自社でサーバーを運用していると、セキュリティ対策の検討や取引先からの要請をきっかけに「脆弱性診断」という言葉に行き当たります。ところが実際に調べてみると、Webアプリケーションを対象にした説明もあれば、OSやネットワーク機器を対象にした説明もあり、「サーバーに対する脆弱性診断」が具体的に何を調べるものなのかが掴みにくいという声は少なくありません。
脆弱性診断は、対象とする領域によって中身が大きく変わります。サーバーを対象にした診断は、国のガイドラインでは「プラットフォーム脆弱性診断」と呼ばれ、OS・ミドルウェア・ネットワーク機器・通信ポート・各種設定といった「基盤側」の弱点を洗い出すものです。画面や入力処理を対象にするWebアプリケーション診断とは、調べる層そのものが異なります。
この記事では、サーバーの脆弱性診断が具体的に何を調べる診断なのかを結論から整理し、Webアプリケーション診断・ペネトレーションテストとの違い、診断の種類と実施頻度の目安までを解説します。あわせて、自社で何を・どのくらいの頻度で・内製か外部委託かを判断するための考え方と、具体的な進め方の選択肢も紹介します。
目次
一括ダウンロードする
サーバーの脆弱性診断とは
サーバーの脆弱性診断とは、サーバーやネットワーク機器などの「基盤（プラットフォーム）」を対象に、OS・ミドルウェア・通信ポート・設定といった部分に攻撃に悪用されうる弱点がないかを洗い出す診断です。
経済産業省の「情報セキュリティサービス基準」は、脆弱性診断サービスを「Webアプリケーション脆弱性診断」「プラットフォーム脆弱性診断」「スマートフォンアプリケーション脆弱性診断」の3つに区分しており、サーバーを対象にするのはこのうちのプラットフォーム脆弱性診断にあたります。
デジタル庁が公開している「政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）」は、プラットフォーム診断を次のように定義しています。
プラットフォーム脆弱性診断（以下、「プラットフォーム診断」という。）サーバやネットワーク機器等に対して行う脆弱性診断を示す。
出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（2024年2月）
同ガイドラインでは、診断対象となる「層」も整理されています。FW（ファイアウォール）、ロードバランサ、リバースプロキシ、仮想化インフラ、サーバーOS、サーバーミドルウェア、VPNといった基盤側がプラットフォーム診断の対象で、WebアプリケーションやアプリミドルウェアはWebアプリ診断の対象として分けられています。
このように「サーバーの脆弱性診断」は、画面や入力処理ではなく、その土台となるシステム基盤の弱点を調べる診断だと捉えると分かりやすくなります。
出典・参考資料（2件）
サーバー脆弱性診断が「具体的に何を調べる」のか（検査対象）
ここからは、サーバーの脆弱性診断が実際にどのような弱点を検出するのかを具体的に見ていきます。DS-221の「プラットフォーム診断で検出される脆弱性」をもとに整理すると、主な検査対象は次の4つです。それぞれが攻撃にどう悪用されうるかもあわせて確認すると、診断の意味が掴みやすくなります。
- 不要なポートの開放：外部との通信が可能なポートを調べ、公開を意図していないオープンポートや、第三者に仕掛けられた不審なサービスがないかを確認します。開いたままのポートは、外部からの侵入口として悪用されます。
- 脆弱なソフトウェアの利用（古いバージョンの放置）：ポートを待ち受けているOSやミドルウェアのバージョンを調べ、既知の脆弱性を含む古いソフトウェアが使われていないかを確認します。既知の脆弱性は攻撃手法も出回っているため、放置すると公開された攻撃コードで狙われます。
- 設定の不備：推測しやすいパスワード（初期パスワードの使い回しなど）や、意図しない情報の公開といった設定上の問題がないかを確認します。設定の甘さは、特別な攻撃技術がなくても侵入の足がかりにされます。
- プロトコル固有の脆弱性：DNS・FTP・SSH・SMTP・SSL/TLSなど、通信プロトコルを扱うソフトウェアの脆弱性や、暗号強度の弱いアルゴリズムが使われていないかを確認します。通信の暗号化が弱いと、盗聴や改ざんのリスクが高まります。
このようにサーバー診断は、アプリの作り込みではなく、その下で動くOS・ミドルウェア・通信・設定の弱点を見ます（Webアプリケーション側の実装上の欠陥との違いは後述します）。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）表2-1「プラットフォーム診断で検出される脆弱性」｜デジタル庁（リンク）
これらの検査対象のうち、設定の不備が実際の診断でどのように見つかるのか。社内のネットワーク機器を対象に脆弱性診断を提供する事業者は、現場で見つかりやすい例を次のように話しています。
たとえば、先ほど申し上げた複合機、コピー機です。工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
サーバーの脆弱性診断が必要な理由と放置するリスク
ここからは、なぜサーバーの脆弱性診断が必要なのか、弱点を放置すると何が起きるのかを確認します。
サーバーの基盤側に残った弱点は、実際の攻撃で侵入口として使われています。警察庁がまとめた令和7年のサイバー空間の脅威情勢では、ランサムウェア被害における侵入経路について次のように報告されています。
被害組織へのアンケート結果によると、侵入経路はVPN（Virtual Private Network）機器が６割以上を占める状況である。攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
ここで挙げられている「未修正の脆弱性」「簡易なパスワード」「設定不備」は、いずれもサーバーの脆弱性診断が検出対象とする弱点そのものです。VPN機器もプラットフォーム診断の対象に含まれます。診断で事前に見つけて対処できていれば塞げたはずの穴が、現実の侵入経路の中心になっているといえます。
サーバーは一度構築すると運用が続き、その間にOSやミドルウェアの新しい脆弱性が次々と公表されます。構築した時点では安全でも、時間の経過とともに「既知の脆弱性を抱えたまま動き続けるサーバー」になりやすい点が、放置の怖さです。定期的に診断して現状の弱点を把握することが、被害を未然に防ぐための前提になります。
出典・参考資料（1件）
- 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（リンク）
サーバー診断・Webアプリケーション診断・ペネトレーションテストの違い
脆弱性診断の情報を調べていると、サーバー診断・Webアプリケーション診断・ペネトレーションテストという言葉が入り混じって出てきます。ここでは3つの違いを整理し、自社に必要なのはどれかを判断できるようにします。
サーバー診断とWebアプリケーション診断の違い（対象の層で分かれる）
サーバー診断（プラットフォーム診断）とWebアプリケーション診断は、調べる「層」で分かれます。サーバー診断はOS・ミドルウェア・ネットワーク機器・ポート・設定といった基盤側を対象にするのに対し、Webアプリケーション診断はWebアプリやアプリミドルウェア、すなわち画面や入力処理の作り込みを対象にします。
SQLインジェクションやクロスサイトスクリプティングのようなアプリ固有の欠陥は後者、古いOSの既知脆弱性や不要なポートの開放は前者で見つかります。
公開Webサービスを運用している場合は、土台となるサーバーと、その上で動くアプリの両方に弱点が生じうるため、どちらの層を診断したいのかを分けて考えることが出発点になります。
脆弱性診断とペネトレーションテストの違い（網羅的チェックと侵入演習）
脆弱性診断とペネトレーションテスト（侵入試験）は、目的が異なります。脆弱性診断は、対象に疑似的な攻撃通信を行って脆弱性やリスクの有無を網羅的に確認するものです。これに対しペネトレーションテストは、経済産業省の情報セキュリティサービス基準で次のように定義されています。
脆弱性診断のサービスの定義を満たすサービスのうち、攻撃者が実際に侵入等を行うために用いる手法と同様の手法により、アプリケーション、システム、又はネットワークのセキュリティ機能を回避して攻撃の目的を達成できるかの観点から試験を行い、その結果をもとに助言を行うサービスをいう。
出典：情報セキュリティサービス基準｜経済産業省（IPA公表資料）
脆弱性診断は弱点の有無を網羅的に洗い出す診断、ペネトレーションテストはその弱点を使って実際に侵入できるかを試す侵入演習です。まず弱点の全体像を把握したい段階では脆弱性診断、実際の攻撃に対する耐性を確かめたい段階ではペネトレーションテスト、という順序で考えると整理しやすくなります。
3つの違いを一覧にまとめると、次のとおりです。
| 観点 | サーバー診断（プラットフォーム診断） | Webアプリケーション診断 | ペネトレーションテスト |
|---|---|---|---|
| 主な対象 | OS・ミドルウェア・ネットワーク機器・ポート・設定（基盤側） | Webアプリ・アプリミドルウェア（画面と入力処理） | アプリ・システム・ネットワーク全体（攻撃者が狙う経路） |
| 検出・検証する内容の例 | 不要なポートの開放、既知脆弱性を含む古いソフト、設定不備、プロトコルの弱点 | SQLインジェクション、クロスサイトスクリプティングなどアプリ固有の実装上の欠陥 | 見つかった弱点を使って実際に侵入・目的達成まで到達できるか |
| 目的 | 基盤側の弱点を網羅的に洗い出す | アプリの実装上の弱点を網羅的に洗い出す | 攻撃者と同じ手口で侵入できるかを試す（侵入演習） |
| こんなときに | サーバー・ネットワーク機器を公開・運用しているとき | Webサービス・社内Webシステムを運用しているとき | 診断後に実際の攻撃耐性まで確かめたいとき |
※ 上記の分類は下記の公的資料をもとに整理しています。
脆弱性診断とペネトレーションテストのどちらから着手すべきか、費用や選び方まで踏み込んで判断したい場合は、両者を目的・費用の観点で比較した次の記事が参考になります。
一括ダウンロードする
サーバー脆弱性診断の種類（方法別・場所別）
ここからは、サーバーの脆弱性診断の種類を「方法別」と「場所別」の2つの軸で整理します。それぞれの特徴を押さえると、自社に合った診断の選び方が見えてきます。
ツール診断と手動診断の使い分け
方法で分けると、自動化されたツールによる診断と、専門家が手を動かす手動診断があります。DS-221では、プラットフォーム診断は一般的に自動化ツールを用いて行い、誤検出（偽陽性）の精査やツールでは検出できない脆弱性の診断を人手で補う、と説明されています。
ツール診断は、広い範囲を効率よく短時間で調べられる一方、仕様に起因する複雑な脆弱性の検出は苦手とされます。手動診断は、ツールが拾いきれない脆弱性や設定の問題を専門家が補強できる点に強みがあります。実務では、まずツールで広く調べ、重要な部分を手動で深掘りするという組み合わせが取られることが多く、どちらか一方だけで完結させるものではありません。
リモート診断とオンサイト診断（クラウド環境での可否）
場所で分けると、外部（リモート）診断と内部（オンサイト）診断があります。DS-221では、外部診断はグローバルIPアドレスを通じてインターネットからアクセスできる機器を対象に、境界の外側から悪用されうる脆弱性を調べるものとされています。一方の内部診断は、LAN内などのプライベートIPアドレスを持つ機器を対象に、境界の内側（内部犯や侵入してきた攻撃者）が悪用しうる脆弱性を調べるものです。
インターネットに公開しているサーバーは外部診断、社内ネットワーク内の機器は内部診断、という使い分けが基本です。
クラウド（IaaSなど）上に構築したサーバーも診断の対象になりますが、注意点があります。DS-221は、インフラ提供者（クラウドサービスプロバイダー）によって禁止されている診断項目があり、サービス妨害（DoS）に関わる診断などは事前に関係者の許可・確認が必要だとしています。クラウド環境を診断する場合は、利用しているクラウド事業者の規約や事前申請の要否を確認してから実施することが前提になります。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）
クラウド（IaaSなど）上のサーバーを診断する場合は、診断できる対象の範囲や費用、サーバー・アプリとは別に問題になりやすい設定の診断（CSPM）との違いなど、クラウド特有の論点も押さえておくとスムーズです。
サーバー脆弱性診断はどのくらいの頻度で実施すべきか
サーバーの脆弱性診断は、一度実施すれば終わりというものではありません。実施のタイミングは、大きく「節目で行う診断」と「定期的に行う診断」の2つに分けて考えると整理しやすくなります。
DS-221は、新規構築または機能追加などの改修を行ったシステムを対象とする「構築時診断」と、継続的に実施する「定期診断」の2種類を挙げ、これらは目的に応じて組み合わせて実施するもので、一方が他方を代替するものではないとしています。
まず、サーバーを新しく立てたときやシステムを改修・大きく構成変更したときは、本番に反映する前後で診断するのが基本です。そのうえで、運用中に新たに公表される脆弱性に対応するため、定期的な診断を組み合わせます。
定期診断の具体的な頻度について、国内の公的ガイドラインが「年1回」などの数値を一律に定めているわけではありません。DS-221も、定期診断の対象は各機関の点検・監査計画に準じるものとし、頻度の基準は設けていません。
そのため、一般的な実務上の目安としては年1回から半年に1回程度で実施する例が多いものの、これは公的な基準値ではなく、システムの重要度や変更の頻度に応じて判断するものと捉えるのが適切です。たとえば、頻繁に更新する公開サーバーは四半期ごとなど短い間隔で、変更の少ない社内システムは年1回程度を目安にするなど、対象ごとに間隔を変える考え方が実務的です。
ただし、悪用が実際に観測されている脆弱性が見つかった場合は、定期の間隔を待たず迅速に対応することが求められます。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）
定期診断の間隔をどう考えるかについては、脆弱性診断を提供する事業者からも、攻撃側の変化によって従来の頻度では追いつかなくなっているという見方が示されています。
これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
自社のサーバーをどう診断する？内製・外部委託と進め方
ここまでを踏まえ、自社のサーバーをどう診断していくかを考えます。ポイントは、「何を・どの頻度で・内製するか外部に委託するか」を、システムの重要度と自社の体制に照らして決めることです。
社内に知見があり、ツールを運用できる体制があれば、ネットワークやサーバーの弱点を自動で調べるスキャナー型の診断ツールを使い、内製の定期診断から始める方法があります。一方で、ツールの結果を正しく解釈し、重要な部分を手動で深掘りするには専門的な知見が必要になるため、網羅的な診断や本番前の重要な診断は外部の専門ベンダーに委託するという使い分けが現実的です。
内製と外部委託は二者択一ではなく、日常的な定期チェックは内製、節目の精密な診断は委託、といった組み合わせも取れます。
内製での診断を具体的に検討する場合は、どの診断項目なら自社で対応でき、どこから外部に頼るべきか、自動化ツールやCI/CDへの組み込みまで含めて整理しておくと判断しやすくなります。
診断の進め方（計画→実施→報告→対策→再診断）
診断は、おおむね次の流れで進みます。まず対象範囲と診断方法を決める計画、実際に弱点を洗い出す実施、検出された脆弱性と対策案をまとめる報告、報告をもとに修正やパッチ適用を行う対策、そして対策が有効かを確かめる再診断です。
重要なのは、診断で弱点を見つけることがゴールではなく、報告された内容に基づいて対策し、再診断で塞がったことを確認するところまでを一連の流れとして回すことです。
多くの診断サービスは検出と報告・改善提案までを担い、実際の修正作業は自社側で行うケースが一般的なため、対策を実行する体制まで含めて計画しておくと、診断を実効性のあるものにできます。
自社のサーバー環境や体制に合わせて診断の手段を選ぶ際の選択肢として、ここでは提供形態の異なる3つのサービスを紹介します。それぞれ、サーバーやネットワークを含めて専門家に委託して診断する方法、サーバーの基盤側をSaaSで継続的に検査する方法、社内の機器をまとめて継続診断する方法という、異なる解き方に対応しています。
| サービス名 | CoWorker 脆弱性診断サービス | Aikido Security | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 提供形態 | 専門ベンダーへの委託（スポット診断） | SaaSツール（継続利用・サブスク型） | 統合パッケージ（予防・復旧・補償） |
| 主な診断対象 | Webアプリ・API・ソースコード／ネットワーク （Web・ネットワークのペネトレーションテストに対応） | ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリ （サーバーOS・依存ミドルウェア起因の脆弱性も対象） | 社内ネットワーク接続機器 （サーバー・ネットワーク機器・複合機・PC） |
| 診断方法 | 自社AI「Red Agent」の自動解析＋社内専門家の最終確認 | 管理画面からの自動スキャンを継続実施 | ネットワーク内部から月次（年12回）で診断しA〜Eの5段階で評価 |
| 料金目安 | ソースコード診断15万円〜／動的診断30万円〜 Webペネトレ60万円〜／ネットワークペネトレ100万円〜 | 月額5万円台〜（無料プランあり） | 1台1,250円／月〜 （100ノード以下で年額90万〜150万円が目安） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、専門ベンダーに診断を委託したい場合の選択肢です。自社開発のAI「Red Agent」による自動解析に、社内のセキュリティ専門家による最終確認を組み合わせて診断とレポート作成を行います。
公式サービスページで提供しているメニューは、ソースコードを対象にした「ソースコードAI診断」、稼働中のWebアプリケーション・APIを対象にした「動的脆弱性診断」、そして実際の攻撃を想定した「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3つです。
このうちペネトレーションテストは、Webアプリケーション向けに加えてネットワークを対象にしたものも用意されており、ネットワークペネトレーションテストでは、サーバーやネットワーク機器といった基盤側に対して実際の攻撃を想定した検証を依頼できます。サーバー・ネットワークの診断を外部に委託したい場合の選択肢になります。
料金は依頼する診断の種類によって異なります。独自インタビューによると、ソースコード診断は15万円から、Web・APIを対象にした動的診断はエンドポイント数に応じて30万円から、Webペネトレーションテストは60万円から、ネットワークペネトレーションテストは100万円から、という設定です（2026年11月時点）。
自社にセキュリティ人材を抱えずに、専門家が関与する診断を受けたい場合に検討しやすいサービスです。
Aikido Security（Aikido Security BV／日本窓口：株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリなどを1つの管理画面で検査するSaaS型の脆弱性診断ツールです。人が診断して報告書を納める委託型とは異なり、自動スキャンを継続的に利用する契約形態で、サーバーOSやWordPressなどの依存ミドルウェアに起因する脆弱性も検査対象に含むと説明されています。
基盤側を自社で継続的に見張っていきたい場合に向いています。
SAST（ソースコード診断）・SCA（依存関係のチェック）・CSPM（クラウド設定診断）・DAST（動的診断）などに対応し、無料で試せるプランも用意されています。日本では株式会社AndGoが販売・問い合わせの窓口となり、日本円での請求に対応しています。有料プランは月額5万円台からで、利用規模により変わるため、自社の規模に合わせて確認するとよいでしょう（2026年11月時点）。
KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI サイバーセキュリティ対策パッケージは、脆弱性診断を単体で提供するのではなく、予防・復旧・補償を束ねた統合パッケージ型のサービスです。このうち予防にあたる「KATABAMI VDP」が脆弱性診断の役割を担い、ネットワーク内部から月次（年12回）で診断して、A〜Eの5段階評価と改善策のレポートを提示します。
サーバー・ネットワーク機器・複合機・PCといった社内のネットワーク接続機器を対象に、外部スキャンでは捉えにくい内部起点の弱点も継続的に把握したい場合の選択肢です。
診断は弱点の検出・報告までが標準範囲で、実際の対策（パッチ適用など）は原則として利用企業側が行う形です（希望すれば別料金での対応も相談できます）。あわせて、隔離経路へのバックアップによる復旧と、サイバー保険による補償も組み合わされています。
月額は1台あたり1,250円から（2026年11月時点）で、専任のセキュリティ担当者がいない中小企業でも導入しやすい設計を訴求しています。診断専業のサービスとは性格が異なるため、「診断を含む対策パッケージ」として比較するのが適切です。
まとめ
サーバーの脆弱性診断（プラットフォーム脆弱性診断）は、OS・ミドルウェア・ネットワーク機器・ポート・設定といった基盤側の弱点を洗い出す診断です。画面や入力処理を対象とするWebアプリケーション診断とは調べる層が異なり、見つけた弱点を使って実際に侵入できるかを試すペネトレーションテストとも目的が異なります。
不要なポートの開放・古いソフトの放置・設定不備・プロトコルの弱点といった検査対象は、実際のランサムウェア被害の侵入経路とも重なっており、事前に診断して塞ぐことの意味は小さくありません。
診断はツール診断と手動診断、リモート診断とオンサイト診断を使い分け、新規構築・改修の節目と定期的な実施を組み合わせて行います。自社で何を・どの頻度で・内製か外部委託かを、システムの重要度と体制に照らして判断することが出発点です。具体的なサービスの比較検討を進める場合は、診断方法・費用相場・選び方を整理した関連記事もあわせて参考にしてください。
一括ダウンロードする
よくある質問（FAQ）
Q. サーバーの脆弱性診断（プラットフォーム脆弱性診断）とは何ですか？
A. サーバーの脆弱性診断とは、サーバーやネットワーク機器などの基盤（プラットフォーム）を対象に、OS・ミドルウェア・通信ポート・設定といった部分に攻撃へ悪用されうる弱点がないかを洗い出す診断です。経済産業省の「情報セキュリティサービス基準」が脆弱性診断を3つに区分するうちの「プラットフォーム脆弱性診断」にあたります。
デジタル庁のガイドライン（DS-221）でも「サーバやネットワーク機器等に対して行う脆弱性診断」と定義されています。画面や入力処理の作り込みを対象とするWebアプリケーション診断とは、調べる層そのものが異なります。
Q. サーバーの脆弱性診断とWebアプリケーション診断は、どちらを実施すべきですか？
A. サーバーの脆弱性診断とWebアプリケーション診断は調べる層が異なるため、公開Webサービスを運用している場合は、どちらか一方ではなく両方が必要になるのが基本です。サーバー診断はOS・ミドルウェア・ネットワーク機器・ポート・設定といった土台側の弱点を、Webアプリケーション診断はSQLインジェクションやクロスサイトスクリプティングといった画面・入力処理の実装上の欠陥を対象にします。
土台とその上で動くアプリの両方に弱点は生じうるため、まず「どちらの層を診断したいのか」を分けて考えることが出発点になります。
Q. サーバーの脆弱性診断とペネトレーションテストは何が違いますか？
A. サーバーの脆弱性診断とペネトレーションテストは目的が異なり、脆弱性診断が弱点の有無を網羅的に洗い出す「チェック」であるのに対し、ペネトレーションテストはその弱点を使って実際に侵入できるかを試す「侵入演習」です。まず弱点の全体像を把握したい段階では脆弱性診断、見つかった弱点に対する実際の攻撃耐性まで確かめたい段階ではペネトレーションテスト、という順序で考えると整理しやすくなります。
Q. サーバーの脆弱性診断はツールを使えば自社（内製）だけで実施できますか？
A. サーバーの脆弱性診断は、自動化ツールを運用できる体制があれば内製での定期診断も可能ですが、結果の解釈や重要な部分の手動での深掘りには専門知識が必要なため、内製と外部委託の組み合わせが現実的です。プラットフォーム診断は一般に自動化ツールで広く調べ、誤検出の精査やツールで拾えない脆弱性を人手で補います。
日常的な定期チェックは内製のツール診断で、本番前や網羅的な精密診断は外部ベンダーに委託する、といった使い分けが取りやすい領域です。
Q. サーバーの脆弱性診断はどのくらいの頻度で実施すべきですか？
A. サーバーの脆弱性診断の頻度は、新規構築・改修などの節目に行う「構築時診断」と、運用中に継続して行う「定期診断」を組み合わせて実施するのが基本です。国内の公的ガイドラインが「年1回」などの数値を一律に定めているわけではなく、デジタル庁のDS-221も定期診断の頻度基準は設けていません。
一般的な実務上の目安としては年1回から半年に1回程度で実施する例が多いものの、これは公的な基準値ではなく、システムの重要度や変更の頻度に応じて判断するものです。悪用が実際に観測されている脆弱性が見つかった場合は、定期の間隔を待たず迅速に対応します。
Q. クラウド（IaaSなど）上のサーバーも脆弱性診断の対象にできますか？
A. クラウド上に構築したサーバーも脆弱性診断の対象にできますが、クラウド事業者が禁止している診断項目があり、事前に規約の確認や申請が必要です。特にサービス妨害（DoS）に関わる診断などは、実施前に関係者の許可・確認が求められます。クラウド環境を診断する場合は、利用しているクラウド事業者の規約や事前申請の要否を確認してから実施することが前提になります。
Q. サーバーの脆弱性診断の費用はどのくらいかかりますか？
A. サーバーの脆弱性診断の費用は、診断対象の規模・手法（ツールか手動か）・提供形態（専門ベンダーへの委託か、継続利用するSaaS・パッケージか）によって大きく幅があります。
本記事で紹介したサービスを例にすると、専門ベンダーに委託する診断はソースコード診断で15万円から（診断内容により変動）というものがある一方、社内機器を継続診断するパッケージ型では月額1台あたり1,250円からといった継続課金のものもあります。
一度きりの網羅的な精密診断か、継続的な自動検査かで費用構造が変わるため、自社の診断対象と頻度の方針を決めたうえで、各サービスの資料で見積もり条件を確認するのが確実です。
サーバーの脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、サーバーの脆弱性診断に対応したサービスの最新資料を無料で一括請求できます。診断範囲や料金、サポート体制を見比べて、自社に合う診断方法を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
