セキュリティアセスメントとは？種類・進め方・費用の目安を並列比較で解説

「うちもセキュリティアセスメントというのをやっといた方が」と上司から粗く振られたものの、脆弱性診断・ペネトレーションテスト・リスクアセスメント・ISMS/NIST 準拠評価・Webアプリ診断・クラウド設定診断など、頭の中でバラバラに浮かんでいる用語との関係が整理できず立ち止まっていないでしょうか。

本記事では、まず「セキュリティアセスメントとは何を指す活動か」を定義一文で示し、代表的な種類を並列比較表で見取り図として提示します。

あわせて実施タイミング・進め方の5ステップ・種類×企業規模で見る費用の目安・関連する主要フレームワーク・依頼先の選び方までを、ISO/IEC 27001・NIST SP 800-30・経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」など一次情報にあたって整理します。

読み終える頃には「セキュリティアセスメントの種類の見取り図が頭に入り、自社に必要な組み合わせの仮説を立て、複数ベンダーの資料請求から相見積もりへ動き出せる状態」に到達できます。

セキュリティアセスメントとは？

ここからは、セキュリティアセスメントの定義と目的を、国際規格や公的ガイドラインを起点に整理します。

セキュリティアセスメントの定義

セキュリティアセスメントとは、組織が保有する情報資産を対象に、脅威・脆弱性・現行の対策を客観的に評価し、リスクの大きさと優先順位を明らかにする一連のプロセスを指します。

読者の頭の中でバラバラに浮かんでいる「脆弱性診断」「ペネトレーションテスト」「リスクアセスメント」「準拠性評価」「Webアプリケーション診断」「クラウド設定診断」などは、いずれもこのプロセスを構成する評価手法群であり、対象・アプローチ・成果物の粒度が異なる並列の選択肢として位置づけられます。この包含関係は次の「セキュリティアセスメントの種類」で並列比較表として整理します。

国際規格の ISO/IEC 27001:2022（情報セキュリティマネジメントシステム＝ISMS の要求事項）は、Clause 6.1.2「情報セキュリティリスクアセスメント」で、組織が実施すべきプロセスを次のように定めています。

The organization shall define and apply an information security risk assessment process that: […] c) identifies the information security risks: 1) apply the information security risk assessment process to identify risks associated with the loss of confidentiality, integrity and availability for information within the scope of the information security management system; d) analyses the information security risks: […] e) evaluates the information security risks.

出典：ISO/IEC 27001:2022 Clause 6.1.2 Information security risk assessment｜ISO（国内正本は JIS Q 27001:2023）

ここで示される「情報の機密性・完全性・可用性（Confidentiality、Integrity、Availability の頭文字を取って CIA）の損失に関連するリスクを識別し、分析・評価する」という枠組みが、セキュリティアセスメントの中核です。

ISO/IEC 27001 に対応する実施ガイドラインとして ISO/IEC 27005:2022（Clause 7 に情報セキュリティリスクアセスメントプロセスを規定）が公開されており、国内では JIS Q 27005:2023 が正本として使えます。

出典・参考資料（2件）

• 出典：ISO/IEC 27001:2022 Third edition, Clause 6.1.2（プレビュー版原文）
• 出典：ISO/IEC 27005:2022 Information security risk management｜ISO 書誌

セキュリティアセスメントの目的

セキュリティアセスメントの目的は、自社のリスクを主観や勘ではなく客観的な評価軸で可視化し、限られた予算・人員をどのリスクから対処すべきかの優先順位を明らかにする点にあります。経済産業省と情報処理推進機構（IPA）が公表する「サイバーセキュリティ経営ガイドライン Ver 3.0」は、経営者が認識すべき3原則の一つとして次を挙げています。

経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要（経営者が認識すべき3原則の1）

出典：サイバーセキュリティ経営ガイドライン Ver 3.0｜経済産業省・IPA（2023年3月改訂）

同ガイドラインの「重要10項目」では、指示4として「サイバーセキュリティリスクの把握とリスク対応に関する計画の策定」が示されており、まず自社のリスクを客観的に把握することが対策計画の前提と位置づけられています。セキュリティアセスメントは、この「客観的把握」を担う具体的な活動にあたります。

出典・参考資料（1件）

• 出典：サイバーセキュリティ経営ガイドライン Ver 3.0｜経済産業省・IPA

セキュリティアセスメントの種類

ここからは、セキュリティアセスメントを構成する代表的な7種類を、対象・目的・代表的手法・得られる成果物・実施タイミング・期間の目安・費用レンジの7観点で並列に比較し、その後に種類ごとの解説と、実務でとくに混同されやすい3対の切り分けを示します。

【一覧表】セキュリティアセスメント7種類の並列比較

各種類の位置づけを一覧で掴んでから、後段の解説で個別の中身を読み進める構成にしています。

種類	評価対象	代表的手法	得られる成果物	実施期間の目安	費用レンジの目安
リスクアセスメント	組織全体の情報資産・業務プロセス	資産棚卸、脅威・脆弱性分析、リスク値算定	リスク管理台帳、対応方針マップ	1〜4か月	数十万円〜数百万円
脆弱性診断（プラットフォーム・Webアプリ）	サーバ・ネットワーク・Webアプリ	スキャナ検査（Nessus等）＋手動精査	脆弱性リスト（CVE番号・危険度）	2週間〜2か月	数十万円〜数百万円
ペネトレーションテスト	特定の攻撃シナリオに沿った経路	実攻撃を模した侵入試行（NIST SP 800-115 3分類目）	侵入経路と到達目標の記録	1〜3か月	数百万円〜1,000万円
準拠性評価	外部標準（ISO 27001／PCI DSS 等）への適合	管理策リストと自社実装の突合	適合マトリクス・是正計画	1〜3か月	数十万円〜数百万円
セキュリティ体制診断・情報セキュリティ監査	規程・運用・体制	ドキュメントレビュー、ヒアリング、監査（JASA基準）	監査報告書・是正勧告	1〜3か月	数十万円〜数百万円
クラウド設定診断	IAM／ストレージACL／セキュリティグループ等の設定	CIS Benchmarks・Well-Architected照合、CSPMツール	設定不備リストと修正指針	2週間〜1か月	数十万円〜100万円台
レッドチーム演習	組織全体（防御側非公表・シナリオ横断）	フィッシング・物理侵入・サプライチェーン経由の複合演習	侵入経路の記録と検知・対応の実効性評価	2〜6か月	1,000万円〜数千万円

費用と期間は診断対象の規模・診断方式・診断深度で変動します。詳細は後段の「費用の目安」節で扱います。

リスクアセスメント（組織・プロセス側）

リスクアセスメントは、組織が保有する情報資産を洗い出し、それぞれに対する脅威と脆弱性を分析し、リスク値（発生可能性 × 影響度）を算定して優先順位を決めるプロセスです。ISO/IEC 27001:2022 Clause 6.1.2 が要求する情報セキュリティリスクアセスメントの中核部分にあたり、後述する脆弱性診断やペネトレーションテストのような技術的な評価と対をなす「組織・プロセス側」の評価です。

成果物はリスク管理台帳（資産・脅威・脆弱性・リスク値・対応方針）で、ISMS 認証取得やサイバーセキュリティ経営ガイドライン指示4の「リスクの把握と計画策定」の土台になります。実施期間は中小規模で1〜2か月、大企業で3〜4か月が目安です。

脆弱性診断（プラットフォーム診断・Webアプリケーション診断）

脆弱性診断は、システムに存在する既知の脆弱性を検出し、リスクの高さと修正方針を報告書として提示する技術的評価です。

診断対象で大きく2種類に分かれます。

プラットフォーム診断は、サーバ・ネットワーク機器・ミドルウェアの OS やソフトウェアバージョンに紐づく脆弱性を、Nessus・OpenVAS 等のスキャナと手動精査で検査します。

Webアプリケーション診断は、Web アプリ固有の脆弱性——OWASP Top 10 に代表される SQL インジェクション、クロスサイトスクリプティング、認証・認可の不備など——を検査します。

実務上の共通ガイドとしては、経済産業省の告示に基づく JASA「情報セキュリティ監査基準／管理基準」と、Web アプリ診断では OWASP Web Security Testing Guide（WSTG）が広く参照されます。手法・対象・成果物の詳細は、JNSA と ISOG-J が公表する「脆弱性診断士スキルマップ＆シラバス」でも体系化されています。

出典・参考資料（2件）

• 出典：OWASP Web Security Testing Guide (WSTG) v4.2｜OWASP Foundation
• 出典：脆弱性診断士スキルマップ＆シラバス｜JNSA・ISOG-J

ペネトレーションテスト（実攻撃を模したシナリオ検証）

ペネトレーションテストは、実際の攻撃者が取り得る手口を模擬してシナリオを組み立て、目標（顧客情報の窃取・重要システムの権限奪取など）に到達できるかを検証する評価です。

米国国立標準技術研究所（NIST）が公表する NIST SP 800-115 では、情報セキュリティテストを大きく3分類（設計文書のレビュー／脆弱性の発見／脆弱性の検証）に整理しており、ペネトレーションテストは3分類目の代表的手法として位置づけられています。

脆弱性診断が「既知の脆弱性を機械的・網羅的に洗い出す」のに対し、ペネトレーションテストは「実際に到達可能な被害シナリオがあるか」を検証する点で目的が異なります。詳しくは後述の「混同されやすい対の切り分け」で扱います。

出典・参考資料（1件）

• 出典：NIST SP 800-115 Technical Guide to Information Security Testing and Assessment｜NIST

準拠性評価（ISMS／PCI DSS 等の適合性評価）

準拠性評価は、ISO/IEC 27001（ISMS）、PCI DSS（カード情報保護の国際基準）、NIST CSF、CIS Controls など外部の標準・規範に自社の状態が適合しているかを、規範の管理策リストと自社の実装を突き合わせて判定する評価です。認証取得を目指す場合は認証機関の審査（第三者認証）の前段として実施し、社内ガバナンス目的で内部監査として実施することもあります。

成果物は「基準×該当／未該当／部分該当」の適合マトリクスと、未該当項目の是正計画で、リスクアセスメントの成果物（リスク台帳）とは種類が異なります。両者の関係は「混同されやすい対の切り分け」で整理します。

セキュリティ体制診断・情報セキュリティ監査

セキュリティ体制診断・情報セキュリティ監査は、組織の情報セキュリティマネジメントの体制・規程・運用状況を第三者の目線で評価する活動です。国内では経済産業省告示に基づく JASA「情報セキュリティ監査基準／情報セキュリティ管理基準」が実施の枠組みを定めており、監査人は基準に照らして体制・規程・運用の状況を評価します。

技術的な脆弱性の洗い出しではなく、規程・運用の実効性（教育の実施状況・アクセス権レビューの頻度・インシデント対応手順の整備など）を評価対象とする点が特徴です。ISMS 認証や PCI DSS のような特定規範への準拠性評価に隣接しますが、監査は「基準に照らした是正勧告」を軸に据える点でより監査人の判断が入ります。

クラウド設定診断（CSPM／CASB 前段）

クラウド設定診断は、AWS・Azure・Google Cloud などのクラウドサービス上で、アカウント・IAM ポリシー・ストレージのアクセス制御・セキュリティグループ・監査ログといった「クラウド固有の設定」の不備を評価します。

照合基準は業界ベストプラクティス（CIS Benchmarks、各クラウドベンダーの Well-Architected Framework）や CSPM 製品の検査項目を用います。

従来型の脆弱性診断が OS・ミドルウェア・アプリの既知脆弱性を対象にするのに対し、クラウド設定診断は「S3 バケットが公開設定になっていないか」「特権 IAM ロールに MFA が強制されているか」「監査ログの改ざん防止が有効か」といったクラウド設定固有の不備（設定ミス）を検出します。

継続監視型の CSPM（Cloud Security Posture Management）製品導入の前段として、初期状態の棚卸を目的にスポット実施されるケースが多い評価です。

レッドチーム演習（高度な模擬攻撃）

レッドチーム演習は、ペネトレーションテストをさらに現実の高度標的型攻撃に近づけ、複数の侵入経路（フィッシングメール・物理侵入・サプライチェーン経由など）を組み合わせて長期間にわたり目標達成を試みる演習です。防御側（ブルーチーム）に事前告知せず実施し、検知・対応（SOC・CSIRT）の実効性まで含めて評価する点が特徴です。

金融機関では金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」等を背景に、脅威ベースのペネトレーションテスト（TLPT：Threat Led Penetration Testing）として類似の枠組みが実施されるケースが増えています。高度な専門性と長期間の稼働が必要なため、費用レンジは他の種類より1桁高くなる傾向があります。

混同されやすい対の切り分け

種類の並列列挙で終わらず、実務でとくに混同されやすい3対を切り分けます。用語の指す活動を取り違えると、依頼したい成果物と見積依頼の内容がずれ、結果として稟議が通らないケースが起こりがちです。

脆弱性診断 vs ペネトレーションテスト

脆弱性診断は「既知の脆弱性を機械的・網羅的に見つける」評価で、成果物は発見された脆弱性リスト（CVE 番号やリスク値付き）です。ペネトレーションテストは「実際の攻撃者の手口で、目標に到達できるかを試す」評価で、成果物は攻撃シナリオごとの侵入経路の記録と、到達可能だった目標の一覧です。

前者は「対象範囲を広く網羅的に見る」ことが強みで、後者は「特定の被害シナリオが本当に起きるか」を検証する点で目的が異なります。

リスクアセスメント vs 準拠性評価

リスクアセスメントは、自社が定めた基準（リスク受容基準）に照らして、識別したリスクの大きさと優先順位を判定する活動です。基準は自社の事業特性に合わせて設定されます。準拠性評価は、ISO/IEC 27001 や PCI DSS といった外部標準の管理策リストに照らして、自社の実装が該当／未該当／部分該当のいずれかを判定します。自社基準による相対評価か、外部標準への適合可否かの違いです。

両者は補完関係で、多くの組織はまずリスクアセスメントで優先度を出し、認証取得や取引先要請に応えるために準拠性評価を追加実施します。

クラウド設定診断 vs 従来型脆弱性診断

クラウド設定診断は、クラウドサービスの管理コンソール・API 経由で操作できる設定項目（IAM・ストレージ ACL・セキュリティグループ・監査ログ設定など）の不備を評価します。従来型の脆弱性診断は、OS・ミドルウェア・アプリケーションのソフトウェアバージョンに紐づく既知脆弱性を評価します。

同じ「クラウド上のシステム」を対象にする場合でも、前者は「設定ミス」を、後者は「ソフトウェア脆弱性」を検出する点で見るレイヤが異なります。多くの組織はクラウド利用開始時にクラウド設定診断を実施し、稼働後は従来型の脆弱性診断と併用します。

クラウド環境の脆弱性診断とCSPM（設定診断）の使い分け、IaaS／PaaS／SaaSごとの診断範囲の考え方、費用感については以下の記事で詳しく解説しています。クラウド利用比重が高い環境で診断範囲を切り分けたい方は、あわせてご覧ください。

セキュリティアセスメントが必要になるタイミング

ここからは、セキュリティアセスメントを実施すべき典型的なタイミングを、公的ガイドラインや業界動向を根拠に整理します。「今なぜやるべきか」を上司相談・稟議で説明する材料としても使えます。

なぜ実施するのか（目的）

セキュリティアセスメントを実施する目的は大きく3つあります。第1に「対策の抜け漏れや未把握の脆弱性を早期に発見する」こと、第2に「発見したリスクに優先順位を付けて限られた予算・人員を投資対効果の高い対策に振り向ける」こと、第3に「経営層や取引先に自社のセキュリティ状況を客観的な根拠で説明する」ことです。

とくに3点目は、近年のサプライチェーン攻撃の増加を背景に、取引先から質問票やアンケートで自社のセキュリティ評価結果の提出を求められるケースが増えています。

新システム・新サービスのリリース前

自社で開発した Web アプリケーションや業務システムを本番リリースする前に、脆弱性診断（プラットフォーム診断・Web アプリケーション診断）を実施するケースは実務で最も一般的です。リリース後に脆弱性が発覚すると、緊急パッチ適用・停止対応・顧客対応が発生し費用と信頼の両面で損失が大きくなるため、リリース前の1回の診断で予防することが定着しています。

取引先・親会社からの要請（サプライチェーン評価質問票への回答）

大企業や金融機関との取引を継続・開始する条件として、取引先セキュリティ評価質問票（数十〜数百項目）への回答を求められるケースが増加しています。回答の根拠として、リスクアセスメントや準拠性評価の実施結果が使われます。

経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）」を2026年度から段階的に施行しており、サプライチェーンの各社が満たすべきセキュリティ水準の可視化が進んでいます。

SCS 評価制度のレベル分けと、サプライチェーンでの取引実務への影響については、中小企業向けの脆弱性診断・バックアップを扱う株式会社SYNCHROが次のように述べています。

インシデント発生後の再点検

自社でセキュリティインシデント（ランサム被害・情報漏えい・不正アクセスなど）が発生した後、または同業他社で類似インシデントが発生した後は、原因究明と再発防止のためにセキュリティアセスメント（とくにペネトレーションテストや体制診断）を実施することが多い局面です。JPCERT/CC が発出する注意喚起も、こうした業界共通の再点検のトリガーとして機能します。

ISMS／PCI DSS 等の認証取得・更新前

ISMS（ISO/IEC 27001）認証の取得や PCI DSS 準拠を目指す場合、認証機関の審査の前段として自社で準拠性評価と体制診断を実施します。認証取得後も、通常は年次のサーベイランス審査や3年ごとの更新審査に向けて内部監査や事前診断を行います。認証はリスク管理の到達点ではなく、継続的な改善プロセスの一部として扱われます。

M&A・事業統合の前後（買収先の DD 目的）

M&A で他社を買収する場合、買収先が抱えるセキュリティリスクを事前に評価する目的で、デューデリジェンス（DD）の一環としてセキュリティアセスメントを実施します。統合後は買収先のシステムを自社のセキュリティ基準に合わせて再評価する二段構えが一般的です。

ZTNA／SASE／ゼロトラスト構築の前段

境界防御中心のセキュリティから ZTNA（Zero Trust Network Access）や SASE（Secure Access Service Edge）といったゼロトラストの枠組みへ移行する場合、現状のアクセス経路・認証方式・特権管理・監査ログの棚卸のためにセキュリティアセスメントを前段で実施することが増えています。

既存資産の可視化なしにゼロトラスト設計に入ると、後段で不備が発覚してやり直しになるためです。

継続実施のサイクル（年1回／変更時／継続監視の3層で運用）

セキュリティアセスメントは1回きりの活動ではなく、継続的な運用サイクルの中で位置づけられます。

実務では「年1回の定期評価（リスクアセスメント・体制診断）」「システム変更時のスポット評価（脆弱性診断・クラウド設定診断）」「継続監視型ツールによる日次〜月次の自動評価（CSPM・脆弱性管理 SaaS）」の3層を組み合わせるケースが多く、ISO/IEC 27001 の年次サーベイランス審査や PCI DSS の四半期スキャンといった規範の要求ともかみ合っています。

出典・参考資料（2件）

• 参考資料：金融分野におけるサイバーセキュリティに関するガイドライン｜金融庁（2024年10月）
• 参考資料：サプライチェーン強化に向けたセキュリティ対策評価制度｜経済産業省

セキュリティアセスメントの進め方（5ステップ）

ここからは、依頼から報告書受領までの標準的な進め方を5ステップで整理します。NIST SP 800-30 Rev.1 の4ステップ枠組み（Prepare／Conduct／Communicate／Maintain）を実務向けに分解した構成で、国内の主要診断ベンダー（NRIセキュア、LAC、GMOサイバーセキュリティ byイエラエ など）の公表資料でも同様の5ステップが慣行化しています。

STEP 1 情報資産の棚卸・スコープ定義（NIST の Prepare 相当）

最初のステップは、評価対象となる情報資産（システム・アプリケーション・データ・拠点）の棚卸と、今回のアセスメントで評価する範囲（スコープ）の定義です。ISO/IEC 27001 の管理策 A.5.9「情報および他の関連資産の目録」でも要求される作業で、資産の重要度分類（機密性・完全性・可用性の各観点で3〜5段階）まで済ませておくと後段のリスク値算定が滑らかに進みます。

STEP 2 脅威と脆弱性の特定（NIST の Conduct の前半）

次に、各資産に対する脅威（誰が・どんな動機で・どの手法で狙うか）と脆弱性（脅威を実現させる自社側の弱点）を洗い出します。IPA が毎年公表する「情報セキュリティ10大脅威」の組織編は、その年に顕在化した脅威の傾向を把握する共通の参照点として使えます。技術的な脆弱性の洗い出しは、脆弱性診断ツールやペネトレーションテストの結果を根拠として組み合わせるケースが多い工程です。

組織における情報セキュリティの脅威として、2025年は「ランサム攻撃による被害」「サプライチェーンや委託先を狙った攻撃」「システムの脆弱性を突いた攻撃」などが上位に挙げられている。

出典：情報セキュリティ10大脅威 2025 組織編｜情報処理推進機構（IPA）（要旨）

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2025｜情報処理推進機構（IPA）

STEP 3 リスク値の算出（発生可能性 × 影響度）と評価（NIST の Conduct の後半）

洗い出した脅威・脆弱性のペアごとに、発生可能性（Likelihood）と影響度（Impact）を評価し、その積をリスク値として算定します。ISO/IEC 27001 Clause 6.1.2 d) の「潜在的な結果の評価」「発生可能性の評価」「リスクレベルの決定」に対応する工程です。

算定結果はリスクマトリクスに配置し、事前に定めたリスク受容基準（Risk Acceptance Criteria）と照らして、対応が必要なリスクを特定します。

評価軸：CIA（機密性・完全性・可用性）× 物理・技術・組織の3層で見る

リスクの評価軸は、情報セキュリティの3要素である CIA——機密性（Confidentiality：情報が権限者にのみ開示される）／完全性（Integrity：情報が改ざんされない）／可用性（Availability：情報が必要時に利用できる）——を基本とします。

ISO/IEC 27001 Clause 6.1.2 c) 1) にも「機密性・完全性・可用性の損失に関連するリスクを識別する」と明記されている枠組みです。あわせて、対策の範囲は物理的セキュリティ（施設・機器）／技術的セキュリティ（ネットワーク・サーバ・アプリ）／組織的セキュリティ（規程・教育・運用）の3層で捉え、CIA と3層の掛け合わせで抜け漏れを防ぎます。

STEP 4 リスク対応方針の決定（低減／回避／移転／受容）（ISO/IEC 27001 Clause 6.1.3 リスク対応に対応）

評価したリスクごとに、対応方針を「低減（Mitigate）／回避（Avoid）／移転（Transfer）／受容（Accept）」の4つから選び、対策計画に落とし込みます。低減は追加対策の実施、回避はリスク源となる業務やシステムの停止・変更、移転はサイバー保険や外部委託によるリスク分担、受容は現状のまま許容（受容基準を満たすリスクに限る）です。

優先度の高いリスクから順に予算・人員を配分し、対応期限を設定します。

STEP 5 報告書・報告会と対応計画のフォロー（NIST の Communicate と Maintain）

最終ステップは、評価結果の報告書作成と報告会の実施、そして対応計画のフォローアップです。報告書には通常、以下の4点が含まれます。

• 発見された脆弱性・課題のリスト（CVE 番号・危険度・影響範囲）
• リスク評価結果（優先度付きのリスクマトリクス）
• 是正推奨事項（技術的対策と運用的対策の具体案）
• エグゼクティブサマリ（経営層向けの要点整理）

報告書受領後は、報告会で診断ベンダーから直接説明を受け、社内で対応計画を策定・実行します。診断ベンダーによっては再診断（修正後の確認診断）や改修コンサルティングまでを一貫して提供するケースもあります。

全体の期間感（規模別に 1〜4 か月の目安）

依頼からSTEP 5 の報告書受領までの全体の期間は、対象範囲と診断方式で変動しますが目安は次の通りです。小規模（Web アプリ1本、対象URL数〜数十）で1〜1.5か月、中規模（複数システム／プラットフォーム診断併用）で1.5〜3か月、大規模（全社体制診断／複数拠点／認証取得前準拠性評価）で3〜4か月が多くの実務で公表されているレンジです。

ペネトレーションテストやレッドチーム演習は個別要件で期間が伸びる傾向があります。

出典・参考資料（1件）

• 出典：NIST SP 800-30 Revision 1 Guide for Conducting Risk Assessments｜NIST

セキュリティアセスメントの費用の目安

ここからは、種類 × 企業規模の観点で費用のレンジを示します。実際の見積は診断対象の規模・診断方式・診断深度で変動しますが、稟議書に添える相場観として次の情報を活用してください。

費用の構成要素（初期費用／診断費用／再診断費用／報告会・改善支援）

セキュリティアセスメントの費用は通常、①初期費用（キックオフ・スコープ定義の稼働）、②診断本体の費用（対象規模・診断方式に依存する主要コスト）、③再診断費用（修正後の確認診断。有償別途と診断本体に含むケースの両方あり）、④報告会・改善支援費用（アドバイザリーサービスとして継続契約になる場合あり）、で構成されます。

ツール型 SaaS の場合は年額サブスクリプションで①〜③を丸めた料金設計になり、都度発注の手動診断では①〜④を個別見積で組み立てる傾向があります。

【マトリクス表】種類 × 企業規模で見る費用レンジ

実際に公表されている料金と、業界レンジを突き合わせた費用の目安を掲載サービスの公開料金ページを一次情報として整理しました。

種類	小規模（Webアプリ1本／数十URL・数拠点）	中規模（複数システム／数百URL・数十拠点）	大規模（全社／数千URL・数百拠点）
リスクアセスメント	50万円〜150万円	150万円〜500万円	500万円〜1,500万円
Webアプリ脆弱性診断	30万円〜80万円/システム	80万円〜300万円/複数システム	300万円〜1,000万円/年間契約
プラットフォーム脆弱性診断	20万円〜50万円/数十IP	50万円〜150万円/数百IP	150万円〜500万円/千IP規模
ペネトレーションテスト	200万円〜500万円	500万円〜1,500万円	1,500万円〜数千万円
準拠性評価（ISMS／PCI DSS）	100万円〜300万円	300万円〜800万円	800万円〜2,000万円
クラウド設定診断	30万円〜80万円/1アカウント	80万円〜200万円/数アカウント	200万円〜500万円/マルチクラウド
レッドチーム演習・TLPT	500万円〜1,500万円	1,500万円〜3,000万円	3,000万円〜数千万円超

後述の「セキュリティアセスメント関連サービス」節で紹介するツール型 SaaS（Aikido Security・GMOサイバー攻撃ネットde診断 ASM 等）は、月額サブスクリプション型または年額契約型で提供されるため、継続監視の主軸に据えて単発の手動診断と組み合わせると実効的な費用を抑えられます。

とくにペネトレーションテストは、対象（Web／ネットワーク／内部・外部シナリオ）や実施方式（ブラックボックス・グレーボックス・ホワイトボックス）で費用がさらに大きく変動します。以下の記事では対象・種類別の費用早見表と依頼先の選定観点を整理しているので、稟議前の費用試算にご活用ください。

費用に影響する変数（診断対象の量・診断方式・診断深度）

費用レンジ内で自社の見積が高低どちらに振れるかは、いくつかの変数で決まります。Web アプリ診断であれば診断対象の URL 数・機能数、プラットフォーム診断であれば IP 数・サーバ台数、体制診断であれば拠点数・従業員数が主要な変数です。診断方式は、ツール自動スキャン中心なら費用が抑えられ、専門家による手動精査が主体になるほど工数が積み上がります。

診断深度は、既知脆弱性の網羅的検出のみか、ロジック脆弱性・認可の不備まで踏み込むか、で工数が変動します。

費用を抑える工夫（ツール型 SaaS の活用／範囲の絞り込み／継続契約の活用）

スポットの手動診断より年間サブスクリプション型のツール SaaS（Aikido Security など）を継続監視の主軸に据え、年1回だけ手動診断を上乗せする組み合わせで実効的なコストを抑えるケースが増えています。また、初回は対象範囲を「本番リリース直後の主要システム」に絞り、翌年以降に周辺システムへ拡張する段階的アプローチも有効です。

診断ベンダーとの年間契約では、単発発注より1回あたりの単価が優遇されることが多い点も見積依頼時の確認ポイントです。

出典・参考資料（2件）

• 参考資料：GMOサイバー攻撃ネットde診断 ASM 料金｜GMOサイバーセキュリティ byイエラエ
• 参考資料：セキュリティサービスメニュー｜株式会社ラック

関連するフレームワーク（ISO 27001 / NIST / CIS / 経産省 / 金融庁 / PCI DSS）

ここからは、セキュリティアセスメントで参照される主要フレームワークを整理します。取引先の質問票やISMS/NIST 準拠要求に根拠を持って答えるための対応関係を、原典を出典に押さえておきましょう。

【対応表】フレームワーク × セキュリティアセスメントで得られる成果物

各フレームワークが求める内容と、セキュリティアセスメントの成果物の対応関係を一覧します。

フレームワーク	アセスメントに関する要求	対応する成果物
ISO/IEC 27001:2022（ISMS）	Clause 6.1.2 情報セキュリティリスクアセスメント、Annex A 93管理策の適合	リスク管理台帳、適合マトリクス、内部監査報告書
NIST CSF 2.0（6 Functions）	Identify カテゴリでリスクアセスメントを要求、Govern（新規追加）でガバナンス評価	プロファイル（Current／Target）、成熟度評価、ギャップ分析
CIS Controls v8.1（18 Controls・IG1〜IG3）	実装優先度に沿った18コントロールの適合評価（IG1: 56の基礎項目から着手）	コントロール別の実装状況表、IG別成熟度
経産省「サイバーセキュリティ経営ガイドライン Ver 3.0」	指示4「リスクの把握と目標・計画策定」、実践のためのプラクティス集	経営層向けリスクレポート、実施計画
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（2024年10月制定）	脆弱性診断とペネトレーションテストの実施、脅威ベースのペネトレーションテスト（TLPT）	診断報告書、TLPT報告書、経営陣への報告資料
PCI DSS v4.0.1	四半期外部脆弱性スキャン（ASV）、年次ペネトレーションテスト、年次 Report on Compliance	ASVスキャン結果、ペネトレーションテスト報告書、Attestation of Compliance

ISO/IEC 27001（ISMS）— リスクアセスメントの要求事項との対応

ISO/IEC 27001:2022 は情報セキュリティマネジメントシステム（ISMS）の国際標準で、認証取得を目指す組織の共通の到達点です。Clause 6.1.2 で情報セキュリティリスクアセスメントの実施を、Clause 6.1.3 でリスク対応を、Annex A で93の管理策を要求します。セキュリティアセスメントは、Clause 6.1.2 に対応する具体的な活動として位置づけられます。

国内では JIS Q 27001:2023 が正本として使えます。

NIST CSF 2.0（Govern／Identify／Protect／Detect／Respond／Recover の6 Functions）

NIST Cybersecurity Framework（CSF）は米国国立標準技術研究所が公表するサイバーセキュリティのフレームワークで、2024年発行の CSF 2.0 で従来の5 Functions（Identify／Protect／Detect／Respond／Recover）に「Govern（統治）」が追加され6 Functions になりました。

Identify の下位カテゴリでリスクアセスメントの実施が要求されており、セキュリティアセスメントは Identify の中核活動として位置づけられます。国内でも取引先セキュリティ評価質問票の共通言語として広く採用されています。

出典・参考資料（1件）

• 出典：NIST Cybersecurity Framework 2.0｜NIST

CIS Controls v8.1（18 コントロールの優先順位）

CIS Controls は米国の Center for Internet Security（CIS）が公表する、実装優先度に沿った18の管理策リストです。ISO/IEC 27001 の Annex A よりも実装粒度が細かく、Implementation Group（IG1〜IG3）で組織の成熟度に応じた優先順位が示されているのが特徴です。

中小企業向けに IG1（56の基礎的コントロール）だけを先行導入する運用が推奨されており、セキュリティアセスメントの管理策ベンチマークとしても使えます。

出典・参考資料（1件）

• 出典：CIS Critical Security Controls｜Center for Internet Security

経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」

経済産業省と IPA が共同で公表するガイドラインで、経営者が認識すべき3原則と、指示すべき重要10項目で構成されます。指示4「サイバーセキュリティリスクの把握とリスク対応に関する計画の策定」でリスクの把握＝セキュリティアセスメントの実施を求めており、企業のセキュリティ投資判断の共通言語として使われています。

金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（該当業種向け）

金融機関を対象に、金融庁が2024年10月に制定したガイドラインで、経営陣の関与・脆弱性診断とペネトレーションテストの実施・脅威ベースのペネトレーションテスト（TLPT）などを求めています。あわせて金融情報システムセンター（FISC）の「金融機関等コンピュータシステムの安全対策基準」も業界標準として広く参照されており、金融機関のセキュリティアセスメント設計はこの2つを起点にすることが慣行です。

ガイドライン制定後、金融機関側で実際にどのような相談が増えているのか。金融機関向けにネットワーク診断を扱う株式会社クワッドマイナージャパンの営業担当者は次のように述べています。

PCI DSS（カード情報を扱う事業者向け）

PCI DSS はクレジットカード業界の国際セキュリティ基準で、2024年発行の v4.0.1 が最新版です。12の要件と400以上の管理策を持ち、四半期ごとの外部脆弱性スキャン（ASV スキャン）、年次のペネトレーションテスト、年1回の準拠性評価（Report on Compliance）を求めています。

クレジットカード情報を保存・処理・伝送する事業者はセキュリティアセスメントを規範の要求として実施する必要があります。

PCI DSSが四半期ごとに義務づけるASV（Approved Scanning Vendor）スキャンは、PCI SSCが認定した業者のみが実施できる仕組みです。要件11の具体的な内容や認定ASV業者の選び方、通常の脆弱性診断との使い分けについては以下の記事で整理しています。

出典・参考資料（1件）

• 出典：PCI DSS v4.0.1｜PCI Security Standards Council

依頼先（サービス）の選び方

ここからは、複数のセキュリティ診断ベンダー・サービスを比較検討する際のチェックポイントを整理します。次章の掲載サービス比較を読み解く際のレンズとして活用してください。

診断対象の適合性はマッチしているか

Web アプリ・プラットフォーム（サーバ・ネットワーク）・クラウド設定・スマートフォンアプリ・ソースコードなど、自社が診断したい対象に対して、そのベンダーが得意領域として実績を持つかを確認します。得意領域はベンダーの公式サイトのサービスメニューと実績（累計診断件数・業種別事例）から読み取れます。

全対象を等しく提供するベンダーは少なく、対象別に強みを持つベンダーを組み合わせる選定が実務では多い判断です。

診断方式の適合性はどうか（ツール自動／専門家手動／ハイブリッド）

診断方式は大きく3つに分かれます。ツール自動スキャン（Nessus・OpenVAS・Web スキャナなど）主体は費用を抑えられる一方、ロジック脆弱性・認可の不備といった検出は限定的です。専門家による手動精査主体は費用が上がりますが、シナリオベースの検証や高度な脆弱性の発見に強みがあります。両者を組み合わせるハイブリッド型が実務の主流で、ツールで網羅的に洗い、手動で深部を検証する使い分けをします。

自社に必要な深度で選定してください。

報告書の質は判断材料として十分か

報告書は納品物であると同時に、社内での対応判断・稟議・監査対応の一次情報として長く使われます。発見された脆弱性の技術的解説の深さ、CVSS などの共通指標に基づくリスク値の付与、是正推奨事項の具体性（コード例・設定例まで踏み込むか）、経営層向けエグゼクティブサマリの有無、を見積依頼時にサンプル閲覧で確認するのが実務的です。ベンダーによっては報告書サンプルを公開しているケースもあります。

改修支援まで対応できるか

診断で発見された脆弱性の修正は自社の開発チームで実施することも、診断ベンダーの改修支援サービスに委託することもできます。修正後の再診断（Re-test）が診断本体に含まれるか別料金か、改修コンサルティング（コードレベルの修正指針提示）まで一貫して依頼できるか、PSIRT（製品セキュリティ対応チーム）立ち上げ支援まで持つかは、ベンダーによって幅があります。

診断後の対応まで見据えた選定が結果的にトータルコストを抑えます。

業界特化・有資格者の有無は自社要件と合うか

金融・医療・製造・公共など特定業種の実績が求められる場合は、業種特化のベンダー選定が確度を高めます。有資格者としては情報処理安全確保支援士（RISS）、OSCP、GIAC、CISSP、CEH などのグローバル資格が代表的で、ベンダーの公式サイトの技術者紹介・実績ページで確認できます。

金融機関の場合は TLPT（脅威ベースのペネトレーションテスト）の実績・金融庁ガイドラインへの対応可否も要件になります。

費用感と契約形態は運用に合うか

スポット発注（都度見積・単発）、年間契約（年間費用固定・複数回実施）、継続監視契約（月額サブスクリプション・ダッシュボード常時提供）で費用構造が大きく変わります。年1〜2回の脆弱性診断がメインなら年間契約、日次で変化するクラウド設定を追いたいならツール SaaS の継続監視型、といった運用シーンとの適合性で選定してください。

よくある失敗と回避のポイント

実務でよく起こる失敗として、①スコープを絞りすぎてリスクの見落としが発生する、②評価基準を曖昧なまま進めてリスク値の妥当性を後段で問われる、③診断報告書を受け取ったまま対応計画に落とし込めず対策実施が停滞する、が代表的です。

回避策は、①最初のスコープ定義段階で「対象外」の判断根拠を記録しておく、②CVSS・DREAD・独自基準など評価軸を明文化してからリスク値算定に入る、③診断ベンダーの改修支援・アドバイザリーサービスの活用や、専門家（社内・外部いずれも）のノウハウを対策計画策定に組み込む、の3点です。

セキュリティアセスメント関連サービス

種類の見取り図・費用レンジ・選び方の観点が頭に入ったところで、比較検討できる主要サービスを紹介します。診断方式（ツール自動／手動主体／ハイブリッド）で特徴が異なるサービスを並べているので、自社の課題に合った依頼先候補として比較検討してください。

本記事で扱った7種類との対応関係の目安は次の通りです。ツール型・継続診断は Aikido Security（オールインワン SaaS）、ネットワーク全体の実測型リスク診断はセキュア・レントゲン、予防〜復旧〜補償の統合パッケージは KATABAMI。

リスクアセスメント・準拠性評価・体制診断・レッドチーム演習など専門家手動主体の総合対応は NRIセキュア・LAC の2社、手動診断＋ ASM ツールの継続監視を1社で持つハイブリッド型は GMOサイバーセキュリティ byイエラエが対応領域です。

※上記は2026年8月時点の各社公開情報に基づく整理です。実際の診断方式・対応範囲・料金は各社公式ページまたは資料請求でご確認ください。

また、以下の記事では脆弱性・セキュリティ診断サービスをより幅広い候補から比較検討できるよう、ツール型SaaS・手動診断・ハイブリッドといった診断方法別に一覧比較し、費用相場や依頼先の選び方まで体系的に解説しています。上記6サービス以外の選択肢も含めて比較したい方は、あわせてご覧ください。

1. Aikido Security（株式会社AndGo）

Aikido Security は、ベルギー・Ghent の Aikido Security BV が開発するオールインワン脆弱性診断SaaSで、日本市場では株式会社AndGo が正規代理店として提供しています。

SAST・DAST・SCA・CSPM・シークレット検出・IaC／コンテナスキャンなど11種のスキャナを1つのダッシュボードに集約し、ソースコード → クラウド → 本番実行環境を横断して継続的にスキャンできる設計になっています。

コードとインフラのコンテキストからアラートを自動評価する AutoTriage で対応優先度の低い問題を絞り込み、AutoFix はコード・依存関係・IaC・コンテナに対する修正のプルリクエストを自動生成します。IDE 連携によりコードを書く段階で脆弱性を提示できるため、DevSecOps を回す開発チームと親和性が高いです。

日本市場では AndGo 経由で月額5万円台から導入でき、日本語での導入ワークショップ・運用サポート・請求書払いに対応します。開発元 Aikido Security BV は SOC 2 Type II および ISO/IEC 27001:2022 に準拠しており、コンプライアンス取得を目指す組織の技術統制チェックとエビデンス生成にも活用できます。

2. セキュア・レントゲン（株式会社クワッドマイナージャパン）

セキュア・レントゲンは、韓国 Quad Miners グループの日本法人である株式会社クワッドマイナージャパンが提供するネットワークリスク診断サービスです。

NDR製品「Network Blackbox」のフルパケットキャプチャ技術を診断基盤とし、ネットワーク上を実際に流れているトラフィックを全数キャプチャして専門アナリストが分析することで、外部からの攻撃の痕跡・内部の不審な通信・潜在的な脆弱性まで洗い出す設計を採っています。

接続は業務ネットワークに影響を与えないミラーリング方式で、OT プロトコルに対応するため IT 環境と工場・制御系の OT ネットワークを横断して診断できます。診断期間は最短1か月、成果物は総合サマリ・システム環境分析・検出脅威一覧・検出脅威詳細・シナリオベースリスク分析の5構成レポートで報告されます。

2024年10月の金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」で脆弱性診断・ペネトレーションテストとネットワーク監視の強化が求められた文脈や、自治体の三層の対策（ネットワーク分離）見直しでこれまで分離されていた経路がつながる動きを背景に、内部リスクをフルパケットの根拠付きで可視化したい銀行・自治体からの相談が寄せられています。

料金は分析手法（オンライン／持ち帰り／オンサイト）・トラフィック量・設置台数により変動します。

3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

KATABAMI サイバーセキュリティ対策パッケージは、株式会社SYNCHRO が開発した排他的 IP ネットワーキング技術「KATABAMI」（鍵から生成される特殊な IPv6 アドレスによる End-to-End 認証・暗号化）を基盤に、脆弱性診断（予防）・隔離バックアップ（復旧）・サイバー保険（補償）の3本柱を1つのパッケージで束ねた統合型サービスです。

単発の脆弱性診断ではなく、対策サイクル全体を束ねて持ちたい読者向けの選択肢として位置づく形です。

予防にあたる KATABAMI VDP は、KATABAMI の通信経路を使ってネットワーク内部から月次（年12回）の脆弱性診断を実施し、A〜E の5段階評価と改善策レポートを提示します。復旧の KATABAMI CRA は隔離された経路で SYNCHRO 側 NAS にデータを自動バックアップし、24時間前までの状態から復旧できます。

補償はあいおいニッセイ同和損保のサイバー保険（賠償1億円・費用3,000万円、免責金額なし、契約期間1年）を自動付帯し、VDP の D判定以上に改善した事業者が対象となります。

料金は1台あたり1,250円／月〜のデバイス単位課金で、100ノード以下の構成は年額90万〜150万円のレンジで案内されます。KATABAMI 製品本体はセキュアIoT認定（Gold）を2023年2月に取得しています。専任のセキュリティ人材がいない中小企業や、SCS 評価制度への対応が急務になる製造業、OT機器のインターネット接続が進む工場・医療機関などで導入が進んでいます。

4. セキュリティ診断・ペネトレーションテスト（NRIセキュアテクノロジーズ株式会社）

NRIセキュアテクノロジーズは、株式会社野村総合研究所（NRI）の単一株主による NRI グループのセキュリティ専業会社で、コンサルティング・診断・SOC 運営・製品・教育を一貫して提供しています。診断メニューはツール任せではなく、SANS Institute の専門トレーニングコース修了者や CISSP・OSCP・OSEP・GIAC 等の国際資格保有者による手動診断を中核に据えています。

診断対象は Web アプリケーション・プラットフォーム・スマートフォンアプリ・API・クラウド設定（CSPM）・ソースコード・ブロックチェーン・AI（AI Red Team）・IoT/OT まで幅広くカバーします。

脅威モデリング等の設計フェーズ支援や、攻撃者視点のペネトレーションテスト・レッドチームオペレーション・Fast Pentest といったサイバーアタックシミュレーションまで一気通貫で依頼できます。

Web アプリケーション診断は、専門家による手作業のみで実施する「プロフェッショナル方式」と、手作業を中心にツール診断を補助的に併用する「ハイブリッド方式」の2方式から選択できます。多くのメニューは対象規模・診断シナリオに応じた個別見積で、公開されている代表価格としてペネトレーションテストは 800万円〜（税別）、レッドチームオペレーションは期間3か月〜の要問い合わせと示されています。

5. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）

株式会社ラックが提供する脆弱性診断・セキュリティ診断サービスは、2000年5月に設置されたセキュリティ監視センター JSOC を中核とした監視・緊急対応（サイバー救急センター）・コンサルティングと診断を組み合わせて一社に頼める総合セキュリティベンダーの診断ラインアップです。診断で見つかった課題を運用・インシデント対応にそのままつなげられる点が、診断専業ベンダーとの差別化要素として機能します。

Web アプリケーション診断はツール型の「Web エクスプレス」、ツール＋手動の「Web 安全点検パック」、より深く踏み込む「Web ハイブリッド」の3段階から、対象規模と診断深度に応じて選定できます。

プラットフォーム診断・サーバ／クラウドセキュリティ設定診断（CIS ベンチマーク基準）・スマートフォンアプリケーション診断・IoT デバイスペネトレーションテストなど、対象別のメニューも揃っています。

中核は攻撃者視点（ホワイトハッカー）による手動診断で、情報システムペネトレーションテストや、金融庁が推進する脅威ベースのペネトレーションテスト（TLPT）まで対応します。診断内製化支援メニューにより、社内での診断体制構築まで伴走を依頼できる点も、継続的にセキュリティ運用を回したい組織にとって選択肢の一つになります。

6. 脆弱性診断・ペネトレーションテスト／ネットde診断 ASM（GMOサイバーセキュリティ byイエラエ株式会社）

GMOサイバーセキュリティ byイエラエ株式会社は、GMO インターネットグループ傘下の国内サイバーセキュリティ専門企業で、多数のホワイトハッカーによる手動主体の脆弱性診断・ペネトレーションテストと、月額課金のツール型 ASM「GMOサイバー攻撃ネットde診断 ASM」の2系統を提供しています。スポット診断から継続的な攻撃面管理までを一社でカバーできる構成が特徴です。

手動主体の診断は、Web アプリケーション・スマホアプリ（iOS／Android）・クラウド（AWS／Azure／Google Cloud）・ネットワーク／プラットフォーム・NFT／ブロックチェーン・LLM／AI エージェント・IoT デバイス・ゲームチート対策・物理ペネトレーションまで対応領域が広い点が特徴です。

Web ペネトレーションテストはシナリオ型と調査型の2方式から選ぶことができ、ソースコードなどの開発情報を活用する調査型も用意されています。

ツール型の「GMOサイバー攻撃ネットde診断 ASM」は、外部公開サイトの資産棚卸（ドメイン・IP・サブドメインの洗い出し）・脆弱性のパッシブ／アクティブスキャン・自動優先順位付与・ダークウェブ上の認証情報漏洩監視・CSV／PDF レポート出力までを SaaS として提供しています。

料金は自走プラン 月額40,000円〜／伴走プラン 月額120,000円〜（初期費用0円・最低2か月〜）で、単発の手動診断と組み合わせて継続監視の主軸に据える運用が可能です。

まとめ

本記事では、セキュリティアセスメントの中身を7種類に分解し、実施タイミング・進め方の5ステップ・種類×企業規模の費用レンジ・関連フレームワーク・依頼先の選び方までを整理しました。

• セキュリティアセスメントは、情報資産を対象に脅威・脆弱性・現行対策を評価しリスクの優先順位を明らかにするプロセス（ISO/IEC 27001 Clause 6.1.2 が中核）
• 代表的な種類はリスクアセスメント／脆弱性診断／ペネトレーションテスト／準拠性評価／体制診断／クラウド設定診断／レッドチーム演習の7分類
• 実施タイミングは新システムリリース前・取引先要請・インシデント後・認証取得前・M&A DD・ゼロトラスト構築前段が典型
• 進め方は NIST SP 800-30 の枠組みに沿った5ステップ（棚卸・特定・評価・対応方針・報告）
• 費用は Web アプリ診断で数十万円〜、大規模の準拠性評価・TLPT で数百万円〜数千万円のレンジ
• フレームワークは ISO/IEC 27001／NIST CSF 2.0／CIS Controls v8.1／経産省ガイドライン／金融庁ガイドライン／PCI DSS v4.0.1 が主要

自社に必要な種類を1〜2種に絞る目安として、典型的な最初の一歩を挙げると次の通りです。

• 特別な取引先要請も認証取得予定もない一般的な中堅企業: リスクアセスメント（組織全体の棚卸）→ Web アプリ脆弱性診断（本番リリース済みの主要システム1本から）
• 取引先セキュリティ質問票への回答を求められている: リスクアセスメント → 準拠性評価（要求されている外部標準がある場合）
• ISMS／PCI DSS の認証取得を控えている: 準拠性評価（規範との適合ギャップの可視化）→ 体制診断（規程・運用の整備）
• 新システム・新サービスのリリース直前: Web アプリ脆弱性診断（＋必要ならプラットフォーム診断）
• クラウド利用を開始した／マルチクラウド化した: クラウド設定診断（初期棚卸）→ CSPM 継続監視
• 金融機関等の高リスク業種で SOC・CSIRT の実効性まで検証したい: ペネトレーションテスト → レッドチーム演習・TLPT

目安が固まったら、複数ベンダーの資料請求から相見積もりに進み、対象・期間・費用と報告書サンプルを揃えて比較検討してください。

セキュリティアセスメントに関するよくある質問（FAQ）

Q. セキュリティアセスメントとは何ですか？

A. セキュリティアセスメントとは、組織が保有する情報資産を対象に、脅威・脆弱性・現行の対策を客観的に評価し、リスクの大きさと優先順位を明らかにする一連のプロセスを指します。

ISO/IEC 27001:2022 の Clause 6.1.2 で要求される「情報セキュリティリスクアセスメント」を中核とし、実務では脆弱性診断・ペネトレーションテスト・準拠性評価・体制診断・クラウド設定診断・レッドチーム演習など、対象とアプローチが異なる複数の評価手法を組み合わせて実施します。

Q. セキュリティアセスメントと脆弱性診断・ペネトレーションテストは何が違いますか？

A. セキュリティアセスメントは上位概念で、脆弱性診断とペネトレーションテストはその中に含まれる個別の評価手法です。脆弱性診断は「既知の脆弱性を機械的・網羅的に見つける」評価で、成果物は CVE 番号やリスク値付きの脆弱性リストになります。ペネトレーションテストは「実際の攻撃者の手口で目標に到達できるかを試す」評価で、成果物は攻撃シナリオごとの侵入経路と到達目標の記録です。

読者の頭の中で並列に浮かぶ「脆弱性診断」「ペネトレーションテスト」「リスクアセスメント」「準拠性評価」などは、いずれもセキュリティアセスメントというプロセスを構成する評価手法群です。対象・目的・成果物の違いは本文「セキュリティアセスメントの種類」の並列比較表と混同されやすい対の切り分けで詳しく整理しています。

Q. セキュリティアセスメントの費用はどのくらいで、何によって変動しますか？

A. セキュリティアセスメントの費用は種類と規模で大きく異なり、Web アプリ脆弱性診断で 30 万円〜、大規模の準拠性評価で 2,000 万円前後、レッドチーム演習・TLPT では数千万円超になるレンジです。

同じ種類でも、診断対象の量（URL 数・IP 数・拠点数）、診断方式（ツール自動／専門家手動／ハイブリッド）、診断深度（既知脆弱性の網羅か、ロジック脆弱性・認可不備まで踏み込むか）で見積が上下します。

種類 × 企業規模の具体的な費用マトリクスは本文「セキュリティアセスメントの費用の目安」節で整理しています。相見積もりを取る際は、初期費用・診断本体・再診断・報告会・改善支援の4区分でそれぞれ見積根拠を確認すると比較が正確になります。

Q. セキュリティアセスメントはどのくらいの頻度で実施すべきですか？

A. セキュリティアセスメントは1回きりの活動ではなく、年1回の定期評価・システム変更時のスポット評価・継続監視型ツールによる日次〜月次の自動評価の3層を組み合わせて運用するのが実務の標準です。年次の定期評価は ISO/IEC 27001 のサーベイランス審査のサイクルとかみ合い、システム変更時のスポット評価は新機能リリース前や大規模改修時に脆弱性診断・クラウド設定診断として実施します。

加えて PCI DSS v4.0.1 では四半期ごとの外部脆弱性スキャン（ASV）と年次のペネトレーションテストが規範として求められており、業種・扱うデータによって最低頻度が変わる点も確認しておくと安全です。

Q. 中小企業でもセキュリティアセスメントを実施する必要はありますか？

A. 中小企業でも実施する必要性は高まっており、特にサプライチェーン攻撃の増加を背景に、大企業や金融機関との取引継続の条件としてセキュリティ評価結果の提出を求められるケースが増えています。取引先セキュリティ評価質問票（数十〜数百項目）への回答根拠として、リスクアセスメントや準拠性評価の実施結果が使われます。

コスト面では、中小企業向けに CIS Controls v8.1 の Implementation Group 1（IG1、56 の基礎的コントロール）だけを先行導入する運用が推奨されています。初回は対象範囲を主要システム1本に絞り、翌年以降に段階的に拡張するアプローチや、月額サブスクリプション型のツール SaaS を継続監視の主軸に据える設計で、実効的な費用を抑えて始められます。

経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）」を2026年度から段階的に施行しており、中小企業を含むサプライチェーン各社のセキュリティ水準の可視化が進んでいます。

Q. セキュリティアセスメントは内製と外部委託のどちらで実施すべきですか？

A. 組織全体のリスクアセスメントや体制診断は内製で継続運用し、脆弱性診断・ペネトレーションテスト・準拠性評価など専門性と客観性が必要な評価は外部委託する組み合わせが実務の主流です。内製は自社の事業特性を踏まえた継続的な運用に強みがあり、外部委託は攻撃手口の最新知見・第三者評価としての客観性・報告書の対外的信頼性で優位です。

取引先や認証機関への提出を目的とする場合、外部の独立した第三者による評価が求められるケースが多く、外部委託が事実上必須になります。委託先の選定では、JASA「情報セキュリティサービス基準」の適合サービスリスト、有資格者（情報処理安全確保支援士／OSCP／GIAC／CISSP など）の在籍状況、対象領域（Web／プラットフォーム／クラウド／モバイル）の実績を確認するのが確実です。

Q. リスクアセスメントと準拠性評価は何が違いますか？

A. リスクアセスメントは自社が定めたリスク受容基準に照らして識別リスクの大きさと優先順位を判定する活動で、準拠性評価は ISO/IEC 27001 や PCI DSS などの外部標準の管理策リストに自社の実装が該当／未該当／部分該当のいずれかを判定する活動です。前者は自社基準による相対評価、後者は外部標準への適合可否という違いがあります。

両者は補完関係にあり、多くの組織はまずリスクアセスメントで対策の優先度を決め、その後に認証取得や取引先要請に応えるための準拠性評価を追加実施します。成果物も、リスクアセスメントは「リスク管理台帳（資産・脅威・脆弱性・リスク値・対応方針）」、準拠性評価は「適合マトリクスと是正計画」と種類が異なります。詳細は本文「混同されやすい対の切り分け」節で整理しています。

脆弱性・セキュリティ診断サービスの料金・手数料を一括チェック

MCB FinTechカタログでは、脆弱性・セキュリティ診断サービスの最新資料を無料でダウンロードいただけます。複数サービスの料金・機能を一括で比較して、自社に合った依頼先の相見積もりにご活用ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。