まずはIPAの「5分でできる！情報セキュリティ自社診断」のような無料のチェックで全体の状態を把握し、Webサイトやサーバーを公開しているなら専門家による脆弱性診断を検討します。目的に応じて、広く浅く（チェックリスト）と狭く深く（技術的な診断）を組み合わせます。
診断の種類
| 種類 | 内容 | 向いている場面 |
|---|---|---|
| 自社診断・チェックリスト | 質問に答えて弱いところを把握 | 最初の一歩、毎年の確認 |
| 脆弱性診断 | Webアプリ・サーバー・ネットワークの既知の弱点を調べる | Webサイト・公開サーバーがある（解説） |
| ペネトレーションテスト | 攻撃者の目線で侵入を試み、実際の被害の可能性を確かめる | 重要なシステム、一定の対策が済んだ後（解説） |
| 外部からの見え方の調査 | インターネットから見える機器・サービスの洗い出し | VPN機器・リモート接続の確認 |
このサイトの会社のセキュリティチェック25項目も、現状把握に使えます。