASP WSTG 4.2に基づき、ペネトレーションテストではAI搭載ツールで基本的な脆弱性を洗い出したうえで、エンジニアが攻撃シナリオを想定して侵入を試みます。料金はFQDN単位の定額制で、診断対象のページ数が多くても料金が増えない設計とされています。
Webアプリケーション診断には3カ月以内の再診断が付くとされますが、具体的な金額や診断条件は公式サイトでの確認・問い合わせが必要です。
ツールやSaaSで継続的に回すサーバー・プラットフォーム診断
自動スキャンを月額・サブスクリプションで継続的に実行し、サーバーOSや依存ミドルウェアの脆弱性を定期的に検出する方式です。費用を抑えつつ高い頻度で診断を回したい場合に適しています。
19. Aikido Security（株式会社AndGo）
株式会社AndGoが日本窓口として提供する、SaaS型のオールインワン脆弱性診断ツールです。ソースコードやクラウド設定に加え、サーバーOSやWordPressなどの依存ミドルウェア起因の脆弱性も、1つの管理画面から自動スキャンで継続的に検査 します。
人が報告書を納品する受託型ではなく、月額サブスクリプションでスキャンを回し続ける形態です。動的診断（DAST）・ソフトウェア構成解析（SCA）・クラウド設定診断（CSPM）に対応し、アラートの自動トリアージで対応すべき項目を絞り込めます。Slack・Teams・Jiraなどへの通知・連携にも対応します。
日本窓口のAndGoが販売するプランは、Basicが年額3,780ドル（利用者10人まで・年間契約の参考価格、請求は日本円）から用意されています。無料のDeveloperプランやトライアル環境で導入前に試せるほか、英語の製品本体に対してAndGoが日本語での一次対応や導入・運用の伴走を担います。
20. SCT SECURE クラウドスキャン（三和コムテック株式会社）
インターネットから到達できる対象を診断する、クラウド型の自動脆弱性診断サービスです。三和コムテックが提供し、診断対象はIPアドレスまたはFQDNで登録します。専用ソフトのインストールや機器の設置は不要で、結果はポータルで確認します。
診断対象はWebサイトに加え、ルーター・ファイアウォール・DNSなどのネットワーク機器まで含みます。ネットワーク機器管理のSNMP・全TCPポート・UNIX/LinuxやWindowsの各バージョンなどを毎日自動で診断 し、常に最新の脆弱性情報に基づくチェックを続けられます。診断エンジンはASV認定のOutpost24社製を採用しています。
費用は標準プラン（3 IP/FQDN）が年額564,000円（税抜、初年度。ライセンス504,000円に初年度のみの設定費60,000円を含む）で、4件目以降のIP/FQDN追加は1件140,000円です。契約は年間単位で、ヘルプデスクサポートは年80,000円のオプションとして用意されています。
予防から復旧・補償まで任せる継続パッケージ型（内部ネットワーク診断）
内部ネットワークからサーバーやネットワーク機器を定期的に診断し、バックアップやサイバー保険までをまとめて提供する方式です。専任のセキュリティ人材を置きにくい企業が、継続的に運用しやすい形です。
21. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROのKATABAMIは、ネットワーク内部に置いた専用アプライアンスからサーバー・ネットワーク機器・複合機などを月次（年12回）で診断するサービスです。約600項目のテスト・検査で、外部スキャンでは見つけにくい内部起点の脆弱性を検出し、対策案を月1回のペースでレポートします。
内部ネットワークの診断で実際に見つかりやすい設定の不備について、同社へのインタビューでは次のような例が挙げられています。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
この脆弱性診断（VDP）に、隔離した通信経路で24時間前の状態まで戻せる自動バックアップ（CRA）と、あいおいニッセイ同和損保のサイバー保険（賠償1億円・費用3,000万円、VDPでD判定以上まで改善した企業が対象）を組み合わせ、予防・復旧・補償を1つの契約にまとめている点が特徴です。
料金は1台あたり月額1,250円からで、公式サイトは最短2週間での利用開始・設置10分を掲げています。検出した脆弱性への対策はパスワード変更や権限設定の見直し方まで月次の相談会で伴走し（実装自体は原則ユーザー側、別料金での委託も可）、専任のセキュリティ人材を置きにくい企業でも続けやすい設計です。初期費用や自社規模での総額は要問い合わせとなります。
診断の進め方・依頼の流れ
サーバーの脆弱性診断は、おおむね次の流れで進みます。まず、診断したいサーバーや機器の範囲（IP数）と目的を整理し、依頼先に見積りを依頼します。次に、対象や実施時期、リモートかオンサイトかといった条件をすり合わせて契約し、合意した日程で診断を実施します。
診断後は、検出された脆弱性と深刻度、改善の推奨内容をまとめた報告書を受け取ります。報告書をもとに自社で改善を進めたうえで、サービスによっては改善後の状態を確かめる再診断に対応しています。再診断が無償か有償か、対象期間や回数はサービスで異なるため、見積りの段階で確認しておくと、改善まで含めた全体の費用と流れを把握できます。
まとめ
サーバーの脆弱性診断（プラットフォーム診断）は、OS・ミドルウェア・ネットワーク機器といったインフラ層の既知の脆弱性や設定の不備を洗い出す診断で、Webアプリケーション診断とは診る対象が異なります。
自社に必要な診断を見極めるには、まず診る対象の層を確認し、ツール型の継続診断か専門家の手動・ハイブリッド診断か、リモートかオンサイトかという方式を、体制・頻度・予算・取引先要件に照らして選ぶことが要点になります。
費用は対象のIP数や方式で変わり、多くは個別見積りのため、対象範囲をそろえて複数のサービスを比較することが大切です。本記事の比較表や診断ツールを使って、自社のサーバーに受けるべき診断と依頼先の候補を絞り込んでみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. サーバーの脆弱性診断（プラットフォーム診断）とは何ですか？
A. サーバーの脆弱性診断（プラットフォーム診断）とは、サーバーのOS・ミドルウェアやネットワーク機器に残る既知の脆弱性や設定の不備を、攻撃者に悪用される前に洗い出す診断です。デジタル庁のガイドラインでは「プラットフォーム診断」と呼ばれ、ツールによる自動スキャンと診断員の手作業を組み合わせて、不要な公開ポートや脆弱なバージョンのソフトウェア、設定不備などを検出します。
Webアプリケーションの作り込みではなく、その土台となるインフラ層の弱点を対象にする点が特徴です。
Q. サーバーの脆弱性診断とWebアプリケーション診断は両方受ける必要がありますか？
A. 自社開発のWebサービスを公開している場合は、両方を受けるのが基本です。サーバー診断（プラットフォーム診断）はOS・ミドルウェア・ネットワーク機器の弱点を、Webアプリケーション診断はアプリの実装起因（SQLインジェクションやクロスサイトスクリプティングなど）の弱点を対象にし、診る層が異なります。
一方を受けても他方の弱点は見つからないため、サーバーの運用だけを行っている場合はプラットフォーム診断が中心になり、Webサービスを公開している場合は両方が必要になります。
Q. サーバーの脆弱性診断は、ツール診断と専門家による手動診断のどちらを選べばよいですか？
A. 費用を抑えて定期的に広く回したいならツール診断、重要システムで精度の高い報告書が必要なら専門家による手動・ハイブリッド診断が向いています。ツールによる自動スキャンは短期間・低コストで繰り返しやすい反面、設定の妥当性などツールが判断しにくい弱点は見つけにくい傾向があります。手動診断は診断員が擬似攻撃を交えて深く検証するため精度が高く、取引先要件や監査への対応に適しています。
両者を組み合わせたハイブリッド方式は、網羅性と精度のバランスを取りたい場合の選択肢です。
Q. サーバーの脆弱性診断はリモート診断とオンサイト診断のどちらを選べばよいですか？
A. 公開サーバーが中心ならリモート診断から始め、社内の基幹サーバーや閉じたネットワークの機器も対象にするならオンサイト診断を加えます。リモート診断（外部診断）はインターネット越しに外部から診断し、攻撃者と同じ視点で外部に露出した弱点を確認します。オンサイト診断（内部診断）は診断員が社内ネットワークに入る、または機材を設置して、内部からしか到達できないサーバーや機器を診断します。
デジタル庁のガイドラインでも、外部からの診断を優先し、内部の診断が必要な場合にオンサイトを追加する考え方が示されています。
Q. サーバーの脆弱性診断はどれくらいの頻度で受けるべきですか？
A. 年次などの定期的な実施に加え、サーバーやミドルウェアの構成を変更したタイミングで受けるのが基本です。新たな脆弱性は日々公開され、パッチの適用が遅れるほど悪用の危険が高まるため、一度の診断で終わりにせず定期的に棚卸しすることが重要になります。取引先のチェックシートやISMSの運用でも、定期的な診断と改善の継続が問われます。
開発・運用に組み込んで高頻度に回したい場合は、ツール型・SaaS型の継続診断が適しています。
Q. サーバーの脆弱性診断にはどのくらいの期間がかかりますか？
A. ツールによる自動スキャンは短期間で結果が出る一方、専門家による手動診断は対象の範囲や規模に応じて数週間かかることもあります。診断期間は対象となるサーバーや機器の台数（IP数）、診断の深さ、リモートかオンサイトかによって変わります。正確な期間は見積りの段階で、対象範囲とあわせて確認しておくと、改善までを含めた全体のスケジュールを把握できます。
Q. サーバーの脆弱性診断では、診断後に再診断を受けられますか？
A. 多くのサービスで、検出された脆弱性を改善した後の状態を確かめる再診断に対応しています。ただし、再診断が無償か有償か、対象期間や回数はサービスによって異なります。報告書の内容や改善後の確認までを含めてサービスを選ぶと、監査や取引先への説明がしやすくなるため、見積りの段階で再診断の扱いを確認しておくことをおすすめします。
Q. サーバーの脆弱性診断の費用はどのくらいかかりますか？
A. ツール型・SaaS型の継続診断は月額・年額のサブスクリプションで比較的抑えやすく、専門家による手動・ハイブリッド診断は数十万円から、規模により数百万円に及ぶこともあります。費用は診断対象のIPアドレス数（サーバーや機器の台数）が増えるほど上がり、オンサイトでの実施はリモートより高くなるのが基本です。多くのサービスが個別見積りのため、対象範囲をそろえて複数のサービスを比較することが大切です。
Q. AWSなどのクラウドやレンタルサーバーでもサーバーの脆弱性診断を受けられますか？
A. クラウドやレンタルサーバー上のサーバーも診断の対象にできますが、事前に提供事業者が定める実施条件の確認が必要です。クラウドやレンタルサーバーでは、利用者が管理する範囲（OS・ミドルウェア・設定など）と事業者が管理する範囲が分かれており、外部からのスキャンについて事前の申請や条件を設けている事業者もあります。自社が管理する範囲を対象に、提供事業者の規約や診断時の条件を確認したうえで実施します。
Q. 取引先のセキュリティチェックシートやISMS・監査に対応するには、どの診断基準に準拠していればよいですか？
A. CVE・CVSSで脆弱性と深刻度が管理され、CISベンチマークやデジタル庁の「脆弱性診断導入ガイドライン」に沿った診断であれば、対外的な説明の根拠にしやすくなります。取引先のチェックシートやISMSでは、診断を定期的に実施し、対象範囲・実施時期・検出された脆弱性と深刻度・改善状況を示せる報告書が求められます。
CVSSスコアが付いた報告書は対処の優先度を客観的に説明でき、クレジットカード情報を扱う場合はPCI DSSが外部からの脆弱性スキャンを要件としている点もあわせて確認します。
サーバー・プラットフォーム脆弱性診断の料金・資料を一括チェック
MCB FinTechカタログでは、サーバー・プラットフォーム診断に対応するサービスの最新資料を無料で一括請求できます。診断方式や対象範囲、費用をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
