まず、公的な定義です。経済産業省の『情報セキュリティサービス基準』に、審査対象のサービスとして定義が置かれています。

この「次に掲げる」が3つあります。見積もりを取るときに、まずここを合わせる必要があります。

出典：同基準1（3）ア〜ウ。「脆弱性診断をお願いします」だけでは、この3つのどれを指すのか決まりません。見積もりが会社によって大きく違う理由の多くは、ここの範囲が揃っていないことにあります。

そして、この記事でいちばん誤解されている点がここです。ペネトレーションテストは、同じ基準で別のサービスとして定義されていますが、その書き出しはこうなっています。

「脆弱性診断のサービスの定義を満たすサービスのうち」と書かれています。制度上、ペネトレーションテストは脆弱性診断の外側にある別物ではなく、その中の一区分です。IPAの公表リストでも、ペネトレーションテストは脆弱性診断サービスのオプションサービスとして扱われ、リストのペネトレ欄に星印で示されます。

第1章 おわり — 次は第2章

経済産業省は、この基準を作った理由をはっきり書いています。多くのサービスが提供されている一方で、専門知識を持たない利用者が、選定時にそのサービスの品質を判断することは容易ではないから、というものです。そこで第三者が客観的に判断し、結果を台帳として公開する仕組みが作られました。

その台帳が、IPAが公開している適合サービスリストです。実際に数えると、こうなります。

出典：IPA『情報セキュリティサービス基準適合サービスリスト』（いずれも2026年6月11日掲載）のPDFを2026年8月22日に取得し、登録年月日と有効期限の対を数えた実数です。審査・判定は特定非営利活動法人日本セキュリティ監査協会（JASA）が運営しています。掲載はIPAによる保証を意味するものではないと、IPAが明記しています。

数字の意味は、比率のほうにあります。登録された脆弱性診断サービスのうち、侵入まで試すサービスは4分の1弱です。「診断」と名の付くものの多くは、侵入の可否ではなく弱点の洗い出しをするものだ、ということです。

では、リストに載っているサービスは何を満たしているのか。基準は技術要件と品質管理要件に分けて定めています。発注側にとっては、これがそのまま見分けの観点になります。

出典：同基準2－1（1）（2）。最下段が実務では効きます。診断は人の手が入る作業なので、担当者が1人で完結していると見落としが表に出ません。第三者レビューの有無は、価格に表れにくい品質差です。

第2章 おわり — 次は第3章

診断の中身は各社の企業秘密だと思われがちですが、基本的な部分は公開されています。IPAの『ウェブ健康診断仕様』です。もとは地方自治情報センター（LASDEC）が2008年から2010年まで地方公共団体向けに実施した事業の仕様で、2012年にIPAへ移管されました。

診断項目は13です。記号（A）から（M）が振られています。

出典：IPA『安全なウェブサイトの作り方』別冊『ウェブ健康診断仕様』（2012年12月）2.1。選定の理由も明記されており、危険性が高いもの、過去の診断事業で検出数が多かったもの、届出の多いもの、そして社会問題にまで発展した事案の原因となったもの（クローラへの耐性）が挙げられています。

危険度の「高」「中」「低」にも定義があります。感覚ではなく、被害者の関与が要るかどうかで切られています。

出典：同仕様2.2。「高」の判定基準は被害の大きさではなく、人の関与が要らないことです。そのため、報告書で「高」が付いた項目は、社内の運用ルールでは打ち消せません。

そして結果の判定です。健康診断のたとえが、そのまま所見の名前になっています。

出典：同仕様2.3。「要治療・精密検査」の説明にある「指摘箇所以外にも危険な脆弱性が発見される可能性が高い」という一文が重要です。1つ見つかったら、それは1つだけの話ではない、という前提で書かれています。

第3章 おわり — 次は第4章

いちばん多い混同から整理します。並べる軸は、弱点を漏れなく挙げたいのか、目的地に到達できるか試したいのかです。

金融庁が2025年6月に公表した資料も、個別システムの技術的な脆弱性を評価したい場合は脆弱性診断やペネトレーションテストの活用が適している、として3つを区別しています。上から順に、範囲が狭くなり深さが増します。予算が限られているなら、下から手を付けるより上から順に固めるほうが失敗しません。

誤解も並べておきます。

2つ目は誤検知（実際には問題ないのに検出されること）の話です。報告書を受け取ったあと、自社の作りに照らして本当に成立するのかを確認する工程が必ず要ります。この確認を診断業者に含めてもらうかどうかは、発注時に決める項目です。

第4章 おわり — 次は第5章

診断を外部に頼む前に、自分で確かめられることがあります。材料はすべて無料で公開されています。

3番目のリストには対象地域や主たる顧客業種も書かれているため、近くの事業者に絞って探せます。ただしIPAは、掲載がIPAによる保証を意味するものではないと明記しています。あくまで候補を絞る材料です。

第5章 おわり — 次は第6章

脆弱性診断の見積もりが会社ごとに何倍も違うのは、多くの場合、前提が揃っていないからです。次の6つを先に決めて全社に同じ条件で出すと、比較できるようになります。

5番目と6番目は基準にも対応があります。経済産業省の基準は技術要件として診断結果の取扱いを明らかにしていることを求めています。報告書は脆弱性の在りかが書かれた文書なので、保管期間と破棄の扱いを契約時に確認してください。

もうひとつ、実施の前に必ず通す手続きがあります。IPAが診断仕様の注意事項として挙げているもので、実務での事故はここに集中します。

出典：IPA『ウェブ健康診断仕様』1.3 注意事項。2番目は自社だけの問題では済まない項目です。共用の環境で許可を取らずに診断を始めると、無関係の他社のサイトを止めてしまうことがあります。

第6章 おわり — 次は第7章

報告書が届いて、危険度「高」が並んでいる。ここからの動き方です。順番を間違えると、直しやすいものから片付いて、危ないものが残ります。

3番目の工程を飛ばさないでください。IPAは注意事項で「脆弱性が検出された場合でも、実際には脆弱性ではない可能性があります」としています。逆に、成立が確認できたものは優先度が一段上がります。

あわせて頭に入れておきたいのが、判定の定義に書かれていた一文です。「要治療・精密検査」の説明には、指摘箇所以外にも危険な脆弱性が発見される可能性が高いとあります。1件見つかった時点で、それは同じ作り方をした他の画面にも同じ問題がある可能性を示しています。

第7章 おわり — 次は第8章

この用語とセットで覚えると理解が早くなる語です。

第8章 おわり — 最後にFAQ