自社のシステムをAWSやAzureといったクラウドに移した後で、「これまでと同じ脆弱性診断で本当に守れているのか」という不安を抱く担当者は少なくありません。オンプレミス環境では外部からの疑似攻撃やネットワークスキャンをベンダーに依頼すれば一通りの点検になりましたが、クラウドでは公開範囲の設定やアクセス権限といった「設定」そのものが新たなリスクの入り口になります。
クラウドの脆弱性診断には、従来のWebアプリケーション診断やプラットフォーム診断に加えて、クラウド固有の設定不備を点検する「クラウドセキュリティ設定診断（CSPM）」があります。どのタイプの診断を受けるべきかは、自社がクラウド上に何を構築しているかによって変わります。
この記事では、クラウドの脆弱性診断にどんな種類があり何を診るのかを整理したうえで、クラウドで設定診断が必要になる理由、AWS純正ツールと外部診断の使い分け、費用の目安、対応サービスまでを解説します。まず自社が受けるべき診断のタイプを見極める材料としてお使いください。
目次
クラウドの脆弱性診断の種類
ここからは、クラウド環境で選択肢になる脆弱性診断を種類ごとに整理します。ひとくちに「クラウドの脆弱性診断」といっても、診る対象と検出する弱点は診断のタイプごとに異なります。まず全体像を次の表で確認してください。
| 診断のタイプ | Webアプリケーション診断 | プラットフォーム診断（ネットワーク診断） | クラウドセキュリティ設定診断（CSPM） | ペネトレーションテスト |
|---|---|---|---|---|
| 主な対象範囲 | 自社が開発・公開したWebアプリ、API、Webサイト | サーバー、OS、ミドルウェア、ネットワーク機器（クラウド上の仮想サーバーを含む） | AWS・Azure・Google Cloud・Microsoft 365などクラウド基盤の設定 | システム全体（攻撃者が狙う経路を横断的に） |
| 主に検出する弱点 | SQLインジェクション、クロスサイトスクリプティングなどアプリの実装上の脆弱性 | 既知の脆弱性（CVE）、不要な公開ポート、古いソフトウェアバージョン | ストレージの公開設定ミス、過剰なアクセス権限、暗号化やログ設定の不備 | 複数の弱点を組み合わせて侵入できる経路、実際の被害につながる攻撃シナリオ |
| 診断方式 | ツール自動診断／専門家による手動診断 | ツール自動診断が中心 | ツールによる継続監視／スポットの設定診断 | 専門家による手動診断 |
※上記は一般的な分類です。実際の診断範囲や名称は各サービスにより異なります。
従来から実施されてきたのはWebアプリケーション診断とプラットフォーム診断で、これらはクラウド上の仮想サーバーやアプリケーションに対しても実施できます。一方で、クラウドに移行してから新たに重要度が増したのがクラウドセキュリティ設定診断です。サーバーやアプリの中身ではなく、クラウド基盤の「設定」を点検の対象にする点が、従来の診断と大きく異なります。
クラウドに限らず、脆弱性診断とは何をするもので、なぜ必要とされ、どんな種類・やり方があるのかを基礎から押さえておきたい方は、以下の記事で全体像を解説しています。
自社がクラウド上でWebシステムを運用しているなら、アプリ本体を診るWebアプリケーション診断と、クラウド基盤の設定を診るクラウドセキュリティ設定診断は、守る対象が別であるため両方が検討対象になります。次章では、なぜクラウドで設定診断が欠かせないのかを掘り下げます。
クラウドで設定診断が必要な理由
ここでは、従来のWebアプリケーション診断だけでは足りず、クラウド基盤の設定診断が求められる理由を解説します。その根拠となるのが、クラウド事業者と利用者の間で守る範囲を分ける「責任共有モデル」という考え方です。
責任共有モデル：クラウド事業者が守る範囲と利用者が守る範囲
クラウドサービスでは、セキュリティの責任をクラウド事業者と利用者が分担します。AWSはこれを「責任共有モデル（Shared Responsibility Model）」と呼んでいます。
データセンターの物理設備やハードウェア、クラウドを動かす基盤（クラウド“の”セキュリティ）を守るのは事業者です。その上で、利用者が選んだサービスの設定やデータの保護（クラウド“における”セキュリティ）は利用者が担うと整理しています。
Microsoftも同様の考え方を示しており、クラウドの「構成と設定」はIaaS・PaaS・SaaSのいずれの利用形態でも一貫して利用者（顧客）の責任範囲であるとしています。そのため、クラウド事業者が堅牢な基盤を提供していても、その上で利用者が行う設定に不備があれば、そこは利用者自身が点検して守る必要があります。
すべてのクラウド デプロイの種類について、データと ID を所有します。データと ID、オンプレミス リソース、および制御するクラウド コンポーネントのセキュリティを保護する責任があります。制御するクラウド コンポーネントは、サービスの種類によって異なります。
出典：クラウドでの共同責任｜Microsoft Learn
クラウド事故は利用者の責任範囲で起きやすい
責任共有モデルが示すのは、クラウドで発生するセキュリティ事故の多くが、事業者ではなく利用者側の責任範囲で起きるという点です。調査会社のガートナーは2019年に、2025年までにクラウドのセキュリティ障害の99%は利用者側に原因があると予測しました。原因の内訳まで示した数字ではありませんが、事故の大半が利用者の責任範囲で生じることを表しており、その代表例が設定やアクセス管理の不備です。
利用者の責任範囲で起きやすい設定の不備には、次のような例があります。
- ストレージ（AWSのS3バケットなど）の公開設定を誤り、社外から閲覧できる状態にしてしまう
- 通信を許可する範囲を全開放（0.0.0.0/0）にしてしまう
- IAM（アクセス権限の管理）で必要以上に広い権限を付与してしまう
こうした設定は、Webアプリケーション本体の脆弱性診断では見つかりません。クラウド基盤の設定そのものを点検する診断が、別途必要になります。
出典・参考資料（1件）
CSPM（クラウドセキュリティ設定診断）とは
ここからは、クラウドの設定不備を点検する仕組みであるCSPMについて、機能・診断基準・関連ツールとの違いを整理します。CSPM（Cloud Security Posture Management）は、日本語では「クラウドセキュリティ態勢管理」と訳されます。
クラウド・セキュリティー体制管理（CSPM）は、ハイブリッドクラウドやマルチクラウドの環境とサービス（IaaS、PaaS、SaaS）を横断して、誤設定やセキュリティー・リスクの特定と是正を自動化・一元化するサイバーセキュリティー・テクノロジーです。
出典：CSPMとは｜IBM
従来の脆弱性診断がアプリやサーバーに潜む「弱点」を探すのに対し、CSPMはクラウド基盤の「設定」が安全な状態に保たれているかを継続的に評価する点に違いがあります。単発で終わらせるのではなく、設定変更のたびにリスクを検知できるのが特徴です。
出典・参考資料（1件）
CSPMの主な機能
CSPMが提供する機能は、大きく次の4点にまとめられます。いずれもクラウド基盤の設定リスクを見つけて是正するための仕組みです。
- 設定リスクの可視化：クラウド上のどのリソースに設定上のリスクがあるかを一覧で把握できます。
- 設定ミス・インシデントの検知：公開設定の誤りや過剰な権限などを自動で検出します。
- マルチクラウドの一元管理：AWS・Azure・Google Cloudなど複数のクラウドをまとめて点検できます。
- 基準に照らした評価：後述するCIS Benchmarkなどの標準に沿って、設定の適否を判定します。
診断の基準となるCIS Benchmark
クラウドの設定が安全かどうかを判断するには、拠り所となる基準が必要です。その代表がCIS Benchmarkです。これは米国の非営利団体CIS（Center for Internet Security）が策定する設定推奨で、世界のセキュリティ専門家の合意にもとづき、25以上の製品カテゴリを対象に「安全な設定はどうあるべきか」を具体的に示しています。
AWS・Azure・Google Cloudといった主要クラウドも対象に含まれます。
クラウドセキュリティ設定診断の多くは、このCIS Benchmarkなどの標準に照らして設定を評価します。後述するAWSの純正ツールにも、CIS Benchmarkに準拠したチェック機能があります。
出典・参考資料（1件）
CNAPP・CWPPなど関連ソリューションとの違い
クラウドセキュリティの分野には、CSPMと似た略語がいくつか存在します。混同しやすいので、役割の違いを押さえておきましょう。
CWPP（Cloud Workload Protection Platform）は、サーバーやコンテナといったクラウド上で動く処理そのものを保護する仕組みで、設定を点検するCSPMとは対象が異なります。CNAPP（Cloud Native Application Protection Platform）は、CSPMやCWPPを含む複数の機能を統合したプラットフォームを指します。
自社が最初に手をつけるべきなのは、多くの場合、設定不備を洗い出すCSPMです。まず設定を安全な状態に整えたうえで、稼働中の処理の保護（CWPP）や統合的な管理（CNAPP）へと広げていく流れが現実的です。
AWSでのクラウド脆弱性診断のやり方
ここからは、AWS環境を例に、具体的な診断の進め方を解説します。AWSには診断や監視に使える純正ツールが用意されており、まずこれらを活用して足りない部分を外部診断で補う進め方が現実的です。AzureやGoogle Cloudにも同様の純正ツール（Microsoft Defender for Cloud など）があり、責任共有モデルにもとづく考え方は共通です。
AWS純正ツールでできること
AWSは、脆弱性の検出・脅威の監視・設定の評価といった目的別に複数のツールを提供しています。それぞれ役割が異なるため、何を検出するのかを整理して使い分けることが大切です。
| AWSの純正ツール | Amazon Inspector | AWS Config | AWS Security Hub CSPM | Amazon GuardDuty |
|---|---|---|---|---|
| 主な役割 | 脆弱性の管理 | 設定の記録・評価 | 基準に照らした設定チェックと結果の集約 | 脅威の検知（監視） |
| 何を検出するか | EC2インスタンス・ECRのコンテナイメージ・Lambdaに潜むソフトウェアの脆弱性（CVE）や、意図しないネットワーク公開を継続的にスキャン | AWSリソースの設定を記録し、ルールに照らして継続評価。望ましくない設定のリソースを非準拠として通知 | CIS・PCI DSS・NISTなどの基準やAWSのベストプラクティスに照らして環境を評価。各ツールの検出結果を一元的に集約 | 各種ログを分析し、認証情報の悪用や不審な通信など、実際に進行している脅威を検知。設定や脆弱性の「診断」とは目的が異なる |
※各ツールの機能・料金は変更される場合があります。詳細はAWS公式ドキュメントをご確認ください（2026年7月時点）。
設定診断の観点では、AWS ConfigとAWS Security Hub CSPMが中心になります。Security HubのCSPM機能は多くのチェックでAWS Configの有効化を前提としており、両者を組み合わせることでクラウド設定診断の土台を構築できます。GuardDutyは設定や脆弱性を診断するツールではなく、進行中の脅威を検知する監視ツールである点は取り違えないようにしましょう。
出典・参考資料（4件）
純正ツールで始め、足りない部分を外部診断で補う
AWS純正ツールの多くは従量課金で使い始められ、GuardDutyやSecurity Hubには30日間の無料トライアルが用意されています。まずは純正ツールで設定リスクの可視化から着手し、コストを抑えて全体像を把握するのが現実的な第一歩です。
一方で、純正ツールは検出したリスクを一覧化してくれますが、その内容をどう解釈し、どこから優先して直すかの判断は利用者側に委ねられます。専門人材が不足している場合や、攻撃者視点での深い検証が必要な場合は、外部の診断サービスに手動診断やペネトレーションテストを依頼して補うと、純正ツールだけでは届かない範囲までカバーできます。
外部にペネトレーションテスト（侵入テスト）を依頼する場合、対象システムの規模や検証範囲によって費用が大きく変わります。おおよその相場感を対象・種類別の早見表で確認したい方は、以下の記事をご参照ください。
ペネトレーションテストの費用相場を対象・種類別に解説｜早見表でわかる料金と選び方
脆弱性診断で自社システムの弱点を洗い出すと、次に「実際に攻撃者が侵入できるのか、本当のところを確かめてほしい」と役員や監査から求められることがあります。脆弱性診断の次にペネトレーションテスト（侵入テスト）を検討する——決済や基幹システムなど…
自社のケースで受けるべき診断の選び方
ここでは、これまで整理した診断タイプと責任共有モデルをもとに、自社の構成に応じてどの診断を受けるべきかを判断する目安を示します。
構成別に受けるべき診断の目安
自社がクラウド上に何を構築しているかによって、必要な診断は変わります。代表的な構成ごとに、まず受けるべき診断の目安を整理しました。
| 自社の構成 | AWS・Azureに自社開発のWebシステムを載せている | 既製のSaaSを組み合わせて使っている | 外部に公開しているサーバー・機器が多い |
|---|---|---|---|
| まず受けるべき診断 | クラウドセキュリティ設定診断（CSPM）＋Webアプリケーション診断 | クラウドセキュリティ設定診断（CSPM。アカウント権限・公開範囲の点検） | プラットフォーム診断（既知の脆弱性・不要な公開ポートの洗い出し） |
| 追加で検討したい診断 | 公開サーバーが多ければプラットフォーム診断 | 重要データを扱うなら設定の継続監視 | クラウド基盤の設定診断（CSPM） |
※上記は一般的な目安です。実際に必要な診断は自社の構成・扱うデータにより異なります。
継続監視（CSPM）とスポット診断の使い分け
クラウドの設定診断には、CSPMツールで設定を常時監視し続ける方法と、外部ベンダーに依頼して一時点の設定を点検してもらうスポット診断の2つがあります。クラウドの設定は日々変わるため、変更のたびにリスクを検知したいならCSPMによる継続監視が向いています。
一方、導入前やシステム公開前に第三者の目で網羅的に確認したい、あるいは監査対応で報告書が必要といった場合は、専門家によるスポット診断が適しています。両者は排他的ではなく、継続監視で日常的なリスクを抑えつつ、節目でスポット診断を受けるという併用も有効です。
外部診断・CSPM製品を選ぶときの観点
外部の診断サービスやCSPM製品を選ぶ際は、次の観点を自社の状況に照らして確認しましょう。
- 対応クラウドと連携範囲：自社が使うAWS・Azureなどに対応し、既存の環境と連携できるか。
- マルチクラウド対応：複数のクラウドを併用している場合、まとめて点検できるか。
- 診断方式：ツールによる自動診断か、専門家による手動診断か、両者を組み合わせたハイブリッドか。
- 報告書とサポート：検出結果だけでなく、優先度や修正方法まで示され、是正の相談ができるか。
クラウド脆弱性診断の費用の目安
クラウド脆弱性診断の費用は、始め方によって大きく変わります。おおまかな目安を整理すると次のようになります。
| 診断の始め方 | AWSなどの純正ツール | CSPMツール（SaaS型） | 外部ベンダーの手動診断・設定診断 |
|---|---|---|---|
| 費用の目安 | 従量課金（GuardDuty・Security Hubには30日間の無料トライアルあり） | 月額制が中心（ツール型のサービスには月額5万円前後から始められるものもある） | 要見積もり（診断対象の数・範囲、スポット/継続で変動） |
| 向いているケース | まず自社で低コストに設定リスクの可視化から着手したい | 設定を継続的に監視し、変更のたびにリスクを検知したい | 専門家の視点で網羅的に点検し、監査対応の報告書も得たい |
※費用は診断対象や範囲により変動します。正確な金額は各サービスの公式情報・見積もりをご確認ください（2026年7月時点）。
外部ベンダーの手動診断や設定診断は、公開価格を明示していないケースが多く、診断対象の数や範囲によって費用が変わります。金額の目安をつかむには、複数のサービスから見積もりを取り、診断範囲と合わせて比較するのが確実です。
クラウド脆弱性診断・CSPMに対応するサービス
ここからは、クラウドの脆弱性診断やCSPM（クラウドセキュリティ設定診断）に対応する主なサービスを紹介します。ツール型のSaaSで継続的に設定を監視するものから、専門家による手動診断を組み合わせるものまで特徴はさまざまです。自社の構成や、継続監視とスポット診断のどちらを求めるかに応じて選ぶとよいでしょう。まずは各サービスの特徴を次の比較表で確認してください。
| サービス名 | Aikido Security | Securify | GMOサイバーセキュリティ byイエラエ | セキュリティ診断（ラック） | SQAT | セキュリティ診断（NRIセキュア） |
|---|---|---|---|---|---|---|
| 提供会社 | 株式会社AndGo（開発: Aikido Security BV） | 株式会社スリーシェイク | GMOサイバーセキュリティ byイエラエ株式会社 | 株式会社ラック | 株式会社ブロードバンドセキュリティ | NRIセキュアテクノロジーズ株式会社 |
| 診断方式 | ツール自動診断（SaaS） | ツール自動診断（DAST） | ハイブリッド（手動診断＋ツールASM） | ハイブリッド（手動主体） | ハイブリッド（手動＋自動診断） | ハイブリッド（手動主体） |
| クラウド設定診断（CSPM） | ● | ● | △クラウド環境の脆弱性診断に対応 | ● | ● | ● |
| 継続監視・スポット | 継続監視 | 継続監視 | スポット＋継続監視（ASM） | スポット | スポット | スポット |
| 主な診断対象 | ソースコード・Webアプリ・クラウド設定・コンテナ ほか | Webアプリ・API・クラウド設定・ASM ほか | Webアプリ・スマホアプリ・クラウド・ネットワーク・IoT ほか | Webアプリ・プラットフォーム・クラウド設定・スマホアプリ・ペネトレ ほか | Webアプリ・API・ネットワーク・クラウド設定・IoT ほか | Webアプリ・プラットフォーム・API・クラウド設定・ペネトレ ほか |
| 料金 | 月額5万円台〜（AndGo経由） | 月額5万円〜（Webアプリ診断） | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※上記は一般的な傾向です。実際の機能搭載の有無については各社情報をご確認ください。
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコードからクラウド、実行環境までを横断してスキャンする統合型の脆弱性診断SaaSです。ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが提供しています。SAST（ソースコード診断）やDAST（Webアプリ診断）などに加え、クラウドの設定を点検するCSPMを1つのプラットフォームに統合しているのが特徴です。
複数の診断機能を単一のダッシュボードに集約できるため、これまでツールごとに分かれていた点検を一元化できます。検出したアラートを自動でトリアージ（優先度付け）し、誤検知を抑える設計になっているため、セキュリティ専門の人材が限られる開発チームでも運用しやすい点が魅力です。
純正ツールや複数のツールで検出したリスクをどう絞り込むかは、クラウド診断を運用する現場で実務的な課題になります。日本提供元である株式会社AndGoの原氏は、診断の現場で聞かれる悩みについて次のように述べています。
当社がよくお聞きするのは、「アラートが多すぎて、何が重要か分からなくなって放置が始まる」という悩みです。Aikido Securityは、バラバラだったアラートを統一し、対応すべきアラートを絞れるようにします。結果として、消し込み工数を減少でき、セキュリティ運用を“手に負える状態”に寄せていけます。
2. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するSecurifyは、Webアプリケーションへの自動脆弱性診断を中核に、複数の診断機能をシリーズとして統合したクラウド型のプラットフォームです。CSPM（クラウドセキュリティ態勢管理）のほか、外部に公開している資産を把握するASM、SaaS上のファイル公開設定を可視化するSaaS診断などを提供しています。
ツールによる自動診断を軸としているため、専門知識がなくても診断を実行しやすく、継続的にクラウド環境の状態を点検したい企業に適しています。Webアプリ診断と設定の管理を同じシリーズでそろえられるため、複数のツールを個別に導入する手間を抑えられます。
3. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエ株式会社は、ホワイトハッカーによる手動診断を強みとするセキュリティ企業です。クラウド（AWS・Azure・Google Cloud）の診断に対応し、Webアプリやスマホアプリ、ネットワークからブロックチェーン、AIまで幅広い対象を診断できる点が特徴です。
専門家による手動主体の脆弱性診断・ペネトレーションテストに加え、外部公開資産を継続把握するASM型のサービスも用意しています。クラウド環境を含めて攻撃者視点で深く検証したいというニーズに応えられます。
4. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックは、官公庁や金融分野で長い実績を持つ総合セキュリティベンダーです。熟練エンジニアが攻撃者視点で疑似攻撃を行い、ツールでは検出しにくい脆弱性まで人手で検証する、手動診断を主体とするハイブリッド型の診断を提供しています。
診断メニューにはAWSやMicrosoft Azureを対象としたクラウドセキュリティ設定診断があり、CISベンチマークなどの基準に照らして設定を評価します。監視・緊急対応・コンサルティングと診断を組み合わせられるため、診断後の是正まで一貫して相談したい企業に適しています。
5. SQAT（株式会社ブロードバンドセキュリティ）
SQATは、株式会社ブロードバンドセキュリティが提供する脆弱性診断サービスです。Web・API・ネットワーク・スマホアプリ・IoT・ソースコードなど診断対象が幅広く、その中にクラウドセキュリティ設定診断も含まれます。
多彩な診断メニューを持つため、クラウドの設定診断だけでなく、Webアプリやネットワークまで含めてまとめて依頼したい企業に向いています。診断対象が複数の領域にまたがる場合に、窓口を一本化できる点が利点です。
6. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
NRIグループのセキュリティ専業会社であるNRIセキュアテクノロジーズ株式会社は、国際資格を持つ専門家による手動主体の診断を強みとしています。Webアプリ・プラットフォーム・スマホアプリ・APIに加え、クラウド設定評価サービス（CSPM）まで幅広い診断対象を一括してカバーします。
攻撃者視点のペネトレーションテストやレッドチーム演習まで含む包括的な診断メニューを持つため、クラウド設定の診断に加えて、より高度な検証までまとめて任せたい企業に向いています。
ここではクラウドの脆弱性診断・CSPMに対応するサービスを取り上げましたが、Webアプリケーション診断やプラットフォーム診断まで含めて脆弱性診断サービス全般を診断方法・費用相場・選び方から比較したい場合は、以下の記事で詳しく解説しています。
まとめ
クラウドの脆弱性診断は、従来のWebアプリケーション診断やプラットフォーム診断に加えて、クラウド固有の設定不備を点検するクラウドセキュリティ設定診断（CSPM）が重要になります。責任共有モデルが示すとおり、クラウド基盤の設定は利用者が守る範囲であり、事故の多くもこの領域で起きます。
自社がクラウド上に何を構築しているかに応じて、受けるべき診断のタイプは変わります。AWSにWebシステムを載せているなら、まずはクラウドセキュリティ設定診断とWebアプリケーション診断の両方を検討し、AWS純正ツールで低コストに着手して、足りない部分を外部診断で補う進め方が現実的です。
自社の構成と、継続監視とスポット診断のどちらを求めるかを整理したうえで、対応サービスの資料を取り寄せて比較してください。
よくある質問（FAQ）
Q. CSPMとは何ですか？
A. CSPM（Cloud Security Posture Management）とは、AWSやAzureなどクラウド基盤の設定の不備やリスクを自動で検出し、是正を支援する仕組みです。日本語では「クラウドセキュリティ態勢管理」と訳されます。
アプリやサーバーに潜む弱点を探す従来の脆弱性診断とは異なり、クラウドの「設定」が安全な状態に保たれているかをCIS Benchmarkなどの基準に照らして継続的に評価する点が特徴で、設定変更のたびにリスクを検知できます。
Q. クラウドの脆弱性診断と従来の脆弱性診断は何が違いますか？
A. クラウドの脆弱性診断は、従来のアプリやサーバーの弱点検査に加えて、クラウド基盤の「設定」そのものを点検の対象に含める点が従来の診断と異なります。AWSなどの責任共有モデルでは、クラウド上で利用者が行った設定は利用者自身が守る範囲とされ、ストレージの公開設定ミスや過剰なアクセス権限といった不備はWebアプリケーション本体の診断では見つかりません。
そのため、従来のWebアプリ診断・プラットフォーム診断とは別に、クラウド設定を診るクラウドセキュリティ設定診断（CSPM）が必要になります。
Q. AWSの脆弱性診断は純正ツールだけで対応できますか？
A. AWSの脆弱性診断は、Amazon InspectorやAWS Security Hub CSPMなどの純正ツールで設定リスクの可視化まで自社で進められますが、検出結果をどう解釈し、どこから優先して直すかの判断や、攻撃者視点での深い検証は利用者側に委ねられる点に注意が必要です。
まず純正ツールで低コストに全体像を把握し、専門人材が不足する場合や網羅的な検証が必要な場合は、外部の手動診断やペネトレーションテストで補う進め方が現実的です。
Q. クラウドの脆弱性診断の費用はどれくらいかかりますか？
A. クラウドの脆弱性診断の費用は、始め方によって大きく変わり、AWSなどの純正ツールは従量課金で低コストに始められ、外部ベンダーの手動診断・設定診断は診断対象の数や範囲に応じた要見積もりが中心です。
CSPMツール（SaaS型）は月額制のサブスクリプションが多く、ツール型のサービスには月額5万円前後から始められるものもあります。外部診断は公開価格を明示していないケースが多いため、複数のサービスから見積もりを取り、診断範囲と合わせて比較するのが確実です。
Q. クラウドの脆弱性診断はどのくらいの頻度で受けるべきですか？
A. クラウドの脆弱性診断は、設定が日々変わるクラウドではCSPMツールによる継続監視を基本とし、システム公開前や監査対応といった節目にスポット診断を組み合わせるのが有効です。
継続監視は設定変更のたびにリスクを検知でき、スポット診断は第三者の目で網羅的に確認したい場面や報告書が必要な場面に向きます。両者は排他的ではないため、日常のリスクを継続監視で抑えつつ、節目で専門家のスポット診断を受ける併用が現実的です。
Q. 既製のSaaSを利用しているだけでもクラウドの脆弱性診断は必要ですか？
A. 既製のSaaSを組み合わせて使っているだけの場合でも、アカウントの権限設定や公開範囲を点検するクラウドセキュリティ設定診断（CSPM）は必要です。責任共有モデルでは、クラウドの「構成と設定」はIaaS・PaaS・SaaSのいずれの利用形態でも一貫して利用者の責任範囲とされています。自社でWebシステムを開発していなくても、権限の過剰付与やファイルの公開設定ミスは起こり得ます。
自社開発のWebシステムを載せている場合は、これに加えてWebアプリケーション診断も検討対象になります。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウド脆弱性診断・CSPMに対応するサービスをはじめ、脆弱性・セキュリティ診断サービスの最新資料をまとめて取り寄せられます。複数サービスの機能や診断範囲を比較しながら、自社に合う診断を効率的に検討できます。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
