株式会社ネクストラボ

SERVICE　セキュリティ診断NEXTLAB — TOKYO / JP

会社全体の弱点に優先順位をつけ、直るまで伴走するセキュリティ診断

AIと業務の仕組みを作る会社が、守る順番まで一緒に決める。

セキュリティ診断は、Webサイトで決済や個人情報を扱う企業に向けて、サイトとドメイン周辺を外から点検し、体制の確認とあわせて会社全体の弱点に優先順位をつける、ネクストラボのサービスです。直し方は制作会社やベンダーに渡しやすい形でまとめ、診断の実務経験を持つ担当者が改善の実行まで伴走します。

発行：株式会社ネクストラボ

FORこんなときにご相談ください

  • 取引先から、セキュリティの質問票やチェックシートが届いた
  • クレジットカード・セキュリティガイドラインへの対応を確かめたい
  • SCS評価制度（★3）に向けた準備を始めたい
  • サイトの刷新・移行やAIの導入の前に、弱点を洗い出しておきたい
  • 何から手をつければよいか分からない

PROCESS進め方

現在地の点検から、直るまでの4段階

  1. CHECK現在地を見る

    サイトと体制を確かめて、いまの状態をつかむ。

  2. PRIORITY順番を決める

    会社全体の弱点を、急ぐものから順に並べる。

  3. HANDOFF直し方を渡す

    制作会社やベンダーに渡しやすい形で、直し方をまとめる。

  4. RUNNING直るまで伴走する

    定期診断とセキュリティ顧問で、改善が進んでいるかを確かめ続ける。

5つのメニューと、それぞれが4段階のどこに当たるか

無料の外形点検
CHECK・PRIORITY最初の点検として、攻撃をしない方法で、サイトとドメイン周辺を外から点検します。急ぐ順番を「今すぐ／1か月以内／計画的に」に分けてお返しします。ご希望があれば、担当者との面談もご相談いただけます。
体制診断＋改善ロードマップ
CHECK・PRIORITYヒアリングで体制を確かめ、直す順番を「今すぐ／3か月／1年」のロードマップにまとめます。
本格診断（脆弱性診断）
CHECK・PRIORITYログインした後の画面や API、ログイン・カート・決済などの重要な機能まで確かめます。
定期診断（月額）
RUNNING自動で定期的に点検し、重大な指摘は担当者が確かめて補足します。
セキュリティ顧問（月額）
RUNNING定例で改善の進み具合を一緒に見て、直したところは担当者が確かめ直します（再診断）。そのうえで、次に直すものの優先順位を決めます。受け持つのは助言と優先順位付けまでで、設定の変更や、事故が起きたときの対応は含みません。

CARD GUIDELINEクレジットカード・セキュリティガイドライン

カード決済を受け付けるECサイトには、ガイドラインで「脆弱性対策」が求められています。脆弱性診断（またはペネトレーションテスト）は、その対策の1つです。

位置づけ
「割賦販売法（後払分野）に基づく監督の基本方針」で、割賦販売法が義務付けるカード番号等の漏えいや不正利用を防ぐ措置の「実務上の指針」と位置付けられています。ガイドラインの措置か、それと同等以上の措置を講じていれば、割賦販売法の「必要かつ適切な措置」を講じているとみなされます。ただし、割賦販売法が義務付ける措置は、ガイドラインの指針対策に限られない点にも留意するよう書かれています。
最新の版
最新版は6.1版で、2026年3月11日に改訂されました。
EC加盟店の対策
EC加盟店には、2025年4月から、指針対策として「脆弱性対策」が求められています。「脆弱性対策」は5つの対策をすべて講じるもので、そのうちWebアプリケーションの脆弱性対策の1つに「脆弱性診断又はペネトレーションテストを定期的に実施し、必要な修正対応を行う」があります。
制作会社への委託
ECシステムやWebサイトの構築・運用を外部に委託する場合は、委託先に、EC加盟店が行う「脆弱性対策」を理解したうえで構築・運用することを求めるとされています。

ネクストラボのセキュリティ診断は、この対策のどこから手を付けるかを決めるための、現在地の確認に使えます。ガイドラインへの適合を判定したり、保証したりするものではありません。

出典：クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月） ↗（p.20「4-2 割賦販売法との関係性」・p.34「導入する『脆弱性対策』」③・p.34「②委託先管理」・p.49「②脆弱性対策」・p.65【履歴】。2026年10月26日確認）

DECLARATIONカード会社・決済代行会社への申告書

申告書は、加盟店が契約先のカード会社か決済代行会社に出すものです。呼び名や期限は契約先ごとに違うので、契約先の案内に従ってください。

協議会の文書での名前
協議会の文書での名前は「ECサイトのセキュリティ対策実施状況申告書（例）」です。新規のEC加盟店の契約時の調査と、既存のEC加盟店の定期調査で、加盟店が申告する内容の例として示されています。
誰が、誰に出すか
不正利用の被害が出ていなくても、指針対策の導入状況の調査として、各対策の実施と申告書の提出が必要とされています。決済代行会社（PSP）の決済システムを使っていても、申告の対象は加盟店自身のECサイト全体のセキュリティ対策です。
契約先ごとの案内の例
Stripe（決済代行）は「セキュリティチェックリストに基づくセキュリティ対策措置状況申告書」と呼んでいます。JCBは、加盟の申込時に対策への準拠を申告するよう案内し、2026年8月以降に案内の手紙を受け取った加盟店には、回答フォームでの回答を求めています。

回答の前に、各項目の今の状況を確かめるところからご相談いただけます。

出典：クレジット取引セキュリティ対策協議会「EC加盟店におけるセキュリティ対策 導入ガイド 2.1版【附属文書20】」（2026年3月） ↗（p.2「附属文書20 関連文書一覧」別紙c。2026年10月26日確認）

出典：クレジット取引セキュリティ対策協議会「ECサイトのセキュリティ対策実施状況申告書（例）【附属文書20_別紙c】に関するFAQ」（2026年3月） ↗（No.1・No.4。2026年10月26日確認）

出典：Stripe サポート（日本のセキュリティチェックリストの案内） ↗（本文。2026年10月26日確認）

出典：JCB「加盟店様が実施すべきセキュリティ対策」 ↗（本文。2026年10月26日確認）

SCS STAR 3SCS評価制度の★3への準備

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）について、IPAは次のように案内しています。

受付の開始
★3・★4の登録申請は、2027年3月に受付を始める予定です。
申請の方法
★の申請方法は、「登録申請の手引」として2026年11月末頃に公表される予定です。
★3を確認する人
★3の自己評価の結果は、資格要件（情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれか）と研修受講要件を満たし、事務局に登録された「SCSセキュリティ専門家」が確認します。
★3の登録料
★3の登録料は1年分 10,000円（2028年3月31日までの申請。2028年4月1日以降は 20,000円）です。料金は税込みで、申請日を基準に適用されます。
★3の有効期間
★3の有効期間は、制度運営機関が登録完了を通知した日から1年間です。登録を更新するには、登録内容の変更の有無にかかわらず、有効期間が終わる前に、確認と助言を受けた自己評価の更新版を制度運営機関へ出します。

ネクストラボは、★3の確認や認定は行いません。お手伝いするのは、★3に向けた準備です。

出典：IPA「よくある質問」（SCS評価制度、2026年10月28日更新） ↗（Q1-1・Q3-1・Q5-3・注釈1。2026年10月28日確認）

出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ」（2026年9月18日） ↗（2.（★3 登録希望組織）・注1。2026年10月28日確認）

出典：SCS評価制度 制度運営機関（IPA）「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）基本規程」（2026年8月28日） ↗（3.1.2（p.12）。2026年10月28日確認）

CHECK SHEET取引先から届いたチェックシート

取引先からセキュリティの質問票やチェックシートが届いたら、次の順で回答の準備を進めます。回答は貴社が行い、ネクストラボは今の状況の確認と、直す順番づくりを手伝います。

  1. 届いた様式と回答の期限を確かめる（期限は取引先の案内に従う）
  2. 各項目を、サイトの点検で確かめるものと、社内の規程や記録で答えるものに分ける
  3. 今の答えが「いいえ」になる項目を、急ぐ順に並べて直し方を決める
  4. 直したあとに今の状況を確かめ、回答に反映する

項目を、公的な基準のどこに当てはめるか

サイトの弱点・設定
クレジットカード・セキュリティガイドラインの「脆弱性対策」と、IPAの「ECサイト構築・運用セキュリティガイドライン」
組織の体制・規程
SCS評価制度の★3

COST費用の決まり方

無料の外形点検のほかは、点検の範囲と深さ、体制の確認の範囲、定期診断とセキュリティ顧問（月額）の期間で費用が決まります。金額は、面談で状況を伺ってからお伝えします。

費用が何で決まるか

点検の範囲
サイトとドメインの数。ログインした後の画面や API を含めるか
診断の深さ
外からの点検までか、ログインした後の画面や API まで見る本格的な診断まで行うか
体制の確認
設問の範囲と、改善のロードマップを作るか
定期診断（月額）の期間
自動の点検を続ける期間
セキュリティ顧問（月額）の期間
改善を一緒に進める期間と、定例・再診断（直したところの確かめ直し）の回数

中小規模の会社で、まず公的な支援から始めたい場合は、次の案内も参考になります。

  • IPAの「サイバーセキュリティお助け隊サービス（新類型）」の実証は、中小企業がSCS評価制度の★3・★4を効率よく取得できるよう、課題の可視化と助言で伴走する仕組みを確かめるものです。期間は2026年10月から2027年9月までの1年間の予定で、参加は無償です。申込は、IPAではなく各実証事業者へ直接行います。
  • IPAは、ECサイトの構築・運用で講じる対策をまとめた「ECサイト構築・運用セキュリティガイドライン」を公開しています（2023年3月16日公開）。

出典：IPA「サイバーセキュリティお助け隊サービス（新類型）実証事業」（2026年10月23日更新） ↗（本文。2026年10月26日確認）

出典：IPA「ECサイト構築・運用セキュリティガイドライン」 ↗（本文。2026年10月26日確認）

WHY NEXTLABネクストラボに頼む理由

業務とシステムの両方から、守る順番を決める

ネクストラボは、業務自動化のバクアゲやAI翻訳のReadableを、自社のプロダクトとして開発・運営しています。サイトの弱点だけでなく、業務の流れや制作会社との分担まで含めて、直す順番を決めます。

診断の実務経験を持つ担当者が見る

診断担当者の経歴：実務経験 約5年・診断100件以上

担当者個人の経歴で、当社の実績ではありません。

FAQよくある質問

どのサイトを診断の対象にしていますか？
サイトの所有者の同意と、所有の確認が取れたサイトに限ります。制作会社などがお客様のサイトを申し込む場合も、所有者の同意と確認を取ってから行います。最初の点検では、公開されている部分とドメイン周辺だけを、攻撃やログインの試行をしない方法で確かめます。ログインした後の画面や API は、別の本格的な診断で扱います。
セキュリティ診断にAIを使いますか？
最初の点検ではAI（LLM）を使いません。公開されている診断用のソフトウェア（ZAP・Nuclei など）と、独自に作ったチェックで行います。
誰が診断しますか？
診断の実務経験 約5年・診断100件以上の担当者が、体制の診断から改善の伴走まで直接見ます。最初の点検の結果は、仕組みでお届けします。

CONTACTご相談

お問い合わせは、トップページの窓口から受け付けています。カジュアルな相談から歓迎しています。

OTHER SERVICESほかのサービス

株式会社ネクストラボの会社概要と沿革 →