脆弱性診断とは？ぜいじゃくせいしんだん
脆弱性診断とは、サーバ（サービスを提供する側のコンピュータ）やWebサイト、ネットワーク機器に、すでに知られている弱点（脆弱性）が残っていないかを、専用の検査ツールや専門家の手で洗い出す検査。設定の誤りや、修正プログラム（パッチ）の当て忘れを見つけることが目的で、見つけた弱点を直すのは診断の後の別の作業になる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
ソフトウェアの弱点は毎日のように新しく公表され、攻撃者はそれを狙ってくる。担当者が自社のサーバを1台ずつ目で確かめていては追いつかないので、知られている弱点の一覧を持ったツールで機械的に総当たりし、漏れなく見つける方法が広まった。
具体例
ECサイトを公開する前に、NRIセキュアテクノロジーズのような専門会社に脆弱性診断を頼むと、「入力欄に命令を紛れ込ませる攻撃（SQLインジェクション）が通る画面がある」「古い版のソフトが動いている」といった指摘が深刻さの順に報告書で返ってくる。会社はそれを見て、公開前に直す所と後回しにする所を決める。
試験での引っ掛け
ITパスポートでは、ソーシャルエンジニアリング（人をだまして情報を聞き出す手口）への対策を選ばせる問題で、脆弱性診断が誤りの選択肢として並ぶ。脆弱性診断は機械やソフトの弱点を調べる技術的な対策で、人の油断には効かない。人への対策は従業員教育である。また、知られた弱点を網羅的に探す脆弱性診断と、攻撃者の立場で実際に侵入を試すペネトレーションテストは別物として区別される。
関連用語
出た過去問
出典：平成26年度 秋期 ITパスポート試験 問62（IPA）解説で登場
ペネトレーションテストの説明として、適切なものはどれか。
正解：システムに対して、実際に攻撃して侵入を試みることで、セキュリティ上の弱点を発見する。
要点：ペネトレーションテストは実際に侵入を試みる脆弱性検査
ペネトレーションテストは、攻撃者の視点で実際に侵入を試みることで、防御の隙や設定の不備を実地に洗い出す検査である。机上の点検では見つけにくい弱点を、実際に悪用可能かどうかという観点で確認できる点に意義がある。
出典：平成28年度 春期 ITパスポート試験 問58（IPA）解説で登場
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。