脆弱性診断のやり方は？手動・ツール診断の使い分けと進め方を解説

脆弱性診断のやり方は、セキュリティ専門家が手作業で検査する「手動診断」と、自動化ツールでスキャンする「ツール診断」の2種類があります。どちらを選ぶかは目的・予算・対象システムによって異なり、重要箇所には手動診断を、広範囲の定期スキャンにはツール診断を充てるという使い分けが基本です。

本記事では、手動診断とツール診断の使い分けから診断の種類、具体的な進め方、費用相場、業者選定のポイントまでを一通り扱います。

バルテスでは、ホワイトハッカーとツールを組み合わせた独自の診断手法を提供しています。2,000件以上の診断実績をもとに、重要箇所への手動診断と広範囲のツールスキャンを組み合わせた診断プランを設計します。詳細はバルテスのセキュリティ診断サービスからご確認ください。

脆弱性診断とは？ 診断の目的とペネトレーションテストとの違い

脆弱性診断とは、システムの悪用可能な弱点を検査してセキュリティリスクを可視化し、攻撃者に狙われる前に自ら対処するためのプロセスです。

実務上、取引先のセキュリティチェックシートで第三者診断の実施有無を問われるケースも増えており、「受けていない」という状態が商談の障壁になる場面が出てきています。

ペネトレーションテストとの違い

「脆弱性診断」と「ペネトレーションテスト」は混同されがちですが、目的・調査方法・対象範囲の3点で明確に異なります。

脆弱性診断はシステム全体を対象に既知の脆弱性を網羅的に検出することを目的とするのに対し、ペネトレーションテストは特定の攻撃シナリオに沿って実際に侵入を試みることで、攻撃が成立するかどうかを検証します。

比較軸	脆弱性診断	ペネトレーションテスト
目的	既知の脆弱性を網羅的に発見・可視化する	特定の攻撃シナリオで侵入の可否を検証する
調査方法	ツールや手動による体系的なスキャン・検査	攻撃者視点での擬似侵入（手動が主体）
対象範囲	システム全体を広く網羅	侵入リスクが高い特定箇所を集中的に検証
費用感	比較的低コスト	高度な専門工数が必要なため高コスト
向いている場面	初回診断・定期的な現状把握	重要システムの侵入耐性確認・監査対応

初めてセキュリティ検査を行う場合は、まず脆弱性診断でシステム全体の弱点を把握し、深刻度の高い問題が集中している重要システムに絞ってペネトレーションテストを検討する順序が効果的です。脆弱性の全体像が見えていない段階でペネトレーションテストを実施しても、修正すべき問題が多すぎて検証の意義が薄れてしまうからです。

脆弱性診断のやり方は？ 手動診断とツール診断の使い分け

診断の目的とペネトレーションテストとの違いを押さえたところで、実際の診断手法に進みます。

脆弱性診断のやり方は、セキュリティ専門家が手作業で検査する「手動診断」と、自動化ツールでスキャンする「ツール診断」の2つに大別されます。

どちらが優れているかではなく、それぞれの特性を理解したうえで自社のシステムに合わせて割り当てることが、費用対効果を高める鍵になります。

まず2つの手法の基本的な違いを比較表で確認してから、各手法の詳細に進みましょう。

比較項目	手動診断	ツール診断
精度	高い（ビジネスロジックの脆弱性も検出可能）	中程度（既知の脆弱性パターンに限定）
コスト	高い（専門家の工数に比例）	低い〜中程度（ツール費用＋セットアップ工数）
所要期間	数日〜数週間	数時間〜数日
向いているケース	決済処理・認証機能・API連携など重要箇所	広範囲の定期スキャン・リリース前の網羅的チェック
誤検知	少ない	発生しやすい（結果の解釈にスキルが必要）
診断者スキル依存	高い	低い

手動診断の特徴と向いているケース

手動診断では、セキュリティ専門家がプロキシツールを介してHTTPリクエストを書き換えながら、攻撃者と同じ視点でシステムの動作を検証します。ツールが画一的なパターンを照合するのとは異なり、専門家がシステムの文脈を理解しながら診断を進めるため、複雑な脆弱性を発見できます。

手動診断が特に力を発揮するのは、ツールでは検出が困難なビジネスロジックの欠陥です。たとえば「注文数量に負の値を入力すると金額がマイナスになる」「一定条件下で他ユーザーの購入履歴が参照できる」といった認証バイパスや権限昇格の問題は、ロジックの意味を理解する専門家だからこそ見つけられます。誤検知が少ないため、報告書に記載される指摘の信頼性も高くなります。

手動診断は対象を絞って使うのが原則で、向いているのはECサイトの決済処理・個人情報を扱うログイン機能・外部サービスとのAPI連携など、侵害された場合のリスクが高い箇所にはおすすめです。

ツール診断の特徴と向いているケース

ツール診断は、既知の脆弱性データベースに基づいて自動化された疑似攻撃リクエストを送信し、システムの応答から脆弱性を検出します。SQLインジェクションやクロスサイトスクリプティング（XSS）など、パターンが明確な脆弱性であれば短時間で広範囲を網羅的にスキャンできます。

最大のメリットは速度とコストです。ツールによってはWebブラウザから設定・実行でき、専門家を毎回呼ばなくてもシステム担当者が定期的にチェックを回せます。開発途中の定期スキャンに組み込めば、リリース直前に大量の指摘が出て手戻りが発生するリスクを早い段階で減らせます。

ツール診断が向いているのは、広範囲の定期スキャン、リリース前の網羅的チェック、そして予算を抑えながら最初の診断に踏み切りたい場面です。

手動とツールの併用が最も効果的

「手動かツールか」という二択で悩むより、両者を組み合わせる「ハイブリッド診断」のほうが精度とコストのバランスを取りやすくなります。ツール診断で基本的な脆弱性を広範囲に洗い出し、リスクの高い箇所だけを手動診断で深堀りするというのが、限られた予算での標準的な設計です。

例えば、静的コンテンツやパターンが明確なフォーム入力部分はツール診断で対応し、ログイン機能・決済処理・外部APIとの連携箇所には手動診断を充てるなどの振り分けが有効です。

ツール診断で誤検知の調査に工数を取られているなら、その工数を重要箇所の手動診断に振り向けるほうが、最終的に発見できる脆弱性の質が上がります。

脆弱性診断の主な種類と対象の選び方

手法の使い分けを理解したら、次は何を診断するか、つまり診断対象の種類を絞り込みます。脆弱性診断は、診断対象のシステム種別によって大きく3つに分かれます。Webアプリケーション診断・プラットフォーム診断・クラウド診断がその中心です。

自社システムの構成から優先すべき診断を絞り込むことで、費用と効果のバランスを取りやすくなります。

3種類の概要を次の表で整理します。

診断の種類	主な対象	代表的な検出項目
Webアプリケーション診断	ECサイト・会員サイト・業務Webアプリ	SQLインジェクション、XSS、CSRF、認証不備
プラットフォーム（ネットワーク）診断	サーバー・OS・ルーター・ファイアウォール・ミドルウェア	パッチ適用漏れ、設定不備、不要ポートの開放
クラウド診断	AWS・Azure・GCPの設定全般	IAM設定不備、ストレージ公開ミス、セキュリティグループの過剰許可

Webアプリケーション診断

Webアプリケーション診断は、ブラウザからアクセスするアプリケーションの脆弱性を検査する診断です。ECサイト・会員サイト・予約システム・社内業務ポータルなど、HTTP/HTTPSで動作するシステム全般が対象になります。

検出する脆弱性の代表例は、SQLインジェクション（データベースへの不正操作）、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）、認証・セッション管理の不備などです。いずれも攻撃者が実際に悪用する頻度の高いものばかりで、OWASP Top 10としてまとめられている脅威と大きく重なります。

個人情報や決済情報を扱うサービスは、漏洩が発生した場合の影響範囲が広いため、3種類のなかで優先度が最も高くなります。ECサイトであればカード情報を、会員サービスであればメールアドレスや住所を保持しているはずです。こうしたサービスを運営している場合は、他の診断よりも先にWebアプリケーション診断を実施してください。

プラットフォーム（ネットワーク）診断

プラットフォーム診断は、Webアプリケーションの「土台」にあたるインフラ層を検査します。サーバー・OS・ルーター・ファイアウォール・ミドルウェアが主な対象で、OSやソフトウェアのパッチ適用漏れ、設定不備、不要なポートの開放などを検出します。

診断の実施方式は2種類あります。インターネット経由で外部から行うリモート診断と、内部ネットワークに直接接続して行うオンサイト診断です。リモート診断は外部からの侵入経路を確認するのに適しており、オンサイト診断は内部の設定不備や内部犯行リスクまで含めて把握したい場合に選びます。

実施タイミングの目安として、新規サービスのリリース前と、前回の診断から1年以上経過した場合が推奨されます。OSやミドルウェアの脆弱性は新たに発見されつづけるため、一度診断したからといって安全が保証されるわけではなく、定期的な実施が求められます。

クラウド診断

AWS・Azure・GCPといったパブリッククラウドを利用している場合、従来のプラットフォーム診断では見落とす領域が生じます。クラウド診断は、オンプレミスの機器には存在しないクラウド固有の設定を検査するもので、主に次の3点を検出します。

• IAM（権限設定）の不備: 過剰な権限付与や設定漏れ
• ストレージの公開ミス: S3バケットやBlobストレージの誤った公開設定
• セキュリティグループの過剰許可: ネットワークACLを含む通信制御の緩い設定

これらはクラウドに不慣れな担当者が見落としやすく、移行後もプラットフォーム診断だけを続けていると長期間放置されがちです。クラウド環境を本番稼働させているなら、Webアプリケーション診断と並行してクラウド診断も計画してください。

その他の診断

自社のシステム構成によっては、以下の診断も追加検討します。いずれも該当する企業のみ追加検討すれば十分です。

• ソースコード診断: ソースコードを静的解析しロジック上の欠陥を早期に発見（自社開発アプリがある企業向け）
• スマートフォンアプリ診断: iOS・Androidアプリのバイナリ・通信を検査（金融・決済・医療アプリを自社配信する企業向け）
• IoT診断: 組み込み機器のファームウェア・通信プロトコルを検査（ネットワーク接続機器を製品に組み込む製造業向け）

診断の種類を増やすほどコストは上がります。まず自社のシステム構成をリストアップし、外部公開しているWebサービスがあればWebアプリケーション診断、クラウドを本番利用していればクラウド診断、という順に優先度を定めて着手するのが確実です。

脆弱性診断はどう進める？ 準備から対策実施までの流れ

診断対象を絞り込めたら、実際の診断をどう進めるかを設計します。

脆弱性診断は、実施して報告書を受け取ったところで終わりではありません。「診断範囲と目的の設定」「診断の実施」「報告書の確認・修正・再診断」という3つのステップを一連のプロセスとして設計し、発見した脆弱性を修正・検証するところまで完了させて、初めて成果になります。

各ステップで何を決め、何に注意するかを順に見ていきます。

ステップ1：診断範囲と目的の設定

最初に決めるのは「なぜ今、診断を実施するのか」という目的です。

新規サービスのリリース前に安全性を確認したいのか、年次の定期点検なのか、取引先から第三者診断の証明を求められているのか、目的によって必要な診断の深さや対象範囲が変わります。目的が曖昧なまま進めると、費用と工数をかけた割に必要な箇所が診断されていない、という事態になりかねません。

目的が決まったら、診断対象のURLやネットワーク範囲、テストの深度を具体的に定義します。全ページを診断すると費用が大きくなるため、個人情報を扱う入力フォームや決済機能、管理画面など、攻撃された場合の影響が大きい箇所を優先してスコープに入れます。

コストを抑えながら重要なリスクを押さえるには、この優先順位付けが欠かせません。

ステップ2：診断の実施

診断方法によって所要期間は大きく異なります。手動診断は専門家がシステムに実際にアクセスして検査するため、対象範囲や複雑さにもよりますが数日から数週間かかります。ツール診断は自動スキャンで完了するため、数時間から数日程度です。

スケジュールを引く際は、手動診断の場合に余裕を持った期間を確保しておきます。

本番環境で診断を実施する際に注意したいのは、システムへの負荷です。特にツール診断は短時間に大量のリクエストを送信するため、業務に影響が出る場合があります。アクセスが少ない時間帯に実行するか、ツールの送信頻度（スリープ間隔）を調整して負荷を分散させる設定を確認しておきます。

外注の場合は、診断開始前に業者とこの点を合意しておくと安心です。

ステップ3：報告書の確認・修正・再診断

診断が完了すると、発見された脆弱性をまとめた報告書が手元に届きます。報告書には通常、脆弱性の種類、攻撃者が実際にどう悪用できるかを示す再現手順、リスクの深刻度を示すCVSSスコア、推奨される修正方法が記載されています。

修正に着手する順番は、CVSSスコアを参考にしながらも、自社のビジネス影響を加味して判断します。たとえばCVSSスコアが「中」であっても、個人情報データベースへの到達経路になる脆弱性や、サービス停止に直結する箇所は、スコアが「高」の別の脆弱性より先に対処すべきケースがあります。

修正が完了したら、そこで終わりにせず再診断を実施します。修正の実装が不完全だったり、修正によって別の脆弱性が生まれたりすることがあるため、再診断で脆弱性の解消を検証することが一連のプロセスの締めになります。

脆弱性診断の費用相場と業者選定のポイント

診断の進め方を押さえたところで、最後に気になるのが費用と業者選定です。

脆弱性診断の費用は、診断手法・対象規模・診断範囲の組み合わせによって大きく変わります。見積もりを複数社に依頼すると金額にばらつきが出るのも、この変動要因が多いからです。

まず全体のコスト感をつかみ、外注か内製かの方針を固めてから業者比較に入ると、選定の判断軸が明確になります。

費用の目安（手動診断・ツール診断別）

診断手法と規模によって費用レンジは大きく異なります。下表に、市場全体で一般的とされる代表的な相場をまとめます。

診断手法	費用レンジ	規模別の目安
ツール診断・簡易診断	10〜50万円	小規模サイト（20〜30ページ程度）に対応しやすい
手動診断・ハイブリッド診断	50〜300万円	中規模（100ページ以上）では100〜250万円が目安

小規模サイト（20〜30ページ程度）であれば、ツール診断中心なら上表のとおり10〜50万円、手動診断を組み合わせた診断全体では30〜80万円前後が一般的な目安です。

なお、このツール診断の費用は外注した場合の目安で、OWASP ZAPなどの無料ツールを自前で運用する内製ではさらに抑えられます。100ページ以上の中規模システムになると、手動診断の場合は100〜250万円程度に上がります。

費用を左右する主な要因は次の4つです。

• 対象ページ数・機能数: 診断範囲が広いほど工数が増えます
• 認証が必要な箇所の多寡: ログイン後の機能を対象にすると工数が増え、費用も相応に上がります
• テストの深度: OWASP Top 10準拠の網羅的検証か、特定脆弱性の確認かで変わります
• 再診断を含めるか: 修正後の再診断を含めるかどうかで総額が変わります

見積もりを取る前にこれらの条件を整理しておくと、不要なスコープを絞り込んでコストを抑えられます。

外注と内製の判断基準

外注か内製かを決める最大の分岐点は、社内にセキュリティ専門人材がいるかどうかです。専門人材がいない場合は外注を基本にしてください。ツール診断の結果解釈や誤検知の判別には相応の知識が必要で、判断を誤ると対応が必要な脆弱性を見落とすリスクがあります。

専門人材がいない場合でも、OWASP ZAPのような無料ツールで定期的に簡易スキャンを内製し、リスクの高い箇所だけ専門業者に外注するハイブリッド型はコスト効率に優れます。

日常的な変更の確認は内製でカバーし、年1回程度の本格診断を外注するという組み合わせが現実的です。

業者選定で確認すべき3つのポイント

費用の相場を把握したら、次は業者の質を見極める段階です。診断の価格だけで業者を選ぶと、報告書が使い物にならない・修正しても再診断を受けられないといった問題が後から出てきます。

以下の3点を事前に確認することで、こうした失敗を防げます。

1. 見積もり内訳の透明性
2. 再診断の提供有無
3. 報告書の質とアフターサポート

1. 見積もり内訳の透明性

見積もりに「脆弱性診断一式 ○○万円」としか記載されていない場合は注意が必要です。診断対象（URLの範囲・機能数）、診断手法（手動か自動かの割合）、工数（人日数）が明示されている見積もりかどうかを確認してください。内訳が明確であれば、他社との比較もしやすくなりますし、スコープを絞ってコストを調整する交渉もできます。

不透明な一式見積もりは、後から追加費用が発生したり、想定より浅い診断になったりするリスクがあります。

2. 再診断の提供有無

脆弱性を発見して修正しても、修正が正しく機能しているかを確認する再診断がなければ、対策が完了したとは言えません。再診断が契約に含まれているか、含まれていない場合は追加費用と条件を事前に確認してください。「修正確認まで含む」と「報告書の提出まで」では、サービスの範囲がまったく異なります。

取引先や監査対応で「修正済み」と説明するためにも、再診断の結果は必須の根拠になります。

3. 報告書の質とアフターサポート

報告書に脆弱性の概要と深刻度だけが書かれていても、開発担当者が修正に動けなければ意味がありません。「具体的な修正方法」「修正優先度の根拠」が記載されているかを確認してください。

バルテスのセキュリティ診断サービスは、これら3つの条件をカバーしています。1案件1担当者制で報告書提出後1ヶ月間の質問対応サポートを提供しており、修正後の再診断まで一貫して対応します。また、サイバーリスク保険（最大1,000万円補償）の無料提供も付帯しており、診断後の万が一に備えた体制も整っています。

業者選定の比較検討先として、バルテスのセキュリティ診断サービスをご検討ください。

脆弱性診断のやり方まとめ：手法設計と修正プロセスが成否を分ける

脆弱性診断の成否は、「診断を実施した」という事実ではなく、手動とツールをどう使い分け、発見した脆弱性をどう修正・再検証するかというプロセスの設計にかかっています。重要機能には手動、広範囲の定期チェックにはツールを割り当て、報告書を受け取って終わりにせず、修正後の再診断まで完了させてください。

修正の優先順位はCVSSスコアだけで決めず、「その脆弱性が悪用されたとき自社にどれほどの被害が出るか」を基準に判断します。取引先や経営層に説明できる「管理できている」状態は、再診断の結果があって初めて成立します。

診断範囲の設計や手動とツールの組み合わせに迷う場合は、外部の専門業者に相談するのが確実です。

自社に最適な診断プランの設計に迷ったら、専門業者に相談するのが近道です。バルテスのセキュリティ診断サービスは、2,000件以上の診断実績をもとに、重要箇所への手動診断と広範囲のツールスキャンを組み合わせて診断プランを設計します。ホワイトハッカーとツールを併用する独自手法に加え、1案件1担当者制でのサポートと、修正後の再診断まで一貫して対応します。サイバーリスク保険（最大1,000万円補償）も無償で付帯します。診断対象の絞り込みから相談したい場合は、バルテスのセキュリティ診断サービスをご確認ください。