※本記事にはプロモーション（広告）が含まれています。
こんにちは！こきです。
「脆弱性診断って、何をする仕事なの？」
「ペネトレーションテストとは何が違う？」
「未経験からでも目指せる？」
この記事は、そんな方に向けて書いています。
僕はIT企業のインフラ担当（新卒・IT未経験スタート）から資格を取り、外資系コンサルに転職して、今はセキュリティコンサルタントとして働いています。専門はリスクアセスメントで、脆弱性診断の実務をしてきたわけではありません。そのため、この記事は経済産業省やIPA（情報処理推進機構）の公式資料をもとに、コンサルの立場から見た脆弱性診断の位置づけを解説します。
この記事を読むと、脆弱性診断の仕事の中身、ペネトレーションテストとの違い、必要なスキル、未経験から目指すためのステップがわかります。
結論：脆弱性診断は「攻撃される前に弱点を見つける」仕事
- 脆弱性（ぜいじゃくせい）とは、システムやソフトウェアのセキュリティ上の弱点のこと
- 脆弱性診断の仕事は、お客さまのシステムを調べて弱点を見つけ、報告書にまとめて対策を伝えること
- 対象は大きく、Webアプリ・プラットフォーム（サーバーやネットワーク機器）・スマホアプリの3つ
- ペネトレーションテストは、「実際に侵入できるか」「攻撃者の目的を達成できるか」まで確かめる、より踏み込んだテスト
- Webのしくみやネットワークの基礎知識が土台になるので、いきなり診断から入るより、ITの基礎を固めてから目指すのがおすすめ
脆弱性診断とは？公的な定義と3つの種類
脆弱性診断は、経済産業省の「情報セキュリティサービス基準」で、セキュリティサービスの種類の1つとして定められています。IPAが公開している「情報セキュリティサービス基準適合サービスリスト」では、脆弱性診断サービスを次のように説明しています（経済産業省の基準からの引用）。
システムやソフトウェア等の脆弱性に関する一定の知見を有する者が、システムやソフトウェア等に対して行う次に掲げるいずれか又は全てのサービス
出典：IPA「情報セキュリティサービス基準適合サービスリスト（脆弱性診断サービス）」2026年10月9日掲載
「次に掲げる」サービスとして挙げられているのが、次の3つです。
| 種類 | 主に調べるもの | イメージ |
|---|---|---|
| Webアプリケーション脆弱性診断 | ネットショップや会員サイトなどのWebアプリ | 入力欄に細工した文字を入れて、想定外の動きをしないか確かめる |
| プラットフォーム脆弱性診断 | サーバー、OS、ネットワーク機器など | 不要なサービスが動いていないか、古いソフトが残っていないか確かめる |
| スマートフォンアプリケーション脆弱性診断 | iPhone・Androidのアプリ | アプリの中や通信に、守るべき情報がそのまま入っていないか確かめる |
つまり脆弱性診断の仕事は、「Webアプリ」「サーバーやネットワーク」「スマホアプリ」のどれか、または全部を対象に、弱点がないかを専門家の目で調べる仕事です。会社によって、得意な分野や対象の組み合わせが違います。
「診断」は健康診断のようなもの
脆弱性診断は、よく健康診断にたとえられます。体調が悪くなる前に検査して、悪いところを早めに見つけるのと同じで、攻撃される前に弱点を見つけて直すのが目的です。
新しいサービスを公開する前や、大きな改修をしたあと、または年に1回など定期的に受けるケースがあります。
ペネトレーションテストとの違い
脆弱性診断とよく一緒に出てくるのが、ペネトレーションテスト（侵入テスト、ペンテストとも）です。IPAのサービスリストにも、脆弱性診断とペネトレーションテストの両方を提供するサービスが多く掲載されています。
リストに載っている事業者のサービス説明では、ペネトレーションテストは「攻撃者が用いる手法で実際に侵入できるかどうか」「攻撃者が目指す目的を達成できるか」を確かめるもの、と説明されています。違いを整理すると、次のようなイメージです。
| 比べるポイント | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 弱点をできるだけ幅広く見つける | 実際に侵入できるか・目的を達成できるかを確かめる |
| 進め方 | 決められた項目に沿って、網羅的に調べる | 攻撃者になったつもりで、シナリオを立てて試す |
| わかること | どこに、どんな弱点があるか | 弱点を組み合わせると、どこまで被害が広がるか |
どちらも「攻撃者の視点で調べる」点は同じです。脆弱性診断は「抜け漏れなく弱点を洗い出す」、ペネトレーションテストは「本当に守れているかを実戦形式で確かめる」と考えるとわかりやすいと思います。なお、どこまでを診断と呼ぶかは会社によって違うので、求人を見るときは仕事内容の説明をよく読みましょう。
脆弱性診断の仕事の流れ
会社やサービスによって細かい違いはありますが、一般的には次のような流れで進みます。
- 事前の打ち合わせ：診断する範囲（どのサイト・どのサーバーか）、日程、診断してよい時間帯などをお客さまと決める
- 診断：診断ツールと手作業を組み合わせて、弱点がないかを調べる
- 報告書の作成：見つかった弱点、危険度、対策の方法をまとめる
- 報告・質問への対応：お客さまに結果を説明し、直し方の相談にのる
- 再診断：お客さまが直したあと、本当に直っているかを確かめる
IPAのサービスリストでも、「手動での診断と診断ツールを組み合わせて」実施するサービスや、「診断結果に対するサポート」を特徴にしているサービスが掲載されています。調べる作業だけでなく、結果をわかりやすく伝えることも大事な仕事です。
必ず「許可」をもらってから調べる
脆弱性診断では、攻撃者と同じような手法でシステムを調べます。そのため、システムの持ち主から正式な許可をもらうことが大前提です。
許可なく他人のシステムに入り込むと、不正アクセス禁止法（e-Gov法令検索）などの法律に違反するおそれがあります。勉強のために試したいときも、自分で用意した環境や、練習用として公開されている環境だけを使いましょう。気になるサイトを「ちょっと試す」のはやめてください。
脆弱性診断の仕事に必要なスキル
脆弱性診断の仕事では、次のようなスキルが求められます。最初から全部そろっている必要はありませんが、目指すなら少しずつ身につけていきたいところです。
| スキル | 具体的には | 特に関係する診断 |
|---|---|---|
| Webのしくみの知識 | HTTP、Cookie、ログインのしくみ、よくある脆弱性（SQLインジェクション、クロスサイトスクリプティングなど） | Webアプリ |
| ネットワーク・OSの知識 | TCP/IP、ポートとサービス、Linux・Windowsの基本操作と設定 | プラットフォーム |
| プログラミングの基礎 | コードを読んで、どこが危ないかの見当をつける力 | Webアプリ・スマホアプリ |
| 文章力・説明力 | 専門用語を使わずに、危険度と直し方を伝える力 | すべて |
| 学び続ける力 | 新しい攻撃手法や脆弱性の情報を追い続ける習慣 | すべて |
インフラの経験は、そのまま土台になる
僕はインフラ担当として、ネットワーク機器のしくみやTCP/IPを学び、ネットワーク障害やインシデントの対応もしてきました。その経験は、セキュリティの仕事に移ってからすべて役立っています。
プラットフォーム脆弱性診断で調べるのは、まさにサーバーやネットワーク機器です。「どんな設定だと危ないのか」を理解するには、まず「ふつうはどう動いているのか」を知っている必要があります。だからこそ、最初からセキュリティだけを目指すのはおすすめしない、というのが僕の考えです。
また、セキュリティの世界は新しい攻撃手法が次々に出てきます。伸びる人は、学習し続ける人だと感じています。
コンサルから見た脆弱性診断：リスクアセスメントとの関係
僕の専門はリスクアセスメント（会社のどこに、どれくらいのリスクがあるかを評価する仕事）です。脆弱性診断の実務はしていませんが、診断の結果は、コンサルの仕事ともつながっています。
- 脆弱性診断：システムに「どんな弱点があるか」を見つける
- リスクアセスメント：その弱点が狙われたら「会社にどれくらいの影響があるか」を考え、どれから直すかを決める
たとえば、診断で弱点が10個見つかっても、予算や人手の都合ですべてを同時に直せるとは限りません。そこで「大事な個人情報を扱うシステムの弱点から直す」のように、優先順位をつける必要があります。診断で見つかった事実と、会社にとっての影響の両方を見て判断するイメージです。
脆弱性診断の仕事を経験したあと、こうした上流の仕事（コンサルやセキュリティ企画）に進む道もあります。セキュリティコンサルタントの仕事内容は、セキュリティコンサルタントとは？仕事内容を現役コンサルが紹介でまとめています。
未経験から脆弱性診断の仕事を目指すステップ
未経験から脆弱性診断の仕事を目指すなら、次の順番で進めるのが現実的だと考えています。
ステップ1：ITの基礎を固める
まずは、ネットワーク・サーバー・Webのしくみといった基礎です。ITの全体像をつかむ入り口として、ITパスポートのような国家試験の勉強を使うのも1つの方法です。
▼スマホで試験対策ができるオンライン講座
国家資格などの試験対策講座を、スマートフォンやパソコンで受講できます。通勤時間などのスキマ時間に勉強したい方に向いています。
ステップ2：インフラや開発の仕事で経験を積む
インフラ担当やWeb開発の仕事では、「ふつうはどう作られ、どう動いているか」を実務で学べます。僕自身、インフラの経験がそのままセキュリティの仕事の土台になりました。SOC（セキュリティ監視）の仕事から入る道もあります。くわしくはSOCアナリストの仕事内容は？未経験から目指せる？で解説しています。
ステップ3：セキュリティの知識と資格で裏付けをつくる
セキュリティの基礎知識を体系的に学ぶには、資格の勉強が役立ちます。国家試験の情報処理安全確保支援士は、Webやネットワークのセキュリティを幅広く問われる試験です。勉強の進め方は情報処理安全確保支援士の勉強方法と勉強時間でまとめています。
あわせて、自分で用意した練習用の環境で、Webアプリの脆弱性がどう生まれるのかを手を動かして確かめると、理解が深まります（くり返しになりますが、他人のシステムでは試さないでください）。
ステップ4：診断の仕事がある会社の求人を探す
脆弱性診断は、セキュリティ専門の会社や、診断サービスを持つIT企業などで募集されています。未経験から応募できる求人か、どの診断（Web・プラットフォーム・スマホアプリ）を担当するのかは、会社によって違います。求人票の仕事内容と応募条件をよく確認しましょう。
未経験からセキュリティの仕事に就くまでの全体の流れは、未経験からセキュリティエンジニアになるには？も参考にしてください。
まとめ
- 脆弱性診断の仕事は、攻撃される前にシステムの弱点を見つけ、報告書で対策を伝える仕事
- 経済産業省の基準では、Webアプリ・プラットフォーム・スマホアプリの3種類の診断が定められている
- ペネトレーションテストは、実際に侵入できるか・攻撃者の目的を達成できるかまで確かめる、より踏み込んだテスト
- 診断は必ずシステムの持ち主の許可を得て行う。練習は自分で用意した環境や練習用の環境だけで
- 土台になるのは、Web・ネットワーク・OSの基礎知識。最初からセキュリティだけを目指すより、ITの基礎と実務経験を積んでから目指すのがおすすめ
脆弱性診断は、攻撃者の視点を持ちながら、お客さまのシステムを守る側に立つ仕事です。興味がある方は、まずITの基礎から一歩ずつ進めてみてください。