脆弱性診断
Vulnerability assessment
詳細
概要
脆弱性診断は、ウェブサイトやアプリケーション、サーバーなどに、攻撃の原因となる欠陥（脆弱性）が含まれていないかを検査し、見つかった問題と対策を報告する作業です。開発の段階で作り込まれた不備や、運用中の設定ミスを、攻撃を受ける前に見つけることが目的です。
仕組み・要点
IPA（情報処理推進機構）の「安全なウェブサイトの作り方」は、届出を受けた脆弱性関連情報をもとに、件数が多いものや影響の大きいものを取り上げた開発者・運営者向け資料です。改訂第7版（2021年3月31日更新）では、第1章で次の11種類の脆弱性を扱います。
- SQLインジェクション、OSコマンド・インジェクション
- パス名パラメータの未チェック／ディレクトリ・トラバーサル
- セッション管理の不備、クロスサイト・スクリプティング、CSRF
- HTTPヘッダ・インジェクション、メールヘッダ・インジェクション
- クリックジャッキング、バッファオーバーフロー
- アクセス制御や認可制御の欠落
各脆弱性には、原因そのものをなくす「根本的な解決策」と、影響の低減を期待できる「保険的な対策」が示されています。診断では、こうした脆弱性の有無を確認するのが基本です。
別冊の「ウェブ健康診断仕様」は、危険度の高い脆弱性を含む13の診断項目について、検出パターンと判定基準を示しています。ただしIPAは、この診断は検査パターンを絞り込んだものであり、脆弱性が検出されなかった場合でも安全宣言には繋がらないと明記しており、より詳細な診断の受診や対策の実装を勧めています。
市場・制度での位置づけ
脆弱性診断は、ウェブサービスやクラウドサービスを提供する事業者が、リリース前や定期的に受ける検査として広まっています。診断の対象はウェブアプリケーションのほか、ネットワーク、クラウド設定など多岐にわたり、ツールによる自動検査と、専門家による手動の検査が使い分けられます。診断で見つかった問題は、修正して再検査する流れで管理されます。
スタートアップの取り組み
スリーシェイクは、ASM、脆弱性診断、CSPM、SBOMなどの機能を統合した「統合セキュリティプラットフォーム」Securifyを提供しています。「ITreview Grid Award 2026 Summer」の脆弱性診断ツール/サービス総合部門で最高位の「Leader」を10期連続で受賞したと発表しています（発表、2026年7月）。
GMO Flatt Securityは、脆弱性診断やペネトレーションテスト、生成AIセキュリティ支援、ソフトウェアサプライチェーンセキュリティなどを提供するセキュリティ企業です。