TISセキュリティ診断の選び方は？診断範囲と体制を整理

TISセキュリティ診断（脆弱性診断・ペネトレーションテスト等）を候補に比較検討している段階では、Web/API/クラウド/ネットワークのどこまでを同時に診断すべきか、社内外への説明に耐える品質・体制をどう見極めるかで迷いが生じやすいです。判断を先送りにすると、外部公開範囲や認証基盤の連鎖リスクを取りこぼしたままリリースや移行が進み、監査・審査（PCI DSS等）で「第三者チェック」の根拠が弱くなる不利益が出ます。特にペネトレーションテストは依頼から完了まで数カ月かかることが一般的なため、意思決定と社内調整を前倒しで設計する必要があります。以下では、診断メニュー選定の判断材料として対象範囲・方式・品質の見方を示します。

TISセキュリティ診断の全体像

脆弱性診断と提供範囲

TISの脆弱性診断は、ネットワーク、OS、ミドルウェア、アプリケーションといった複数レイヤにまたがる弱点を洗い出し、診断結果を評価して改善につなげる第三者チェック（外部の専門組織が確認することで安全性を担保する考え方）として位置づけられます。参照元の整理では、脆弱性の診断・評価を担う役割として「脆弱性診断士」が示されており、診断では技術的な発見だけでなく、影響度や優先度の判断まで含めたアウトプットが重要になります。

また、外部公開されているサーバや通信機器に対する脆弱性診断、ネットワーク環境診断、クラウド移行後の設定不備の有無確認などは、攻撃リスクだけでなく情報漏洩リスク（内部不正も含む）を低減する実務として重要だとされています。TISの診断メニューも、Webアプリケーションやプラットフォーム（ネットワーク）に加え、スマートフォンアプリ、クラウド設定、サーバー設定、無線、IoTなどへ拡張して組み合わせやすい点が、複合構成になりやすい企業システムに適しています。

ペネトレーションテストとの違い

脆弱性診断が「弱点を広く見つけて評価する」アプローチだとすると、ペネトレーションテスト（侵入テスト）は、攻撃者の視点で実際に侵入できるかを試し、現状の対策の有効性を検証するアプローチです。参照元でも、弱点把握の「最もシンプルで効率的な方法」として、専門家による疑似攻撃で防御状況をチェックする点が述べられています。

一方で、ペネトレーションテストは業務影響を考慮した調整が必須です。診断範囲の設定、管理者との事前調整、疑似攻撃の準備が必要で、テストそのものにも期間を要します。また、参照元の記載では、依頼からテスト完了まで数カ月かかることが一般的で、すぐに着手できるものではない点を前提に計画する必要があります。

公開前診断と定期診断をどう使い分けるか：リリース時期・改修頻度・外部公開有無で決める基準

公開前診断と定期診断は、単なる頻度の違いではなく、「変化点（リリース・改修・移行）」と「攻撃面（外部公開）」に応じたリスク管理として使い分けます。参照元でも、クラウド移行時に設定不備がないかを確認する重要性が示されており、移行・更改・再構築といった変化点は、公開前診断に準じて重点的に点検するのが実務的です。

また、脆弱性対応は診断で終わらず、脆弱性公開後に提供されるパッチ適用まで含めて設計します。参照元では、パッチ適用に際して再起動が必要になる場合があるため、重要システムでは「何日以内に停止してパッチを適用するか」などの具体的な対応基準を事前に設計しておくべきとされています。診断の実施計画も、この運用設計（停止許容、適用手順、ロールバック）とセットで考える必要があります。

さらに、対応優先度の判断には情報セキュリティの3要素であるC（機密性）・I（完全性）・A（可用性）を用い、診断対象や頻度を決めるのが合理的です。

TIS脆弱性診断の対象

Webアプリケーション診断

TISのWebアプリケーション診断は、外部公開・社内公開を問わず、アプリケーションの実装不備や設計上の問題、権限設計やセッション管理の欠陥といった「攻撃者に悪用される入口」を検証し、実害に直結するポイントを可視化します。代表例として、SQLインジェクションやクロスサイトスクリプティング、CSRF、エラーメッセージからの情報開示、認可不備などが対象です。

診断後の運用では、参照元で示される「脆弱性ハンドリング」の考え方が参考になります。すなわち、診断で把握した事項を起点に、影響範囲の特定と対処方法の確定を行う脆弱性分析、緩和策を含めて対処判断を行う脆弱性対応、関係者に適切に通知・流通させる脆弱性対応調整までを一連で回すことが、改修の実効性を高めます。

ネットワークとIaaS診断

ネットワーク／プラットフォーム診断は、サーバー、OS、ミドルウェア、ルーター、ファイアウォール、VPN機器などの構成要素に対し、既知の脆弱性や設定不備、不要なサービス・ポートの露出を洗い出して境界防御の抜け道を減らすための診断です。参照元でも、外部公開されたサーバや通信機器に対する脆弱性診断やネットワーク環境診断が、第三者チェックとして重要だとされています。

また、クラウド（IaaS）の設定診断は、クラウド移行後の設定不備が重大事故につながる前提で、権限・公開範囲・ログなどの「設計どおりか」を点検します。参照元には、クラウドに対する対策として「設定上の不備を作らない」「特定デバイス以外のアクセス制御としてSSOを利用」「不正アクセス対策としてCASBやSASEを利用」などの観点が挙げられており、診断でもこれらの前提条件（想定した統制が実装されているか）を確認することが有効です。

さらに、参照元ではVPN機器（例としてFortiGate、Pulse Secure、NetScaler等）について、脆弱性に対し最新のセキュリティパッチを適用することが最優先事項として挙げられています。ネットワーク診断では、こうしたエッジ機器のアップデート状況・運用実態も確認対象に含め、侵入経路の現実性を下げます。

Web・API・クラウドのどこまでを同時依頼すべきか：認証基盤共有と個人情報取扱いの有無で決める切り分け

診断範囲の切り分けは「資産をどう分割したいか」ではなく、侵害時に連鎖する単位で考える必要があります。判断の中心は、認証基盤（SSO等）や権限管理が共有されているか、個人情報・決済情報などの重要データを扱う経路がどこまで連結しているかです。

参照元の対策観点では、クラウドのアクセス制御としてSSOの利用が挙げられており、SSOを含む認証基盤が共通の場合、Web・API・クラウドの一部だけを診断しても、別経路からの権限悪用や横展開を見落とすリスクが残ります。したがって、認証・権限が跨る範囲は同時に依頼し、攻撃の成立条件をまとめて潰す方が説明責任（監査対応・経営報告）の観点でも合理的です。

診断方式とツールの見方

ツール診断と手動診断

ツール診断は既知の脆弱性パターンの検出に向き、短時間で広範囲を点検できます。一方で、誤検知の精査、発生条件が複雑な欠陥、権限設計や業務ロジックの不備などは、人の判断を必要とする場面が残ります。

参照元で示される「脆弱性診断士」の前提スキルには、OS・ネットワーク・アプリ・データベースの脆弱性知識、パケットレベル解析能力、一般的な攻撃手法の知識、ツールやペネトレーションテストの知識が含まれ、追加スキルとして自組織のセキュリティアーキテクチャ理解や脅威情報の知識が挙げられています。実務では、これらの能力が手動診断の品質に直結するため、見積もり比較の際も「人がどこまで見るか」を確認することが重要です。

ハイブリッド方式の考え方

ハイブリッド方式は、ツールの網羅性と手動の深掘りを役割分担し、限られた工数で実効性を高める設計です。特に、認証・認可、セッション管理、個人情報の取扱い画面、業務ロジックなどは、ツールだけでは検出が難しいため、手動検証を前提に組み込みます。

参照元で示されるとおり、脆弱性診断はインフラ面とアプリケーション面の知識が必要で、担当を分けることも可能ですが、進化し続ける攻撃手法に追随する深い知識が求められます。また、育成にはツールの学習コースやコミュニティとの情報交換、模擬訓練などが挙げられており、ハイブリッド方式では「ツール運用の成熟」と「手動診断の経験」が両輪になります。

Tenableなどツールの位置づけ

Tenable等の脆弱性管理ツールは、資産情報の収集と既知脆弱性との突合により、日常的な可視化と優先度付けに役立ちます。参照元でも、侵入後のネットワーク環境で「どの端末が何台あり、どのIPが稼働しているか」を一覧化し、IPスキャニングツール（例としてAdvanced IP Scanner）が利用されること、ポートスキャン等で利用中サービスから脆弱性を見つけることが示されています。平時からツールで資産・露出・パッチ状況を把握しておくことは、診断の前提となるスコープ定義にも直結します。

また、参照元では「2017年3月にMicrosoft社がMS17-010として公表した脆弱性情報が、未だに悪用されている」点が示されており、OSアップデートが遅れると既知脆弱性が長期間リスクとして残存する現実があります。ツールはこの残存リスクを継続的に検知し、運用の改善（適用期限の設定、例外管理）につなげる位置づけです。

TISセキュリティ診断の品質

OWASPやIPA基準との関係

診断品質を説明する際は、「何を基準に網羅しているか」と「結果をどう運用へつなげるか」を分けて確認すると整理しやすいです。Webアプリ領域ではOWASP Top 10のような代表的脅威整理が参照枠になります。

国内の一次情報として、参照元ではIPA（情報処理推進機構）が、経済産業省により脆弱性情報の報告受付機関として指定されていること、JPCERT/CC等と連携して被害抑制に取り組むこと、そして「情報セキュリティ早期警戒パートナーシップガイドライン」を策定・運用していることが示されています。基準やガイドラインとの関係を押さえることは、経営層や監査への説明（なぜこの観点を診断するのか）に直接役立ちます。

PCI DSSと情報セキュリティサービス基準

PCI DSS対応では、カード会員データを保護するために、診断・スキャン・侵入テストなど複数の検証を組み合わせ、証跡（報告書や提出物）として説明できる形に整えることが重要です。

あわせて、委託時の説明責任として「第三者がチェックした」ことが意味を持ちます。参照元でも、再構築されたPC・サーバ・クラウド・ネットワーク等について、第三者である外部専門組織に確認を依頼することが安全性担保に重要だとされており、基準対応においても「内部確認だけでなく外部の視点を入れる」ことは、監査・審査への備えとして有効です。

QSA・ASV・基準適合登録をどう読むか：『診断品質の保証』と『対応可能範囲』を分けて確認する見方

QSA（PCI DSSの認定審査機関）やASV（認定スキャンベンダー）の位置づけは、PCI DSS文脈における「要求事項を満たす監査・スキャンを適切に実施できる」ことの裏付けとして理解するのが実務的です。一方で、認定の有無だけで「自社のシステムに必要な診断が実施される」とは限らないため、対応可能範囲は別途確認します。

参照元で示される「脆弱性診断士」のスキル観点（OS・ネットワーク・アプリ・DB、パケット解析、攻撃手法、ツール活用、セキュリティアーキテクチャ理解、脅威情報など）を当てはめると、資格や登録は品質管理の枠組みの一つであり、実務では「どの領域を誰が、どの深さで見るか」を合わせて確認することが、品質保証と範囲確認を両立させます。

導入前に見る選定ポイント

対象システム別の選び方

選定は「技術カテゴリ」ではなく、守るべき情報資産と侵害時の影響（CIA）から逆算すると説明が通ります。参照元でも、重要度はC（機密性）・I（完全性）・A（可用性）に照らして決め、脆弱性に対応しない場合に「どの程度重要な情報資産が危険にさらされるか」「完全性が損なわれるか」「どの程度の時間停止できるか」などを検討すべきとされています。

この観点で、外部公開のWeb、外部連携API、認証基盤、個人情報・決済を扱う領域は、手動を含む診断（ハイブリッド）や、目的を定めたペネトレーションテストの優先度が上がります。一方、内部限定でもAD等の認証・高権限領域は横展開の起点になりやすいため、ログ取得・監査設定を含めた点検が重要です。参照元には、ADオブジェクトの変更に対する監査ログ設定、ドメイン管理者や高権限アカウント一覧の把握、タスクスケジューラやプロセス作成監査などデフォルトで有効でないイベントログの取得など、具体的な準備事項が挙げられています。

費用に影響する主な要因

費用は、スコープ（対象の広さ）と深さ（手動の比率）、そして業務影響を抑えるための調整コストで主に変動します。対象規模（画面・リクエスト・IP・台数）が増えるほど工数が増え、手動検証が増えるほど専門人材の稼働が増えるためです。

加えて、ペネトレーションテストを組み込む場合は、参照元で示されるとおり、範囲設定や事前準備、管理者との調整が必要で、依頼から完了まで数カ月かかることが一般的という前提が、スケジュールとコスト見立てに影響します。

また、診断後の改修局面では、参照元のとおりパッチ適用に再起動が必要な場合があり、停止調整（業務影響調整）が発生し得ます。診断費用そのものではないものの、プロジェクト総コスト（稼働調整・改修ウィンドウ確保）として経営説明に含めておくと齟齬が減ります。

相見積もりで比較すべき項目は何か：画面数・IP数だけでなく再診断条件と報告会範囲まで確認する

相見積もりでは、数量（画面数・IP数）だけでなく、診断の「完了条件」と「運用への落とし込み」まで含めて比較する必要があります。特に重要なのは、改修後の再診断がどこまで含まれるか、報告会（説明会）が基本料金内か、緊急時の連絡（速報）の扱いがどうなっているかです。

また、診断結果を受けた対応では、参照元の「脆弱性ハンドリング」に沿って、脆弱性分析（影響範囲特定と対処方法の確定）、脆弱性対応（緩和策を含む実装判断）、脆弱性対応調整（通知・流通）を回す必要があります。ベンダー比較では、報告書がこの運用に耐える粒度か、関係者に説明できる再現手順や対策案が含まれるかも確認ポイントです。

診断実施と報告書の流れ

事前準備から診断実行まで

診断を安全に進めるには、スコープ確定と事前準備（アカウント、アクセス許可、ログ）を先に固めます。参照元でも事前準備の観点として、エンドポイントの脆弱性やログが「最優先」とされているほか、クラウドの事前準備が示唆されています。診断の成否は、対象の洗い出しと、検証に必要な情報提供が揃うかで大きく変わります。

分析と報告書と再診断

診断後は、発見事項を「直す」だけでなく、再発防止まで含めて運用に落とします。参照元の脆弱性対応では、脆弱性公開後にパッチが提供されること、パッチ適用により再起動が必要になる場合があること、そして重要システムでは「何日以内に停止して適用するか」など具体的な対応基準を事前に設計すべきことが示されています。報告書は、この意思決定（いつまでに、どこを、どう直すか）に使えることが重要です。

社内調整で止まりやすいポイント：情シス・開発・法務・経営層が診断前にそろえる資料と承認順序

社内調整で詰まりやすいのは、「技術的に何を許可するか」と「どの情報をどこまで外部へ渡すか」です。参照元には、内部リスクも含めた全体診断の重要性が示されており、技術部門だけでなく法務・経営を巻き込んだ合意形成が必要になります。

特に認証基盤（AD等）やログは、侵害追跡・抑止に重要です。参照元では、ADオブジェクト変更の監査ログ取得、高権限アカウント一覧の把握、デフォルトで無効なイベントログ（例:タスクスケジューラ、プロセス作成監査等）の取得が有益とされており、診断前に「ログが取れている/取れていない」を明確化しておくと、経営層への説明（検知・追跡力の現状）にもつながります。

よくある質問

TISのセキュリティ診断とツールだけの診断は何が違いますか？

違いは、検出の網羅性ではなく、誤検知の精査と文脈依存の欠陥の発見、および結果の評価・優先度付けまで含めて支援できる点にあります。参照元で示される「脆弱性診断士」は、ネットワーク、OS、ミドルウェア、アプリケーションの検査だけでなく、診断結果の評価を担う役割として整理されています。

クラウドのIaaSだけでも依頼できますか？

IaaSの設定診断だけを個別に依頼する進め方も、実務上は有効です。参照元では、クラウド移行後に利用サービスの設定不備がないかを確認する重要性が示されており、設定ミスが重大事故の引き金になり得る点を踏まえると、基盤単体の点検にも意味があります。

PCI DSS対応ではどの診断を検討すべきですか？

PCI DSS対応では、要件に基づくスキャンやテストを実施し、その結果を監査・審査に提示できる形（報告書・証跡）で整えることが重要です。加えて、参照元にあるとおり、再構築されたPC・サーバ・クラウド・ネットワーク等について、第三者である外部専門組織に確認を依頼することは、安全性担保の観点からも説明が通りやすい整理です。

また、侵入テスト（ペネトレーションテスト）を組み込む場合は、参照元で示されるとおり、業務影響を考慮した調整と事前準備が必要で、依頼から完了まで数カ月かかるのが一般的という前提で計画します。

TISセキュリティ診断への対応で次にすべきこと

TISセキュリティ診断を選定する際は、まず「連鎖する単位」でスコープを切り、Web・API・クラウド・ネットワークのどこまでを同時に見るべきかを認証基盤（SSO等）と重要データ経路から整理します。次に、ツール診断と手動診断（ハイブリッド）の役割分担を前提に、報告書が脆弱性分析→脆弱性対応→脆弱性対応調整の運用に落とせる粒度かを比較軸に置くと、相見積もりでも判断がぶれにくくなります。ペネトレーションテストを組み込む場合は、依頼から完了まで数カ月かかることが一般的という前提で、業務影響・実施時間帯・禁止行為・緊急連絡などの合意事項を先に固めることが実務上の近道です。社内では情シス・開発・法務・経営層で、取得データ範囲やログ前提、停止許容（再起動が必要になる場合を含む）を早めにそろえ、説明責任に耐える形で決裁までつなげます。個別の対象システムや基準対応（PCI DSS等）によって最適解が変わるため、最終的には要件とリスク（CIA）を整理したうえで専門家に相談し、前提条件を明文化して進めるのが安全です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ