脆弱性診断レポートの見方｜報告書の読み方と診断後にやること

「Webサイトの脆弱性診断を受けたはいいものの、送られてきた報告書が専門用語だらけでさっぱりわからない…」

「たくさんの問題点が見つかったけど、一体どこから手をつければいいんだろう…？」

そんな悩みを抱えていませんか？

まず確認したいのは、「どこに問題があるのか」と「どれくらい危険なのか」です。

この記事では、報告書で見るべきポイントと、制作会社へ修正を相談する方法をご紹介します。

診断サービスの選び方については、診断サービス比較・選び方・料金の全体像も参考にしてみてください。

セキュリティー診断さん

診断報告書って、分厚くて文字がいっぱい…。 これ、全部読まないとダメなのかな？ なんだか難しそうだよ…。

脆弱性診断報告書でまず見ておきたいポイント

報告書には普段あまり聞かない言葉も多いため、「どこから見ればいいの？」と迷ってしまう方もいるでしょう。

まず確認したいのは、「どこに問題があるのか」と「会社や顧客にどのような影響が考えられるのか」です。

この2つを押さえておけば、制作会社へ何を相談すればよいのかが見えやすくなります。

まずは「まとめ」と「危険度」を見る

報告書を最初から最後まで、一字一句すべて読む必要はありません。

まずは次のポイントを読むことで、「自社のサイトにどの程度の問題が見つかったのか」を大まかにつかめます。

• 「総合評価」「サマリー」：サイト全体でどの程度の問題が見つかったか
• 「危険度」：「重大」「高」「中」「低」など、問題の深刻さ

報告書によっては、「CVSS」という数値も記載されています。

CVSSとは、脆弱性がどれくらい危険なのかを0.0〜10.0の数字で表す共通の指標です。

数字が大きいほど危険度も高くなるため、「重大」「高」といった表示とあわせて確認すると、優先して見るべき問題がわかりやすくなります。

まずは危険度の高い項目から目を通し、どこから直すかは制作会社と相談して決めていくのがおすすめです。

問題箇所と会社・顧客への影響を確認する

危険度とあわせて、「どの画面や機能に問題があるのか」も見ておきましょう。

報告書に「事業への影響」が書かれていれば、こちらも大切な確認ポイントです。

例えば、会員ページに「他の顧客情報が見られる可能性がある」と書かれていれば、顧客の個人情報に関わる問題だとわかります。

その指摘を制作会社へ見せれば、「どの情報に影響するのか」「どこまで修正が必要なのか」といった相談ができます。

もちろん、問題を指摘されたからといって、すでに情報が漏れていると決まったわけではありません。

自分たちだけで危険性を判断するのが難しいときは、診断会社や修正を担当する会社へ確認しましょう。

セキュリティー診断さん

全部を一度に理解しなくても、問題がある場所と会社への影響を見ればいいんだね！ わからないところや直す順番は、相談してみよう！

「対策方法」は制作会社への相談材料に

報告書に「対策方法」が書かれていれば、その部分も制作会社へ共有しましょう。

内容によっては専門的な説明もありますが、具体的な修正方法まで自分たちで理解してから依頼する必要はありません。

問題が見つかった場所や影響の説明とあわせて渡せば、そのまま制作会社へ相談するための資料として使えます。

セキュリティ診断を外部委託するメリットについては、セキュリティ診断を外部委託するメリットと選び方も参考にしてみてください。

報告書は制作会社への修正相談にそのまま使える

脆弱性診断の報告書は、内容を確認して終わりではありません。

自社のWebサイトをより安全にするために、そのまま制作会社へ渡して修正の相談に使いましょう。

診断内容は診断会社へ、修正は制作会社へ相談する

診断結果について質問する相手と、実際にWebサイトを修正する相手は、同じとは限りません。

• 診断内容でわからない点は診断会社へ確認：摘された画面や機能、想定される影響の意味がわからない場合は、報告書を見せながら説明してもらいましょう。
• 修正は改修担当者へ依頼：制作会社や開発会社、社内エンジニアなど、Webサイトの設定やプログラムを変更できる担当者へ相談します。

制作会社には、報告書を見せながら「どこから直すべきか」「費用や日程はどれくらいかかるのか」を確認してみましょう。

例えば、次のように伝えれば、話を始めやすくなります。

脆弱性診断の報告書をお送りします。優先して修正すべき箇所と、対応に必要な費用・日程をご相談したいです。

制作会社へ相談しても判断が難しい部分があれば、診断会社に補足してもらい、その内容を制作会社へ共有すればスムーズです。

修正後は必要に応じて再点検を

制作会社から修正完了の連絡を受けたら、必要に応じて診断会社へ再点検や再診断を依頼しましょう。

指摘されていた脆弱性が、きちんと解消されたか確認できます。

診断サービスによっては、「差分レポート」が提供されることもあります。

これは、前回と今回の診断結果を比べて、何が変わったのかを確認するための資料です。

内容の見方や追加対応の必要性がわからない場合も、診断会社や制作会社へ相談できます。

次回の診断時期は、脆弱性診断の頻度とタイミングを参考にしてみてください。

診断方法の選択は、Webアプリ脆弱性診断の選び方で無料ツール、商用ツール、診断サービスの違いを確認できます。

セキュリティー診断さん

制作会社から修正完了の連絡をもらったら、必要に応じて診断会社に再点検を頼めばいいんだね！

診断を受ける際は報告書のわかりやすさにも注目

「診断は受けたいけれど、報告書を読んでも内容がわからなかったらどうしよう…」

そんな不安がある方は、診断サービスを選ぶときに「報告書のわかりやすさ」にも注目してみましょう。

診断結果がわかりやすく書かれていれば、その後の修正について制作会社へ相談しやすくなります。

そうした使いやすさにも配慮されているのが、『セキュリティー診断さん』です。

『セキュリティー診断さん』は、AIを活用してWebサイトの安全性をチェックするサービスです。

専門知識がない方でもセキュリティ対策を進めやすいように作られています。

公式サンプルレポートでは、診断全体の概要だけでなく、事業への影響や推奨される対応の優先度なども確認できます。

また、見つかった問題ごとに「重大度」と「影響」が示されるため、制作会社へどの内容を相談すればよいのかも把握しやすいです。

診断後に制作会社へ相談しやすい報告書になっているかも、サービスを選ぶうえで大切なポイントです。

セキュリティー診断さん

この報告書なら僕でも理解できそう！ 危険度のランクが書いてあるのは、すごく助かる！

報告書を活かして、Webサイトの修正につなげよう

脆弱性診断の報告書は、見つかった問題を確認し、必要な修正へつなげるための大切な資料です。

まずは「まとめ」や「危険度」を確認し、気になる指摘があれば報告書を制作会社へ共有して相談してみましょう。

内容について確認したいことがあれば、診断会社にも相談しながら進められます。

これから診断を受ける方は、『セキュリティー診断さん』の公式サンプルレポートも参考に、診断後に修正へつなげやすい報告書かどうかを確認してみてください。

診断結果を修正につなげるためにも、報告書を制作会社との相談に活かしてみましょう。

セキュリティー診断さん

ヨシ！ 手元の報告書を制作会社に渡して、修正の相談をしてみよう！ (๑•̀ㅂ•́)و✧