セキュリティチェックシートで「脆弱性診断を実施していますか」と聞かれたときの答え方
公開 5 分で読めます
この記事の要点
- 脆弱性診断の設問で取引先が確かめているのは、実施の有無だけではありません。頻度・対象範囲・方法・実施者・見つかった脆弱性の是正までを、続けて確認されることが多くあります。
- 回答はこの 5 つの要素をそろえて書き、直近の実施日を添えます。添付を求められた場合は、実施の記録と件数の要約を出し、未修正の脆弱性の詳細は出しません。
- まだ実施していない場合は、事実と開始の予定を書きます。根拠のない「はい」が後から分かることのほうが、取引先の信頼を大きく損ないます。
目次
取引の開始や更新のときに、取引先からセキュリティチェックシートが届くことがあります。設問の中でも、脆弱性診断の項目は「はい」か「いいえ」だけでは終わりません。
頻度や対象範囲、見つかった脆弱性への対応まで、続けて聞かれるのが一般的です。このページでは、回答の型と回答例、添付資料の選び方、まだ実施していない場合の答え方を順に説明します。
取引先が確かめようとしていること
取引先がチェックシートで知りたいのは、自社のデータや業務を預けても問題がないかという点です。脆弱性診断の設問では、次の 4 点が見られています。
| 確かめられている点 | 設問の例 |
|---|---|
| 実施しているか | 外部に公開しているシステムに対して、脆弱性診断を実施していますか |
| 定期的か | 診断の頻度と、直近の実施日を記入してください |
| 範囲は適切か | 診断の対象に、当社のデータを扱うシステムは含まれていますか |
| 直す仕組みがあるか | 検出された脆弱性への対応手順と期限は定められていますか |
このほかに、診断を第三者が実施しているか、診断結果を提出できるかを聞く設問もよく見られます。
設問の言い回しは取引先ごとに違いますが、確かめたいことはこの 4 点にほぼ集約されます。回答を書く前に、自社の状況をこの 4 点で整理しておくと、どの形式のチェックシートにも対応できます。
回答に入れる 5 つの要素
「実施しています」の一言だけでは、取引先は追加で質問するしかありません。最初の回答に次の 5 つの要素を入れると、やり取りが一度で終わります。
- 頻度：毎月、四半期ごと、年 1 回のどれか。直近の実施日も添えます。
- 対象範囲：診断したシステムの名前と種類。Web アプリケーション、API、公開サーバーのどれが入っているかを書きます。
- 方法：自動の診断ツールによる診断か、診断員による手動の診断か。
- 実施者：自社で実施しているか、外部のサービスや診断会社に委託しているか。
- 是正：重大度ごとの是正期限と、修正後に解消を確認する手順。
回答例
外部に公開している Web アプリケーションと API を対象に、毎月 1 回、外部サービスによる自動の脆弱性診断を実施しています。直近の実施日は 2026 年 10 月 15 日です。
検出された脆弱性は、重大度に応じて是正期限を定めて対応し、修正後の診断で解消を確認しています。
年 1 回、診断会社に手動の診断を委託している場合は、頻度・方法・実施者の部分をその内容に置き換えます。手動の診断と自動の診断を組み合わせている場合は、両方を書きます。
「はい」と書く前に確かめること
範囲がずれていないか
取引先が気にしているのは、自社のデータを扱う部分が診断されているかです。公開ページだけを診断していて、ログインした後の画面や API が対象外であれば、範囲は取引先の期待とずれています。
この場合は、診断した範囲を正確に書きます。範囲外の部分があることを書いたうえで、広げる予定があれば時期を添えます。
直近の実施日が古くないか
多くのチェックシートは直近の実施日を聞きます。定期的に実施していると回答していても、直近の実施日が 1 年以上前であれば、回答と日付が合わなくなります。
重大な脆弱性を放置していないか
診断で重大な脆弱性が見つかり、そのまま残っている状態で「実施しています」とだけ書くと、結果の提出を求められたときに説明がつきません。是正の期限と進み具合を示せる状態にしておくことが、回答の前提になります。
実施者を正確に書いているか
自社でツールを使って診断している場合に、第三者による診断のように書くことは避けます。第三者による診断を求める設問であれば、自社で実施していることをそのまま書き、必要に応じて外部への委託を検討します。
添付してよい資料と出してはいけない資料
診断結果の提出を求められたときに、診断の報告書をそのまま送るのは適切ではありません。報告書には、未修正の脆弱性がどこにあり、どう再現できるかが書かれています。外部に渡せば、攻撃者にとっての地図になり得ます。
| 出してよいもの | 出さないもの |
|---|---|
| 実施日・対象・範囲を記載した実施の記録 | 脆弱性が見つかった URL やパラメータ |
| 重大度ごとの件数と、前回からの変化 | 再現の手順や、攻撃に使える値 |
| 是正の状況の要約と是正期限の方針 | 未修正の脆弱性の詳細 |
詳細の開示を強く求められた場合は、秘密保持契約を結んだうえで、修正済みの所見に限って説明する方法があります。
まだ実施していない場合の答え方
実施していない場合は、その事実を書きます。そのうえで、開始の予定と時期を添えます。
現在、定期的な脆弱性診断は実施していません。2026 年 12 月から、外部に公開している Web アプリケーションを対象に、毎月の自動の脆弱性診断を開始する予定です。
現時点では、利用しているライブラリの更新を月次で管理し、リリース前にコードレビューを実施しています。
「いいえ」と書くことよりも、根拠のない「はい」が後から分かることのほうが、取引先の信頼を大きく損ないます。予定を書いた場合は、次の更新のときに実施の記録を示せるように準備を進めます。
年 1 回の診断と毎月の診断の違い
年 1 回の診断の報告書が示すのは、実施した日の状態です。チェックシートが届いたのが診断の 10 か月後であれば、直近の実施日は 10 か月前になります。
その間にも、新しい脆弱性は毎月公表されます。利用している製品やライブラリに新しい脆弱性が見つかれば、前回の診断で問題がなかった部分も影響を受けます。
毎月の診断であれば、いつチェックシートが届いても、直近 1 か月以内の実施の記録があります。手動の診断と組み合わせる場合は、年 1 回の手動の診断で深く調べ、その間を毎月の診断で埋める形が一般的です。
SPHIOR で回答の根拠をそろえる
SPHIOR のセキュリティ診断は、外部に公開しているサイトを毎月同じ手順で診断し、新しく公表された脆弱性の検査も毎月取り込みます。ログインが必要な画面や API も、診断に必要な情報を登録すれば対象に入ります。
毎月の診断の結果は、実施日・対象・範囲・重大度ごとの件数・前月からの変化を記載したレポートとして出力でき、お使いの端末で PDF に保存できます。チェックシートの回答に書いた頻度や範囲と、添付する記録の内容がそのまま一致します。
SPHIOR の診断は自動の脆弱性診断で、診断員によるペネトレーションテストの代わりではありません。取引先から手動の診断を求められた場合は、診断会社への委託とあわせてご利用ください。
診断で行う確認の内容と、対象への影響は「任意で追加できる診断の内容と影響」で説明しています。料金は料金ページをご覧ください。