セキュリティ診断で実際にわかること・わからないこと

公開日：2026年10月10日（下書き）

診断でわかる4つのこと

1. 弱点の場所：どの画面・どの URL・どの設定に弱点があるか
2. 弱点の種類：OWASP Top 10:2025 などの分類のどれに当たるか
3. 危険の大きさ：悪用されたときに何が起こり、どれほど深刻か（重大度）
4. 直し方：根本の修正と、すぐにできる応急の対策

ツールの検査と、手作業の確認の違い

方法	見つけやすい弱点	見つけにくい弱点
🤖 ツールの検査	古いソフトウェアの版・入力欄の典型的な弱点・設定の誤り	他人の情報が見える等の権限の不備・画面の流れの抜け道
🧑‍💻 手作業の確認	権限の不備・画面の流れの抜け道・業務の手順に固有の弱点	（ツールと組み合わせて補う）

OWASP Top 10:2025 で1番目に挙げられている「Broken Access Control（アクセス制御の不備）」は、「誰がどの情報を見てよいか」というお客様の業務の決まりを知らないと判定できません。
このため、ツールの検査だけでなく、診断員の手作業による確認が欠かせません。

診断だけではわからないこと

• 診断の後に見つかる弱点：ソフトウェアの新しい弱点は日々公表されます。
• 取り決めた範囲の外：診断の対象に入れなかったシステムは確認できません。
• 人の行動による被害：メールの添付ファイルの開封や、パスワードの使い回しは、Webサイトの診断の対象外です。

診断は、ある時点の「健康診断」です。
定期の再診断と、日々の更新の運用を組み合わせることで、効果を保てます。

診断の結果を受け取ったら

報告書の読み方は、コラム「セキュリティ診断の報告書の読み方」で説明しています。
改善の進め方は、コラム「診断の後の改善の進め方」をご覧ください。