自社でサーバーを運用していると、取引先や監査から脆弱性診断の実施状況を確認される場面が増えています。ランサムウェアが公開サーバーやVPNを入口にするニュースも相次ぎ、「サーバーの脆弱性診断」を調べ始める方も多いはずです。ところが検索して出てくる解説の多くはWebサイト（Webアプリケーション）の診断が中心で、サーバーそのものの何を調べるのかがつかみにくいのが実情です。
サーバーの脆弱性診断は、脆弱性診断の分類では「プラットフォーム診断」、ネットワーク機器まで含める文脈では「ネットワーク診断」と呼ばれ、サーバーのOS・ミドルウェア・公開ポート・パッチ適用状況・アカウント設定などに既知の弱点がないかを検査します。
本記事では、サーバーの脆弱性診断が何を検査するのかを具体的な項目で整理し、Webアプリケーション診断やペネトレーションテストとの違い、ツール診断と手動診断などのやり方、費用の目安と実施頻度までを解説します。自社で何をどう実施すべきかを判断するための材料としてご活用ください。
目次
一括ダウンロードする
サーバーの脆弱性診断とは
サーバーの脆弱性診断とは、サーバーのOS・ミドルウェア・公開ポート・パッチ適用状況・アカウント設定などに既知の弱点がないかを、外部の視点で検査することです。Webアプリケーションの入力画面や処理ロジックではなく、アプリが動いている基盤（プラットフォーム）側を対象とする点が特徴です。
脆弱性診断の世界では、この基盤側の診断を「プラットフォーム診断」、ネットワーク機器まで含めて外部から検査する文脈では「ネットワーク診断」と呼びます。このため、検索者が気にしているサーバーの診断は、プラットフォーム診断（ネットワーク診断）に対応します。
サーバー診断＝プラットフォーム診断という用語の対応
脆弱性診断は、検査する対象によっていくつかの種類に分かれます。「サーバー 脆弱性診断」と調べても、解説記事の見出しは「プラットフォーム診断」になっていることが多いものです。まず両者が同じものを指すと押さえておくと、情報が一気に整理できます。
| 診断の種類 | プラットフォーム診断（ネットワーク診断） | Webアプリケーション診断 | クラウド診断 | スマートフォンアプリ診断 |
|---|---|---|---|---|
| 主な検査対象 | サーバー・ネットワーク機器のOS・ミドルウェア・ポート・設定 | Webアプリの画面・入力・処理ロジック | AWSなどクラウドの設定・アクセス権限 | モバイルアプリの実装 |
| サーバー運用との関係 | 本記事が扱う中心 | 対象が異なる（アプリ側） | クラウドで運用するなら併せて検討 | 対象が異なる（モバイル側） |
自社でサーバーやネットワーク機器を運用していて、その安全性を確かめたいのであれば、必要なのはプラットフォーム診断です。公開しているWebサービスのアプリケーション層まで調べたい場合は、後述するWebアプリケーション診断を組み合わせることになります。
また、サーバーをAWSやAzureなどのクラウドで運用している場合は、サーバー本体の診断に加えて、公開範囲の設定やアクセス権限といったクラウド固有の設定ミスを点検する「クラウド診断」も対象になります。サーバー診断とクラウド診断のどちらが自社に必要かの切り分けは、次の記事で詳しく整理しています。
サーバーの脆弱性診断で何を検査するのか
ここからは、サーバーの脆弱性診断（プラットフォーム診断）が具体的に何を見るのかを解説します。検査の中心になるのは、サーバーの構成情報と、OS・ミドルウェアの状態、そして設定やアカウントの不備です。
- ホスト情報の収集：対象サーバーで稼働しているOSやサービスの種類・バージョンを把握します。
- ポート・サービスのスキャン：どのポートが開いていて、どのサービスが外部から見えているかを確認します。不要なポートやサービスが開放されていないかを点検します。
- OS・ミドルウェアの既知脆弱性：稼働しているOSやミドルウェアのバージョンに、公表済みの弱点が残っていないかを照合します。
- パッチ適用状況：セキュリティパッチが適用されず、古いバージョンのまま放置されていないかを確認します。
- アカウント・権限設定：推測されやすいアカウントやパスワードが残っていないか、管理者権限の設定が過剰になっていないかを検査します。
- SSL/TLSの設定：暗号化通信の設定が古い方式のままになっていないかを点検します。
OSやミドルウェアの既知脆弱性には、世界共通の識別番号（CVE）が割り当てられており、その深刻度は数値で評価する共通基準（CVSS）で表されます。診断では、検出した弱点をこの深刻度に沿って整理し、優先的に対応すべきものを見極めます。設定面では、サーバーやネットワーク機器ごとに安全な設定の推奨事項をまとめたCISベンチマークが、点検の物差しとして参照されます。
出典・参考資料（3件）
こうした設定やアカウントの不備は、サーバーだけに残るものではありません。複合機・コピー機・プリンタのように社内ネットワークにつながる機器も、初期パスワードや管理者権限の設定が見直されないまま残りやすく、診断の対象になります。
実際の診断では、こうした不備がどの程度見つかるのでしょうか。脆弱性診断を手がける株式会社SYNCHROの北口氏は、診断でよく見つかる問題として次の例を挙げています。
たとえば、先ほど申し上げた複合機、コピー機です。工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
サーバーの脆弱性診断と他の診断との違い
サーバーの脆弱性診断は、名前が似ていたり併記されたりする他の診断と混同されがちです。自社にどれが必要かを切り分けられるよう、対象レイヤが異なるWebアプリケーション診断と、目的が異なるペネトレーションテストとの違いを整理します。
Webアプリケーション診断との違い
サーバー（プラットフォーム）診断とWebアプリケーション診断は、検査する「層」が異なります。サーバー診断はOSやミドルウェアといった基盤を見るのに対し、Webアプリケーション診断は、その上で動くアプリの画面・入力・処理ロジックを対象とします。
| 診断の種類 | サーバー（プラットフォーム）診断 | Webアプリケーション診断 |
|---|---|---|
| 対象となる層 | OS・ミドルウェア・ネットワーク設定 | アプリの画面・入力・処理ロジック |
| 見つかる主な弱点 | 既知脆弱性の未修正・不要なポートの開放・設定不備・弱いアカウント | SQLインジェクション・クロスサイトスクリプティング（XSS）など |
| 代表的な参照基準 | CISベンチマーク・CVE／CVSS | OWASP Top 10 |
Webアプリケーション側で重視される弱点は、OWASPが公開しているWebアプリケーションの代表的なリスク一覧（OWASP Top 10）に整理されています。自社が公開Webサービスを運営している場合、基盤を見るサーバー診断と、アプリを見るWebアプリケーション診断の両方が必要になるケースが多くなります。どちらか一方だけでは、もう一方の層に残った弱点を見落とすためです。
出典・参考資料（1件）
ペネトレーションテストとの違い
脆弱性診断とペネトレーションテストは、目的が違います。脆弱性診断が弱点を網羅的に洗い出す「チェック」であるのに対し、ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、見つかった弱点が本当に悪用できるかを確かめる「演習」です。
| 手法 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 主な目的 | 弱点を網羅的に洗い出す | 攻撃シナリオが実現するかを検証 |
| 進め方 | 既知の弱点をチェックリスト的に検査 | 攻撃者の視点で実際に侵入を試す演習 |
| 費用の目安 | ツールで月数万円〜数十万円、手動で数十万円〜数百万円 | 200万円〜500万円以上の例もある |
また、ペネトレーションテストの費用は対象範囲によって大きく動きます。Webアプリケーション単体なのか、ネットワーク全体を対象にするのかで幅があり、後述するようにネットワークを対象としても100万円台から依頼できる例もあります。
まず自社の弱点の全体像を把握したい段階であれば、網羅的に洗い出す脆弱性診断が出発点になります。重要なシステムについて、実際に攻撃が成立するかまで確かめたい場合に、ペネトレーションテストを追加で検討するのが一般的な進め方です。
出典・参考資料（1件）
脆弱性診断とペネトレーションテストは、費用の桁や実施頻度、どちらをいつ選ぶかの判断まで含めると、整理しておきたい論点が多い領域です。両者の違いと使い分け、費用相場や依頼先の選び方まで詳しく確かめたい場合は、次の記事を参考にしてください。
サーバーの脆弱性診断のやり方
サーバーの脆弱性診断の進め方には、大きく3つの選択軸があります。ツール診断か手動診断か、「外部からのリモート診断か社内からのオンサイト診断か」「自社で実施するか外注するか」です。自社の構成に当てはめながら、それぞれどちらが向くかを見ていきます。
ツール診断と手動診断
ツール診断は、脆弱性スキャナを使ってOSやミドルウェアの既知脆弱性・開放ポートなどを自動で検査します。費用を抑えやすく、定期的に繰り返しやすいのが利点です。一方、既知のパターンに沿った検査が中心のため、複雑な設定の問題や、ツールが拾いにくい弱点は検出しづらい面があります。
手動診断は、技術者が結果を精査し、ツールでは判断が難しい設定の不備や影響度を見極めます。網羅性と精度は高まりますが、その分だけ費用と期間はかかります。自社運用のサーバーをまず安全に保ちたいならツール診断を軸に、重要なシステムや公開サービスは手動診断で深く見る組み合わせが現実的です。
外部からのリモート診断と社内からのオンサイト診断
リモート診断は、インターネット側からサーバーを検査する方法で、外部に公開しているサーバーの弱点を攻撃者と同じ目線で確認できます。オンサイト診断は、社内ネットワークの内側から検査する方法で、社内のサーバーやネットワーク機器、複合機といった内部の機器まで点検できます。
公開しているサーバーだけを対象にするならリモート診断で足りますが、社内ネットワークに不正に侵入された場合に内部でどこまで被害が広がるかまで確かめたいなら、オンサイト診断が必要です。自社が「公開サーバーだけを気にしているのか」「社内ネットワークの機器も含めて診たいのか」を整理すると、どちらを選ぶべきかが見えてきます。
自社実施と外注
OpenVAS（Greenbone）やNmap、LinuxサーバーのパッケージからCVEを照合するVulsといったオープンソースのスキャナや、商用のNessusなどを使えば、ツール診断は自社で実施することもできます。無償で始められるものもある反面、結果の読み解きや優先順位づけには専門知識が要るため、担当者のスキルと工数を確保できるかが前提になります。
外注すると、専門の技術者による検査と、改善策まで含めたレポートが得られます。取引先や監査に提示できる第三者の診断結果が必要な場合や、社内にセキュリティの専任者がいない場合は、外注が向きます。前述の公開／内部のどちらを診たいかも踏まえ、自社の課題に照らして依頼先を選ぶとよいでしょう。
サーバーの脆弱性診断の流れ
やり方の方針が決まったら、実際の診断がどう進むのかを押さえておくと、社内での段取りがしやすくなります。外注する場合の一般的な流れは、事前準備・診断の実施・レポートの確認の3段階です。
まず事前準備として、診断対象のサーバーやIPアドレスの範囲、診断の時間帯、連絡体制などを診断事業者とすり合わせます。次に診断の実施では、ツールによるスキャンや技術者による検査が行われ、検出された弱点が深刻度とともに記録されます。最後にレポートの確認で、見つかった弱点とその影響、推奨される対策を受け取り、自社で優先順位をつけて対応を進めます。再診断で対策の効果を確かめられるサービスもあります。
出典・参考資料（1件）
サーバーの脆弱性診断の費用相場
費用は診断の方式によって桁が変わります。ツール診断は、スキャナのライセンス費用として月数万円〜数十万円程度が目安です。手動診断（外注）は、診断内容や規模によって数十万円〜数百万円の幅になります。
方式に加えて、サーバー（プラットフォーム）診断の費用は診断対象のIPアドレス（ホスト）数でも変わり、1IP（1ホスト）あたり数万円〜20万円程度が目安です。たとえば、クラウド型の定額診断サービスでは、プラットフォーム診断を1IPもしくは1FQDN（ドメイン名1件）あたり15万円（税別）・2営業日で提供する例があります。
対象のホスト数が増えるほど費用も積み上がるため、まず診断したいサーバーの範囲を定めると、見積りを取りやすくなります。
参考として、一般的なWebアプリケーション診断の場合で50万円〜200万円程度、診断期間は2〜4週間程度という目安が示されています。これはWebアプリケーション診断の例であり、サーバー（プラットフォーム）診断の費用がこの通りになるとは限りませんが、手動診断に数十万円〜数百万円規模の幅があることの参考になります。
出典・参考資料（3件）
自社規模に見合った実施レベルを考えるうえでは、すべてを高額な手動フル診断で賄う必要はありません。日常的な点検はツール診断で継続し、公開サービスや重要なシステムに絞って手動診断を組み合わせると、費用を抑えつつ必要な範囲をカバーできます。
具体的な金額感は、後述する各サービスの料金も参考になります。たとえば社内機器の継続診断で100ノード以下なら年90万〜150万円、ネットワークのペネトレーションテストで100万円〜といった例があり、対象の範囲によって幅があります。
サーバーの脆弱性診断はどのくらいの頻度で行うか
脆弱性診断は、一度実施すれば終わりというものではありません。新しい弱点は日々公表され、設定の変更やソフトウェアの更新によって新たな穴が生まれることもあるため、継続的に点検する前提で考えます。
進め方としては、ツール診断で月次〜四半期といった定期的な点検を回しつつ、新しいシステムの導入時や大型のアップデート前など、節目のタイミングで手動診断を実施する組み合わせが基本です。公開サーバーやVPNなど、インターネットに露出した入口は攻撃者に狙われやすいため、重大な弱点が見つかった場合は速やかな対応が求められます。
月次〜四半期という点検頻度には、業界基準の裏づけもあります。たとえばクレジットカード業界の国際基準であるPCI DSSでは、外部ネットワークの脆弱性スキャンを3か月に1回以上、認定スキャンベンダー（ASV）が実施して合格することが求められています。カード情報を扱わない企業でも、インターネットに公開したサーバーの点検頻度を決めるうえでの一つの目安になります。
出典・参考資料（2件）
診断の頻度を上げる必要性は、攻撃する側の変化とも関係しています。脆弱性診断を手がけるCoWorker株式会社の一ノ瀬氏は、攻撃のスピードが上がっている現状を次のように話しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
サーバーの脆弱性診断を行わないリスク
サーバーの弱点を放置すると、取引先や監査からの実施要請に応えられないだけでなく、実際の攻撃被害につながるおそれがあります。近年のサイバー攻撃は、インターネットに露出したサーバーやVPN機器を入口にネットワーク内部へ侵入する手口が主流になっています。
出典：令和７年におけるサイバー空間をめぐる脅威の情勢等について（令和８年３月）｜警察庁サイバー警察局
- 近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている。被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。
- 令和７年におけるランサムウェアの被害報告件数は 226 件であり、依然として高水準で推移している
- ランサムウェア攻撃の被害企業について、組織の規模別で見ると、前年と同様に中小企業が約６割を占めている。
標的になるのは大企業だけではありません。リソースの限られた中小企業も無差別に狙われており、専任のセキュリティ担当者がいない企業こそ、最低限の備えが欠かせません。
こうした露出した入口の弱点を定期的に点検しておくことは、被害を防ぎ、取引先や経営層に自社の対策状況を説明する土台になります。ここからは、どこに頼むか（選び方と具体的なサービス）を見ていきます。
一括ダウンロードする
サーバーの脆弱性診断サービスの選び方
外注で診断を依頼する場合、サービス選びでは診断範囲・費用・サポート・実績の4つの観点を確認すると、自社の課題に合う依頼先を見極めやすくなります。
診断範囲では、自社が診てほしい対象をカバーしているかが確認ポイントです。前述の公開／内部の切り分けに照らし、リモート診断で足りるのか、オンサイト診断が必要なのか、Webアプリケーションやネットワーク機器まで含めたいのかを、自社の要件と照らし合わせて見極めるとよいでしょう。
費用では、料金が診断対象の数や範囲に見合っているかを確認するとよいでしょう。単発か、継続しやすいサブスクリプション型かでも年間の負担は変わるため、費用相場で触れた配分の考え方とあわせて確認しておきたいポイントです。
サポートでは、弱点を指摘して終わりにせず、対策方法の助言や再診断まで伴走してくれるかの確認が重要です。検出された弱点に優先順位をつけ、どう直すかを具体的に示してくれるか、対応後に効果を再診断で確かめられるかは、実際に自社の安全性が上がるかを大きく左右します。
特に社内に専任のセキュリティ担当者がいない場合は、報告後のフォローの手厚さが改善の実行力そのものになります。対策の実装まで有償で委託できるか、月次で相談できる体制があるかも、あわせて確認しておくと安心です。
実績では、自社と近い業種・規模での診断実績や、第三者に提示できる形のレポートを提供しているかを確認するとよいでしょう。取引先や監査への説明材料として診断を実施する場合は、報告書が社外にそのまま示せる体裁になっているか、第三者が見て納得できる根拠が示されているかが重要になります。
依頼先の客観性を確かめる手がかりとして、IPA（情報処理推進機構）の「情報セキュリティサービス基準適合サービスリスト」も参考になります。これは経済産業省の「情報セキュリティサービス基準」に適合した事業者をまとめたものです。脆弱性診断サービスは同リストの掲載分野の一つで、候補の診断サービスが掲載されているかは、取引先や監査に対して依頼先の客観性を示す材料になります。
出典・参考資料（1件）
サーバーの脆弱性診断に役立つサービス
ここまで解説した検査内容ややり方、前述の公開／内部の切り分けを踏まえ、サーバーの脆弱性診断に関連するサービスを紹介します。サーバーOSや依存ミドルウェア起因の弱点を検査できるもの、社内の機器をリモートで継続的に診断できるもの、ネットワークのペネトレーションテストまで対応できるものなど、自社の課題に合わせて選べます。
以下は、ここで取り上げる3つのサービスの比較表です。
| 比較項目 | Aikido Security | CoWorker 脆弱性診断サービス | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 提供タイプ | 自動スキャン型のSaaS（ツール） | AIと専門家による受託診断 | 予防・復旧・補償の統合パッケージ |
| 主な診断対象 | ソースコード・依存ライブラリ クラウド設定・コンテナ 稼働中のWebアプリ | ソースコード 稼働中のWebアプリ・API | サーバー・ネットワーク機器 複合機・PCなど 社内ネットワークの機器 |
| サーバー周辺の守備範囲 | サーバーOSやWordPress等の 依存ミドルウェア起因の弱点 クラウド設定（CSPM） | Web・ソースコード診断に加え ネットワークのペネトレーション テストまで依頼可能 | ネットワーク内部からリモートで 月次（年12回）継続診断 |
| 料金の目安 | 年額3,780ドル〜（月額5万円台〜） 利用者10人まで・年間契約の参考価格 無料トライアルあり | ソースコードAI診断15万円〜 動的診断30万円〜 Webペネトレーションテスト60万円〜 ネットワークペネトレーションテスト100万円〜 | 1台1,250円／月〜 100ノード以下で年額90万〜150万円が目安 初期費用は要問い合わせ |
| 向いている企業 | 自社でサービスを内製する 開発会社・SaaS事業者 | Web・APIの診断を軸に ペネトレーションテストまで 含めたい企業 | 社内ネットワークの機器まで 継続的に点検したい企業 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
自社の課題に引き寄せると、社内の機器をネットワーク内部から継続的に点検したいタイプにはKATABAMI、サーバーOSや依存ミドルウェア・クラウド設定をSaaSで幅広く診たいタイプにはAikido Security、ネットワークのペネトレーションテストまで専門家に委ねたいタイプにはCoWorkerが近い選択肢です。
1. Aikido Security（株式会社AndGo）
ソースコード、依存ライブラリ、クラウド設定、コンテナ、稼働中のWebアプリを1つの管理画面で検査する、自動スキャン型のSaaSです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売窓口となり、日本語での導入・運用を支援しています。
サーバーを運用する読者に関係するのは、クラウドの設定ミスを点検するCSPM（クラウドセキュリティ態勢管理）や、サーバーOSおよびWordPressなど依存ミドルウェア起因の弱点を検査できる点です。検出した弱点については、修正案のドラフトを作成してプルリクエストまで出すオートフィックス機能を備え、対応までを進めやすくしています。自社でサービスを内製する開発会社やSaaS事業者に向いています。
日本窓口の料金は、Basicプランが年額3,780ドル、Proプランが年額7,560ドル、Customは要問い合わせです（いずれも年間契約・利用者10人までの参考価格、2026年11月時点）。月額5万円台からの案内で、日本円の請求書払いにも対応し、無料トライアルも用意されています。正式な見積りは販売窓口への確認が必要です。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた、CoWorker株式会社の脆弱性診断サービスです。診断メニューは、ソースコードを解析する静的診断、稼働中のWebアプリケーションやAPIにアクセスして解析する動的診断、実際の攻撃を想定して侵入を試みる実践攻撃シミュレーション診断（ペネトレーションテスト）の3本柱で構成されています。
AIによる自動解析で診断にかかる時間を短縮し、人の目による承認フローで精度を担保する仕組みをとっています。サーバー周辺まで踏み込みたい読者にとっては、Webやソースコードの診断に加えてネットワークのペネトレーションテストまで依頼できる点が選択肢になります。
料金はメニューごとに分かれ、ソースコードのAI診断が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webペネトレーションテストが60万円から、ネットワークペネトレーションテストが100万円からという設定です（2026年11月時点）。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROが提供する、脆弱性診断（予防）・バックアップ（復旧）・サイバー保険（補償）を一体にした国産のパッケージ型サービスです。独自の暗号化通信技術「KATABAMI」を使い、インターネット空間に見えない通信経路を構築することで、社内ネットワークの内側まで外部からリモートで診断できる点が特徴です。
診断を担う専用機能「KATABAMI VDP」は、サーバー・ネットワーク機器・複合機・PCといった社内の機器を対象に、ネットワーク内部から月次（年12回）で脆弱性を検出し、改善策を定期的にレポートします。従来は専門家が現地に出向くため年1回程度にとどまりがちだった内部診断を、立ち会いの工数をかけずに継続できるのが利点です。
社内ネットワークの機器まで含めて継続的に点検したい企業に向いています。料金は1台あたり月額1,250円からで、100ノード以下の場合は年額90万円〜150万円が目安です（2026年11月時点、ノード数は端末の総数）。
初期費用などの詳細はミーティングでの確認となります。ただし、検出した弱点への対策の実装は原則として利用企業側で進める形で、希望する場合は別料金での委託も相談できます。
ここで取り上げたのはサーバー診断に関連する3つのサービスですが、脆弱性診断サービスは診断方法・費用・対応範囲が提供会社ごとに大きく異なり、ほかにも多くの選択肢があります。より多くのサービスを費用や診断範囲で一覧比較し、自社に合う依頼先を見極めたい場合は、カテゴリ全体をまとめた比較記事が参考になります。
まとめ
サーバーの脆弱性診断は、脆弱性診断の分類でいうプラットフォーム診断（ネットワーク診断）にあたり、サーバーのOS・ミドルウェア・公開ポート・パッチ適用状況・アカウント設定などを検査します。Webアプリケーション診断とは見る層が異なり、ペネトレーションテストとは目的が異なるため、自社に必要な範囲を切り分けて考えることが出発点になります。
進め方は、ツール診断と手動診断、リモート診断とオンサイト診断、自社実施と外注という3つの選択軸を、公開サーバーだけか社内ネットワークも含めるかといった自社構成に当てはめて決めます。費用はツールで月数万円〜数十万円、手動で数十万円〜数百万円が目安で、定期的な点検と節目の診断を組み合わせて継続するのが基本です。自社の課題に合うサービスを比較し、資料で詳細を確かめながら次の一歩につなげてください。
一括ダウンロードする
よくある質問（FAQ）
Q. サーバーの脆弱性診断（プラットフォーム診断）とは何ですか？
A. サーバーの脆弱性診断とは、サーバーのOS・ミドルウェア・公開ポート・パッチ適用状況・アカウント設定などに既知の弱点がないかを、外部の視点で検査することです。脆弱性診断の分類では「プラットフォーム診断」、ネットワーク機器まで含める文脈では「ネットワーク診断」と呼ばれ、Webアプリの画面や処理ロジックではなく、アプリが動いている基盤（プラットフォーム）側を対象とする点が特徴です。
Q. サーバーの脆弱性診断とWebアプリケーション診断はどう違いますか？
A. サーバーの脆弱性診断とWebアプリケーション診断は、検査する「層」が異なり、サーバー診断はOS・ミドルウェアなどの基盤を、Webアプリケーション診断はその上で動くアプリの画面・入力・処理ロジックを対象とします。
公開Webサービスを運営している場合は、基盤とアプリのどちらにも弱点が残りうるため、両方を組み合わせて実施するケースが多くなります。どちらか一方だけでは、もう一方の層に残った弱点を見落とすためです。
Q. サーバーの脆弱性診断とペネトレーションテストはどちらを先に実施すべきですか？
A. サーバーの脆弱性診断とペネトレーションテストでは、まず弱点を網羅的に洗い出す脆弱性診断から始めるのが一般的です。脆弱性診断が弱点を一覧化する「チェック」であるのに対し、ペネトレーションテストは「演習」にあたります。見つかった弱点が実際に悪用できるかを、攻撃者の視点で確かめるものです。重要なシステムで侵入が成立するかまで確かめたい段階になってから、追加で検討するとよいでしょう。
Q. サーバーの脆弱性診断の費用はどのくらいかかりますか？
A. サーバーの脆弱性診断の費用は、方式によって桁が変わり、ツール診断で月数万円〜数十万円程度、手動診断（外注）で数十万円〜数百万円程度が目安です。すべてを高額な手動フル診断で賄う必要はなく、日常的な点検はツール診断で継続し、公開サービスや重要なシステムに絞って手動診断を組み合わせると、費用を抑えつつ必要な範囲をカバーできます。
Q. サーバーの脆弱性診断はどのくらいの頻度で実施すればよいですか？
A. サーバーの脆弱性診断は、ツール診断で月次〜四半期の定期点検を回しつつ、新システムの導入時や大型アップデート前などの節目で手動診断を実施する組み合わせが基本です。
新しい弱点は日々公表され、設定の変更やソフトウェアの更新によって新たな穴が生まれることもあるため、一度実施すれば終わりではなく、継続的に点検する前提で考えます。インターネットに面したVPNやサーバーは特に攻撃の起点になりやすく、重大な弱点が見つかった場合は速やかに対応します。
Q. サーバーの脆弱性診断は自社だけで実施できますか？
A. サーバーの脆弱性診断は、オープンソースのスキャナなどを使えばツール診断を自社で実施することもできますが、結果の読み解きや優先順位づけには専門知識が必要です。担当者のスキルと工数を確保できるかが前提になります。取引先や監査に提示できる第三者の診断結果が必要な場合や、社内にセキュリティの専任者がいない場合は、外注が向きます。
Q. サーバーの脆弱性診断で診断中にサーバーが止まったり負荷がかかったりしませんか？
A. サーバーの脆弱性診断は、診断の内容や対象の状態によってはサーバーに負荷がかかる場合があるため、事前準備の段階で診断の時間帯や進め方を診断事業者とすり合わせたうえで実施します。本番環境への影響を避けたい場合は、診断を業務時間外に設定したり、同時に検査する量を調整したりといった配慮が一般的です。診断対象のIPアドレスの範囲や連絡体制を事前に合意しておくと、想定外のトラブルを防げます。
Q. サーバーの脆弱性診断の結果はどのくらいの期間で出ますか？
A. サーバーの脆弱性診断の結果が出るまでの期間は、ツール診断なら即日〜短期間、手動診断なら数週間程度が目安で、方式や対象の規模によって変わります。外注する場合は、事前準備・診断の実施・レポートの確認という流れで進むため、診断の着手から報告までのスケジュールを事前に診断事業者と確認しておくと、社内の段取りがしやすくなります。
Q. レンタルサーバーやクラウド（AWS）で運用している場合もサーバーの脆弱性診断は必要ですか？
A. レンタルサーバーやクラウドで運用している場合も、自社が管理する範囲のサーバーやOS・ミドルウェアは脆弱性診断の対象になります。ただしクラウドでは、サーバーそのものに加えて、アクセス権限や設定の不備を点検する「クラウド診断」を併せて検討すると、クラウド特有の設定ミスまでカバーできます。
どこまでを自社が点検すべきかは提供事業者との責任分界点によって変わり、共用のレンタルサーバーなどでは診断の実施に事業者側の許可が必要な場合もあるため、事前に範囲を整理しておくと確実です。
Q. サーバーの脆弱性診断で見つかった弱点の修正対応まで依頼できますか？
A. サーバーの脆弱性診断で見つかった弱点の修正は、原則として利用企業側で進める形が基本ですが、サービスによっては対策方法の助言や再診断、別料金での対応委託に応じるものもあります。社内に専任のセキュリティ担当者がいない場合は、弱点を指摘して終わりではなく、対策まで伴走してくれるかをサービス選びの段階で確認しておくと、実際の改善につなげやすくなります。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、サーバーの脆弱性診断に対応するサービスの最新資料を無料で一括請求できます。検査対象や診断の方式、費用を一覧で見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
