ラックのセキュリティ診断は何が違う？診断範囲・費用感・選び方

ラックのセキュリティ診断（プラットフォーム診断／ネットワーク診断）を検討する場面では、サーバ・ネットワーク・クラウドのどこまでを第三者に見てもらうべきか、社内の調整負荷も含めて判断に迷いやすいところです。判断を先送りすると、公開面の設定不備や見落としていた資産が残ったままになり、後から是正の優先順位付けや取引先説明に手戻りが出ることがあります。ラックが日本初の情報セキュリティーサービス開始から25有余年の経験を持つ点も踏まえつつ、どのメニューを選び、どんな成果物を前提に社内合意を作るかを決められる状態にすることが重要です。以下では、選定の判断材料として診断の種類・対象範囲・進め方・報告書の見方を示します。

ラックのセキュリティ診断全体像

セキュリティ診断の種類を整理する

セキュリティ診断は、IT資産（サーバ、ネットワーク機器、クラウド、アプリ等）にある脆弱性（攻撃に悪用され得る欠陥）や設定不備を見つけ、優先順位を付けて是正につなげるための第三者チェックです。診断は「どのレイヤーを対象にするか」で大きく種類が分かれます。

また、参照情報でも指摘されているとおり、クラウド環境では「IPアドレスでのアクセス制限なし」「簡易なパスワード」など、利便性優先のまま運用が始まりやすい点が典型的なリスクです。守るべき情報資産が稼働する場所（オンプレミス／クラウド）と、攻撃者が入り得る経路（インターネット公開面／社内ネットワーク）を俯瞰し、必要な診断を組み合わせて検討することが実務上の基本です。

プラットフォーム診断の位置づけ

プラットフォーム診断は、サーバOS、ミドルウェア、ネットワーク機器、クラウド上の仮想基盤といった「土台」の安全性を点検し、侵入経路になり得る弱点を早期に洗い出す位置づけです。アプリケーションが適切でも、基盤側に穴があれば攻撃の起点になります。

参照情報でも、外部公開サーバや通信機器に対する脆弱性診断、およびネットワーク環境診断が第三者チェックとして重要であること、さらにクラウド移行時は利用サービスの設定不備を確認する必要があることが述べられています。つまり、プラットフォーム診断は「攻撃を受ける前提」で公開面と基盤設定を客観的に確認し、是正計画に落とすための実務ツールです。

加えて、ラックは日本初の情報セキュリティーサービス開始から25有余年の経験を持ち、国内最大級のセキュリティ監視センターJSOCやサイバー救急センター、脆弱性診断・ペネトレーションテスト等を手掛けてきた旨が示されています。こうした運用・事故対応の知見が、診断観点（現実の攻撃者が狙う弱点）に反映される点は、経営判断として「第三者に依頼する理由」を説明しやすい要素になります。

プラットフォーム診断の対象と手法

サーバ・ネットワーク・クラウドの対象範囲

プラットフォーム診断の対象は、ITサービスを支えるサーバ・ネットワーク・クラウドの基盤領域です。OSやミドルウェアのバージョン／パッチ状況、不要サービスの露出、アクセス制御の妥当性などを中心に確認します。

参照情報のとおり、クラウド環境構築では「IPアドレスでのアクセス制限なし」「簡易なパスワード」といった甘い設定が残るケースが見られます。プラットフォーム診断では、こうした“設定の穴”がインターネット公開面に直結していないかを点検し、侵入の入口を減らす観点で範囲を決めるのが実務的です。

また、そもそも自組織の外部公開資産の把握が難しい場合、参照情報で触れられているアタックサーフェスマネジメント（攻撃者視点で侵入経路になり得るIT資産を把握するサービス）を併用し、診断対象（IP、ドメイン、公開サービス）の棚卸し精度を上げてから診断に入る進め方も検討余地があります。

ツール診断と手動診断の違い

ツール診断は、既知の脆弱性情報や設定観点に基づき、対象範囲を網羅的・効率的にスキャンするのが強みです。一方で、検出結果の解釈（誤検知の排除、影響範囲の見極め）や、複数条件が重なったときに成立するリスクの評価は、人の判断が不可欠になりやすい領域です。

手動診断は、経験ある技術者が疑似攻撃や設定レビューの観点で深掘りし、ツールだけでは拾いにくい“運用・設計の癖”に起因する問題を特定しやすい点が特徴です。参照情報でも、脆弱性の診断・評価担当として脆弱性診断士が示され、ネットワーク・OS・ミドルウェア・アプリケーションを検査して診断結果を評価する役割が整理されています。

さらに、参照情報の「脆弱性診断士」に必要なスキルとして、パケットレベルの解析能力、一般的な攻撃手法の知識、ペネトレーションテストやツールの知識、および脅威情報に関する知識が挙げられています。これは、診断が「スキャンして終わり」ではなく、検出内容の妥当性と危険度を評価し、現実の攻撃を踏まえて説明できる体制が重要であることを意味します。

インターネット公開資産と社内NWで、診断対象をどこまで切り分けるか

診断対象の切り分けは、攻撃経路の違いを前提に整理すると意思決定がしやすくなります。インターネット公開資産は、攻撃者が直接触れられるため、原則として優先順位が高い領域です。社内ネットワークは外部から見えにくい一方で、侵入後の横展開（内部拡散）を抑えるための点検が重要になります。

参照情報には、ネットワーク上の機器の存在確認にnmapのようなネットワークスキャナを使う選択肢がある一方、スキャンは時間がかかり、社内ネットワークで実施すると各種セキュリティ機器の警告を引き起こす可能性があるため、関係部門と調整したうえで実施すべき旨が示されています。これは、社内NW診断では「どこまで触るか」「業務影響をどう管理するか」を先に合意しておく必要がある、という実務上の論点に直結します。

ラックの診断メニューの選び方

メニュー別の向く企業規模

診断メニューは「対象の広さ」と「深掘りの度合い」によって選ぶのが合理的です。小規模でまず現状把握を急ぐのか、重要情報を扱い深い検証が必要なのかで、必要な工数と求める成果物が変わります。

ただし、参照情報にあるとおり「ITシステムを外部業者に委託しているから安心」とは限らず、委託先がサイバーセキュリティの専門家とは限りません。経営としては、委託の有無に関係なく、第三者により安全性を確認し、是正までやり切れる体制（夜間・休日対応なども含む）を基準に選ぶ視点が重要です。

脆弱性診断とペネトレーションテストの違い

脆弱性診断は、サーバやネットワーク機器、クラウド設定などにある既知の弱点・設定不備を洗い出し、危険度と優先順位を付けて是正につなげる検査です。対象を広めに取り、改善タスクの全体像を作るのに向きます。

一方、ペネトレーションテスト（侵入テスト）は、攻撃者の視点で実際に侵入できるかを試し、侵入経路や到達可能な範囲を確認する検証です。参照情報でも、ペネトレーションテストは疑似的な攻撃により現状対策の有効性をチェックできる一方、業務影響を考慮した調整や事前準備が必要で、依頼からテスト完了まで数カ月かかる点が示されています。

スタンダードで足りる会社とアドバンストに進む会社の分かれ目

分かれ目は、単に企業規模ではなく「攻撃が成立したときの損害の大きさ」と「攻撃経路が複合化しているか」です。設定ミスや未適用パッチの洗い出しと優先順位付けが主目的で、是正を確実に回す体制が整っているなら、網羅的な脆弱性診断（スタンダード相当）で要件を満たす場面が多いです。

一方で、攻撃者が侵入経路を探索し、重要資産（参照情報にあるADサーバ、業務システムサーバ、ファイルサーバ等）へ到達する“つながり”を検証したい場合は、より実戦的な検証が必要になります。参照情報のとおり、攻撃者はネットワーク上で応答する端末のIPを手掛かりにOS種別（Windowsサーバ、Windows PC、Linuxサーバ等）を特定し、狙うターゲットを徐々に明確にしていく流れが示されています。こうした横展開の現実を踏まえると、単点の指摘だけでは不十分な場合があり、複合的な攻撃ルート検証（アドバンスト相当）を検討する判断材料になります。

プラットフォーム診断の進め方

リモート診断とオンサイト診断の選び方

選び方は「どこから攻撃される想定か」と「どこまで見たいか」で整理します。インターネット公開資産は外部からのアクセスが前提なので、まずリモート診断で入口を点検するのが合理的です。

オンサイト診断は、社内LANなど閉域側から検査し、内部侵入後の拡散リスクを評価するのに向きます。参照情報でも、社内ネットワークでのスキャンは警告を引き起こす可能性があり、関係部門との調整が必要である点が述べられており、オンサイト実施時は業務影響管理（時間帯、監視、復旧体制）を前提に計画する必要があります。

事前準備から報告会までの流れ

診断は「対象確定→実施→報告→是正」という管理プロセスで回すと失敗しにくくなります。特にプラットフォーム診断は対象が広く、診断の通信が運用監視に影響することもあるため、事前の合意形成が重要です。

参照情報には、外部業者選定の基準として「事件発生時の対応体制」「夜間や休日対応状況」等を確認するのがよい旨があります。診断そのものだけでなく、報告後の是正フェーズで相談できる体制があるかも、実務上は同じくらい重要です。

診断期間と社内調整の目安

プラットフォーム診断は、診断実施日だけ確保して終わりではなく、対象確定・調整・実施・報告・是正計画までを含めたスケジュール設計が必要です。参照情報でも、ペネトレーションテストは依頼から完了まで数カ月かかり即時実施できない点が示されており、深い検証ほど調整コストが上がることが分かります。

また、社内で自前調査（例：nmap等によるスキャン）を行う場合でも、時間がかかることや警告が出得ること、分断ネットワーク等により網羅性を犠牲にせざるを得ない場合があることが述べられています。第三者診断を入れる場合も同様に、範囲を広げるほど調整論点が増えるため、まずは「公開面を優先」「重要資産を優先」といった段階設計が現実的です。

情シス・インフラ運用・開発・委託先のうち、誰がいつ何を提出するか

診断の成否は、関係者が「何を、いつまでに」揃えるかで大きく変わります。特にプラットフォーム診断は対象（IP、機器、クラウド設定）が曖昧だと、診断漏れや手戻りが起こりやすいため、提出物を具体化しておくことが重要です。

参照情報にあるとおり、社内ネットワークでの調査は関係部門調整なしに進めるべきではありません。診断当日のアラート対応や連絡フロー（誰が何分以内に応答するか等）も、提出物と同じレベルで事前に合意しておくと運用トラブルを減らせます。

診断結果・費用・活用の見方

診断結果報告書で確認すべき項目

報告書は「技術者向けの是正指示書」であると同時に、「経営・監査向けの説明資料」でもあります。実務では、直すべき項目を早く確実に潰すために、内容を観点別に読み分けることが重要です。

参照情報で示されている「脆弱性診断士」は、診断結果の評価担当でもあります。単に検出一覧を渡すのではなく、経営・運用が判断できる形に評価してもらえるか（誤検知の扱い、重要資産への影響の説明など）が、報告書の実用性を左右します。

費用レンジを左右する見積り要素

費用は「対象範囲」と「深度（どこまで検証するか）」で変動します。特にプラットフォーム診断では、IP・機器・クラウド範囲が増えるほど工数が増え、手動精査や説明工数も増えやすくなります。

なお、参照情報にはインシデント対応のフォレンジック費用感として、ディープフォレンジックは端末1台あたり150万〜200万円程度で、複数台では1,000万円を容易に超える場合がある旨が示されています。診断費用の比較にあたっては、「事故後の調査・復旧コストは高額化し得る」という前提も踏まえ、事前の点検と是正に投資する妥当性を社内説明しやすくなります。

見積り前に固めるべき前提条件――IP数・環境数・停止可否が曖昧だと費用がぶれる

見積りを安定させるには、対象と条件を先に固める必要があります。参照情報でも、IT資産の特定が難しい場合にアタックサーフェスマネジメントの活用が触れられており、まず棚卸し精度を上げることが、結果として費用のブレや診断漏れを減らす方向に働きます。

これらが曖昧なままだと、ベンダー側は最大リスクを織り込んだ前提で見積りを組まざるを得ず、費用や納期がぶれやすくなります。意思決定の材料としては、要件を「文書で固定」してから見積り比較に入るのが実務的です。

ラックのセキュリティ診断を比較する視点

専門家体制と最新サイバー攻撃への対応力

比較軸として分かりやすいのは、診断の“点検力”だけでなく、最新の攻撃状況を踏まえた観点更新と、事故対応の知見がどこまで診断に還元されているかです。

参照情報では、ラックが日本初の情報セキュリティーサービス開始から25有余年にわたり、国内最大級の監視センターJSOC、サイバー救急センター、脆弱性診断やペネトレーションテスト、IoTセキュリティー等を手掛け、最新のサイバー攻撃対策や事故対応の最前線に立ってきた旨が示されています。監視・緊急対応で得たインシデントの知見が診断観点に反映される体制は、定型チェックに留まらない評価につながりやすい点が、選定理由として整理しやすいポイントです。

他社サービスや内製と比べる判断軸

内製スキャンや安価な外部サービスと比較する際は、初期費用だけでなく「誤検知の扱い」「評価の説明可能性」「是正まで回し切れるか」を軸に置くと判断しやすくなります。

参照情報でも、CSIRTが自前でnmap等を使って機器確認する可能性がある一方、時間やアラートの問題、分断ネットワークの存在によって網羅性を犠牲にする妥協が必要になる点が述べられています。これは、内製の限界が“ツールの有無”ではなく、調整と運用工数・結果の網羅性・本来業務（インシデント対応等）への影響に現れることを示しています。

また、参照情報では「委託先にセキュリティ対策を丸投げ」する危うさが指摘され、外部業者の選定基準として事件発生時の対応体制や夜間・休日対応状況等を確認することが推奨されています。診断サービスの比較でも同様に、報告書を受け取った後に是正・再確認まで進めるための支援体制を、費用対効果の一部として評価することが重要です。

よくある質問

ラックのプラットフォーム診断と一般的な脆弱性診断の違いは何ですか？

違いを実務的に整理すると、(1)診断結果の評価・説明の質、(2)最新の脅威情報を踏まえた観点の更新、(3)是正につながる支援体制、の3点に分解できます。

参照情報では、ラックが国内最大級の監視センターJSOCやサイバー救急センターを持ち、最新のサイバー攻撃対策や事故対応の最前線に立っている旨が示されています。こうした背景があると、診断が単なる自動スキャン結果の提示に留まらず、実際の攻撃で狙われやすいポイントを踏まえて評価・助言が行われやすい、という比較軸になります。

また、参照情報の「脆弱性診断士」の定義どおり、ネットワーク・OS・ミドルウェア・アプリケーションまで見て診断結果を評価する役割があるため、誤検知の排除や優先順位付けの説明が期待しやすい点も、一般的な“ツール中心”の診断との差として整理できます。

プラットフォーム診断とペネトレーションテストはどちらを優先すべきでしょうか？

優先順位は、まずプラットフォーム診断で「既知の弱点と設定不備」を洗い出し、是正の土台を作る考え方が実務的です。そのうえで、特に重要なシステムに対して、侵入可否まで踏み込むペネトレーションテストを段階的に適用します。

参照情報でも、ペネトレーションテストは攻撃者視点で侵入できるか試す効率的な方法である一方、業務影響の考慮、範囲設定や事前準備の調整が必要で、依頼から完了まで数カ月かかる点が示されています。したがって、まずは広く弱点を減らしてから、数カ月スパンの検証を「どこに投下するか」を絞る進め方が、投資対効果の観点で合理的です。

診断対象にクラウドだけを含めることはできますか？

クラウド環境のみを対象に、診断範囲を定義して実施することは可能です。実務上は「何をクラウド診断に含めるか」を明確にし、公開設定やアクセス制御、認証の統制など、クラウド特有の設定不備を重点的に確認する設計にします。

参照情報でも、クラウド環境構築では「IPアドレスでのアクセス制限なし」「簡易なパスワード」といった甘い設定が残るケースがあるとされており、クラウドのみ診断する場合でも、公開範囲と認証・アクセス制御の点検を中心に据えることが重要です。

自社のスキャンツールとどう使い分ければよいですか？

使い分けは、「頻度」と「結果の解釈・説明責任」の違いで整理すると明確です。自社ツールは日常の変更管理（設定変更やリリース時のセルフチェック）に向きます。

一方で、参照情報にあるとおり、nmapのようなスキャナ調査は時間がかかったり警告を引き起こしたりする可能性があり、関係部門調整が必要です。また分断ネットワーク等があると網羅性の妥協が必要になる場合があります。こうした制約の中で、誤検知の排除や危険度評価、経営・監査・取引先への説明に耐える形へ落とすには、第三者の専門家評価を定期的に入れる運用が現実的です。

ラックのプラットフォーム診断への対応で次にすべきこと

ラックのプラットフォーム診断は、公開面と基盤設定の弱点を第三者視点で洗い出し、報告書で優先順位を付けて是正につなげる、という実務の流れを前提に整理すると判断しやすくなります。選定では、まずインターネット公開資産と社内NWを切り分け、リモート／オンサイトのどちらが必要か、対象IPや停止可否などの前提条件を先に固めることが見積りのブレと手戻りを減らします。深い検証としてペネトレーションテストも選択肢になりますが、本文のとおり依頼から完了まで数カ月かかり得るため、段階的に適用範囲を絞る判断軸が有効です。次アクションとしては、情シス・インフラ運用・委託先の役割分担を決めたうえで、診断範囲（公開IP、クラウド範囲、重要資産）と実施条件（時間帯、連絡体制）を文書化し、見積り相談に進めるのが現実的です。個別の環境要件やリスク許容度によって最適解は変わるため、最終判断は社内責任者と必要に応じて専門家に確認しながら進めてください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ