自社のECサイトを運営していると、クレジットカードのセキュリティ強化や同業他社の情報漏えいのニュースをきっかけに、「うちのサイトは大丈夫なのか」「脆弱性診断を受けなければいけないらしいが、何をどこまでやればいいのか」と不安になる場面があります。改正割賦販売法とクレジットカード・セキュリティガイドラインの改訂により、EC加盟店に求められるセキュリティ対策の水準は年々明確になっています。
ただ、いざ調べてみると「脆弱性診断とは何か」という一般的な解説だけでは、具体的に何を診てくれるのか、費用はいくらか、どのサービスに頼めるのかという、実際に依頼へ進むための判断材料までは掴みにくいものです。費用の桁が分からないままでは、検討を先に進めにくくなります。
本記事では、ECサイトの脆弱性診断の種類と違い、費用相場の考え方、診断サービスの選び方と比較を先に示したうえで、なぜ診断が必要とされるのか（義務化の根拠）、実際に受ける流れと診断後の運用までを解説します。自社に合う依頼先を2〜3社の候補まで絞り込み、資料請求や見積もり依頼へ進むための判断材料として活用してください。
目次
ECサイトの脆弱性診断とは？診断の種類と違い
ECサイトの脆弱性診断とは、サイトを構成するWebアプリケーションやサーバー・ネットワーク機器に潜むセキュリティ上の弱点（脆弱性）を、専用ツールや専門家が擬似的に攻撃・検査して洗い出し、危険度と対策の優先順位とともに報告するサービスです。攻撃者に悪用される前に弱点を把握し、修正する目的で実施します。
ECサイトが診断の対象として重視されるのは、会員の個人情報やクレジットカード決済という、攻撃者にとって価値の高い情報を扱うためです。実際、IPA（情報処理推進機構）が中小企業の自社構築ECサイト50社を診断した結果では、危険度「高」の脆弱性が見つかった事業者が26社（全体の52%）に上っています。診断をして初めて気づく弱点が、半数を超えるサイトに存在していたことになります。
出典・参考資料（1件）
- 出典：ECサイト構築・運用セキュリティガイドライン（付録2 脆弱性診断結果）｜IPA・経済産業省（https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html）
ECサイトの脆弱性診断は、大きく「診断する対象」と「診断する方法」の2つの軸で種類が分かれます。まずは自社のサイトのどこを、どのやり方で診てもらうのかを押さえておくと、後述の費用や依頼先の比較がしやすくなります。
Webアプリケーション診断とプラットフォーム（ネットワーク）診断の対象の違い
診断する対象による分類が、Webアプリケーション診断とプラットフォーム診断（ネットワーク診断）です。EC加盟店向けのガイドラインでも、この2種類の実施が想定されています。
- Webアプリケーション診断：ログイン画面、会員情報の登録・変更画面、商品検索画面、注文・決済画面など、サイト上で動くプログラム（Webアプリケーション）の弱点を診断します。SQLインジェクションやクロスサイトスクリプティング（XSS）といった、入力値の扱いに起因する脆弱性が主な対象です。
- プラットフォーム診断（ネットワーク診断）：ECサイトが稼働するサーバーOS、ミドルウェア、ネットワーク機器の設定不備や既知の脆弱性（古いバージョンの放置など）を診断します。公開されているポートや不要なサービスの有無などを検査します。
IPA・経済産業省の「ECサイト構築・運用セキュリティガイドライン」では、サイト公開前に実施する脆弱性診断について、この2種類をあわせて行うことを求めています。Webアプリケーション診断の範囲としては、最低でもログイン画面・利用者情報の登録／変更画面・商品検索画面・注文／決済画面を対象とするよう示されています。
脆弱性診断は、原則、第三者（外部委託先事業者、自社以外の第三者）による脆弱性診断を実施し、実施する脆弱性診断は、プラットフォーム診断、Webアプリケーション診断の2種類を実施してください。
出典：ECサイト構築・運用セキュリティガイドライン｜IPA・経済産業省
出典・参考資料（1件）
- 出典：ECサイト構築・運用セキュリティガイドライン（第二部 実践編 構築時 要件3）｜IPA・経済産業省（https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html）
ツール型（自動）と手動型（専門家）の違い・ハイブリッド
診断する方法による分類が、ツール型（自動診断）と手動型（専門家による手動診断）です。両者は費用・精度・スピードが異なり、どちらを選ぶかが費用感を大きく左右します。
- ツール型（自動診断）：診断ツールがサイトを自動的にスキャンして既知の脆弱性を検出します。月額のサブスクリプション型で提供されることが多く、比較的低コストで繰り返し診断できるのが特徴です。開発・改修のたびに手軽にチェックしたい場合に向きます。
- 手動型（専門家による手動診断）：セキュリティの専門家（診断員）が、ツールでは検出しにくいサイト固有のロジックの欠陥や複雑な脆弱性を手作業で検査します。精度が高い一方、対象範囲に応じたスポットの見積もりとなり、費用は高くなる傾向があります。
- ハイブリッド：ツールによる網羅的なスキャンと、専門家による手動診断を組み合わせる方式です。効率と精度のバランスを取りたい場合の選択肢となります。
どちらか一方が優れているというより、診断の目的と対象範囲で使い分けるのが実務的です。継続的に手軽なチェックを回したいならツール型、公開前や重要な改修時に精度の高い診断を行いたいなら手動型、というように組み合わせる考え方が基本になります。
ECサイト脆弱性診断の費用相場（診断の種類・対象範囲で決まる料金の目安）
ここからは、多くの担当者が最初に知りたい費用相場について解説します。ECサイトの脆弱性診断の費用は「一律いくら」と決まっているものではなく、次の3つの要素で変動します。
- 診断方式：ツール型（自動）は月額のサブスクリプション型で比較的安価、手動型（専門家）は対象範囲に応じた個別見積もりで高くなる傾向があります。
- 診断対象の範囲：Webアプリケーション診断では診断する画面数やリクエスト数、プラットフォーム診断ではIPアドレス数やホスト数など、対象の規模が大きいほど費用は上がります。
- スポットか継続か：公開前などに一度だけ実施するスポット診断か、月額・年額で継続的に診断するかによって、料金体系が変わります。
そのため、費用は「診断方式 × 対象範囲」の組み合わせで幅があります。診断方式ごとの費用の目安（レンジ）を整理すると、次のようになります。金額はいずれも対象規模や依頼内容によって変動するため、あくまで桁を掴むための目安として捉え、正確な費用は各社の見積もりで確認してください（各サービスの個別料金は後述の比較表を参照してください）。
| 診断方式 | ツール型（自動診断・SaaS） | 手動型（専門家によるWebアプリ診断） | プラットフォーム（ネットワーク）診断 | ハイブリッド・ペネトレーションテスト |
|---|---|---|---|---|
| 主な対象 | Webアプリケーション・公開資産 | Webアプリケーション（画面・機能ロジック） | サーバー・ネットワーク機器 | Webアプリ＋ネットワーク＋シナリオ診断 |
| 料金体系 | 月額サブスク（継続診断） | スポット（個別見積もり） | スポット／年額 | 個別見積もり |
| 費用の目安 | 月額数万円〜（例：月額19,800円〜、年額60万円前後） | 数十万円〜（診断する画面数による。手動診断オプションで40万円程度からの例） | 数万〜十数万円〜（IP・ホスト数による。3IPまで15万円程度からの例） | 対象範囲により数十万〜数百万円 |
※上記は各社の公表料金・オプション料金の例にもとづく一般的な目安です。実際の費用は診断対象の規模・依頼内容により異なります。
このうちハイブリッド診断で行われるペネトレーションテストは、対象範囲や種類によって費用の幅が特に大きく、上表だけでは具体的な予算感がつかみにくい傾向があります。対象別（外部・内部・Webアプリ等）・種類別の料金の目安は、以下の記事で早見表を交えて解説しています。
無料の診断ツール・内製診断はどこまで使えるか
費用を抑えたい場合、無料の診断ツール（OWASP ZAPなどのオープンソースツール）や、自社の担当者による内製診断を検討することもあります。これらは初期費用を抑えて弱点の一次把握を行う手段として有効です。
ただし、無料ツールや内製診断は、検出できる脆弱性の範囲や精度に限界があり、ツールの結果を正しく解釈するにはセキュリティの知識が必要です。EC加盟店向けのガイドラインでも、脆弱性診断は「原則、第三者による実施」が求められており、自社内の診断は補完的な位置づけとされています。無料ツールで日常的にチェックしつつ、公開前や重要な改修時には専門の診断サービスを併用する、といった使い分けが現実的です。
ECサイトの脆弱性診断サービスの選び方と比較
ここからは、実際に診断を依頼するサービスの選び方と、主要なサービスの比較を解説します。ECサイトの脆弱性診断サービスは、ツール型のSaaSから専門家による手動診断まで幅広く、自社の目的・予算・体制に合わせて選ぶことが大切です。
診断サービスの選び方（診断対象・診断方式・料金形態・再診断可否）
数あるサービスから自社に合うものを絞り込むには、次の観点で比較すると判断しやすくなります。
- 診断対象が自社のニーズに合うか：Webアプリケーション診断だけでよいのか、サーバー・ネットワークを含むプラットフォーム診断まで必要かを確認しておくことが大切です。ガイドラインが求める公開前診断では両方が想定されるため、片方しか対応しないサービスを選ぶと別途手当てが必要になります。
- 診断方式（ツール型・手動型・ハイブリッド）：継続的に手軽に回したいのか、公開前に高精度の診断を行いたいのかで適した方式が変わります。開発サイクルが速い場合はCI/CDに組み込めるツール型、複雑なサイトや重要な改修時は手動型が向きます。
- 料金形態（スポット・月額継続）：一度だけの診断か、継続的な運用を見据えるかで、スポット見積もり型と月額サブスクリプション型のどちらが適するかが分かれます。
- 再診断・継続診断の可否：見つかった脆弱性を修正した後、正しく直っているかを確認する再診断が料金内か別料金かは、総額に影響します。定期診断のしやすさもあわせて確認します。
- 報告書の内容と対応支援：危険度の評価や修正方法の助言がどこまで含まれるか、報告後の相談に対応してくれるかは、実際の修正作業のしやすさを左右します。
- 有資格者・実績：診断を行う技術者の資格や、IPAの「情報セキュリティサービス基準」適合サービスリストへの掲載の有無は、診断品質を見極める手がかりになります。
以下の比較表で、主要な脆弱性診断サービスを診断対象・診断方式・料金形態・再診断の観点から並べました。中心となるのは、ECサイト本体のWebアプリケーション診断・プラットフォーム診断を主目的とするサービスです。
あわせて、開発工程や社内ネットワークまで含めて継続的に守る、周辺的なタイプのサービスも選択肢として掲載しています。ECサイトの公開前診断や義務対応が主目的であればWeb・プラットフォーム診断のサービスを、開発体制や社内環境まで含めて守りたい場合はこうした周辺型もあわせて検討するとよいでしょう。
自社の状況に近いサービスを2〜3社ピックアップし、資料請求や見積もりで詳細を確認していくとスムーズです。
| サービス名 | Aikido Security | KATABAMI サイバーセキュリティ対策パッケージ | Securify | VAddy | AeyeScan | SCT SECURE クラウドスキャン | Vex | GMOサイバーセキュリティ byイエラエ | SQAT | Cloudbric脆弱性診断 |
|---|---|---|---|---|---|---|---|---|---|---|
| 診断対象 | ソースコード・クラウド設定・コンテナ等 （開発工程の脆弱性） | 社内ネットワーク （サーバー・機器・複合機等） | Webアプリケーション （ASM・クラウド設定も） | Webアプリケーション | Webアプリ・SPA・API（オプション） | Webサイト・プラットフォーム （ネットワーク機器・DBサーバ等） | Webアプリケーション・API・SPA／Ajax | Web／スマホアプリ・クラウド・IoT・ネットワーク等 | Web・API・ネットワーク・スマホ・IoT・クラウド・ソースコード等 | Webサイト・Webアプリ・API・プラットフォーム・スマホアプリ・ペネトレ |
| 診断方式 | ツール型（SaaS・自動スキャン） | ネットワーク内部のリモート診断 （予防・復旧・補償の統合型） | ツール型（自動・DAST） | ツール型（自動・CI/CD連携） | ツール型（AI／RPA自動クローリング） | ツール型（外部から毎日自動スキャン） | ハイブリッド（ツール自動＋シナリオ手動） | ハイブリッド（手動診断＋ツールASM） | ハイブリッド（手動＋独自自動） | ハイブリッド（専門家手動＋ツール） |
| 料金形態 | 月額サブスク | 月額（デバイス単位） | 月額／年間契約 | 月額サブスク（1ヶ月〜） | 期間制（One Shot／Business） | 年額 | 年間ライセンス（プラン制） | 手動＝個別見積／ASM＝月額 | 個別見積（スポット） | 個別見積（都度型） |
| 再診断・継続診断 | 継続診断（常時スキャン） | 月次（年12回）の定期診断 | 継続診断（スケジュール実行・回数無制限） | 継続診断（繰り返し診断可） | 継続診断（期間内 診断無制限） | 継続診断（契約中は毎日・何度でも） | 継続診断（ライセンス期間内で反復） | ASMは継続監視／手動診断は個別対応 | 診断終了後3カ月まで再診断対応 | 要問い合わせ（改善支援あり） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
ここではECサイト向けを中心に取り上げましたが、Webサービスや社内システムも含めた脆弱性診断サービス全体を横断的に比較したい場合は、以下の記事で診断方法・費用相場・選び方をまとめています。
主要なECサイト脆弱性診断サービスの紹介
ここからは、比較表で取り上げた診断サービスについて、それぞれの特徴を個別に紹介します。はじめの2つ（Aikido Security・KATABAMI）は、ECサイト本体のWeb診断というより開発工程や社内ネットワークまで含めて守る周辺的な選択肢です。
続く各サービスがECサイトのWebアプリケーション診断・プラットフォーム診断を主目的とするものになります。診断対象・方式や料金形態はサービスごとに異なるため、自社のECサイトの規模や目的に合うものを見極める参考にしてください。
1. Aikido Security（株式会社AndGo）
Aikido Security（アイキドセキュリティ）は、ソースコードからクラウド設定、コンテナまで、開発の工程で生まれる脆弱性を継続的にスキャンできるオールインワンの開発者向け診断SaaSです。開発元はベルギーのAikido Security社で、日本では株式会社AndGoが提供しています。公開前に一度だけ外から診るタイプではなく、開発の段階からリリース後まで弱点を潰し続ける設計が特徴です。
複数のスキャナを1画面に束ね、検出結果の自動トリアージ（優先度付け）まで行うため、専任のセキュリティ人材がいなくても運用しやすい点も魅力です。自社でECサイトを内製開発している事業者が、継続的にコードとクラウド環境を守りたい場合に有力な選択肢となります。料金は無料プランのほか、日本では月額5万円台からのプランが用意されています（2026年7月時点、提供元公表情報にもとづく）。
なぜ公開前に一度診断すれば終わりではなく、開発工程を通じた継続的な診断が求められるのか。提供元である株式会社AndGoは、開発現場でのセキュリティの扱い方の変化について独自インタビューで次のように説明しています。
ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
2. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI サイバーセキュリティ対策パッケージは、脆弱性診断を単体で提供するのではなく、予防（定期診断）・復旧（隔離バックアップ）・補償（サイバー保険）を一体化した統合パッケージです。株式会社SYNCHROが提供しています。国産のステルス回線を経由して、社内ネットワークに接続されたサーバーや機器といった内部の弱点を、月次でリモート診断する点が特徴です。
診断の主な対象が社内ネットワーク側であるため、ECサイト本体のWebアプリケーション診断が主目的であれば、後述のWebアプリ診断に特化したサービスと役割が異なります。
一方で、ECの運営に使うオフィス側の機器・端末まで含めて継続的に守り、万一の際の復旧や補償まで一括で備えたい事業者に適しています。料金はデバイス単位で月額1,250円からとなっています（2026年7月時点、公式サイト掲載情報にもとづく）。
社内ネットワークの内部診断が従来どのように実施され、どこに負担があったのか。提供元である株式会社SYNCHROは、リモート診断に至る前の実情を独自インタビューで次のように説明しています。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。一方で、新しい脆弱性は日々生まれており、生成AIの登場でそのスピードもさらに上がっています。
3. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するSecurify（セキュリファイ）は、月額5万円から自動診断を内製化できるクラウド型のプラットフォームです。Webアプリケーションの自動診断を中核に、外部公開資産を洗い出すASM（攻撃対象領域管理）やクラウド設定診断までを一つに統合しています。
スケジュール実行による継続的な自動診断に対応し、STARTERプランでは診断回数の制限がありません。まずASMで気づかないうちに公開されているサブドメインなどの資産を棚卸ししてから診断できるため、EC周辺の管理外資産の穴を拾いやすいのも特徴です。
料金はWebアプリ診断のSTARTERプランが月額5万円（1 IP／FQDN）からで、基本機能の無料利用や無料トライアルも用意されています（2026年7月時点、公式サイト掲載情報にもとづく）。
4. VAddy（株式会社ビットフォレスト）
開発のパイプライン（CI／CD）に組み込んで継続的に診断したい事業者に向くのが、VAddy（バディ）です。WAF「Scutum」と同じチームが開発・運用するクラウド型のWebアプリケーション脆弱性診断で、初期費用が0円で、料金プランが公開されている分かりやすさが特徴です。
1カ月単位のサブスクリプションで、リリース前に繰り返し自動診断を回せるため、外注の単発診断よりも継続運用に向きます。上位のAdvancedプランはIPAの「安全なウェブサイトの作り方」のチェックリストに対応しており、ガイドラインに沿った定期診断の用途にも使えます。
料金はProfessionalプランが月額19,800円から、手動診断やプラットフォーム診断は有償オプションで追加できます（2026年7月時点、公式サイト掲載情報にもとづく）。
5. AeyeScan（株式会社エーアイセキュリティラボ）
専門知識がなくてもブラウザのログイン操作だけで診断を始められるのが、株式会社エーアイセキュリティラボが提供するAeyeScan（エーアイスキャン）です。AIとRPAによる自動クローリングで実際の画面遷移を再現し、フォームへの入力値を推定しながら診断のシナリオを自動生成します。
ページ遷移が動的なSPA（シングルページアプリケーション）にも対応するため、ログイン後の会員向け画面や購入導線を含む、現代的なUIのECサイトを診断しやすいのが特徴です。セキュリティ担当者の体制が薄い事業者でも内製で診断を回しやすい設計です。料金プランは利用期間に応じた複数の構成が用意されており、詳細は問い合わせで確認します（2026年7月時点）。
6. SCT SECURE クラウドスキャン（三和コムテック株式会社）
外部から毎日自動でスキャンし続ける継続監視型が、三和コムテック株式会社のSCT SECURE クラウドスキャンです。Webサイトやネットワーク機器といった外部公開資産を、スポットではなく日次で自動診断する点が特徴です。
クレジットカードを扱うECサイトにとって注目したいのは、PCI DSSのASV（認定スキャニングベンダー）資格を持つ診断サービスを提供している点です。また、脆弱性が検出されなかった場合には最新の診断日を記した「診断実施マーク」をサイトに掲示でき、利用者や取引先に安全性を示す用途にも使えます。
料金は年額制で、診断対象のIP／FQDN数に応じて変動するため、詳細は見積もりで確認します（2026年7月時点）。
7. Vex（株式会社ユービーセキュア）
株式会社ユービーセキュアのVex（ベックス）は、国内の診断現場で長く使われてきたWebアプリケーション脆弱性検査ツールです。対象のURLに擬似的な攻撃を送って応答を解析するツールで、診断代行の現場で培ったノウハウを検査エンジンに反映しているのが特徴です。
ログイン後の購入フローのような複雑な画面遷移を、人が操作を記録するシナリオ診断で再現できるため、カートや決済の導線を持つECサイトの診断に向きます。OWASP Top10やPCI DSSに準拠したレポートを自動生成できる点も、クレジットカードを扱う事業者のコンプライアンス報告に役立ちます。ツールの利用は年間ライセンスのプラン制で、料金は問い合わせで確認します（2026年7月時点）。
8. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
国内に多数のホワイトハッカーを擁し、手動主体の高度な診断を強みとするのが、GMOサイバーセキュリティ byイエラエ株式会社です。Webアプリケーションやスマートフォンアプリ、クラウド、ネットワークまで幅広い対象に対応し、ツールでは見つけにくい脅威を専門家が手作業で検出します。
手動主体の脆弱性診断・ペネトレーションテストに加え、外部公開資産を継続的に監視するツール型のASMサービスも提供しており、深い診断と継続的な監視を使い分けられます。ECの決済や会員系といった高リスクな部分に精度の高い診断をかけたい事業者に向きます。手動診断の料金は診断範囲に応じた個別見積もり、ASMは月額課金型で、詳細は問い合わせで確認します（2026年7月時点）。
9. SQAT（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティ（BBSec）のSQAT（サット）は、精度の高い手動診断と独自開発の自動診断を組み合わせるハイブリッド診断ブランドです。2000年創業のセキュリティ専業企業で、Webアプリケーションからネットワーク、ソースコード診断まで幅広いメニューを揃えています。
特にクレジットカード関連の実績が豊富で、PCI DSSの審査を行うQSA（認定セキュリティ評価機関）としてGAP分析からASVスキャンまで一貫して対応できる点が、クレジットカードを扱うECサイトにとって心強い特徴です。診断終了後3カ月まで再診断に対応し、全ての脆弱性診断にサイバー保険が付帯します。料金は診断内容に応じた個別見積もりで、問い合わせで確認します（2026年7月時点）。
10. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
WAFの提供で実績のあるペンタセキュリティ株式会社が手がけるのが、専門家の手動診断と自動ツールを組み合わせたCloudbric脆弱性診断です。Webサイトやアプリケーション、API、プラットフォームまで対応し、独自の脅威インテリジェンスを診断項目に反映している点が特徴です。
事前確認から診断、最終レビュー、品質保証、納品まで多段階の品質管理プロセスを設けており、ECサイトのWebアプリやAPIを精度高く診断したい事業者に向きます。IPA・経済産業省の情報セキュリティサービス基準の適合サービスリストに登録されており、公的な基準への適合を第三者を通じて確認できる点も安心材料です。料金は診断対象や内容に応じた個別見積もりで、問い合わせで確認します（2026年7月時点）。
なぜECサイトに脆弱性診断が必要か？義務化の根拠（改正割賦販売法とクレジットカード・セキュリティガイドライン）
ここまで診断の種類・費用・選び方を見てきましたが、そもそもなぜECサイトに脆弱性診断が求められるのか、その根拠を正確に押さえておくと、社内での説明や稟議がしやすくなります。結論から言うと、脆弱性診断は改正割賦販売法とその実務指針であるクレジットカード・セキュリティガイドラインを通じて、EC加盟店に実質的に求められる対策になっています。
改正割賦販売法は、クレジットカードを扱う加盟店に対し、カード番号等の適切な管理（第35条の16）と、カード番号等の不正な利用を防止するために必要な措置（第35条の17の15）を、経済産業省令で定める基準に従って講じることを義務づけています。
この「必要な措置」の実務上の指針として位置づけられているのが、クレジットカード・セキュリティガイドラインです。ガイドラインに掲げる措置（またはそれと同等以上の措置）を適切に講じている場合に、法令上の基準を満たしているとみなされる、という構造になっています。
出典・参考資料（2件）
- 出典：割賦販売法（第35条の16、第35条の17の15）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/336AC0000000159）
- 出典：クレジットカード・セキュリティガイドライン【6.0版】の公表について（注記）｜クレジット取引セキュリティ対策協議会（https://www.j-credit.or.jp/download/news20250305_a1.pdf）
クレジットカード・セキュリティガイドラインでEC加盟店に求められる要件
クレジットカード・セキュリティガイドラインは、2025年3月に公表された【6.0版】で、EC加盟店に対する指針対策を大きく更新しました。現行版は2026年3月に公表された【6.1版】ですが、EC加盟店向けの指針対策は6.0版から変更なく継承されています（協議会は「指針対策の追加・変更等が無いことから【6.1版】とした」と明記しています）。
6.0版でEC加盟店の対策として追加・整理されたのは、カード情報保護対策としての「脆弱性対策」と、不正利用対策としての「EMV 3-Dセキュアの導入」「適切な不正ログイン対策の実施」です。従来（5.0版まで）の「4つの方策のうち何方策を導入する」という選択型のアプローチは見直され、EC加盟店の不正利用対策の土台としてEMV 3-Dセキュアの導入と不正ログイン対策が据えられました。
脆弱性対策として求められるのは、次の5項目です。ガイドラインでは、この5項目を「すべて講じる」ことが示されています。
- システム管理画面のアクセス制限と管理者のID／パスワード管理
- データディレクトリの露見に伴う設定不備への対策
- Webアプリケーションの脆弱性対策
- マルウェア対策としてのウイルス対策ソフトの導入・運用
- 悪質な有効性確認・クレジットマスターへの対策
このうち3番目の「Webアプリケーションの脆弱性対策」の具体的な内容として、ガイドラインは次のように定めています。ここに、脆弱性診断そのものが明記されています。
脆弱性診断又はペネトレーションテストを定期的に実施し、必要な修正対応を行う。
出典：クレジットカード・セキュリティガイドライン【6.1版】（c.脆弱性対策）｜クレジット取引セキュリティ対策協議会
あわせて、不正利用対策として、EMV 3-Dセキュア（本人認証の仕組み）の導入が指針対策とされています。導入したうえで、原則として決済の都度、EMV 3-Dセキュアによる認証を行うことが求められます（加盟店が講じる他の不正利用対策の内容に応じて、登録時の認証やリスクに応じた運用も認められます）。
不正ログイン対策については、会員登録時・ログイン時・属性情報変更時などの場面に応じた対策を、ガイドラインが示す8項目から1つ以上導入することが求められます。
なお、カード情報そのものの保護については、カード情報の「非保持化」またはPCI DSS準拠のいずれかが求められます。EMV 3-Dセキュアやカード情報の非保持化の具体的な実装は決済のしくみに関わる領域のため、本記事では脆弱性診断に絞って解説します。
出典・参考資料（2件）
- 出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会（https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_6.1_published.pdf）
- 出典：クレジットカード・セキュリティガイドライン【6.0版】の公表について（注記）｜クレジット取引セキュリティ対策協議会（https://www.j-credit.or.jp/download/news20250305_a1.pdf）
脆弱性診断の対象外となるEMV 3-Dセキュアの導入やカード情報の非保持化は、決済のしくみ側で対応する対策です。それぞれの導入義務化の位置づけや、決済システムを選ぶ際に確認すべきポイントは、以下の記事で解説しています。
どの診断で義務のどこまでを満たせるか（要件と診断種別の対応）
脆弱性診断は、上記の要件のうち「脆弱性対策」を満たすための中心的な手段です。一方で、診断ですべての要件をカバーできるわけではありません。要件と診断種別の対応を整理すると、次のようになります。
- 脆弱性対策（5項目）：3番目の「Webアプリケーションの脆弱性対策」はWebアプリケーション診断が主に対応し、サーバー・ネットワーク面（1・2・4番目に関わる設定不備など）はプラットフォーム診断が対応します。ガイドラインが定期的な脆弱性診断・ペネトレーションテストの実施を求めているため、この項目は診断で直接応える部分です。
- 不正ログイン対策・EMV 3-Dセキュアの導入：これらは会員認証や決済のしくみに関する対策で、脆弱性診断の対象範囲外です。診断とは別に、認証の仕組みの導入・運用として対応する必要があります。
つまり、脆弱性診断は「脆弱性対策」の要件を満たすうえで欠かせない一方、不正ログイン対策やEMV 3-Dセキュアの導入は診断とは別に手当てが必要になります。診断を受ければすべての義務を満たせると考えず、要件ごとに対応手段を分けて整理しておくことが大切です。
診断を怠った場合のリスク（情報漏えい被害と事業への影響）
脆弱性を放置したまま攻撃を受けると、事業に大きな影響が及びます。日本クレジット協会の集計によると、2025年のクレジットカード不正利用被害額は510.5億円で、そのうち9割以上を番号盗用による被害が占めています。非対面のEC取引が、カード不正利用の主戦場となっている実態がうかがえます。
ECサイトからカード情報や個人情報が漏えいすると、被害者への補償や事故調査の費用に加え、クレジットカード決済の停止による売上機会の損失、ブランドの信頼低下といった影響が重なります。改正割賦販売法上の措置義務を果たしていない状態で事故が起きれば、是正を求められることにもなります。脆弱性診断は、こうした事態を未然に防ぐための投資として位置づけられます。
出典・参考資料（1件）
- 出典：クレジットカード・セキュリティガイドラインの改訂について【2026年3月】（参考資料に日本クレジット協会の不正利用被害額集計を掲載）｜クレジット取引セキュリティ対策協議会（https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_6.1_revisionpoint.pdf）
ECサイト脆弱性診断を受ける流れと診断後の運用
最後に、実際に診断を受ける流れと、診断後にやるべきことを解説します。診断は「受けて終わり」ではなく、見つかった脆弱性を修正し、継続的に確認していく運用までがセットです。全体像を押さえておくと、社内のスケジュールや予算の見通しが立てやすくなります。
申込から報告書受領までの流れと期間
手動型の診断では、一般的に次のような流れで進みます。ツール型（自動診断）の場合は、対象URLを登録してスキャンを実行するかたちになり、より短期間で結果が得られます。
- 問い合わせ・見積もり：診断対象（画面数・URL数・IPアドレス数など）を伝え、範囲と費用の見積もりを受けます。
- 事前準備・調整：診断の実施日程、対象環境（本番／検証）、テスト用アカウントの用意などを調整します。
- 診断の実施：ツールや専門家がサイトを検査します。対象範囲によりますが、数日から2週間程度が目安です。
- 報告書の受領：検出された脆弱性の一覧、危険度の評価、推奨される対策方法をまとめた報告書を受け取ります。
報告書では、脆弱性ごとに危険度が示されるのが一般的です。まずは危険度の高いものから対処の優先順位をつけていきます。診断そのものにかかる期間に加え、その後の修正と再確認まで含めると、初期の準備から一とおり完了するまでには1〜3カ月程度を見込んでおくと計画が立てやすくなります。
診断後の対策：修正から再診断・定期診断までの運用
報告書を受け取った後は、検出された脆弱性を危険度の高いものから修正します。修正が正しく行われたかを確認するため、修正後に再診断を実施するのが望ましく、再診断が料金内か別料金かはサービス選定時に確認しておきたいポイントです。
脆弱性診断は一度きりで終わりではありません。IPA・経済産業省のガイドラインでは、運用フェーズにおいて、脆弱性診断を定期的に、およびサイトをカスタマイズ（改修）した際に実施することを「必須」の要件としています。新たな脆弱性は日々見つかるため、定期的な診断で継続的に確認していくことが求められます。
あわせて、攻撃を防ぐ手段としてWAF（Webアプリケーションファイアウォール）の導入も検討に値します。ただし、同ガイドラインではWAFの導入は「推奨」の位置づけであり、まず「必須」とされる脆弱性診断と修正を土台としたうえでの、上乗せの防御策と考えるのが適切です。診断で弱点を見つけて直し、WAFで攻撃を受け流す、という組み合わせで守りを固めていきます。
出典・参考資料（1件）
- 出典：ECサイト構築・運用セキュリティガイドライン（第二部 実践編 運用時 要件2・要件6）｜IPA・経済産業省（https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html）
構築形態別の責任分界（ASP型カート・自社構築・クラウド型EC）
自社が診断すべき範囲は、ECサイトの構築形態によって変わります。どこまでが自社の責任範囲かを整理しておくと、診断の対象と依頼先を絞り込みやすくなります。
- ASP型ECカート（SaaS型）：プラットフォーム部分のセキュリティはASP事業者が管理します。一方、自社で追加したカスタマイズ部分や外部システムとの連携部分は、自社の責任範囲として個別に確認が必要です。ASP事業者が公表するセキュリティ仕様を確認し、自社が診断すべき範囲を切り分けます。
- 自社構築（オープンソース・スクラッチ）：Webアプリケーションからサーバー・ネットワークまで、広い範囲が自社の責任となります。ガイドラインが求めるWebアプリケーション診断・プラットフォーム診断の両方が対象になりやすく、最も診断の重要度が高い形態です。
- クラウド型EC（PaaS／クラウド基盤上の構築）：インフラの一部はクラウド事業者が担いますが、その上で動くアプリケーションや設定は自社の責任です。責任共有モデルにもとづき、自社が管理する範囲を診断対象とします。
クラウド基盤上でECサイトを運営している場合、Webアプリケーション診断・プラットフォーム診断に加えて、IAMや公開ストレージなどクラウド固有の設定不備を検査するCSPM（クラウド設定診断）まで含めるかを検討する余地があります。クラウド脆弱性診断の種類やCSPMとの違い、費用感は以下の記事で解説しています。
まとめ
ECサイトの脆弱性診断は、Webアプリケーション診断とプラットフォーム診断という対象の違い、ツール型と手動型という方式の違いで種類が分かれ、費用は診断方式と対象範囲の組み合わせで幅があります。クレジットカード・セキュリティガイドラインが求める「脆弱性対策」の中心的な手段であり、IPA・経済産業省のガイドラインでも公開前・定期の第三者診断が「必須」とされています。
大切なのは、診断を受けて終わりにせず、見つかった弱点を修正し、定期的に確認していく運用まで見据えることです。まずは自社のECサイトの構築形態と診断すべき範囲を整理し、本記事の比較を参考に候補となるサービスを2〜3社に絞って、資料請求や見積もりで詳細を確認してください。
よくある質問（FAQ）
Q. ECサイトの脆弱性診断とは何ですか？
A. ECサイトの脆弱性診断とは、サイトを構成するWebアプリケーションやサーバー・ネットワークに潜むセキュリティ上の弱点を、専用ツールや専門家が擬似的に検査して洗い出し、危険度と対策の優先順位とともに報告するサービスです。
攻撃者に悪用される前に弱点を把握して修正する目的で実施します。診断する対象によって「Webアプリケーション診断」と「プラットフォーム（ネットワーク）診断」に、診断する方法によって「ツール型（自動診断）」と「手動型（専門家による手動診断）」に分かれます。
Q. ECサイトの脆弱性診断の費用相場はいくらですか？
A. ECサイトの脆弱性診断の費用は「一律いくら」と決まっておらず、診断方式と対象範囲の組み合わせで幅があります。ツール型（自動診断）は月額数万円程度から、手動型（専門家診断）は対象範囲に応じた個別見積もりとなるのが一般的です。
Webアプリケーション診断では診断する画面数やリクエスト数、プラットフォーム診断ではIPアドレス数やホスト数といった対象規模が大きいほど費用は上がります。正確な金額は診断対象の規模や依頼内容で変わるため、候補となるサービスの見積もりで確認してください。
Q. ECサイトの脆弱性診断はツール型と手動型のどちらを選べばよいですか？
A. ECサイトの脆弱性診断は、継続的に手軽なチェックを回したいならツール型、公開前や重要な改修時に精度の高い診断を行いたいなら手動型が向き、両者を組み合わせて使い分けるのが実務的です。ツール型は月額のサブスクリプション型で比較的低コストに繰り返し診断でき、開発・改修のたびのチェックに適します。
手動型はツールでは検出しにくいサイト固有のロジックの欠陥まで専門家が検査できる一方、費用は高くなる傾向があります。どちらか一方が優れているというより、診断の目的と対象範囲で選ぶのが基本です。
Q. 小規模なECサイトでも脆弱性診断は必要ですか？
A. 小規模なECサイトでも、脆弱性診断は必要です。クレジットカード・セキュリティガイドラインは事業規模で対象を限定しておらず、中小企業を含むすべてのEC加盟店が対象とされています。
実際、IPA（情報処理推進機構）が中小企業の自社構築ECサイト50社を診断した調査では、過半数（52%）で危険度「高」の脆弱性が見つかっています。規模が小さくても、会員の個人情報やクレジットカード決済を扱う限り、攻撃者にとって価値の高い標的である点は変わりません。
Q. ASP型ECカートを使っていてもECサイトの脆弱性診断は必要ですか？
A. ASP型ECカート（SaaS型）を利用していても、自社でカスタマイズした部分や外部システムとの連携部分は自社の責任範囲となるため、その範囲の脆弱性診断は必要です。プラットフォーム本体のセキュリティはASP事業者が管理しますが、SaaS型プラットフォームを使えばセキュリティが万全になるわけではありません。
ASP事業者が公表するセキュリティ仕様を確認したうえで、自社が診断すべき範囲を切り分けることが重要です。自社構築（オープンソース・スクラッチ）の場合は、Webアプリケーションからサーバー・ネットワークまで広い範囲が自社の責任となり、診断の重要度が最も高くなります。
Q. ECサイトの脆弱性診断は自社内（内製）で実施してもよいですか？
A. ECサイトの脆弱性診断は自社内でも実施できますが、ガイドラインは「原則、第三者による実施」を求めており、自社内診断は補完的な位置づけです。
無料の診断ツール（OWASP ZAPなど）や内製診断は初期費用を抑えて弱点を一次把握する手段として有効ですが、検出できる脆弱性の範囲や精度に限界があり、結果を正しく解釈するにはセキュリティの知識が必要です。無料ツールで日常的にチェックしつつ、公開前や重要な改修時には専門の診断サービスを併用する使い分けが現実的です。
Q. ECサイトの脆弱性診断を受ければ、義務はすべて満たせますか？
A. ECサイトの脆弱性診断を受けるだけでは、EC加盟店に求められる義務のすべては満たせません。脆弱性診断は「脆弱性対策」の要件に応える中心的な手段ですが、EMV 3-Dセキュアの導入や不正ログイン対策は診断の対象範囲外で、別途手当てが必要です。
クレジットカード・セキュリティガイドラインは、脆弱性対策（5項目）に加えて、不正利用対策としてのEMV 3-Dセキュアの導入と、不正ログイン対策（8項目から1つ以上の導入）を求めています。さらにカード情報そのものの保護として、非保持化またはPCI DSS準拠のいずれかが必要です。要件ごとに対応手段を分けて整理しておくことが大切です。
Q. WAFを導入すればECサイトの脆弱性診断は不要になりますか？
A. WAF（Webアプリケーションファイアウォール）を導入しても、ECサイトの脆弱性診断が不要になるわけではありません。IPA・経済産業省のガイドラインでは、脆弱性診断と修正が「必須」の要件であるのに対し、WAFの導入は「推奨」の位置づけです。
WAFは攻撃を受け流す防御策として有効ですが、まず必須とされる脆弱性診断で弱点を見つけて直したうえでの、上乗せの防御と考えるのが適切です。診断で弱点を潰し、WAFで攻撃を防ぐ、という組み合わせで守りを固めます。
Q. ECサイトの脆弱性診断は義務ですか？実施しないと罰則はありますか？
A. ECサイトの脆弱性診断は、改正割賦販売法とその実務指針であるクレジットカード・セキュリティガイドラインを通じて、EC加盟店に実質的に求められる対策です。ガイドラインは2025年3月公表の【6.0版】で脆弱性対策を明文化し、現行の【6.1版】にも変更なく引き継がれ、EC加盟店に適用されています。
脆弱性診断の不実施を直接罰する規定は、現時点では整備の途上です。ただし情報漏えい事故が起きれば、個人情報保護法や不正アクセス禁止法上の責任を問われるほか、クレジットカード決済の停止や、改正割賦販売法上の措置義務にもとづく是正を求められるリスクが現実的に存在します。
Q. ECサイトの脆弱性診断は診断から修正までどのくらいの期間がかかりますか？
A. ECサイトの脆弱性診断は、診断自体が対象規模により数日〜2週間程度、その後の修正と再診断まで含めると、初期の準備から完了まで1〜3カ月程度が目安です。
手動型では「問い合わせ・見積もり→事前準備・調整→診断の実施→報告書の受領」という流れで進み、ツール型（自動診断）の場合は対象URLを登録してスキャンする分、より短期間で結果が得られます。報告書では危険度の高い脆弱性から優先的に修正し、修正が正しく行われたかを確認する再診断まで見込んでスケジュールを組むと計画が立てやすくなります。
ECサイト脆弱性診断サービスの料金・機能を一括チェック
MCB FinTechカタログでは、ECサイトの脆弱性診断サービスの最新の資料をまとめてダウンロードできます。診断対象・診断方式・料金体系を比較しながら、自社に合うサービスを効率的に検討できます。気になるサービスの資料をまとめて請求し、社内での比較検討にお役立てください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
