リモート診断の対象は、公開サーバなどインターネットに接続されているシステムやサーバ、ネットワーク機器である。一方、オンサイト診断の場合、LANなどファイアウォール内部のシステムやサーバ、ネットワーク機器を対象に脆弱性診断を実施する。リモート診断はインターネットからの攻撃、オンサイト診断は内部からの攻撃に備えた脆弱性対策に有効である。

サービスの流れ：事前打ち合わせから診断、報告へ

　脆弱性診断サービスの基本的な流れは、次のようになる。

1. ベンダーが用意するヒアリングシートにユーザー企業が回答し、診断対象や診断方法などを確定
2. 策定した方針に基づいてベンダーが診断を実施
3. ベンダーの診断員が脆弱性診断結果をまとめたリポートを作成し、ユーザー企業に提出

　脆弱性診断サービスの中には、診断終了後に簡易版の速報リポートをユーザー企業に提出したり、リポートの提出と同時に、リポート結果を基にした報告会を開催するのもある。また、脆弱性診断に必要なシステムをユーザー企業が利用できるようにし、任意のタイミングで脆弱性診断を実行できる脆弱性診断サービスもある。

脆弱性診断サービスの動向

　脆弱性診断サービスの基本的な内容は、ベンダー間で大差がなくなってきている。各社は、診断対象の拡大や診断方法の工夫で差異化を図る。

動向1：スマートデバイス向けサービスも充実

　スマートフォンやタブレットといったスマートデバイス向けの脆弱性診断サービスが急速に充実しつつあるのが最近の動きだ。現在は、スマートデバイス向けWebブラウザに最適化されたWebサイト、スマートデバイスのクライアントアプリケーション、クライアントアプリケーションと通信するWebアプリケーションやサーバの脆弱性診断サービスが多い。クライアントアプリケーションの開発方法に潜む脆弱性を診断する、ケイビーエムジェイの「スマートフォン　セキュリティ脆弱性診断サービス」のようなサービスもある。

　スマートデバイスで考慮すべき要素として、米AppleのiOSではJailbreak、米GoogleのAndroidではroot化といわれる、OSの改変や端末の管理者権限を取得する行為がある（参考：私物スマートフォン導入の壁、Jailbreakやroot化をどう防ぐか）。京セラコミュニケーションシステムの脆弱性診断サービス「スマートフォン向けセキュリティサービス」は、端末がJailbreakやroot化された場合のリスク分析も実施する。

　現在、スマートデバイス向けの脆弱性診断サービスが診断対象とする主な対象OSは、AndroidとiOSである。サービスによっては、脆弱性診断を無線LAN経由で実施するため、3G回線などモバイルデータ通信回線の接続のみを考慮したアプリケーションは診断できない場合もあるので注意したい。

動向2：システム導入なしでLAN診断

　ファイアウォールの内側にあるLANの脆弱性診断は、前述の通り、一般的にはLANやDMZなどに脆弱性診断ツールを導入して実施する。ただし、脆弱性診断ツールの導入に時間がかかると診断までの期間が長くなったり、コストが高くなるといった課題がある。

　こうした課題を解決すべく、ツール導入なしでLANの診断を可能にする脆弱性診断サービスが登場しつつある。京セラコミュニケーションシステムが提供する「nCircle PureCloud」は、診断担当者がWebブラウザで専用ポータルへアクセスし、診断用のクライアントPCに設定を施して診断対象を指定するだけで、LANにあるサーバなどの脆弱性診断ができる。