脆弱性診断サービスは3種類だけ　1回の診断と毎日のモニタリングの違い

2026年10月は、サイトを動かすソフトの修正が続きました。10月21日には、サーバーで動く PHP に重大な脆弱性（ソフトの弱点）が 2 件見つかり、修正版が出ました（PHP 公式 2026年10月21日）。10月28日には WordPress 7.1.4 がセキュリティの修正 13 項目を含めて公開され（WordPress 公式 2026年10月28日）、翌29日には問い合わせフォームのプラグイン Contact Form 7 の修正版 6.2.4 が出ています（セキュリティ対策Lab 2026年10月30日）。

こうしたニュースが続くと、「診断を受けたほうがいいのは分かるが、どのサービスを選べばいいのか」が分からなくなります。この記事は、その迷いをほどくために書きました。

先に答えを言います。脆弱性診断のサービスは、大きく分けて 3 種類だけです。①1 回の診断、②毎日のモニタリング、③ペネトレーションテスト。中小企業は、②の毎日のモニタリングと、年に 1 回の①があれば大丈夫です。③は、カード情報や大量の個人情報を預かる会社が、次に考えるものです。

国の一覧でも、分け方はこの3つ

3 種類という分け方は、国の一覧の区分に沿っています。IPA（情報処理推進機構）は、経済産業省の「情報セキュリティサービス基準」に合ったサービスを一覧にして公開しています（IPA 情報セキュリティサービス基準適合サービスリスト 2026年10月9日更新）。その区分は、情報セキュリティ監査、脆弱性診断、ペネトレーションテスト（侵入テスト）、デジタルフォレンジック、セキュリティ監視・運用、機器検証の 6 つです。

このうち、自社のサイトの弱点を見つけるために使うのは、脆弱性診断、セキュリティ監視・運用、ペネトレーションテストの 3 つです。ほかの 3 つは、規程の監査や、事故のあとの調査、機器の確認のためのものです。そして IPA の一覧では、ペネトレーションテストは「脆弱性診断」のオプションという位置づけになっています。

1回の診断は「その日の写真」

1 回の診断は、その日のサイトの状態を細かく写した写真です。ログインした後の画面やソースコードの中身まで、深く見られるのが強みです。リリースの前や、大きく作り替えたあとに受けると効果があります。取引先に報告書を出すときにも、この形が使われます。

ただし、弱点は写真を撮ったあとにも見つかります。WordPress だけでも、公式のリリースの一覧（WordPress 公式 リリースの一覧）を見ると、2026年9月17日の 7.1.1、9月22日の 7.1.2、10月6日の 7.1.3、10月28日の 7.1.4 と、約 6 週間でセキュリティの修正を含むバージョンが 4 回出ています。9月に撮った写真は、10月末には古くなっているということです。

毎日のモニタリングは「毎日の体温計」

毎日のモニタリングは、外から見える所を自動で毎日確かめ、変化があったら知らせる仕組みです。写真ほど深くは見られませんが、毎日測るので、悪くなった日に気づけます。

なぜ毎日なのか。GMOインターネットグループの KUSANAGI のセミナー（WebTipsチャンネル@KUSANAGI 2026年7月29日公開）では、脆弱性が公表されてから攻撃が始まるまでは、早いもので 4 時間だと話されています。年に 1 回の診断だけでは、残りの 11 か月のあいだに起きたことに気づけません。

私は著書の第6章で、セキュリティを年に 1 回の「イベント」から毎日の「業務」に変えることが大事だと書きました。毎日のモニタリングは、その「業務」を人の注意力に頼らずに回すための仕組みです。

ペネトレーションテストは、いつ要るか

ペネトレーションテストは、攻撃者と同じ手口で、実際に侵入できるかを試すテストです。弱点を広く洗い出す脆弱性診断に対して、「本当に入れてしまうのか」を確かめます。

要るのは、カード情報や大量の個人情報を預かるサービスを動かしている会社です。カード決済のあるネットショップは、クレジットカード・セキュリティガイドライン 6.1版（日本クレジット協会の資料のページ）で、脆弱性診断かペネトレーションテストを定期的に行うことが求められています。それ以外の会社は、まず 1 回の診断と毎日のモニタリングを整えてから考えれば十分です。

3種類の違いを1枚の表に

組み合わせ方は、サイトの中身で決まる

どれか 1 つを選ぶのではなく、組み合わせで考えます。VibeGuard の場合で言うと、毎日のモニタリングはスタンダード（月 5,000 円・税別・3 サイトまで）、1 回の診断はスポット診断（1 回 98,000 円・税別）にあたります（2026年11月3日に料金のページで確認）。

• 会社案内と問い合わせフォームだけのサイト: 毎日のモニタリングだけで始める
• 会員のログインがあるサイト: 毎日のモニタリング ＋ 年に 1 回の診断
• カード決済があるサイト: 毎日のモニタリング ＋ 年に 1 回の診断 ＋ 必要に応じてペネトレーションテスト

迷ったら、まず無料の外からの点検で今の状態を知り、それから上の 3 つのどれに当てはまるかを決めてください。

今日やること

1. 自社のサイトを最後に点検した日を、担当者か制作会社に聞く
2. 次に点検する日を、カレンダーに 1 つ入れる
3. 点検した日が分からなければ、今日、無料診断で今の状態を確かめる

「最後に見たのはいつか」が分かるだけで、写真だけで済ませているのか、体温計もあるのかがはっきりします。

よくある質問

1 回の診断を受けたら、しばらくは安心ですか？

受けた日の時点では安心できます。ただ、弱点は毎月のように新しく見つかります。2026年の9月半ばから10月末までだけでも、WordPress のセキュリティの修正版は 4 回出ました。1 回の診断は「その日の写真」と考え、あいだを毎日のモニタリングで埋めるのがおすすめです。

毎日のモニタリングだけで、1 回の診断は要りませんか？

会社案内のサイトなら、毎日のモニタリングで十分なことが多いです。会員のログインやカード決済がある場合は、ログインした後の画面やソースコードは外からのモニタリングでは見えないので、年に 1 回は中身まで見る診断を足してください。

ペネトレーションテストは、中小企業にも必要ですか？

多くの中小企業では、最初から必要ではありません。IPA の一覧でも、ペネトレーションテストは脆弱性診断のオプションという位置づけです。カード情報や大量の個人情報を預かるサービスを動かしている会社が、診断の次に考えるものです。

モニタリングで問題が見つかったら、誰が直しますか？

直すのは、サイトを作った制作会社か社内の担当者です。モニタリングの役目は、問題に早く気づいて知らせることです。VibeGuard のスタンダード以上では、所有者確認が済んだサイトについて詳しい理由と直し方が見られるので、そのまま制作会社に渡せます。

どの種類が自社に合うかは、今の状態を見てから決めれば十分です。会社のドメインのメールアドレスでVibeGuard の無料診断を受けると、点数と問題の名前が届きます。結果の読み方は診断結果の読み方と直す順番にまとめています。

書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』。

出典

• PHP 公式 2026年のお知らせ（10月21日 重大な脆弱性の修正）
• WordPress 公式 WordPress 7.1.4（2026年10月28日）
• WordPress 公式 リリースの一覧
• セキュリティ対策Lab 2026年10月30日（Contact Form 7 6.2.4）
• IPA 情報セキュリティサービス基準適合サービスリスト（2026年10月9日更新）
• WebTipsチャンネル@KUSANAGI 2026年7月29日（公表から攻撃まで早いもので4時間）
• 日本クレジット協会 クレジットカード・セキュリティガイドライン 資料のページ（6.1版）
• 江藤正親『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』
• VibeGuard 料金（2026-11-03 確認）
• VibeGuard 無料診断（2026-11-03 確認）