脆弱性診断サービス
外から見える入口、守れていますか。
インターネットとの境界にあるVPN装置やルータ、ファイアウォールは、外部から最初に狙われやすい場所です。
当社は、機器を止めない方法で外から見える弱点を確認し、対策の優先順位がわかる報告書でお伝えします。
こんな場面はありませんか？
VPN装置やルータのファームウェアを、
しばらく更新していない
外部に開いているポートやサービスを、
正確に把握できていない
取引先から、脆弱性診断の結果を求められた
機器の保守を外部に任せていて、
実際の状態がわからない
ご相談から報告まで
ご相談
対象の機器と、診断の目的をお聞きします。
対象と許諾の確認・計画
対象の範囲、方法、日時を決め、診断の許諾をいただきます。
診断
機器を止めない方法で、外部から診断します。
業務時間外に行うこともできます。
報告
結果と対策の優先順位を報告書にまとめ、ご希望に応じて報告会で具体的な改修・設定方針までご説明します。
※実際の設定変更やパッチ適用作業の代行をご希望の場合は、別途ご相談いただけます
料金と期間
料金は、対象機器の台数と実施条件に応じて個別にお見積りします。
料金は診断結果による変動はございません。
期間は、お申込みから報告書の交付まで、通常３～５週間程度です。
サービス仕様
以下は、本サービスの実施項目、実施手順、結果の取扱いを定めたものです（当社「脆弱性診断サービス仕様書」の概要）。
株式会社国際協力データサービス（ICDS）は、インターネットとの境界に設置されたネットワーク機器（VPN装置、ルータ、ファイアウォールなど）を対象とする脆弱性診断を提供します。
当社は、経済産業省とIPAが運用する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の技術検証事業者の指定を申請中です（2026年10月申請、指定・公表は2026年12月下旬の予定）。
指定を受けるまでの間は、同制度の技術検証としての業務はお受けできません。
サービス概要
項目 | 内容 |
|---|---|
ご依頼元 | ご依頼元 企業・団体（SCS評価制度の評価機関からの委託は、技術検証事業者の指定後にお受けします） |
診断の種類 | プラットフォーム脆弱性診断（リモート） |
対象 | インターネットとの境界に設置されたネットワーク機器（VPN装置、ルータ、ファイアウォール、リモートアクセス装置など）のOS・ファームウェア |
結果 | あらかじめ合意した判定基準に基づき、適合・不適合を判定します |
成果物 | 診断結果報告書（ご依頼元に交付） |
準拠する基準
経済産業省「情報セキュリティサービス基準」（第4.1版）と「情報セキュリティサービスにおける技術及び品質の確保に資する取組の例示」（令和7年3月版）の脆弱性診断サービスに係る例示
SCS評価制度における技術検証として実施する場合は、同制度の★4技術検証ガイドに定める実施項目と実施手順に従って診断を行います。
ガイドが改訂された場合は、改訂後のガイドに従います。
診断の流れ
1.
許諾の確認：
診断を受ける組織の許諾書（対象範囲・方法・時期）を受け取り、内容を確認します。
2.
実施計画：
対象、手法、日時、連絡体制、停止基準を定めます。
計画は、診断に従事しない者がレビューします。
3.
情報収集：
ポート・サービス調査ツールを使い、公開しているポート・サービス、機種、OS・ファームウェアのバージョンを特定します。
4.
既知脆弱性の検査：
脆弱性スキャナ（経済産業省の例示に掲げるツール）で、機器を停止させない設定の検査を行います。
あわせて、メーカーのセキュリティ情報、JVN、NVD、CISA KEVと照合し、安全な範囲で手動確認を行います。
5.
分析・判定：
誤検知を除き、CVSS基本値を確認し、あらかじめ定めた判定基準により判定します。
6.
報告：
報告書を作成し、診断に従事しない者のレビューを経て、ご依頼元に交付します。
ご希望に応じて報告会を開きます。
7.
診断データの消去：
交付日から3カ月以内に消去し、その記録をご依頼元に通知します。
行わないこと：
サービスの停止を伴う検査（DoSなど）、パスワードの総当たり、脆弱性を悪用した侵入、許諾の範囲外への通信。
結果の取扱い
報告書には、実施の範囲・手法・時期、評価基準ごとの判定と理由を記載します。
脆弱性の詳細、再現手順、ツールの出力、構成情報（IPアドレスなど）といった診断データは、報告書に記載しません。
診断データは暗号化して保管し、原則として交付 日から3か月を超えて保有しません（ご依頼元から書面で求めがあった場合は最長1年）。
緊急性の高い脆弱性（悪用が確認されているものなど）を見つけた場合は、許諾書に定める緊急連絡先にすぐに連絡します。
品質管理者と情報保護管理者を置いています。
ご依頼元の権利と義務
権利：
報告書の受領、記載内容の説明や再診断の請求、実施記録（診断データを除く）の提供の請求、診断データの保有継続の請求
義務：