チェックシート「脆弱性診断を実施していますか」の回答例｜はい・一部・いいえの書き方

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑悠太

結論：この設問には、「いつ」「どのサイト（システム）を」「どの方法で」診断したかを書けば答えになります。受けたことがなければ「いいえ」で構いません。そのときは、代わりにしている対策（更新の適用など）と、いつまでに診断を受けるかを1〜2文で添えてください。

取引先が見ているのは「診断を受けたことがあるか」だけでなく、「弱点を見つけて直す流れがあるか」です。受けていないのに「はい」と書くのはやめてください。

この設問で取引先が確かめたいこと

以下は書き方の例です。御社の実態に合わせて書き換えてください。実態と違う内容をそのまま写すことはしないでください。

回答	回答例
はい	「自社のWebサイト（問い合わせフォームを含む）について、年1回および大きな改修のあとに、外部の事業者による脆弱性診断を受けている（直近：20XX年X月）。指摘事項は修正し、再診断で解消を確認した。」
一部	「Webサイトは20XX年X月に自動診断ツールによる診断を実施した。業務システム（受発注）は未実施で、20XX年X月までに診断を受ける予定。」
いいえ	「外部の脆弱性診断は未実施。代わりに、サイトのソフトウェア（CMS・プラグイン等）の更新を月1回確認して適用している。20XX年X月までに外部の診断を受ける予定。」
該当なし	「自社でWebサーバーを管理しておらず、サイトは外部のサービス上で運用している。管理画面の多要素認証と権限の見直しで代替している。」

「いいえ」でも、代わりの対策と予定が書いてあれば、取引の判断材料として受け取ってもらえることが多いです（取引先の基準によります）。

対象：聞かれているのが自社サイトか、取引で使うシステムか。設問の前後や注記を読みます。
日付と方法：最後に診断した日、ツールによる自動診断か専門家の手動診断か。報告書があれば日付を写します。
直した記録：指摘への対応と、再診断の有無。
管理者：制作会社やサーバー会社が管理している場合、診断には管理者の許可が必要です。外部のサービス上のサイトは、サービス事業者がサーバーを管理しているため、外からの診断の対象にならないことがあります。

IPAの「ウェブ健康診断仕様」は、検査の型を絞った診断なので、脆弱性が見つからなくても安全の宣言にはならない、としています。自動診断だけの場合は「自動診断を実施」と、方法をそのまま書くのが誠実です。

スキャンと診断の違いは脆弱性スキャンと診断の違い、WordPressのサイトならWordPressの点検項目も参考にしてください。

無料のスキャンを受けただけで「はい」と書けますか？

「自動診断（スキャン）を実施」と方法を明記すれば書けます。専門家の診断と同じに見える書き方は避けてください。取引先が手動診断を求めているかは、設問の注記で確かめます。

サイトを制作会社に任せています。どう書けばいいですか？

制作会社が診断や更新をしているなら、その内容と日付を確かめて書きます。誰も診断していなければ「いいえ」とし、制作会社と相談して予定を書きます。

どのくらいの頻度で受ければ「はい」と言えますか？

決まった基準はシートごとに違います。年1回と大きな改修のあとが目安としてよく使われます。

Moshiruは、取引先から届いたセキュリティチェックシートの回答を、打合せなしで作ってお返しします。「いいえ」の項目も、代わりの対策と予定まで書きます。診断の材料が必要なら、許可をいただいた自社サイトを外から見える範囲で調べる無料スキャンもあります。