クレジットカード決済を扱う自社ECサイトを運用していると、監査法人や決済代行会社から「PCI DSSに準拠するために、四半期ごとにASVスキャンを実施してエビデンスを残してほしい」と依頼を受けることがあります。
ASVスキャンは、PCI SSC（PCI DSSを策定する国際団体）が認定した外部業者（ASV）が、インターネットに公開された自社のシステムに対して行う外部脆弱性スキャンです。PCI DSS v4.0.1の要件11.3.2で、少なくとも3か月に1回の実施が求められています。
本記事では、ASVスキャンの定義とPCI DSS要件11での位置づけ、四半期ごとの実施ポイント、通常の脆弱性診断・ペネトレーションテストとの違い、SAQタイプ別の要否、ASV認定業者の探し方までを、PCI SSC公式ドキュメントに基づき整理します。
目次
一括ダウンロードする
ASVスキャンとは？PCI SSC認定業者による外部脆弱性スキャンの定義
ここからは、ASVスキャンの一文の定義と、その中に含まれる「誰が実施するか」「何を対象とするか」「何のために行うか」を分解して解説します。
ASVスキャンとは、PCI DSS（クレジットカード業界のセキュリティ基準）のもとで、PCI SSCが認定した外部業者（ASV：Approved Scanning Vendor）が、インターネットからアクセス可能な自社の外部公開システムに対して行う脆弱性スキャンです。
PCI SSC公式サイトのASVプログラム説明では、ASVが実施する脆弱性スキャンの目的が、加盟店・サービスプロバイダーのインターネット公開環境に対するPCI DSS要件の適合性を検証することだと明記されています。
Approved Scanning Vendors (ASVs) are organizations that validate adherence to certain PCI DSS requirements by performing vulnerability scans of Internet facing environments of merchants and service providers.
出典：Approved Scanning Vendors｜PCI Security Standards Council
ここで押さえるべき点は3つあります。1つ目は「誰が」の部分で、スキャンを行うのはPCI SSCが認定した外部業者に限られ、自社のセキュリティ担当者が実施した結果はPCI DSS要件11.3.2のエビデンスにはなりません。
2つ目は「何を」の部分で、対象はインターネット側からアクセス可能な自社の外部公開システム（Webサイト・API・メール受信サーバー等）に限定され、社内LAN内のサーバーは別途、内部脆弱性スキャン（要件11.3.1）でカバーする必要があります。
3つ目は「何のために」の部分で、ASVスキャンはPCI DSS要件11.3.2の適合エビデンスとして監査法人・アクワイアラ（決済カード会社）へ提出することを目的に実施します。
PCI DSS要件11.3.2でのASVスキャンの位置づけ（v4.0.1／v3.2.1対応表）
ここからは、ASVスキャンがPCI DSSのどの要件番号で求められているのかを、現行のv4.0.1と1つ前のv3.2.1を対応させながら整理します。
PCI DSS v4.0.1の要件11.3.2は、外部脆弱性スキャンについて次のとおり定めています。少なくとも3か月に1回、PCI SSC認定のASVが実施し、ASV Program Guideの合格基準（Passing scan）を満たすまで脆弱性を修正・再スキャンする、という4条件です。
External vulnerability scans are performed as follows:
出典：Payment Card Industry Data Security Standard v4.0.1 要件11.3.2｜PCI Security Standards Council
– At least once every three months.
– By a PCI SSC Approved Scanning Vendor (ASV).
– Vulnerabilities are resolved and ASV Program Guide requirements for a passing scan are met.
– Rescans are performed as needed to confirm that vulnerabilities are resolved per the ASV Program Guide requirements for a passing scan.
PCI DSSは版を重ねて要件番号を再編してきたため、v3.2.1で運用してきた読者は、社内資料や監査法人からのやり取りで旧番号に触れることがあります。以下の対応表で新旧の番号を照合できます。
| 診断内容 | v4.0.1 要件番号 | v3.2.1 要件番号 |
|---|---|---|
| 外部脆弱性スキャン（ASV必須） | 11.3.2 | 11.2.2 |
| 内部脆弱性スキャン | 11.3.1 | 11.2.1 |
| 大幅変更後の再スキャン | 11.3.2.1 | 11.2.3 |
加えて、旧版のv3.2.1は2024年3月31日で失効し、以降はv4.0.xが唯一の現行版として運用されています。監査法人・カード会社との会話は v4.0.1 の条番号ベースで統一するのが安全です。
PCI DSS v3.2.1 was officially retired 31 March 2024 and PCI DSS v4.x is the only active version of the standard.
出典：PCI DSS v3.2.1 retired 31 March 2024｜PCI Perspectives（PCI SSC 公式ブログ）
ASVスキャンの実施頻度と実施タイミング（四半期＋大幅変更後＋再スキャン）
ここからは、要件11.3.2 と 11.3.2.1 が求めるASVスキャンの実施タイミングを、四半期ごと・大幅変更後・High検出時の再スキャンの3種類に分けて整理します。
四半期ごと（少なくとも3か月に1回）
ASVスキャンの基本サイクルは、要件11.3.2 が定める「少なくとも3か月に1回（at least once every three months）」です。年4回・四半期ごとの年間契約でASVサービスを購入するのが実務上の一般的な形になります。
インフラの大幅な変更後
四半期ごとの定期スキャンに加え、要件11.3.2.1 は「大幅な変更（significant change）後」の外部脆弱性スキャンを求めています。ASV Program Guide では、CDE（カード会員データ環境）内の新規サーバー追加・新規ネットワークセグメントの追加・アプリケーションの大規模改修・暗号化方式の変更などが該当例として示されています。
定義は下記の逐語のとおりで、CVSS 4.0 以上の脆弱性は解決し、必要に応じて再スキャンする点が要点です。
External vulnerability scans are performed after any significant change as follows:
出典：PCI DSS v4.0.1 要件11.3.2.1｜PCI Security Standards Council
– Vulnerabilities that are scored 4.0 or higher by the CVSS are resolved.
– Rescans are conducted as needed.
– Scans are performed by qualified personnel and organizational independence of the tester exists (not required to be a QSA or ASV).
注意点として、11.3.2.1（大幅変更後）はASV認定が必須ではなく、テスト実施者の組織的独立性があれば内部の有資格者でも実施できます。ただし監査対応の一貫性を考えると、四半期スキャンと同じASVに依頼する運用が現実的です。
High検出時の再スキャン（Passing scanまで）
ASVスキャンは実施しただけではエビデンスにならず、Passing scan（合格）を取得する必要があります。合格条件はCVSS 4.0 以上の脆弱性が解消されている状態で、High検出時は修正して再スキャンを繰り返すことになります。
All vulnerabilities with a CVSS base score of 4.0 or higher must be remediated to pass an ASV scan, with limited exceptions as described in this guide.
出典：ASV Program Guide v4.0 Revision 1.0｜PCI Security Standards Council
PCI DSS要件11の診断メニュー全体像（v4.0.1条番号版）
ここからは、ASVスキャンがPCI DSS要件11の中でどこに位置づくかを、要件11配下の診断メニュー全体で俯瞰します。監査法人・上司に「要件11全体のうちASVスキャン以外に何をやる必要があるか」を説明する材料になります。
| 診断名 | 要件番号（v4.0.1） | 実施者 | 実施頻度 | 対象 |
|---|---|---|---|---|
| 不正な無線アクセスポイント検出 | 11.2.1 | 自社または第三者 | 少なくとも3か月に1回 | CDE内の無線環境 |
| 内部脆弱性スキャン | 11.3.1 | 組織的独立性のある有資格者（ASV不要） | 少なくとも3か月に1回 | CDE内部システム |
| 外部脆弱性スキャン（ASVスキャン） | 11.3.2 | PCI SSC認定ASV必須 | 少なくとも3か月に1回 | インターネット公開システム |
| 大幅変更後の再スキャン（外部） | 11.3.2.1 | 組織的独立性のある有資格者（ASV不要） | 大幅な変更後 | 影響を受けた外部システム |
| ペネトレーションテスト | 11.4.1〜11.4.4 | 組織的独立性のある有資格者 | 少なくとも年1回＋大幅変更後 | CDE境界・CDE内システム |
| セグメンテーション有効性テスト | 11.4.5／11.4.6 | 組織的独立性のある有資格者 | 加盟店は少なくとも年1回、サービスプロバイダーは少なくとも6か月ごと | CDEを分離するセグメンテーション制御 |
この表からわかるのは、ASVスキャン（11.3.2）はあくまで外部からの表層的な脆弱性検出であり、内部（11.3.1）・ペネトレ（11.4.x）・セグメンテーション（11.4.5・11.4.6）と組み合わせて初めて要件11 全体が満たされるということです。
出典・参考資料（1件）
ASVスキャンと通常の脆弱性診断・ペネトレーションテストの違い
ここからは、混同されやすい「通常の脆弱性診断」「ペネトレーションテスト」とASVスキャンの違いを、実施者資格・対象範囲・手法の縛り・目的の4軸で整理します。
| 比較軸 | ASVスキャン | 通常の脆弱性診断（Web／プラットフォーム） | ペネトレーションテスト |
|---|---|---|---|
| 実施者資格 | PCI SSC認定ASV必須 | 特定資格なし（発注元が自由に選定） | 組織的独立性のある有資格者（ASV／QSAは必須ではない） |
| 対象範囲 | インターネット公開システム（外部からの視点） | Web／プラットフォーム／モバイル／API等、依頼者が柔軟に設定 | CDE境界とCDE内システムを含む攻撃シナリオ |
| 手法の縛り | 非破壊テスト（DoS・脆弱性の悪用・過剰帯域占有の禁止） | 契約に応じて柔軟（破壊的な検証を許容する場合あり） | PCI DSSではCDE境界と内部の分離検証を含み、悪用の可否まで検証 |
| 目的 | PCI DSS要件11.3.2の適合エビデンス取得（脆弱性の発見） | 個別プロダクトの脆弱性発見と是正 | 不正アクセス達成の可否を実際に検証する |
特に押さえたい点はASVスキャンの非破壊性です。ASV Program Guide は、ASVのスキャンソリューションが脆弱性を実際に悪用したり、スキャン対象のコンポーネントにDoSを引き起こしたりしてはならないと定めています。
The ASV scan solution must not be able to exploit any vulnerability nor cause a Denial-of-Service (DoS) on any component of the scan customer’s environment.
出典：ASV Program Guide v4.0 §4.2｜PCI Security Standards Council
一方、ペネトレーションテストの目的はPCI SSC公式Information Supplement で「重要なシステムやファイルへの不正アクセスが達成可能かを判定する」と定義されており、悪用の可否まで踏み込む点でASVスキャンとは役割が異なります。
The goal of penetration testing is to determine whether unauthorized access to key systems and files can be achieved. If access is achieved, the vulnerability should be corrected and the penetration test re-performed until the test is clean and no longer allows unauthorized access or other malicious activity.
出典：Information Supplement: Penetration Testing Guidance v1.1｜PCI Security Standards Council
ASVスキャンだけでは足りない理由と組み合わせるべき診断
ここからは、「ASVスキャンさえ通ればPCI DSS要件11 は満たせる」という誤解を正し、実際にはどの診断と組み合わせる必要があるのかを整理します。
ASVスキャンが対象とするのはインターネット公開システムだけです。したがって、CDE内部のサーバー・データベース・ネットワーク機器の脆弱性は、内部脆弱性スキャン（要件11.3.1）で別途カバーする必要があります。
また、ASVスキャンは非破壊性の制約から、実際の攻撃者が試みる不正アクセスの可否までは検証できません。要件11.4のペネトレーションテストで、CDE境界・CDE内システムに対する侵入可能性を年1回以上検証することが求められます。
さらに、CDEを他ネットワークから分離するセグメンテーション制御を採用している場合、その分離が有効かを要件11.4.5・11.4.6のセグメンテーション有効性テストで確認します。加盟店は年1回以上、サービスプロバイダーは6か月に1回以上が原則です。
結果として、ASVスキャン単独では要件11 の一部（11.3.2）を満たすにすぎず、実効的なPCI DSS準拠を目指すには内部脆弱性スキャン・ペネトレ・セグメンテーション有効性テストを含む年間実施計画が必要になります。
自社にASVスキャンが必要か（SAQタイプ別要否の考え方）
ここからは、SAQ（Self-Assessment Questionnaire、自己問診票）のタイプ別に、外部脆弱性スキャン（ASVスキャン）の要否を整理します。決済フローや自社の処理内容によって該当するSAQが変わり、要求される診断も変わる点を押さえる必要があります。
| SAQタイプ | 主な該当事業者 | 要件11.3.2（外部脆弱性スキャン／ASVスキャン） |
|---|---|---|
| SAQ A | カード会員データの保存・処理・伝送をすべて第三者に委託するEC加盟店（決済ページ全体のリダイレクトまたはiframe完全委譲型） | 該当（PCI DSS v4.xで追加。決済代行へのリダイレクト元・iframe埋め込み元となる自社のインターネット公開ページに四半期ごとのASVスキャンが必要） |
| SAQ A-EP | 決済ページを自社が提供し、決済処理のみを第三者に渡すEC加盟店（DirectPost・iframe要素の一部を自社で持つ場合） | 該当（四半期ごとのASVスキャンが必要） |
| SAQ B-IP | IP接続の決済端末のみを利用する対面加盟店 | 該当（四半期ごとのASVスキャンが必要） |
| SAQ C | 決済アプリケーションを利用するインターネット接続の加盟店 | 該当（四半期ごとのASVスキャンが必要） |
| SAQ D | 他のSAQに該当しないすべての加盟店・サービスプロバイダー | 該当（四半期ごとのASVスキャンが必要） |
特にEC加盟店で判断に迷いやすいのがSAQ AとSAQ A-EPの分かれ目です。SAQ Aは「カード会員データの機能をすべて準拠済み第三者に委託している加盟店」向けに設計されており、決済ページ全体を決済代行にリダイレクトするか、iframeで完全に委譲する形が該当します。
SAQ A has been developed to address requirements applicable to merchants whose cardholder data functions are outsourced to compliant third parties. SAQ A merchants confirm that, for this payment channel, all data-storage, processing, and/or transmission of cardholder data is entirely outsourced to PCI DSS compliant third-party service providers.
出典：Self-Assessment Questionnaire A and Attestation of Compliance v4.0.1｜PCI Security Standards Council
ここで注意したいのは、PCI DSS v4.xでSAQ Aにも外部脆弱性スキャン（要件11.3.2）が新たに追加された点です。従来のSAQ Aにはこの要件がありませんでしたが、決済代行へリダイレクトする、あるいはiframeで決済ページを埋め込む自社のインターネット公開ページも、四半期ごとのASVスキャンの対象になりました。
したがってSAQ Aに区分される加盟店も、その決済ページをホストするインターネット公開システムに対してASVスキャンを実施する必要があります。
一方、決済ページを自社で提供して決済処理だけを第三者に渡すDirectPost型・部分委譲型は、SAQ A-EPに区分されます。SAQ AとSAQ A-EPの違いはASVスキャンの要否ではなく、どこまでを準拠済み第三者に委託しているか（自社側に残るシステムの範囲）にあります。いずれの場合も、対象となるインターネット公開システムには四半期ごとのASVスキャンが求められます。
自社の決済フローがどのSAQタイプに該当するかは、監査法人やアクワイアラと相談して確定するのが実務です。SAQ A・A-EPを含むいずれのタイプでも、対象となるインターネット公開システムがあれば、四半期ごとのASVスキャン運用を年間計画に組み込むことになります。
ASVスキャンの実施フローとPassing scanの合格条件
ここからは、実際にASVスキャンを依頼した際の実施フローと、Passing scan（合格）取得までのステップを整理します。エビデンスとして保管すべき成果物も併せて確認します。
- スコープ確定：ASV業者と合意した対象IP・ホスト名・URLの一覧を確定し、スコープ定義書として文書化する
- スキャン実施：ASV業者が非破壊テストのルールに従って外部脆弱性スキャンを実施し、脆弱性一覧・CVSSスコア・推奨修正方法を含む初回レポートを提出する
- High検出時の修正・再スキャン：CVSS 4.0 以上の脆弱性を修正し、必要に応じて再スキャンを実施する。ASV Program Guide の合格条件を満たすまで繰り返す
- Passing scan取得：CVSS 4.0 以上の脆弱性が解消（または例外的な対応が承認）された状態で最終スキャンを実施し、Passing scan として承認された報告書を受領する
- 証跡保管：Passing scan の報告書・修正履歴・再スキャン結果を、要件11.3.2 のエビデンスとして最低12か月以上保管する
実務では、初回スキャンで CVSS 4.0 以上の脆弱性が検出されるのは珍しいことではなく、修正・再スキャンを繰り返して Passing scan に到達するまでを含めて数週間〜1か月程度の余裕を見込んでスケジュールを組むのが現実的です。
ASV認定業者の探し方と代表的な国内業者
ここからは、ASV認定業者をどこから探すのがよいかを、グローバルの一次リストと日本国内の業界団体リストの両面から整理します。
PCI SSC公式のASVリスト（グローバル）
ASV認定業者の唯一の一次情報は、PCI SSC公式サイトの「Approved Scanning Vendors」ページです。ここには世界中のASV認定業者が掲載されており、業者選定の際は必ず最新版で認定状況を確認する必要があります。
出典・参考資料（1件）
JCDSC のQSA／ASV企業一覧（日本）
国内の業者を絞り込みたい場合は、日本カード情報セキュリティ協議会（JCDSC）が公開しているQSA／ASV企業一覧が有用です。JCDSCの一覧はPCI SSC公式リストへの案内も併記されており、日本語の一次案内として使えます。
出典・参考資料（1件）
日本国内で実績のある代表的なASV業者
日本国内でASV認定を保有し、PCI DSS準拠支援まで一体で提供する業者としては、NRIセキュアテクノロジーズ・NTTデータ先端技術・TIS株式会社・セキュアイノベーションなどが実績を公開しています。
業者選定では「ASV認定を保有していること」だけでなく、「QSA（Qualified Security Assessor）認定も保有しているか」「PCI DSS準拠支援コンサルティングを併せて提供できるか」「日本語のレポート提供・監査対応があるか」を確認するとよいでしょう。
ASVスキャンの費用感と年間契約の考え方
ここからは、ASVスキャンの費用の考え方と、なぜ具体的なレンジを提示しにくいのかを整理します。
ASVスキャンの費用は、対象IP数・スキャン深度（Webアプリケーション検査を含むか）・レポート様式・年間契約の四半期回数・追加の再スキャン対応などで大きく変動します。ASV業者ごとに定価表があるケースもありますが、多くは個別見積で決まります。
実務では、年4回のスキャン・レポート・Passing scan までの再スキャン対応を含む年間契約で購入する形が一般的です。単発のスポットスキャン契約もありますが、四半期ごとの継続実施が要件である以上、年間契約の方が予算計画・監査対応の両面で扱いやすくなります。
費用感を掴むには、複数のASV業者から見積を取り、対象IP数・スキャン深度・レポート様式・再スキャン回数の条件を揃えて比較するのが確実です。ASV業者は公開料金を持たないケースが多く、対象範囲によって費用が大きく変動するため、実額のレンジは業者ごとの見積で確認します。
セキュリティ診断サービスで自社のPCI DSS要件11対応を進める
ここからは、PCI DSS要件11 のうち、ASVスキャン以外の内部脆弱性スキャン・ネットワーク診断・脆弱性管理を継続的に回すのに役立つ脆弱性・セキュリティ診断サービスを紹介します。下記のサービスはPCI SSC認定のASVではないため、ASVスキャン（要件11.3.2）そのものの実施は前節のPCI SSC公式リストから認定業者を選ぶ必要があります。
ASVスキャン自体はPCI SSC認定ASVに依頼する必要がありますが、下記に紹介するサービスは「要件11.3.1（内部脆弱性スキャン）」「継続的な脆弱性管理」「ネットワーク上の潜伏脅威可視化」「Web／スマートコントラクトの脆弱性診断・ペネトレーションテスト」など、ASV外部スキャンの周辺を継続的に支える運用に役立ちます。
より広く、脆弱性・セキュリティ診断サービスをASVスキャンとあわせて横並びで検討したい場合は、下記の記事も参考にしてください。
| サービス名 | Aikido Security | セキュア・レントゲン | Hi AUDIT | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|
| 提供形態 | オールインワン脆弱性診断SaaS（SAST/DAST/SCA/CSPM/コンテナ等11種スキャナ統合） | フルパケットキャプチャによるネットワークリスク診断サービス | スマートコントラクト自動監査SaaS＋専門家によるペネトレーションテスト | ステルス回線技術によるリモート内部脆弱性診断＋伴走型対策支援 |
| 主な用途 | 開発〜クラウド〜実行環境の継続的な脆弱性管理 | ネットワーク上に潜伏する脅威・内部リスクの可視化 | Web3・スマートコントラクトのセキュリティ監査、Webアプリのペネトレーションテスト（TIS提携メニュー経由） | 社内サーバー・ネットワーク機器・複合機など内部ネットワークの継続的な脆弱性診断と対策伴走 |
| 料金 | 月額50,000円台〜（AndGo経由） | 要問い合わせ（分析手法・トラフィック量・設置台数で変動） | 成果報酬型（High 750,000円／Medium 225,000円／Low 45,000円／Note 15,000円、カタログ掲載情報） | 100ノード以下 年額90万〜150万円（診断頻度で変動、SYNCHRO 公表情報） |
| 日本語サポート | あり（AndGo） | あり（クワッドマイナージャパン） | あり（TECHFUND） | あり（SYNCHRO） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | ミーティングを予約 |
※料金・機能は本記事執筆時点の公表情報にもとづきます。最新情報は各社公式サイト・カタログ掲載ページをご確認ください。
1. Aikido Security（株式会社AndGo）
Aikido Security は、ベルギーのAikido Security BVが開発するオールインワン脆弱性診断SaaSです。日本市場では株式会社AndGoが正規代理店として、日本語での導入支援・運用サポート・請求書払い等の日本企業向けの契約オプションを付けて提供しています。
SAST（静的解析）・DAST（動的解析）・SCA（依存関係）・CSPM（クラウド設定）・コンテナスキャン・Secrets検出など11種類のスキャナを1つのプラットフォームに統合しており、複数のツールを別々に導入・管理する運用の負担を下げる設計です。
PCI DSS 対応の観点では、要件11.3.1（内部脆弱性スキャン）に相当する開発〜クラウド〜実行環境の継続的な脆弱性検出をカバーします。加えて、AutoTriage 機能でアラートの優先度を自動評価し、AutoFix でプルリクエスト形式の修正案を自動生成するため、DevSecOps 志向の運用に組み込みやすい設計です。
開発元本体は SOC 2 Type II および ISO/IEC 27001:2022 に準拠しています。日本法人 AndGo による導入ワークショップ・請求書払い・日本語での一次サポートが用意されているため、社内でセキュリティ専任人材が不足していても運用に載せやすい点が特徴です。
2. セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンは、フルパケットキャプチャ型NDR「Network Blackbox」の技術を活用したネットワークリスク診断サービスです。実際にネットワーク上を流れているトラフィックを収集・全数検査し、外部脅威に加えて内部に潜伏する脅威まで洗い出す点が特徴です。
ASV外部スキャンが「インターネットから見た表層」を対象とするのに対し、本サービスは「ネットワーク内部で実際に起きている通信の中身」まで踏み込みます。ミラーリング方式で接続するため業務ネットワークへの影響を抑制でき、IT環境とOT環境の両方に対応できる点も金融機関・自治体・製造業で採用が広がっている理由です。
診断の流れは「機器設置（約2週間）→フルパケットキャプチャ→専門アナリストによる分析→総合サマリ・システム環境分析・検出脅威一覧・検出脅威詳細・シナリオベースリスク分析の5構成レポート提出」で、最短1か月で診断結果と対策提案が受け取れます。
PCI DSS 対応の観点では、ASV外部スキャンでは検知しにくい「侵入後の横展開の兆候」「C2 通信」「内部の不審な通信」を可視化するのに向いており、要件11.3.1（内部脆弱性スキャン）の周辺で内部リスク管理を強化したい読者に適しています。
3. Hi AUDIT（株式会社TECHFUND）
Hi AUDIT は、株式会社TECHFUNDが提供するセキュリティ監査サービスです。中核はスマートコントラクトを対象とした自動監査SaaSと専門家によるマニュアル監査で、Web3・Fintech 領域を主戦場としています。
自動監査では、スマートコントラクトのアップロードだけで診断を開始でき、2025年10月にはCredShields Technologies のSolidityScan との連携により自動検出できる脆弱性を700種類以上に拡張し、OWASP に沿った検出ロジックを備えています。
Webアプリケーション等のペネトレーションテストにも対応領域を持ち、TECHFUND公式GitHubの監査実績リポジトリでは、ICICI・Aluna.Social 等を対象としたペネトレーションテスト実績が公開されています。TIS との提携メニュー「オールインワン診断」ではWeb App・API・Network・IaaS まで対象領域に含まれます。
料金は成果報酬型で、脆弱性が検出された場合にその重大度・件数に応じて課金される仕組みです。カタログ掲載情報では High 750,000円／Medium 225,000円／Low 45,000円／Note 15,000円と公開されており、Web3・Fintech 領域のセキュリティ対策を段階的に始めたい事業者に向いています。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI サイバーセキュリティ対策パッケージは、株式会社SYNCHRO が提供する国産のセキュリティ技術「KATABAMI（インターネット空間内にステルス回線を構築する技術）」を利用した、リモート内部脆弱性診断と伴走型対策支援のパッケージサービスです。
従来型の内部脆弱性診断は、専門家がお客様先まで訪問してオフィスネットワーク内部から診断する必要があり、年1回程度の実施が一般的でした。本サービスはKATABAMI 通信経路を経由することで、リモートで内部脆弱性診断を毎月継続でき、対策の伴走まで一体で受けられる点が特徴です。
診断対象はサーバー・ネットワーク機器・複合機（コピー機）を含むオフィス内のIP機器全般で、初期パスワードの残置・管理者権限の設定不備といった実務で見逃されがちな弱点を月次で洗い出せます。診断結果の相談会と対策実行までの伴走支援もパッケージに含まれます。
料金は診断端末台数（ノード数）と診断頻度で変動し、100ノード以下の場合、年額90万〜150万円のレンジで契約できます。PCI DSS 対応の観点では、要件11.3.1（内部脆弱性スキャン）周辺の継続運用と、専任のセキュリティ人材が不足する中小〜中堅企業でのPDCA構築に適した選択肢です。
よくある質問（FAQ）
Q. ASVスキャンは自社のセキュリティ担当者が実施してもよいですか？
A. PCI DSS 要件11.3.2 の四半期ごとの外部脆弱性スキャンは、PCI SSC が認定した外部業者（ASV）が実施する必要があります。自社担当者が実施した結果は、要件11.3.2 の適合エビデンスとして受理されません。ただし要件11.3.1 の内部脆弱性スキャンや、要件11.3.2.1 の大幅変更後の外部スキャンは、組織的独立性のある有資格者であればASV認定なしで実施できます。
Q. ASVスキャンだけを実施すればPCI DSS 準拠は完了しますか？
A. いいえ、ASVスキャンだけでは PCI DSS 準拠は完了しません。要件11 全体を満たすには、内部脆弱性スキャン（11.3.1）・ペネトレーションテスト（11.4.x）・セグメンテーション有効性テスト（11.4.5・11.4.6）・無線LAN検出（11.2.x）を組み合わせて実施する必要があります。ASVスキャンはあくまで外部公開システムを対象とした表層診断です。
Q. 決済代行を利用しているEC加盟店でもASVスキャンは必要ですか？
A. EC加盟店の多くはSAQ AまたはSAQ A-EPに区分されますが、PCI DSS v4.xでは、いずれの場合も決済ページをホスト（リダイレクトまたはiframe埋め込み）する自社のインターネット公開システムに四半期ごとのASVスキャン（要件11.3.2）が求められます。従来SAQ Aにはこのスキャン要件がありませんでしたが、v4.xで追加されました。
SAQ AとSAQ A-EPの違いはスキャンの要否ではなく、準拠済み第三者への委託範囲の広さにあります。自社の該当区分と対象システムはアクワイアラや監査法人と相談して確定してください。
Q. ASVスキャンの実施頻度は「四半期」ですが、具体的にどのタイミングで実施すべきですか？
A. 要件11.3.2 は「少なくとも3か月に1回」を求めており、実務上は年4回・各四半期の中で1回ずつ実施するのが一般的です。加えて、要件11.3.2.1 は「大幅な変更（significant change）」後にも実施を求めており、CDE への影響が想定される変更（新サーバー追加・ネットワーク構成変更等）の直後は臨時のスキャンを組み込む必要があります。
Q. ASVスキャンで High が検出されたら、どう対応すればよいですか？
A. CVSS 4.0 以上の脆弱性は Passing scan の合格条件として解消が求められるため、優先的に修正し、必要に応じて再スキャンを実施します。原則としては修正・再スキャンを繰り返して合格状態に到達するのが実務で、事業影響で即時修正が難しい場合はリスクアセスメントの結果と代替対策をASV業者・監査法人と協議して記録します。
Q. ASVスキャンとペネトレーションテストは、どちらか一方で済ませることはできますか？
A. できません。両者は目的と手法が異なり、PCI DSS では要件11.3.2（外部脆弱性スキャン＝ASV）と要件11.4（ペネトレーションテスト）で別々に実施が求められています。ASVスキャンは非破壊テストで「脆弱性の発見」が目的、ペネトレーションテストは「不正アクセスの可否を実際に検証する」目的で、実施者資格・頻度・手法の縛りも異なります。年間実施計画に両方を組み込む必要があります。
Q. ASVスキャンのレポートは、どの程度の期間保管する必要がありますか？
A. PCI DSS では監査エビデンスとして直近12か月分以上の記録を保管することが実務上の目安とされ、Passing scan 取得の報告書・修正履歴・再スキャン結果を含めて年次監査で参照可能な形で管理します。エビデンスの粒度は監査法人・アクワイアラの要求で追加項目が発生することもあるため、年間実施計画の段階で保管期間・保管形式（PDF／管理台帳）を決めておくと運用が安定します。
脆弱性・セキュリティ診断サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、脆弱性・セキュリティ診断サービスの最新資料を無料でまとめて請求できます。ASVスキャン単独ではなく、内部脆弱性スキャン・ネットワークリスク診断・ペネトレーションテストまで含めた年間実施計画を検討している方は、複数社の資料を横並びで比較して自社に合ったサービスを見つけてください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
