インフラセキュリティ診断の要点は？種類・進め方・選び方

インフラセキュリティ診断（インフラ向け脆弱性診断）は、ネットワークやサーバ、クラウドの設定・運用がサイバー攻撃に対して十分かを、経営判断や稟議に耐える形で確認したい場面で検討が必要になります。対応を先送りすると、既知脆弱性の未適用や外部接続点（VPN等）の統制不備が侵入の足がかりになり、情報漏えい・改ざん・ランサムウェア被害に直結しやすく、説明責任やレピュテーション面の不利益も増えます。たとえばPCI DSSでは少なくとも3ヶ月に1回以上の外部ネットワークスキャンが要件とされるなど、頻度設計や第三者性の要否が論点になりがちです。以下では、実施要否・範囲・進め方・委託選定の判断材料として診断の要点を示します。

インフラセキュリティ診断とは

脆弱性診断としての位置付け

インフラセキュリティ診断（インフラ向け脆弱性診断）は、ネットワーク、OS、ミドルウェアなどシステム基盤（プラットフォーム）の弱点を洗い出し、悪用可能性と影響を評価して、是正（パッチ適用・設定変更・運用改善）につなげる取り組みです。Webアプリケーション診断が「アプリの設計・実装上の欠陥」を主に対象とするのに対し、インフラ診断は「OSやミドルウェアのバージョン」「ネットワーク機器の設定」「アカウント運用」など、稼働土台の設定不備や既知脆弱性に重点を置きます。

また、診断の実施・評価を担う人材としては、ネットワーク、OS、ミドルウェア、アプリケーションがセキュアに構築・運用されているかを検査し、結果を評価する脆弱性診断士のように、インフラ面とアプリ面の双方の知識を前提とする役割が想定されます（担当を分ける体制も可能です）。

診断が求められる脅威とリスク

インフラ層の弱点を放置すると、攻撃者が侵入の足がかりを得やすくなり、情報漏えい・改ざん・ランサムウェアによる暗号化など、経営インパクトの大きい被害に直結します。攻撃の入口は「公開サーバ」だけではなく、VPNなどの外部接続点、ネットワーク機器設定、認証情報（ID・パスワード）の窃取・悪用など多岐にわたります。

参照資料で整理されている「スキャン」は、攻撃者が弱点探索や侵入未遂を行う行為を含み、具体例としてプログラムのバージョン確認、サービス稼働状況の確認、ssh/ftp/telnet等へのブルートフォース（総当たり）攻撃の未遂、マルウェア感染の試みの未遂まで含まれます。このため、診断で外部からどう見えるかを把握し、不要な露出を減らすことは、侵入前段階の抑止に直結します。

また、過去に公表・修正されている脆弱性であっても、未だに悪用され続ける現実があります。例えば、2017年3月にMicrosoft社がセキュリティ更新プログラム「MS17-010」で公表した脆弱性情報は、その後も悪用が継続している旨が指摘されており、「更新プログラムが適用されない環境」が攻撃者に狙われやすいことを示します。診断は、こうした「分かっているのに残っている弱点」を可視化するための実務手段でもあります。

インフラ診断の対象と種類

診断対象はどこまで含めるか

診断対象は、インターネット境界（外部公開領域）から社内ネットワーク、サーバ群、クラウド設定、運用用端末まで、攻撃経路になり得る範囲を前提に定義します。攻撃者は侵入後に横展開（別セグメントへの移動）や出口通信（C2サーバ等）を確立しようとするため、機器単体ではなく「経路」と「権限」を含めた把握が重要です。

ツール診断と手動診断の違い

インフラ診断は大別すると、(1)自動ツールによる網羅スキャンと、(2)専門技術者による手動検証の組み合わせで設計します。ツール診断は既知脆弱性の棚卸しや露出確認に強く、広範囲を効率的に見られます。一方で、誤検知の精査、設定文脈（例：例外通信の必要性、運用上の制約）を踏まえた判断、複数要素が絡む欠陥の評価は、手動での裏取りが必要になります。

参照資料でも、侵入後に「どのIPアドレスが稼働しているか」を一覧化し、正規のIPスキャニングツール（例：Advanced IP Scanner）等で効率化する流れが示されています。診断でも同様に、資産の存在確認→開放ポートやサービス把握→脆弱性の当たり付け、という段階をツールで進めつつ、重要系は手動で確度を上げるのが実務的です。

クラウド・VPN・踏み台端末まで含めるべき会社の線引きはどこか

線引きは「扱う情報の重要性（機密性・完全性・可用性）」と「外部接続点の有無」で決めます。特にVPNなど外部から内部へ接続できる経路は、攻撃者が従業員と同じ正規の方法でアクセスしてくる入口になり得るため、脆弱性だけでなく認証方式（多要素認証）や接続元制限まで含めて診断対象に含めます。

また、参照資料では「システム管理者が把握していない外部接続経路（VPNなど）が存在しないか確認し、存在していた場合はログから攻撃者利用の痕跡を確認する」こと、そして痕跡の有無にかかわらず把握していない経路は即時遮断が望ましいことが示されています。したがって、

端末側の接続制限としては、MACアドレスフィルタやRADIUS認証等、端末証明書等を用いた認証基盤で「社内に接続できる端末」を制限する考え方も提示されています。

インフラセキュリティ診断の診断項目

ネットワークスキャンのチェック項目

ネットワークスキャンは、外部から見た攻撃面（アタックサーフェス）を把握する基本工程です。参照資料が定義する「スキャン」には、存在確認、バージョンや稼働サービスの確認、侵入未遂、マルウェア感染未遂、ssh/ftp/telnet等へのブルートフォース未遂まで含まれるため、診断側も「攻撃者がやること」を前提に観測点を揃えます。

ネットワーク設定とサーバ設定の診断項目

設定診断は、機器単体の脆弱性有無だけでなく、攻撃者が目的達成のために行う「設定変更」や「横展開」を抑止できるかを点検する観点が重要です。参照資料では、攻撃者がネットワーク機器の設定を変更する目的として、C2サーバへの通信確立、異なるネットワークセグメントへの侵入、多要素認証の回避や認証情報を利用しないVPN接続の確立が挙げられています。

TLS設定・管理者認証・バックアップ経路で見落としやすい診断漏れ

重大事故につながりやすいのにスコープから漏れやすいのが、(1)暗号化通信、(2)管理者権限、(3)バックアップ経路です。

暗号化通信は、参照資料で「SSL化（https）」の重要性が示されており、暗号化されていない通信は盗聴・改ざんリスクを残します。診断では「TLS/SSLを使っているか」だけでなく、プロトコルや暗号スイートの選定、証明書運用まで含めて実態を点検します。

管理者権限については、侵入後に攻撃者がドメイン管理者権限の奪取を狙う点が明記されています。特に、サービスやバッチ処理を管理者権限で常時実行している、管理者権限でのログオンが多い、といった状態は認証情報の窃取リスクを高め得るため、診断項目として扱う必要があります。

バックアップは「取っているか」だけでは不十分で、世代管理や復元手順の確立、そして本番ネットワークと常時接続された状態になっていないか（同時暗号化されないか）を含めて評価します。参照資料でも、特に重要情報を保管するサーバではバックアップデータの取得、世代管理、復元までの手順が確立できていることが項目化されています。

インフラ診断の比較と基準

ペネトレーションテストとの使い分け

インフラ脆弱性診断は「広く洗い出して直す」ための活動で、ペネトレーションテスト（侵入テスト）は「攻撃者の視点で侵入可能性を確かめ、対策の有効性を検証する」活動です。参照資料でも、ペネトレーションテストは専門家が疑似攻撃を仕掛け、現状の対策の有効性をチェックできる一方、業務影響を考慮した調整や事前準備が必要で、依頼からテスト完了まで数カ月かかるのが一般的であり、即時実施できるものではない点が示されています。

そのため、まずインフラ診断で既知脆弱性と設定不備を減らし、次の段階として重要システムにペネトレーションテストを適用して、運用・監視・権限管理まで含めた実効性を確認する、という組み合わせが現実的です。

重要インフラとPCI-DSSの関連

外部基準への適合という観点では、PCI DSSが代表例です。PCI DSSでは、少なくとも3ヶ月に1回以上、認定スキャニングベンダーによる外部ネットワークスキャンが要件として定められている点が、実務上の重要な目安になります。また、重大な変更時や年に1回以上の内部ネットワークスキャン、ペネトレーションテスト等も求められます。

重要インフラ相当のシステム運用では、NISTのCyber Security Frameworkが示す「特定・防御・検知・対応・復旧」の5機能のように、技術対策だけでなく運用プロセス全体で品質を担保する設計が参照されます。参照資料では、各機能がカテゴリー・サブカテゴリーに細分化され、参考情報に従って構築することで一定以上の品質を確保できる可能性が高い旨、また参考情報としてNISTや情報処理推進機構（IPA）が提供する文献が挙げられています。

個人情報取扱い・決済・委託先接続の有無で診断深度を変える判断基準

診断深度は「守るべき資産」と「止められない業務」を基準に決めます。参照資料でも、対応基準の設計にあたり、情報セキュリティの3要素であるC（機密性）・I（完全性）・A（可用性）に照らし、「どの程度重要な情報資産が危険にさらされるか」「完全性が損なわれるか」「どの程度の時間システム停止が可能か」を検討して重要度を決めるべきとされています。

インフラセキュリティ診断の進め方

実施フローと社内準備の要点

診断を安全に進めるには、スコープ・影響・連絡系統を事前に確定し、監視や運用と矛盾しないように調整します。特に「スキャン」は攻撃者の活動にも含まれるため、SOC/監視部門や運用担当が誤検知・遮断・エスカレーションを起こさないよう、事前周知が重要です。

実施タイミングと頻度の考え方

実施タイミングは「変更イベント」と「定期サイクル」を組み合わせます。変更イベント（新規公開、OS/ミドルウェア更新、ネットワーク構成変更、クラウド移行など）では、設定不備が入り込みやすいため優先度が上がります。

また、参照資料のとおり、脆弱性が公開されるとパッチが提供され、適用時に再起動が必要な場合があるため、重要システムでは「何日以内に停止してパッチを適用するか」などの具体的対応基準をあらかじめ設計することが求められます。診断は、その基準どおりに更新・設定是正が回っているか（未適用が残っていないか）を検証する機会にもなります。

情シス・運用・法務・経営で実施前にそろえる資料と承認の進め方

稟議・承認では「技術的に必要」だけでなく、事故時の法務・レピュテーションリスク、復旧難易度、運用負荷まで含めた説明が必要です。参照資料でも、内部監査部門は経営目標の達成に役立つ改善機能を持つ部門であり、日本内部監査協会「内部監査基準」（2014年6月改訂）を参照しつつ、経営者が善管注意義務・忠実義務を果たす上で内部監査機能の重要性が述べられています。インフラ診断は、その「改善サイクル」を技術面で具体化する材料になり得ます。

診断サービスの選び方

認定・実績・体制の見極め方

外部委託では、ツールを回すだけの納品ではなく、誤検知精査・環境文脈の反映・改善提案まで含めた体制かが重要です。参照資料の「脆弱性診断士」像でも、ネットワーク/OS/アプリ/DBの脆弱性知識、パケット解析能力、一般的攻撃手法の理解、ペネトレーションテストやツール知識に加え、自組織のセキュリティアーキテクチャ理解や脅威情報の知識が挙げられており、診断品質は担当者の能力に依存します。

レポート品質と優先順位付けの見方

レポートは「検出一覧」ではなく、修正計画に落とせることが重要です。参照資料が示す脆弱性ハンドリングの考え方（情報収集→技術調査→影響範囲特定→対処方法確定、場合により緩和策）に沿って、レポートにも次の要素があるかを確認します。

価格帯とサービスグレードの考え方

費用は、対象範囲（外部公開、内部、クラウド、VPN、踏み台端末）、重要度（C/I/A）、手動検証の深さ、報告会や再診断の有無で変わります。参照資料で示されているとおり、ペネトレーションテストは調整や事前準備を含め完了まで数カ月かかるのが一般的で、診断工数が大きくなりやすい点を前提に、目的に応じて「まず脆弱性診断で底上げ→必要部分のみ侵入テスト」とする設計も費用対効果が高いことがあります。

金額は環境差が大きく、参照資料に根拠となる価格情報がないため、本記事では数値目安は示しません。見積比較では、同じ「診断」という名称でも、(1)ツールスキャン中心か、(2)誤検知精査や手動検証を含むか、(3)再診断・報告会・是正支援まで含むか、を分解して比較することが重要です。

見積書で追加費用になりやすい範囲外作業と確認項目

追加費用は「範囲外の作業」が発生したときに起きます。スコープの曖昧さは、追加課金だけでなく、診断漏れ（重要ポイント未診断）にもつながります。

よくある質問

インフラセキュリティ診断は自社だけでできますか？

自社でスキャンツールを用いて診断を実施すること自体は可能です。参照資料でも、侵入後の資産把握の効率化として正規のIPスキャニングツール（例：Advanced IP Scanner）の利用が挙げられており、存在確認やポート・サービス把握は内製でも着手しやすい領域です。

ただし、診断結果の評価（誤検知の除外、悪用可能性の判定、C/I/Aに基づく優先順位付け）には、インフラ面とアプリ面の知識の両方が求められます。脆弱性診断の評価担当（脆弱性診断士のような役割）は、ネットワーク設計経験者やWeb開発経験者を配置する考え方もある一方、攻撃手法は進化し続けるため、模擬訓練等で実践スキルを高める必要がある点も示されています。規制・認証要件（例：PCI DSSの認定スキャニングベンダー要件）がある場合は、第三者性の観点から外部委託が必要になることがあります。

診断中にシステム停止のリスクはありますか？

リスクはあります。スキャンは一般に「システムへの影響がないもの」も含む一方、診断対象の実装や機器性能によっては、高負荷・応答遅延・サービス不安定化が起こり得ます。特に重要システムでは、参照資料が示すとおりパッチ適用で再起動が必要な場合があるため、診断そのものだけでなく、診断後の是正まで見据えて「停止できる時間」「切り戻し手順」「緊急停止の連絡系統」を事前に設計しておくことが重要です。

重大な脆弱性が見つかったら何から着手すべきですか？

まずは暫定的な緩和策で、攻撃経路を塞ぐことを優先します。その上で、恒久対策（パッチ適用・設定変更）を計画して実施し、再確認します。

参照資料が示す脆弱性ハンドリングの流れ（情報収集→技術調査→影響範囲特定→対処方法確定、必要に応じて緩和策）に沿って進めると、関係者間の合意が取りやすくなります。

〈主要KW〉への対応で次にすべきこと

インフラセキュリティ診断は、外部公開領域だけでなくVPN等の外部接続点、ネットワーク機器設定、サーバ/OS/ミドルウェア、クラウド設定、ログやバックアップまでを「攻撃経路」として捉え、ツール診断と手動検証を組み合わせて弱点を是正につなげる取り組みです。判断の軸は、守るべき資産と業務停止制約をC（機密性）・I（完全性）・A（可用性）で整理し、どこまでをスコープに含め、どの粒度で検証するかを決める点にあります。外部基準が関わる場合は、少なくとも3ヶ月に1回以上の外部ネットワークスキャンといった要件を目安に、定期サイクルと変更イベントを組み合わせた計画に落とし込みます。次アクションとしては、まず資産棚卸（稼働IP、クラウドリソース、管理者アカウント）と外部接続経路（VPN等）の把握、ログ取得・保存の前提整備を行い、運用・法務・購買・経営を含む承認観点（責任境界、追加作業、停止計画）を揃えて委託要件に反映させることが現実的です。個別環境での最適解は異なるため、重大システムや委託先接続がある場合は、診断結果の評価と是正計画について専門家の助言を前提に進めることが望まれます。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ