ネットワークセキュリティ診断の進め方と委託判断

ネットワークセキュリティ診断（ネットワーク脆弱性診断）は、攻撃リスクや情報漏えいリスクを認識していても「どこまで・何を・どう進めるか」が整理できない場面で、意思決定の土台になる実務です。範囲や手法の合意が曖昧なまま進めると、公開資産の入口（例：TCPポート番号3389の露出）を見落としたり、逆に稼働中システムへの業務影響や追加費用が発生したりしやすくなります。読むことで、診断の目的・種類・対象範囲・実施形態を自社の状況に合わせて切り分け、社内実施／外部委託の基本方針を決められるようになります。以下では、ネットワーク診断の判断材料として対象範囲・手法・進め方を示します。

ネットワーク診断の位置付け

ネットワークセキュリティ診断とは

ネットワークセキュリティ診断（ネットワーク脆弱性診断を含む）は、自社ネットワーク、OS、ミドルウェア、（範囲に含める場合は）アプリケーションについて、攻撃の入口になり得る弱点や設定不備を洗い出し、リスクとして評価する実務です。診断では、インターネット越しに到達できる公開資産だけでなく、VPN機器、ルーター、ファイアウォールなどの境界機器、クラウド設定までを対象にすることがあります。

診断の目的は「穴を列挙すること」自体ではなく、発見事項を是正（パッチ適用・設定変更・機能停止等）につなげ、現状の対策が有効に機能しているかを第三者の視点で確認することにあります。参照情報でも、再構築したPC・サーバ・クラウド・ネットワーク等について、外部専門組織による第三者チェックが安全性担保に重要だとされています。

また、診断結果の評価・優先順位付けには、単なるスキャン結果の羅列ではなく、診断・評価を担う人材（例：脆弱性診断士）の知見が関与します。脆弱性診断士はネットワーク、OS、ミドルウェア、アプリケーションがセキュアに構成・実装されているかを検査し、検出結果の評価まで担当する役割として整理されています。

脆弱性診断と他診断の違い

脆弱性診断は、既知の脆弱性や代表的な設定不備を網羅的に洗い出す「健康診断型」の評価です。一方、侵入テスト（ペネトレーションテスト）は、攻撃者の視点で疑似攻撃を行い、現状のセキュリティ対策の有効性を確認する「実戦型」の検証です。

ペネトレーションテストは「最もシンプルで効率的に弱点を把握する方法」と整理される一方、診断範囲の設定やシステム管理者との調整、疑似攻撃の事前準備が必要で、短期間での実施が難しい点を前提に計画します。

ネットワーク診断が必要な背景

攻撃と情報漏えいの主なリスク

ネットワークの弱点を放置すると、不正アクセス、ランサムウェア被害だけでなく、内部起点の情報漏えいも含めた複合的な損失につながります。参照情報でも、内部不正、紛失、外出先での業務、シャドーIT、退職社員、SNS経由など、サイバー攻撃以外の要因でも情報漏えいが起こり得ることが整理されています。したがって、診断は「外部攻撃の入口」だけでなく、社内運用の甘さが外部侵入と結びつく領域まで視野に入れる必要があります。

外部からの攻撃という観点では、攻撃者はまず「スキャン」を行い、攻撃対象の存在確認や弱点探索（バージョンやサービス稼働状況の確認）をします。参照情報の定義では、スキャンには侵入行為の試み（未遂）や、マルウェア感染の試み（未遂）、ssh/ftp/telnet等へのブルートフォース攻撃（未遂）も含まれます。

また、開放ポート管理は実務上の基本で、参照情報では「TCPポート番号3389がインターネットから見て公開されっぱなしの場合は特に危険」と注意喚起されています。公開資産側の診断では、こうした入口（不要ポート、管理系インターフェース、古いファームウェア等）を優先して把握します。

監査対応と信用確保の意味

ネットワーク診断は、技術的対策の確認にとどまらず、取引先・監査部門に対して「確認した事実」を示すための証跡（エビデンス）として機能します。参照情報でも、再構築されたPC・サーバ・クラウド・ネットワーク等のセキュリティ確保について、第三者である外部専門組織に確認を依頼することが重要とされています。

さらに、監査または審査は「自組織または該当する他の業界標準で定義された要件に基づき、対策状況を監査・審査する」と整理されています。自社の規程（情報セキュリティ基本方針、標準、手順）に照らして、診断結果を是正計画・再診断・運用改善に結び付けることで、監査対応の実効性が高まります。

ネットワーク診断の対象と項目

対象範囲と対象機器を決める

診断範囲の定義は、成果の質を左右します。対象が漏れると、攻撃者がそこを足掛かりに侵入する「死角」になり得ます。参照情報でも、クラウド環境では設定が甘くなりがち（例：IPアドレスでのアクセス制限なし、簡易なパスワード）という指摘があり、台帳に載っていない公開資産や一時環境が漏れやすい点に注意が必要です。

範囲決めは「資産の棚卸し」と「到達性（外部から見えるか／内部のみか）」の両面で行います。自社で侵入経路となり得るIT資産の把握が難しい場合は、参照情報で触れられているアタックサーフェスマネジメントサービス（攻撃者と同様の視点で侵入経路を探索し、組織が保有するコンピューターやネットワーク機器等を把握するサービス）の利用も検討対象になります。

代表的な診断項目と設定確認

ネットワーク診断の中核は、(1)入口の露出（ポート・サービス）、(2)既知脆弱性（バージョン、ファームウェア）、(3)設定不備（アクセス制御、認証）を、攻撃者の手順に沿って確認することです。参照情報でも、ネットワーク機器（ルーター、ファイアウォール、VPN機器など）の設定変更がないか確認する重要性が示され、攻撃者が設定変更を行う目的として、C2サーバーへの通信確立、別セグメント侵入、多要素認証の回避や認証情報を使わないVPN接続の確立が挙げられています。

不審な設定変更が確認された場合の対応は、参照情報では「バックアップから元の設定に戻す」「戻せない、またはバックアップの安全性が担保できない場合は初期化」と整理されています。診断レポートでは、検出事項に対し「元に戻す・初期化・一時的な機能停止」などの現実的な是正案まで落とし込めると、実務での活用度が上がります。

公開資産から始めるか内部網まで広げるかを分ける判断基準

公開資産（インターネットから到達可能な資産）は、攻撃者のスキャン対象になりやすく、優先順位が最も高い領域です。参照情報でも、スキャンは弱点探索や侵入未遂、マルウェア感染未遂など幅広い活動を含むとされており、公開資産の露出管理が最初の防衛線になります。

一方、内部網まで診断を広げるかは、「侵入後の横展開（ラテラルムーブメント）」のリスク、保有情報の機密性、内部不正・シャドーIT等の統制状況を踏まえて決めます。参照情報で挙げられている内部起点の情報漏えい（内部不正、紛失、外出先での業務、シャドーIT、退職社員、SNS等）が自社で顕在化し得る場合は、内部ネットワーク側の診断や、全社的な診断（組織的・人的リスクを含む）も検討対象になります。

診断方法と実施形態の選び方

ツール診断と手動診断の使い分け

ツール診断は、既知の脆弱性や設定不備を一定品質で広く拾うのに向きます。一方で、環境依存の条件や運用実態（認証の例外、ネットワーク分割の穴、アクセス経路の組み合わせ）を踏まえた評価は、手動の確認や専門家の判断が必要になります。

参照情報では、脆弱性診断士がネットワーク・OS・ミドルウェア・アプリケーションの検査と診断結果の評価を担うとされ、必要スキルとして「パケットレベルの解析能力」「一般的な攻撃手法の知識」「ペネトレーションテストやツールに関する知識」等が整理されています。これらは、ツール結果の真偽判定（誤検知の除外、再現条件の確認）や、実際の脅威に即した優先順位付けに直結します。

リモート診断とオンサイト診断

リモート診断は、外部から到達可能な資産（公開サーバ、クラウドの公開面、VPNの入口など）を、攻撃者と同様の経路で検証できる点が強みです。一方、オンサイト診断は、外部と完全に分断されたネットワークや、論理的に分割されたネットワーク、現地でしか見られない構成（配線、閉域網、無線LAN等）を扱う場合に適します。

参照情報でも、外部と完全に分断されたネットワークや論理的に分割されたネットワークが存在し得る点が示され、自前調査やスキャンを行う場合には、結果の網羅性を一定犠牲にする妥協も必要になり得ると整理されています。実務では、まず公開資産のリモート診断で入口を固め、必要性が高い領域にオンサイトや内部診断を追加する段階設計が現実的です。

稼働中システムで業務影響を避けるために事前合意すべき停止条件と連絡体制

本番環境で診断を行う以上、通信負荷や誤作動のリスクをゼロにはできません。加えて参照情報でも、nmapのようなネットワークスキャナによるスキャンは時間がかかるだけでなく、各種セキュリティ機器による警告を引き起こす可能性があるため、関係部門の調整を経て実施すべきとされています。

そのため、停止条件と連絡体制は「口頭合意」ではなく、文書で具体化しておく必要があります。

診断結果の見方と進め方

診断レポートの基本構成

診断レポートは、経営判断向けと実装対応向けで情報の粒度を分けると運用しやすくなります。実装対応向けには、単に検出事項を並べるのではなく、再現条件・影響範囲・是正方針（設定変更、アップデート、隔離、機能停止等）まで記載されているかが重要です。

参照情報には、ネットワーク機器ログの調査観点として、ファイアウォール／プロキシでは「通信先、不審通信を発した接続元IPアドレス」、DNSでは「FQDNの名前解決」、VPNでは「接続元IPアドレス、VPNアカウントの利用状況」が整理されています。レポートがこれらの観点（何を根拠に不審と判断したか）と結び付いていると、社内の調査・是正に直結します。

対策の優先順位を付ける視点

優先順位付けでは、深刻度の定義（技術的スコア等）に加え、「攻撃者が実際に到達できるか」「悪用の前提条件が揃っているか」を重視します。例えば、公開資産側で管理系ポートが露出している場合は、入口としての危険性が高くなります。

参照情報で特に危険とされている例として、インターネットから見てTCPポート番号3389が開放されたままの状態が挙げられています。こうした入口露出は、運用事情があっても最優先で是正（アクセス制限、VPN経由に限定、停止等）を検討すべき類型です。

実施フローと社内調整の要点

診断を「実施して終わり」にしないためには、範囲定義、調整、実施、是正、再確認までをフローとして管理します。特に自社でスキャン等を行う場合、参照情報のとおり、関係部門との調整を経ずに実施するとセキュリティ機器の警告や業務側の混乱を招くことがあります。

検出件数より再現性と悪用可能性で是正対象を絞る見方

自動ツールは安全側に倒して検出するため、誤検知や「前段制御により到達不能」な指摘が混ざることがあります。検出件数の多寡ではなく、現実の脅威に変換できるか（攻撃者が到達でき、悪用条件が揃い、影響が大きいか）で絞り込みます。

参照情報で整理されている「スキャン」は、弱点探索に加え侵入未遂、感染未遂、ブルートフォース未遂も含むため、ログ上のイベントと診断結果を突合し、実際の観測事象と結び付く指摘を重視すると、是正の優先順位付けがしやすくなります。例えばVPN経由の侵入が疑われる場合、参照情報のとおりVPN接続ログから侵入時間帯を把握し、該当時間帯にVPN経由でログオンした機器がないか調査し、不正ログオン機器があれば隔離・保全するといった実務手順につなげます。

外部委託と関連診断の整理

委託先の選定基準と認定確認

外部委託は、技術力の補完だけでなく、第三者チェックとしての客観性を得る目的でも有効です。一方で、参照情報には「IT導入の委託事業者＝サイバーセキュリティ専門家とは限らない」「専門性を確認せず丸投げするのは不適切」との趣旨が明確に示されています。したがって、選定では「診断ができること」だけでなく、インシデント時の対応や調査能力まで含めて確認します。

費用の考え方と見積もりの見方

見積もりは、金額の大小よりも「何が含まれ、何が含まれないか」を読み解くことが重要です。参照情報でも、ペネトレーションテストは調整・事前準備・疑似攻撃に期間を要し、依頼から完了まで数カ月かかるのが一般的とされています。短納期・低価格に見える提案でも、目的に対して方式が不整合（例：侵入テスト相当の期待を、簡易スキャンで代替）になっていないかを確認します。

見積もり比較で漏れやすい再診断範囲報告会Q&A期間の確認項目

比較時に差が出やすいのは、実施後のフォロー条件です。参照情報のとおり、診断は業務影響への配慮や関係者調整が重要で、特に侵入テストは準備・期間が大きくなります。事後条件が曖昧だと、是正後の確認や説明の局面で追加費用・追加工数が発生しやすくなります。

診断委託前に情シス法務業務部門が用意する資料と決裁の順番

委託前の準備は、診断品質と業務安全性を決めます。参照情報でも、スキャン等は関係部門調整が必要で、網羅性を追い過ぎて本来の対応が後手に回るのは本末転倒とされています。したがって、範囲と停止条件、連絡体制、責任分界を先に固めます。

決裁は、実施日時・影響・停止条件を情シスと業務で合意したうえで、契約条件を法務が確認し、最後に費用執行の決裁に進める順序にすると、手戻りを抑えられます。

よくある質問

ネットワークセキュリティ診断とネットワーク脆弱性診断は同じですか？

実務上は近い意味で使われますが、言葉の射程が異なることがあります。ネットワーク脆弱性診断は、ネットワーク、OS、ミドルウェア等に存在する既知の脆弱性や設定不備を検出し、評価する活動として捉えると整理しやすいです。参照情報でも、脆弱性診断士はネットワーク、OS、ミドルウェア、アプリケーションがセキュアに構成・実装されているかを検査し、診断結果の評価を担当するとされています。

一方、ネットワークセキュリティ診断は、脆弱性そのものだけでなく、設定運用（例：VPN機器の不審な設定変更の有無、バックアップからの復旧可否、初期化判断、一時的な機能停止の判断）まで含めて扱うケースがあります。委託時は、名称よりも、提案書の対象範囲と検査項目（ネットワーク機器設定確認、ログ観点、是正支援の範囲）で判断してください。

リモート診断だけで社内ネットワークは十分確認できますか？

外部からの侵入経路（公開資産、VPN等）の評価が目的であれば、リモート診断は有効です。ただし、外部と完全に分断されたネットワークや、論理的に分割されたネットワークが存在する場合、参照情報のとおり外部からは到達できず、リモートだけでは網羅的な確認ができません。

また、内部網の課題は「外から見えない」ため、内部診断やオンサイト確認が必要になることがあります。内部起点の情報漏えい（シャドーIT、退職社員、外出先での業務等）のリスクが高い場合も、公開資産診断に加えて内部側の点検を組み合わせる方が、実態に合います。

診断結果が悪いとすぐ業務停止が必要ですか？

直ちに全面停止が必要になるとは限りませんが、悪用可能性が高い指摘については、応急措置を含む迅速な判断が必要です。参照情報でも、VPN機器に不審な設定変更や不審アカウント追加が確認された場合、ファームウェア脆弱性悪用の可能性を踏まえてバージョン確認・アップデート要否を判断し、すぐにアップデートできない場合は一時的な機能停止を検討するとされています。

また、侵入が疑われる場合は、VPN接続ログから侵入時間帯を把握し、該当時間帯にVPN経由でログオンした機器がないかを調査し、不正ログオン機器があれば隔離・保全するといった手順が現実的です。重要なのは、検出結果を根拠に「業務影響とセキュリティ影響を両立する暫定策」を選び、恒久対策（更新・設定是正・初期化等）へつなげることです。

ネットワークセキュリティ診断への対応で次にすべきこと

ネットワークセキュリティ診断は、公開資産・境界機器・クラウド設定などの「入口」を起点に、どこまで内部網へ広げるかを決め、是正と再確認までを前提に設計する実務です。判断の軸は、検出件数ではなく、到達性・再現性・悪用可能性を踏まえて優先順位を付けられるかにあります。まずは、資産台帳と突合した対象範囲（グローバルIP、FQDN、境界機器、クラウド、内部網）と、停止条件・緊急連絡網を文書化して社内合意を取り、実施形態（ツール／手動、リモート／オンサイト）を選びます。外部委託では、提案の名称よりも、範囲・設定確認・是正支援・再診断条件が見積もりに含まれるかを確認し、侵入テストは依頼から完了まで数カ月かかる前提で計画します。個別の環境や契約条件によって適切解が変わるため、必要に応じて情シス・CSIRT・法務や外部専門家と相談しながら進めてください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ