診断サービスの内容

4つの診断の対象と点検の観点

どの診断も、ツールによる自動の検査と、診断員の手作業による確認を組み合わせて行います。ツールだけでは見つけにくい、権限の扱いや画面の流れの弱点を、手作業で確認いたします。

診断	対象の例	主な点検の観点	よりどころとする基準
🖥️ Webアプリケーション	会員ページ・予約・お問い合わせフォーム・管理画面	入力値の扱い・認証・権限・セッション・エラー時の表示	OWASP Top 10:2025・OWASP WSTG・IPA 「安全なウェブサイトの作り方」
🧩 WordPress	企業サイト・ブログ・EC	本体・テーマ・プラグインの版、管理画面の守り、公開されている不要なファイル	OWASP Top 10:2025・公開された脆弱性情報
🌐 ネットワーク	Webサーバー・メールサーバー・VPN 機器	開いているポート・古いソフトウェア・暗号化通信（TLS）の設定	公開された脆弱性情報・CVSS
☁️ クラウド設定	AWS・Google Cloud・Microsoft 365	公開範囲・アカウントの権限・多要素認証・操作の記録	総務省「クラウドの設定ミス対策ガイドブック」

利用者が入力し、ログインし、情報を扱う画面を点検する診断です。

OWASP（Webアプリケーションのセキュリティの国際的な団体）が公開する「OWASP Top 10:2025」の分類と、試験の手引き「Web Security Testing Guide（WSTG）」に沿って確認いたします。

あわせて、 IPA の「安全なウェブサイトの作り方」（改訂第7版）が取り上げる11種類の脆弱性を確認の観点に入れます。

主な確認の項目

WordPress は、W3Techs の調べで全Webサイトの40.1%（2026年10月9日時点）に使われています。

利用が多いぶん、攻撃の対象にもなりやすく、Patchstack の報告では、2025年に新たに見つかった WordPress 周辺の脆弱性11,334件のうち91%がプラグインのものでした。

WordPress 診断では、本体・テーマ・プラグインの一つひとつについて、既知の脆弱性の有無を確認いたします。

主な確認の項目

インターネットから到達できるサーバーや機器を、外側から点検する診断です。

使われていないのに開いているポート、更新されていないソフトウェア、古い暗号化の方式などを確認いたします。

IPA の「情報セキュリティ10大脅威 2026」（組織）では、1位に「ランサム攻撃による被害」、8位に「リモートワーク等の環境や仕組みを狙った攻撃」が挙げられています。
VPN 機器など外部に公開された機器の点検は、こうした脅威への備えの一つです。

主な確認の項目

クラウドの安全は、クラウドの提供者と利用者が分担して守ります。
利用者の側の設定の誤りは、利用者が見つけて直す必要があります。

総務省は2024年4月26日に「クラウドの設定ミス対策ガイドブック」を公表し、利用者の側で取るべき対策を整理しています。
クラウド設定診断では、このガイドブックの観点に沿って、管理画面の設定を確認いたします。

主な確認の項目

脆弱性診断は、対象の弱点を広く洗い出し、一覧にする点検です。
侵入試験は、特定の目的（例：顧客情報まで到達できるか）を定め、実際の攻撃者の手順をたどって確認する試験です。

SecureArc は脆弱性診断を基本とし、侵入試験はご要望に応じてご相談を承ります。
違いの詳しい説明は、コラム「脆弱性診断と侵入試験の違い」をご覧ください。