会社のセキュリティ教科書　第4部 4-13

チェックシート「脆弱性診断を実施していますか」の回答例｜はい・一部・いいえの書き方

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

この設問で取引先が確かめたいこと

• 弱点を放置していないか：Webサイトや業務システムに、知られた弱点（脆弱性）が残っていないか。
• 定期的に見ているか：年1回や大きな改修のあとなど、決まった時期に確かめているか。
• 見つけたら直しているか：診断の結果を受けて、修正と再確認までしているか。
• 範囲：取引で使うサイト・システム（問い合わせフォーム、会員画面、受発注など）が対象に入っているか。

回答例（はい／一部／いいえ）

以下は書き方の例です。御社の実態に合わせて書き換えてください。実態と違う内容をそのまま写すことはしないでください。

「いいえ」でも、代わりの対策と予定が書いてあれば、取引の判断材料として受け取ってもらえることが多いです（取引先の基準によります）。

答える前に確かめる4つのこと

1. 対象：聞かれているのが自社サイトか、取引で使うシステムか。設問の前後や注記を読みます。
2. 日付と方法：最後に診断した日、ツールによる自動診断か専門家の手動診断か。報告書があれば日付を写します。
3. 直した記録：指摘への対応と、再診断の有無。
4. 管理者：制作会社やサーバー会社が管理している場合、診断には管理者の許可が必要です。外部のサービス上のサイトは下の図のとおりです。

IPAの「ウェブ健康診断仕様」は、検査の型を絞った診断なので、脆弱性が見つからなくても安全の宣言にはならない、としています。自動診断だけの場合は「自動診断を実施」と、方法をそのまま書くのが誠実です。

「いいえ」から「はい」にする順番

1. 外から見える範囲を自動で調べる：まず今の状態を知ります。自社が管理するサイトだけを対象にします。
2. 見つかったものを直す：多くはソフトウェアの更新や設定の見直しで直ります。
3. 入力を受ける画面だけ手で確かめる：問い合わせ・会員・決済の画面に絞ると費用を抑えられます。
4. 日付と範囲を控える：次のチェックシートで、そのまま「はい」の根拠に使えます。

費用の目安は脆弱性診断の費用相場、スキャンと診断の違いは脆弱性スキャンと診断の違い、WordPressのサイトならWordPressの点検項目も参考にしてください。

よくある質問

参考にした資料

1. IPA「安全なウェブサイトの作り方」（別冊「ウェブ健康診断仕様」を含む）
2. IPA「中小企業の情報セキュリティ対策ガイドライン」