プラットフォーム診断とは？Webアプリ診断との違いと、自社に要るかの判断・頼むときに決める5つ

「見積もりに『プラットフォーム診断』と『Webアプリケーション診断』が別の行で並んでいる…」
「クラウドに載せているのに、サーバーの診断まで要るの？」

自社のWebサービスや業務システムを外に公開している会社が、診断の見積もりや取引先のチェックシートで突き当たる疑問です。

2つは同じ脆弱性診断（セキュリティ診断）の中の種類で、見る層が違います。違いが分からないまま片方だけ頼むと、見ていない層の穴がそのまま残ります。

本記事では、プラットフォーム診断とは何かと、Webアプリ診断との違いを、脆弱性診断を行う開発会社が解説します。自社に要るかの判断と、頼むときに決める5つも扱います。

プラットフォーム診断の悩み：こんなことありませんか？

困りごとの正体は、2つの診断が「どの層を見るか」で分かれていることを知らないまま、見積もりを比べていることです。

見積もりに2つの診断が別の行で並んでいる

診断会社の見積もりでは、Webアプリ診断は画面やAPIの本数、プラットフォーム診断はIPアドレスの数で金額が決まります。単位が違うので、合計だけでは何を見てもらえるのか分かりません。

片方を削って安くすると、その層は誰も見ていない状態になります。見積もりの内訳の読み方は、脆弱性診断の費用相場と見積もりの中身で解説しています。

クラウドに載せているのに、サーバーの診断は要るのか

サーバーを自分で立てていない会社ほど、ここで止まります。答えは「どこまでをクラウドの会社に任せているか」で変わります。

任せている範囲は提供する会社の責任、自社が設定した範囲は自社の責任です。この切り分けは4章で行います。

「IPアドレスはいくつですか」と聞かれて答えられない

プラットフォーム診断の見積もりは、対象のIPアドレスとホスト名の一覧から始まります。一覧がないと見積もりが出ず、出ても範囲の抜けに気づけません。

3つとも、プラットフォーム診断が何を見る検査かを知れば解けます。まず検査の中身から整理します。

プラットフォーム診断とは？入口と古さを調べる検査

プラットフォーム診断は、サーバーやネットワーク機器に外から通信を送り、開いている入口（ポート）を調べる検査です。入口で動いているOS・ミドルウェア（Webサーバーやデータベースなどのソフト）の版や設定に、知られた穴がないかも調べます。ネットワーク診断、サーバー診断と呼ぶ会社もあります。

見るもの：開いている入口、動いているソフトの版、設定

対象のIPアドレスに対して、どの入口が外から開いているかを一覧にします。開いている入口ごとに、そこで動いているソフト（Webサーバー、データベース、リモート接続）の種類と版を読み取り、公表済みの穴の一覧と照らします。

管理画面が外から見える、初期のパスワードのまま、暗号化の設定が古い、といった設定の不備もここで見つかります。

やり方：外からと、社内ネットワークの中からの2通り

インターネット側から試すのが「外部」の診断で、公開サイト・VPN機器・メールサーバーが対象です。社内ネットワークにつないで試すのが「内部」の診断で、社員の端末から届くサーバーや機器を見ます。

どちらもNmapやNessusのような道具で広く走査し、結果を人が確かめて報告書にします。道具だけの診断と人が確かめる診断では、誤った指摘の混ざり方が違います。

分かること・分からないこと

分かるのは「外から届く入口と、その土台に知られた穴があるか」です。分からないのは、ログインした先の権限の抜けや、自社で書いたプログラムの穴です。そこはWebアプリ診断の受け持ちです。

脆弱性診断の全体像（やり方、ツールと手動の違い、報告書から直す順番）は、脆弱性診断とは？やり方とツール・手動の違いで解説しています。

この3つを押さえると、Webアプリ診断との違いがはっきりします。次の章で並べて比べます。

Webアプリ診断との違い：見る層が違う

Webアプリ診断は自社で作ったプログラムの中身を、プラットフォーム診断はそのプログラムが載っている土台を見ます。

層の違い：アプリの中か、その下か

システムは、自社で作ったアプリ、それを動かすWebサーバーやデータベース、その下のOSとネットワーク、という層で成り立っています。Webアプリ診断は一番上の層を、プラットフォーム診断はその下の層を見ます。

IPAの情報セキュリティサービス基準の適合サービスリストでも、脆弱性診断サービスは3つに分けて定義されています（2026年10月9日掲載版）。Webアプリケーション・プラットフォーム・スマートフォンアプリケーションの3つです。

見つかる穴の違い：権限と入力の穴か、古い版と開いた入口か

Webアプリ診断で見つかるのは、ほかの利用者のデータが見える権限の抜け、入力欄からデータベースを操作される穴、ログインの作りの弱さです。自社のコードが原因なので、直すのは開発側です。

プラットフォーム診断で見つかるのは、更新されていないOSやミドルウェア、外から見えるべきでない入口、初期のままの設定です。直すのは更新・閉じる・設定の変更で、サーバーを運用する側の仕事です。

時期の目安は、クレジットカードの基準PCI DSS（v4.0.1）の決め方に合わせています。公開Webアプリの診断は少なくとも12か月に1回と大きな変更後、外部からの走査は少なくとも3か月に1回と、別々に決められています。

取引先のチェックシートで両方を聞かれたら、「Webアプリ診断は実施、プラットフォーム診断は未実施」のように分けて答えます。自社に両方要るかは、次の章で決めます。

自社に要るか：サーバーをどこまで自分で持っているかで決める

自分で立てたサーバー、VPS、VPNなどのネットワーク機器があれば要ります。コードを渡せば動くクラウドなら、土台の診断は提供する会社の責任で、自社が頼む範囲は小さくなります。

要る：自前のサーバー・VPS・VPN機器が外から見えている

データセンターやVPSにOSから自分で入れたサーバー、社外からつなぐVPN機器、自社で管理するメールサーバーは、更新と設定を自社がやっています。更新が止まっていれば、そこが入口になります。

金融庁が2024年10月に出した金融分野のサイバーセキュリティのガイドラインでも、VPN機器など外部に直接つながる機器を診断の範囲に含めることが、基本的な対応事項に挙げられています。外部に公開するサイトとAPIは、プラットフォーム診断に加えてWebアプリケーション診断も行うこととされています。金融以外の会社にも、分け方の目安になります。

範囲が小さい：コードを渡せば動くクラウド

コードを渡せば動く形のクラウド（PaaS・フルマネージド）では、OSやミドルウェアの更新は提供する会社がやります。自社が外から走査しても、見えるのは提供会社の共通の入口で、自社だけの穴は出ません。

代わりに見るのは、クラウドの管理画面の設定です。公開範囲、権限、鍵の置き場所は自社の責任で、ここはプラットフォーム診断ではなくクラウド設定診断の受け持ちです。設定の点検の進め方は、クラウドの脆弱性対策・管理の進め方で解説しています。

両方要る：OSを自分で管理する公開サイト

AWSのEC2のように、仮想サーバーを借りてOSから自分で入れている形は、自前のサーバーと同じ扱いです。公開サイトなら、土台にプラットフォーム診断、アプリにWebアプリ診断の両方が要ります。

まず土台の診断で開いた入口と古い版を閉じ、それからアプリの診断に進みます。土台が古いままだと、アプリの診断で見つけた穴を直しても、別の入口から入られます。

自社の構成がどれかを決めたら、頼むときに伝えることを用意します。次の章は、プラットフォーム診断を頼むときに決める5つです。

プラットフォーム診断を頼むとき：決めること5つ

対象の一覧、外からか中からか、通信を送る時間帯、クラウドの許可、直す人。この5つを先に決めて渡すと、同じ条件で見積もりを比べられ、報告書を受け取ってすぐ動けます。

ステップ①：対象のIPアドレスとホスト名を書き出す

自社名で持っているドメイン、固定IP、クラウドの契約、外注先が立てた検証環境まで一覧にします。見積もりはIPアドレスの数で決まり、公開されている料金表にはIP 10件以内で10万〜30万円の例があります（cloudpackの費用ガイド、2026年10月確認）。

一覧に無い入口は診断されません。自社が把握していない公開サーバーを先に洗い出す考え方は、ASMで「知らない入口」を減らす進め方で解説しています。

ステップ②：外からだけか、社内ネットワークの中からも見るか

公開サーバーだけなら外部の診断で足ります。社員の端末から届くファイルサーバーや古い機器まで見るなら、内部の診断を足します。

内部の診断は、診断する人が社内ネットワークにつなぐ必要があります。接続の手段と日程も、このときに決めます。

ステップ③：通信を送ってよい時間帯と、止め方

プラットフォーム診断は本番のサーバーに通信を送ります。走査で処理が重くなることがあるので、時間帯、異常が起きたときの連絡先、止める手順を書面で決めます。

ステップ④：クラウドの会社の許可を確かめる

借りている仮想サーバーに走査をかけるときは、クラウドの会社の規約を確かめます。事前の申請が要る会社、対象や方法に制限がある会社があります。

何が要るかは診断会社に聞けば分かります。申請するのは、契約している自社です。

ステップ⑤：直す人と、再診断を決める

指摘の多くは「版が古い」「入口が開いている」です。直すのは更新と設定の変更で、サーバーを運用している人か保守の会社の仕事です。更新で動かなくなるソフトがあるので、止められる時間と戻し方も一緒に決めます。

更新を止めずに進める手順は、パッチ管理を安全に進める方法で解説しています。直したあとの再診断が見積もりに入っているかも、ここで確かめます。

5つを1枚にまとめて渡せば、複数の会社から同じ条件の見積もりが取れます。最後に、頼む前に確かめることを一覧にします。

プラットフォーム診断を頼む前の確認リスト

次の6つに答えられれば、見積もりを取る準備ができています。

1. 自分でOSを管理するサーバーや機器があるか：ないなら、クラウドの設定診断とWebアプリ診断が先
2. 対象のIP・ホスト名を書き出したか：外注先の検証環境まで
3. 外からだけか、中からも見るか決めたか：内部なら接続の手段も
4. 通信を送ってよい時間帯と止め方を決めたか：連絡先も
5. クラウドの会社の規約を確かめたか：申請が要るか
6. 更新を誰がやるか決めたか：止められる時間と戻し方も