こんなときにご相談ください
公開サーバーや VPN 機器が最新か分からない2026 年の国内の侵入の多くは、VPN 機器や公開サーバーの既知の脆弱性からです。
Web サイトを外部の制作会社に任せているCMS やプラグインの更新状況を自社で把握していない。
取引先や親会社から診断結果を求められた質問票の「脆弱性診断を実施していますか」に根拠を持って答えたい。
Microsoft 365 の設定が安全か確認したいMFA、条件付きアクセス、レガシー認証、共有設定の確認。
新しいシステムを公開する前に確認したいリリース前の診断と、リリース後の定期診断。
インシデントの後、他に穴がないか確認したい侵入経路以外の弱点を一度に洗い出す。
診断の対象
- 外部公開範囲：インターネットから到達できるサーバー、ファイアウォールと VPN 機器、メールの設定（SPF、DKIM、DMARC）、公開ポートとサービス。
- Web サイトと Web アプリケーション：CMS とプラグインのバージョン、既知の脆弱性、設定の不備、認証と入力処理の基本的な確認。
- Microsoft 365 と Google Workspace：MFA の適用状況、管理者アカウント、レガシー認証、外部共有、監査ログの設定。
- 内部ネットワーク（オプション）：拠点内からのスキャン。古い OS、パッチ未適用、不要なサービス、共有フォルダの権限。
- 手動検証：スキャン結果を人が確認し、誤検知を除き、実際に悪用できるかを確かめます。
スキャンと診断は違います。スキャンツールは数百件の「可能性」を出します。診断は、そのうちどれが自社で本当に危ないかを決め、直す順番を示す作業です。
進め方
- 範囲の決定対象の IP アドレス、ドメイン、テナントと、診断の時間帯を決めます。本番環境への影響が出ないよう、負荷の高い検査は事前に合意します。
- スキャン複数のツールで自動スキャンを行い、手動で補完します。
- 検証結果を人が確認し、誤検知を除き、悪用の可能性と影響を評価します。
- 報告緊急、高、中、低に分け、修正の順番と具体的な手順を記載した報告書を日本語と英語で提供します。経営層向けの要約を付けます。
- 再診断修正後に対象項目を再確認し、結果を報告書に追記します。
成果物
- 診断報告書（日本語、英語、または両方）。項目ごとの深刻度、根拠、修正手順
- 経営層向けの要約（1 から 2 ページ）
- 修正の順番を示した対応一覧
- 再診断の結果
- 取引先や親会社への提出用の概要（必要な場合）
定期診断（四半期または年 2 回）として継続することもできます。
料金の目安
目安35万円程度から外部公開範囲（IP アドレス数十件程度）と Microsoft 365 の診断、再診断込みの目安です。対象の数、Web アプリケーションの規模、内部ネットワークの有無により変動します。開始前に範囲と金額を確定します。
よくある質問
費用はどのくらいかかりますか？
外部公開範囲と Microsoft 365 の診断で 35 万円程度からが目安です。対象の数、Web アプリケーションの規模、内部ネットワーク診断の有無により変動します。再診断は含まれます。
ペネトレーションテストとの違いは何ですか？
脆弱性診断は弱点を網羅的に見つけて順位付けする作業です。ペネトレーションテストは、その弱点を実際に使って侵入できるかを確かめる作業です。まず診断、必要に応じてテスト、という順番をお勧めします。
本番環境に影響はありますか？
通常のスキャンは影響しません。負荷の高い検査や認証を伴う検査は、事前に時間帯と方法を合意してから行います。
どのくらいの頻度で診断すべきですか？
外部公開範囲は少なくとも年 1 回、公開サーバーや VPN 機器に変更があったときはその都度をお勧めします。継続的に確認したい場合は SecureWatch で監視する方法もあります。
英語での対応はできますか？
はい。打ち合わせ、報告書、経営層向けの説明を日本語と英語の両方で行えます。海外の本社や親会社への報告が必要な場合は、同じ内容を英語で用意します。
修正は自社で行う必要がありますか？
報告書には具体的な修正手順を記載します。社内の IT 担当者やベンダーが修正する前提ですが、CS2 が修正を支援することもできます。