EC用語集・運営・物流・法令・AI

脆弱性診断とは？

読み：ぜいじゃくせいしんだん／Vulnerability assessment

意味: ECサイトやサーバーに、不正アクセスの入口になる弱点（脆弱性）が残っていないかを、ツールや専門家の検査で確かめること。
例: 新しい決済方法の追加やサイトの大きな改修をしたときに、公開前に外部の診断サービスで検査を受け、見つかった問題を直してから公開する、といった使い方が公的なガイドラインで案内されています。

脆弱性診断とは

個人情報保護委員会事務局は、脆弱性を、外部からの不正アクセスに対してシステムの安全性が損なわれる弱点と説明し、建物にたとえると外から入れる「抜け穴」のようなものとしています。

クレジットカード・セキュリティガイドラインでは、脆弱性診断はシステム全体の脆弱性やセキュリティ上の不備を調べるもので、特定の攻撃が成功するかどうかを実際に検証するペネトレーションテストとは、攻撃の成功を実証しない点で異なると説明されています。

ECサイトで脆弱性診断が求められる場面

経済産業省とIPAが2023年3月16日に公開した「ECサイト構築・運用セキュリティガイドライン」は、ECサイトを運営する中小企業向けに、経営者向けの第一部と実務者向けの第二部で構成され、要件ごとに「必須」「必要」「推奨」の区分が示されています。脆弱性診断については、次の2点が必須とされています。

構築時：ECサイトの公開前に脆弱性診断を行い、見つかった脆弱性を対策する
運用時：脆弱性診断を定期的に、またカスタマイズを行った際に実施し、見つかった脆弱性を対策する

カード決済を扱う店舗との関係

クレジットカード・セキュリティガイドライン【6.0版】以降では、EC加盟店のシステムとWebサイトの「脆弱性対策」が指針対策に加わり、その一つとして脆弱性診断またはペネトレーションテストを定期的に行い、必要な修正をすることが挙げられています。カード情報を保持していない（非保持化している）店舗も対象です。SQLインジェクションやクロスサイト・スクリプティングへの対策として、プラグインやソフトウェアを最新に保つことも求められています。

診断を受けていないと何が起きやすいか

IPAの発表によると、経済産業省とIPAが令和4年度に行った調査で、サイバー被害を受けたECサイト運営事業者20社のうち75%が、構築プログラムやCMSの脆弱性を放置していたか、最新版への更新を怠っていました。90%は運用時のセキュリティ対策を行っておらず、1社あたりの顧客情報の平均漏えい件数は約3,800件、事故対応費用の平均は約2,400万円（支出した19社）だったとされています。

診断を活かすためのポイント

診断ツールを使っていても、使い方や診断範囲を理解していないと脆弱性を見逃す場合があるとされています。診断の対象範囲を確認する
プログラムの修正やバージョンアップの後は、機能だけでなく脆弱性の有無も確認する
運用・保守を委託している場合は、委託先から診断結果の提出を受ける
見つかった脆弱性は、診断して終わりにせず確実に修正する
公開前の確認には、外部の診断サービスや診断ツールを使う方法があり、多段階で確認することが勧められています
診断はその時点の確認です。ソフトウェアの更新、管理画面のアクセス制限、改ざんの点検と組み合わせて続けることが大切です。IPAは2026年10月9日の注意喚起でも、未適用の修正パッチがあれば速やかに適用するよう呼びかけています

脆弱性診断のよくある質問

カートのASPやSaaSを使っていても、脆弱性診断は必要ですか？

IPAの「ECサイト構築・運用セキュリティガイドライン」は、SaaSを利用してECサイトを運営する事業者も対象に含めています。どこまでを店舗が、どこからをサービス提供会社が対応するかは、契約や構成によって異なるため、提供会社に確認しておくと安心です。

どのくらいの頻度で受ければよいですか？

IPAのガイドラインの必須要件では、「定期的に」と「カスタマイズを行った際」とされています。具体的な間隔は、サイトの規模や改修の頻度に応じて、制作・保守の委託先と相談して決めるのが現実的です。

脆弱性診断について詳しく読む

出典

2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。

運営・物流・法令・AIのほかの用語

EC用語集の一覧へ