脆弱性診断とは？種類・費用相場・選び方

定義

脆弱性診断とは、Webサイトやサーバーに攻撃の糸口となる弱点（脆弱性）がないかを、攻撃者より先に体系的に検査する取り組みです。ツールによる自動診断と、専門家による手動診断（ペネトレーションテスト）に大別され、目的・費用・深さが異なります。

仕組み

自動診断は、既知の脆弱性パターンや設定不備を検査エンジンが網羅的に照合する方式で、定期実施に向きます。手動診断は、専門家がサイト固有のロジック（権限の抜け道・業務フローの穴など）まで踏み込む方式で、深い代わりに費用と期間がかかります。

また、対象サイトへ実際にアクセスするかどうかで「パッシブ（外形確認のみ・負荷なし）」と「能動（実アクセスあり）」に分かれます。能動診断は所有者の同意・確認が前提です。

実被害の傾向

診断をしないことのリスクは、「弱点の存在に気づく機会がないまま、攻撃者の無差別スキャンには常に晒され続ける」非対称性にあります。単発診断だけの場合も、診断後の改修やプラグイン追加で状態が変わるため、「診断した年だけ安全に見える」ギャップが生まれがちです。

対策

• まず外形から：無料のパッシブ診断で「外から見える」状態を把握する（費用ゼロの第一歩）。
• 定期化する：単発で終えず、月次など定期の自動診断で変化を追う。
• 目的で使い分ける：決済など高リスク領域の深掘りは手動ペネトレーションテスト、日常の網羅確認は自動診断。
• 「見つけた後」を決めておく：診断は入口。誰がどう治すかまで決まって初めて対策になる。

いま自分のサイトがどうなっているかは、Webサイトの脆弱性の確認方法の手順で確認できます。

サイトドックでの扱い

サイトドックは、月次の定期診断（能動診断・所有者確認のうえ実施）→自動修復（仮想パッチ）→証跡レポートという一続きの設計です。定期診断はnmap・nuclei・OWASP ZAP・Nikto等を組み合わせた自動化された能動診断で、手動ペネトレーションテストの代替ではありません（この違いは正直にお伝えします）。

一般的なスポット診断との最大の違いは「見つけた後」です。指摘して終わりではなく、治せる項目はその場で自動修復し、毎月の再診断と証跡レポートで状態を維持します。

対策の実施と運用まで任せる場合の仕組み・料金はサイトドックのご案内をご覧ください。

よくある質問

このページの要点

• 脆弱性診断は、攻撃者より先に弱点を体系的に見つける取り組み。自動/手動、パッシブ/能動で性質が異なる
• 実際の被害の多くは既知の弱点の放置が原因。診断は「気づく機会」を作る対策
• 単発で終えず定期化が基本。「見つけた後に誰がどう治すか」までが対策
• サイトドックは、月次の定期診断→自動修復（仮想パッチ）→証跡レポートという一続きの設計