脆弱性診断とは？ぜいじゃくせいしんだん
脆弱性診断とは、システムや Web アプリケーションに、既に知られている弱点（脆弱性）や設定の誤りが無いかを、ツールと人の手で網羅的に調べて一覧にする検査。サーバや OS を調べるプラットフォーム診断と、Web アプリの入力欄などを調べる Web アプリケーション診断に分かれる。目的は弱点を洗い出して対策の優先度を決めることで、実際に侵入できるかを試すことではない。
最終更新：2026-10-10
この語が出る過去問を解く →背景
開発後に弱点が残っていると、公開後に悪用されて情報漏えいにつながる。作り手とは別の目で、既知の攻撃パターンに当てはまる箇所が無いかを確かめる工程として行う。
具体例
IPA（情報処理推進機構）は、Web サイトの最低限の脆弱性診断の項目を「ウェブ健康診断仕様」として公開している。科目 B の過去問（fe-2022s-kamokuB-17）でも、A 社が診断会社に Web サイトの脆弱性診断を依頼し、指摘事項への対策を考える形で出題された。
試験での引っ掛け
ペネトレーションテスト（侵入テスト。攻撃者の立場で実際に侵入できるかを試す）と取り違えやすい。脆弱性診断は「弱点の網羅的な洗い出し」、ペネトレーションテストは「侵入の成否の確認」。また、開発済みのシステムに後から診断をかけるのは、企画・設計段階から作り込むセキュリティバイデザインではない。
関連用語
出た過去問
出典：令和4年度 公開問題 基本情報技術者試験 科目B 問17（IPA）
製造業のA社では、ECサイト（以下、A社のECサイトをAサイトという）を使用し、個人向けの製品販売を行っている。Aサイトは、A社の製品やサービスが検索可能で、ロ…
正解：項番1: B社, 項番2: C社, 項番3: B社
要点：PaaSではOS・ミドルは事業者、アプリは利用者側の責任
責任の分界点は、誰がその層を管理しているかで決まります。PaaSではOSやミドルウェアの管理は事業者側の範囲なので、アプリケーションサーバのOSとDBMSの既知の脆弱性への対処はPaaS提供者であるB社が担います。一方、クロスサイトスクリプティングはWebアプリケーションプログラムの脆弱性であり、委託契約で対策を担うと定めたC社が対処します。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。