用語集・脆弱性と診断
脆弱性診断
Vulnerability Assessment
脆弱性診断（Vulnerability Assessment）は、システムや製品を体系的に調べ、悪用されうる弱点や対策の不足を見つけて報告する検査である。
別の呼び方 セキュリティ診断、脆弱性検査、Webアプリケーション診断、プラットフォーム診断
要点
- 意味 脆弱性診断（Vulnerability Assessment）は、システムや製品を体系的に調べ、悪用されうる弱点や対策の不足を見つけて報告する検査です。
- 中小企業にとって 自社のWebサイトや公開サーバーにどんな弱点があるかは、外から調べてみないと把握しにくい。
- このサイトでは 攻撃手法 2 種、事例 2 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
自社のWebサイトや公開サーバーにどんな弱点があるかは、外から調べてみないと把握しにくい。
診断は受けた時点の状態を見るものなので、システムを変えたときや定期的に受け直さないと、新しい弱点を見落とす。
まず外部に公開しているWebサイトとサーバーを対象にし、経済産業省の基準に適合したサービスの一覧から依頼先を選ぶのが現実的である。
よくある誤解
- 誤解一度診断を受ければ、その後も安全が保証される
- 実際脆弱性は次々と新たに見つかるため、診断はその時点の状態を確かめるものにとどまる。変更時や定期的に受け直す必要がある。
- 誤解脆弱性診断とペネトレーションテストは同じものである
- 実際IPAの適合サービスリストでは、ペネトレーションテストは脆弱性診断のオプションとして扱われている。ペネトレーションテストは実際の攻撃をまねて、守りの仕組みを突破できるかを確かめる点が異なる。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法SQLインジェクション
入力の扱いの誤りでデータベースへの命令を書き換えられる手口であり、Webアプリケーションの脆弱性診断で確かめる代表的な弱点である。
- 攻撃手法クロスサイトスクリプティング
Webアプリケーションの入力や出力の扱いの弱点を突く手口であり、脆弱性診断で確かめる対象に当たる。
- 事例MOVEit Transfer
記録は外部公開資産の棚卸しを対策に挙げており、診断の前に何を公開しているかを把握する必要を示す例である。
- 事例GMOリサーチ&AI「infoQ」
記録は使用ソフトウェアの脆弱性の把握と、会員からの指摘で発覚する前に検知できる体制の強化を対策に挙げている。
出典
- vulnerability assessment - Glossary | CSRC NIST
- SP 800-115 Technical Guide to Information Security Testing and Assessment NIST・2008-09
- 情報セキュリティサービス基準適合サービスリスト IPA・2026-10-09
- 脆弱性とは？（国民のためのサイバーセキュリティサイト） 総務省
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）