株式会社SHIFT（本社・東京都港区、代表取締役社長・丹下大）は2026年11月11日、中央省庁や地方自治体などの公共団体が運用するシステムを対象にした「公共向け第三者セキュリティ診断サービス」の提供を始めたと発表しました。AWS Security AgentとAmazon Bedrockを使ったソースコードのAI解析と自律型のペネトレーションテストを、政府統一基準群とデジタル庁の脆弱性診断導入ガイドライン（DS-221）に沿って実施し、SHIFTのセキュリティエンジニアの分析・検証を組み合わせます。システムを構築したベンダーから独立した第三者として、診断のほか、ベンダーの改修方針の評価、再診断による是正の検収、継続的な脆弱性管理まで支援します。SHIFTのセキュリティ支援の実績は累計15,000件以上（2025年12月時点）です。
当事者以外の視点で是正を評価しにくい現場
同社によると、公共団体の現場では専門人材やツールが足りず庁内で対応しにくいうえ、システムの開発・改修を担う当事者以外の視点で是正を客観的に評価するのが難しく、技術的な妥当性の判断に課題を抱えています。複数のシステムや複数のベンダーにまたがる進捗管理や、関連機関への報告業務も負担になっているとしています。国の統一基準群やDS-221に基づいて、公共システムの脆弱性診断を計画的に実施し、厳格に管理することが求められている状況を背景に挙げています。
改修方針の評価と再診断による是正の検収
ベンダーが提案する改修方針（恒久・暫定・代替統制）が根本原因に対応しているかを技術的に評価し、第三者として再診断して、脆弱性が解消したか、修正によるデグレードが無いか、類似箇所への水平展開が要るかを確かめます。そのうえで、瑕疵対応の協議で判断材料になる技術所見を整理します。AIによる検出結果は、SHIFTに在籍する250名以上の専門技術者が精査・判定し、重大な脆弱性を見つけた場合は、診断期間中でも最短1日で速報します。
DS-221に沿った計画から報告資料の作成まで
提供の流れは、システム資産を棚卸ししてDS-221に沿った診断計画を作り、診断を実施した後、CVSSで深刻度を評価して対応の優先順位（Tier）を提言する形です。最後に、庁内の幹部やCISO、国家サイバー統括室（NCO）向けの報告資料の作成を支援し、是正方針の評価と再診断で検収を担保します。オプションとして、リリースや改修のたびに行う「随時診断」、公開資産やOSSを常時監視する「継続監視（S4／ASM）」、デジタル庁のDS-200に沿って次期の調達仕様書にセキュリティ要件を組み込む「調達要件整備」、職員向けの研修も用意しています。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、診断で見つけた脆弱性について、構築ベンダーの改修方針が根本原因に対応しているかまで第三者が評価し、再診断で検収する点に注目しています。脆弱性診断ツール/サービスの比較ハブには、ペネトレーションテストを提供する製品や再診断の条件などが載っています。料金はリリースに書かれていないため、公共団体の担当者は、対象のシステムの数と構築ベンダーの数、報告が必要な機関を整理したうえで、どの段階から依頼するかを確かめておきたいところです。
出典: 株式会社SHIFTプレスリリース（PR TIMES・2026年11月11日配信）
https://prtimes.jp/main/html/rd/p/000000190.000018724.html