セキュリティ診断の報告書の読み方

公開日：2026年10月10日（下書き）

読む順番：要約 → 一覧 → 詳細

1. 総合評価（要約）：重大度ごとの件数と、最初に直すべき項目を確認します。経営者の方は、ここだけで判断の材料がそろうように作られています。
2. 指摘の一覧：全項目の重大度と、改善の目安の時期を確認します。
3. 指摘の詳細：修正を担当する方が、箇所・再現手順・改善策を確認します。

重大度と CVSS の点数

診断の報告書では、弱点の深刻さを CVSS（Common Vulnerability Scoring System。共通脆弱性評価システム）の点数で示します。SecureArc の報告書も、この点数の区分を参考にしています。
CVSS は FIRST という国際的な団体が公開している指標で、0.0から10.0の点数で表します。

区分（原文）	点数
None	0.0
Low	0.1〜3.9
Medium	4.0〜6.9
High	7.0〜8.9
Critical	9.0〜10.0

この区分は、 CVSS の版 3.1 と 4.0 で同じです。
なお FIRST は、点数を文字の区分に置き換えることを任意としています。報告書ごとに区分の名前（「緊急」「高」等）が違う場合は、報告書の凡例を確認します。

再現手順の読み方

再現手順は、「誰が・どの画面で・何をすると・何が起きるか」を順に書いたものです。
修正の担当者は、修正の後に同じ手順を試し、弱点が消えたことを確認しられます。

改善策の読み方

• 根本の修正：弱点そのものを無くす対策（プログラムの修正・ソフトウェアの更新）
• 応急の対策：根本の修正までの間、危険を小さくする対策（機能の一時停止・アクセスの制限）

緊急・高の指摘は、応急の対策をすぐに取り、根本の修正の日程を決めます。

報告書の実例

SecureArc の報告書の構成は、架空の会社で作成した「報告書サンプル」でご覧いただけます。