プラットフォーム脆弱性診断とは？費用・手法・進め方を解説

プラットフォーム脆弱性診断とは、サーバーやネットワーク機器のOS・ミドルウェアなどインフラ層に潜む既知の脆弱性や設定不備を洗い出すセキュリティ診断です。アプリ層を対象とするWebアプリケーション診断とは対象が異なり、両者は補完し合う関係にあります。

インターネットに接続したサーバーやクラウド環境を持つ企業にとって、インフラ層は攻撃の主要な入口です。ただし診断は実施すれば終わりではなく、自社の構成・リスク・予算に合った手法を選び、報告書の優先度に沿って対応まで完遂させて初めて成果につながります。

本記事では、対象範囲と他の診断との違い、手法の選び方、費用相場、発注から報告書活用までの進め方を、初めて発注する情報システム担当者が判断できる粒度で解説します。

自社に合う手法や発注の進め方が定まらないまま動くと、診断範囲や対応の優先順位でつまずきがちです。ツール診断と手動診断を組み合わせ、診断範囲の設計から伴走するバルテスの脆弱性診断サービスを、最初の相談先として検討してみてください。

プラットフォーム脆弱性診断とは？ 対象範囲と診断でわかること

プラットフォーム脆弱性診断は、OS・ミドルウェア・ネットワーク機器といったインフラ層を対象に、既知の脆弱性と設定不備を特定するセキュリティ診断です。アプリケーションのコードではなく、その土台となるサーバーや通信機器そのものの弱点を洗い出す点に特徴があります。

この章では、診断が具体的にどの機器の何を調べるのか、そして自社に診断が必要かどうかをどう判断すればよいのか、2つの軸で整理します。

診断対象と主な診断項目

診断対象は、ネットワークに接続されたインフラ機器全般です。外部と通信するサーバーや通信制御機器が中心になり、それぞれ調べる内容が異なります。

診断対象	主な診断内容
Webサーバー	ミドルウェアのバージョン、既知脆弱性、不要な機能の有効化
メールサーバー	不正中継の可否、暗号化設定、認証まわりの不備
DNSサーバー	ゾーン転送の制限、キャッシュポイズニングの余地
FTPサーバー	匿名アクセスの許可、平文通信、初期設定の放置
ファイアウォール・ルーター	不要ポートの開放、初期パスワード、ファームウェアの更新状況
VPN機器	ファームウェアの既知脆弱性、認証設定の不備、不要に公開されたサービス

診断項目に共通するのは、既知脆弱性の有無、ソフトウェアバージョンの確認、不要ポートの開放状況、初期パスワードの放置といった設定不備の検出です。たとえば「サポートの切れた古いバージョンのミドルウェアが動いている」「使っていないポートが外部に開いたまま」「導入時の初期パスワードが変更されていない」といった状態は、いずれも診断で表面化します。

検出される問題は、狙われ方で見ると大きく3つに分けられます。管理権限を奪われる不正侵入系、サービスを停止させられるサービス妨害系、機密情報が抜き取られる情報漏えい系です。どの経路も、攻撃者にとってはインフラ層の設定不備が入口になります。

プラットフォーム診断が必要な企業の特徴

プラットフォーム診断が不可欠なのは、次の3つの条件のいずれかに当てはまる企業です。

• 自社でサーバーやネットワーク機器を運用している企業。管理主体が自社にある以上、脆弱性の把握と対応も自社の責任範囲に入ります。
• 外部向けにWebサービスを公開している企業。インターネットに露出した資産は、常に外部からのスキャンにさらされています。
• 定期的な脆弱性診断を実施していない企業。前回の診断以降に公表された脆弱性や、構成変更による設定不備が蓄積している可能性があります。

令和6年のランサムウェア感染経路は、VPN機器経由が55.0%、リモートデスクトップ経由が31.0%を占めており、プラットフォーム層の脆弱性が主要な攻撃起点になっています（出典：警察庁「令和7年版 警察白書 第3章 サイバー空間の安全の確保 第3項 ランサムウェアの情勢」2025年）。

加えて、ISMS認証の維持やPCI DSS対応、政府系システムの調達要件などでは、定期的な脆弱性診断が求められる場面があります。コンプライアンス上の要請という観点からも、診断の実施を前提に準備を進めておくと社内調整がスムーズです。

プラットフォーム診断はWebアプリ診断・ペネトレと何が違う？ 目的と対象の比較

プラットフォーム診断・Webアプリケーション診断・ペネトレーションテストは、対象とするレイヤーも目的も異なります。いずれか一つで守りが完結するものではなく、自社のシステム構成に応じて組み合わせるべき診断です。

ここでは3者の違いを比較したうえで、自社構成に対してどれを優先し、どう組み合わせればよいかの判断軸を示します。

対象レイヤーと目的の違い

3種の診断を並べると、それぞれの役割の違いがはっきりします。

診断タイプ	対象レイヤー	主な目的	代表的な手法	推奨頻度
プラットフォーム診断	インフラ層（OS・ミドルウェア・NW機器）	既知脆弱性と設定不備の網羅的な特定	ツールスキャン＋手動レビュー	年1回＋構成変更時
Webアプリケーション診断	アプリ層（Webアプリの実装）	アプリ固有の脆弱性発見	手動診断＋ツール診断	リリース・改修時
ペネトレーションテスト	システム全体（横断）	実攻撃による侵入可否の検証	攻撃者視点の実践的テスト	重要システムで随時

Webアプリケーション診断は、SQLインジェクションやクロスサイトスクリプティングのように、アプリを作り込む過程で生まれる欠陥を対象とします。一方でプラットフォーム診断が見るのは、そのアプリが動くOSやミドルウェアの既知脆弱性、通信機器の設定不備です。同じサーバーでも見ている層が違うため、両者は補完関係にあります。

ペネトレーションテストは目的が根本的に異なります。プラットフォーム診断が「どこに弱点があるか」を洗い出すのに対し、ペネトレーションテストは見つかった弱点を実際に突いて「本当に侵入できるか」を検証します。脆弱性の特定・深刻度評価と、侵入可否の実証は別物です。

どの診断を選ぶべきかの判断基準

自社構成に照らした判断は、次の順で考えると迷いません。

• インターネットに公開しているサーバーがあるなら、プラットフォーム診断は必須です。まずここが出発点になります。
• そのうえでWebアプリケーションを提供しているなら、Webアプリケーション診断を併用します。インフラとアプリの両層をカバーしてはじめて公開資産を守れます。
• 金融・医療・官公庁など高いセキュリティ要件を課される場合は、ペネトレーションテストを追加し、侵入されないかを実証まで踏み込んで確認します。

なお、AWSやAzure上でシステムを動かしている場合は、設定を継続的に監視するCSPMとの役割分担も検討対象になります。時点評価であるプラットフォーム診断との組み合わせについては、後の章で具体的に触れます。

プラットフォーム診断の手法はどう選ぶ？ リモート/オンサイト・ツール/手動の判断基準

プラットフォーム診断の手法は、「実施形態（リモート/オンサイト）」と「診断方式（ツール/手動）」という2つの軸の組み合わせで決まります。対象環境の公開範囲、予算、求める検出精度に応じて選ぶことで、無駄のない診断になります。

ここでは実施形態と診断方式をそれぞれ比較し、最後にクラウド環境ならではの注意点を整理します。

リモート診断とオンサイト診断

実施形態は、診断員がどこから対象にアクセスするかで分かれます。

手法	実施場所	対象ネットワーク	コスト	向いている環境
リモート診断	診断ベンダー拠点	インターネット経由の外部ネットワーク	比較的低い	外部公開サーバー・Webサービス
オンサイト診断	顧客拠点に訪問	社内の内部ネットワーク	訪問費用が加わる	社内業務システム・ファイルサーバー

外部に公開しているサーバーは、攻撃者と同じ経路から調べるリモート診断が基本です。社内からしかアクセスできない業務システムやファイルサーバーの設定不備、内部ネットワークの構成上の問題を洗い出したい場合は、現地から内部ネットワークに接続するオンサイト診断が有効です。

実務では、外部から悪用され得る経路を優先して確認するため、リモート診断だけで目的を果たせるケースが少なくありません。オンサイト診断は内部ネットワーク固有の問題を洗い出したいときに追加する位置づけで、リモートで目的を果たせるなら、余分な訪問費用をかけずに済むリモート診断で済ませるのが一般的です。

ツール診断と手動診断の使い分け

診断方式は、自動スキャナに任せるか、専門家が手で確認するかで検出できるものが変わります。

方式	検出範囲	精度	費用	推奨用途
ツール診断	広範囲の既知脆弱性を効率的に検出	定型的な検出は得意、文脈依存は苦手	低め	まず広く洗い出したい場合
手動診断	複雑な設定不備・構成上の問題	深いレビューが可能	高め	精度を重視する場合

ツール診断は既知脆弱性を短時間で広く検出できますが、限界もあります。ビジネスロジックに起因する不備や、複数機器が絡む複雑なネットワーク構成の問題は、スキャナだけでは見落とされがちです。この穴を埋めるのが手動診断で、両者を組み合わせるハイブリッド方式なら、網羅性と深さを両立できます。

診断方式の選び方は、公的なガイドラインも参考になります。デジタル庁のDS-221ガイドラインは、政府情報システムのプラットフォーム診断において、最新の攻撃手法を反映した実績ある商用ツールの活用を必須とし、フリーツールや自社製ツールのみによる診断を認めていません（出典：デジタル庁「デジタル社会推進実践ガイドブック DS-221 政府情報システムにおける脆弱性診断導入ガイドライン」2024年）。

これは政府情報システムを対象とした基準であり民間企業への義務ではありませんが、ツールの質が診断結果の信頼性を左右するという点は、診断の品質や診断会社を見極める際の参考になります。

ツールだけでは検出が難しい脆弱性まで網羅的に発見したい場合は、ハイブリッド方式が選択肢になります。バルテスの脆弱性診断サービスは、ネットワーク脆弱性スキャナ「Nessus」を用いたツール診断と、専門家による手動診断を組み合わせて、OS・ミドルウェア・ネットワーク機器の脆弱性を検出します。

クラウド環境（AWS・Azure）で診断する際の注意点

AWSやAzure上のインスタンスに対しても、プラットフォーム診断は実施できます。かつては事前申請が必要でしたが、現在は主要クラウドで撤廃されています。

AWSは、許可対象として明示されたサービスについて、自社インフラのセキュリティ評価や侵入テストを事前承認なしで実施することを認めており、EC2やRDS、Lambdaなどが許可対象に含まれます（出典：Amazon Web Services「Penetration Testing – Amazon Web Services (AWS)」）。

Microsoftも、2017年6月15日以降はAzureリソースへの侵入テストに事前承認を不要とし、Unified Penetration Testing Rules of Engagementへの準拠を求めています（出典：Microsoft「Penetration testing – Azure Security Fundamentals」）。

一方で、禁止事項は明確に定められています。診断時には以下を避けてください。

• DDoSやそれに類する負荷試験
• 他テナント（他利用者のリソース）への攻撃
• 自社が管理する範囲を超えたリソースへの診断

また、クラウド環境では、時点評価であるプラットフォーム診断に加えて、設定を継続的に監視するCSPMを組み合わせると、設定ミスを早期に見つけやすくなります。この点で、バルテスのクラウドセキュリティ診断はAWS・Azure・Google Cloudなどに対応し、CISベンチマークに準拠して設定を確認します。

プラットフォーム脆弱性診断の費用はいくら？ 規模・手法別の相場

プラットフォーム診断の費用は、1IPアドレスあたり5万〜20万円前後が相場ですが、診断手法・対象規模・ネットワーク構成の複雑さによって大きく変動します。そのため見積もりを比較するときは、金額の高低だけでなく診断内容の違いを必ず確認してください。

ここでは規模別・手法別の費用目安を示したうえで、なぜベンダー間で金額差が生まれるのかを整理します。

規模別・手法別の費用目安

対象規模と診断方式を掛け合わせると、おおよその費用感がつかめます。

対象規模	ツール診断	手動・ハイブリッド診断
小規模（1〜10IP）（本記事調べ）	数万円〜	数十万円〜
中規模（11〜30IP）（本記事調べ）	数十万円前後	数十万〜百万円台
大規模（31IP以上）（本記事調べ）	数十万円〜	数百万円規模

ツール診断のみのライトなプランなら数万円から始められ、まず現状を把握したい段階に向いています。対して手動診断を含むハイブリッド方式は、精度が高い分だけ費用も上がり、数十万円から数百万円のレンジになります。予算と求める精度のバランスで選ぶのが基本です。

見積もり金額に差が出る要因

同じ対象でもベンダーによって見積もりが大きく異なるのは、次の5つの要因が金額を左右するためです。

• 手動診断の比率：手作業のレビュー範囲が広いほど工数が増え、費用も上がります。
• 対象規模：診断するIPアドレスや機器の数に比例して費用が積み上がります。
• ネットワーク構成の複雑さ：セグメントが多く経路が入り組んでいるほど、確認の手間が増えます。
• 冗長構成の有無：負荷分散や待機系を含む構成では、診断対象が実質的に増えます。
• コンプライアンス基準対応：特定の基準に沿った診断や報告書が必要な場合、対応工数が加わります。

見積もりを比較する際は、金額に加えて、手動診断が含まれるか、報告会の実施があるか、修正後の再診断が付くかを確認してください。これらの有無で、同じ価格帯でも実際に得られる価値が変わります。

上長への予算申請で説得材料に困ったときは、「診断しなかった場合に想定される被害コスト」と診断費用を並べて示すと判断材料になります。インシデント対応や事業停止による損失は診断費用を大きく上回ることが多く、数字で比較することで承認を得やすくなります。

プラットフォーム診断はどう進める？ 発注から報告書活用までの3ステップ

プラットフォーム診断は、依頼して報告書を受け取るだけでは不十分です。範囲確定、ベンダー選定、報告書に基づく脆弱性対応の完遂という3ステップを一貫して管理してはじめて、セキュリティ強化という成果につながります。

1. 診断範囲の確定と見積もり取得
2. ベンダー選定のチェックポイント
3. 診断実施から報告書活用まで

1. 診断範囲の確定と見積もり取得

最初のステップは、何をどこまで診断するかを決めることです。診断範囲はIPアドレス単位で確定し、インターネットに公開しているサーバーを優先します。

範囲確定は次の順で進めます。

1. 外部公開サーバーを棚卸しする
2. 対象となるIPアドレスをリストアップする
3. 内部ネットワークセグメントを診断対象に含めるかを判断する

見積もりを取得する際は、ベンダーが正確に見積もれるよう、以下の情報を事前に準備しておきます。

• 対象機器のOS種別
• ネットワーク構成図
• クラウドの利用状況（AWS・Azure等）
• 診断を実施できる時間帯
• 過去の診断履歴
• 対応が必要なコンプライアンス基準の有無

2. ベンダー選定のチェックポイント

ベンダー選定では、次の4点を確認すると失敗を避けられます。

• 手動診断の有無と比率：ツールのみか、専門家のレビューが含まれるか。
• 報告書の品質：脆弱性の一覧だけでなく、再現手順と対策方法まで明記されているか。
• 診断後フォロー：修正後の再診断や、報告書に関する質問対応の期間があるか。
• 実績と認定：同種の診断実績や、保有する認定資格。

報告書の品質は、対応の実務に直結します。脆弱性が並んでいるだけで対策方法が書かれていない報告書では、受け取った側が対応方法を一から調べる羽目になります。診断後フォローは初回発注者が見落としやすいポイントで、再診断の有無や質問対応期間は事前に必ず確認してください。

こうした基準を満たすサービスの一例がバルテスのプラットフォーム脆弱性診断です。Nessusを用いたツール診断と手動診断のハイブリッドで、危険度がmedium以上の脆弱性は再診断が無料、報告書にはリスクごとの対策方法が明記されています。

さらに、診断完了後1年間、最大1,000万円を補償するサイバーリスク保険が付帯します。

3. 診断実施から報告書活用まで

範囲とベンダーが決まったら、診断の実施と、受け取った報告書を実務に落とし込む段階に入ります。ここが診断を成果に変える最後の関門です。

診断の実施

診断は、事前調整から始まります。実施日時や対象、緊急連絡先をベンダーとすり合わせ、診断当日を迎えます。診断中に重大な脆弱性が見つかれば簡易報告で速報が入り、全体の分析を終えた後に正式な報告書が提出されるのが一般的な流れです。

事前に診断可能な時間帯を伝えておくと、業務への影響を抑えられます。

報告書の読み方と対応の優先順位

報告書では、各脆弱性の深刻度がCVSSスコアで示されます。CVSS v3では脆弱性なしを表すNoneを含めた5段階に区分され、対応対象となるのはCritical・High・Medium・Lowの4区分です。まずはCriticalとHighから目を向けるのが基本です。

ただし、CVSSスコアだけでは自社にとっての実リスクは判断できません。スコアは一般的な深刻度を表す指標にすぎず、その脆弱性が自社環境で本当に危険かどうかは別の観点で見る必要があります。優先順位は、次の3点を加味して判断してください。

• 攻撃の容易性：実際に悪用しやすい脆弱性か。
• 影響を受けるシステムの重要度：止まると事業に響く基幹システムか。
• 外部公開の有無：インターネットから直接到達できる資産か。

優先順位に沿って対策を進めたら、対策完了後に再診断を実施し、脆弱性が確実に解消されたかを確認します。この改善確認まで終えて、診断の1サイクルが完結します。

プラットフォーム脆弱性診断のまとめ

プラットフォーム脆弱性診断は、OS・ミドルウェア・ネットワーク機器のインフラ層に潜む既知脆弱性と設定不備を可視化する診断です。ただし実施しただけでセキュリティが強化されるわけではなく、自社環境に合った手法を選び、報告書の優先度に沿って対応を完遂させて初めて成果につながります。

費用や手法の全体像は、次の要点で整理できます。診断を検討する段階の判断材料として活用してください。

観点	目安・ポイント
費用相場	1IPあたり5万〜20万円前後（手法・規模で変動）（本記事調べ）
ツール診断	数万円〜。広範囲の既知脆弱性を効率的に検出
手動・ハイブリッド診断	数十万〜数百万円。複雑な設定不備まで発見
実施形態	外部公開はリモート、社内システムはオンサイト

次に取るべき一歩は具体的です。まず外部公開サーバーを棚卸ししてIPアドレスをリストアップし、複数のベンダーに問い合わせて見積もりを取り、金額だけでなく手動診断の有無・報告書の質・再診断の有無を並べて比較してください。この順で進めれば、初めての発注でも判断を誤りにくくなります。

「自社にどの手法が合うかわからない」「初めての発注で何を確認すべきか不安がある」という段階であれば、実績のあるベンダーに相談しながら範囲を固めるのが近道です。バルテスの脆弱性診断サービスは、100件以上のプラットフォーム診断実績をもとに、ツールと手動を組み合わせたハイブリッド診断、危険度medium以上の再診断無料サポート、サイバーリスク保険の付帯まで備えています。

診断範囲を決める段階からのサポートや、検出した脆弱性への対応優先順位の提示も強みで、範囲の設計から対応の完遂まで伴走してもらえます。「どこから診断すればいいか」「見積もりの何を比べればいいか」が定まらない段階なら、まずは外部公開資産の棚卸しと診断範囲の相談から始めてみてください。