自社のWebサービスや社内システムをAWS（Amazon Web Services）で運用する企業が増える一方で、クラウドの設定不備を突いた情報漏えいやデータ公開の事故は後を絶ちません。AWSではインフラ側の安全性はAWSが担いますが、OSやアプリケーション、アクセス権限などの設定は利用する企業側の責任範囲です。この範囲に弱点がないかを事前に洗い出す取り組みが、AWSの脆弱性診断です。
もっとも、いざ担当することになると「AWSの脆弱性診断は具体的にどう進めるのか」「Amazon Inspectorのようなツールで自分たちでやるのか、それとも外部の専門会社に頼むのか」が分かりにくいのが実情です。手段の全体像がつかめないまま調べ始めると、断片的な情報だけが集まってしまいます。
本記事では、AWSの脆弱性診断を担当することになった方に向けて、診断の2つの手段（AWSネイティブツールでの自己診断と外部ベンダー診断）の違いと使い分けから、診断の種類、診断前に確認すべきAWSの申請ルール、進め方・所要期間・費用相場までを整理します。自社に合った診断の進め方を判断し、次の一歩に移るための材料としてご活用ください。
目次
一括ダウンロードする
AWS脆弱性診断の2つの手段｜Amazon Inspector等での自己診断と外部ベンダー診断
AWSの脆弱性診断には、大きく2つの手段があります。1つはAmazon InspectorをはじめとするAWSが提供するツールを使い、自社で継続的にスキャンする自己診断です。もう1つは、外部の専門会社に依頼して診断してもらう外部ベンダー診断です。まずはこの2つが何を対象に、何を明らかにでき、どこに限界があるのかを整理します。
| AWS脆弱性診断の2つの手段 | AWSネイティブツールでの自己診断 | 外部ベンダーによる診断 |
|---|---|---|
| 主なツール・仕組み | Amazon Inspector（脆弱性検出）／AWS Security Hub CSPM（設定チェック）／Amazon GuardDuty（脅威検知） | 専門会社によるツール診断・専門家の手動診断・ペネトレーションテスト |
| 主に分かること | EC2インスタンス・ECRコンテナイメージ・Lambda関数のソフトウェア脆弱性、AWS設定のベストプラクティス逸脱 | Webアプリケーションの脆弱性、手動診断による深い検査、優先度付きの報告書と改善提案 |
| 限界 | 手動でしか見つからないWebアプリの入力処理の欠陥や複合的な攻撃経路までは検出しにくい | 費用と期間がかかり、高頻度での実施はしにくい |
| 向いている企業 | 日常的・継続的に自社で弱点を監視したい企業 | リリース前後や年次などで精密な検査と第三者の報告書が必要な企業 |
※上記は一般的な傾向です。実際に検出できる範囲や提供形態は、利用するツール・依頼先によって異なります。
自己診断は、コストを抑えながら高頻度で回せる点が強みです。Amazon Inspectorを有効にすると、EC2インスタンス・ECRのコンテナイメージ・Lambda関数が自動的に検出・スキャンされ、結果はAWS Security Hubに集約して確認できます。まず標準機能を有効にして自社の弱点を把握する、という始め方が取りやすい方法です。
ただし、Amazon InspectorやAWS Security Hub、Amazon GuardDutyは無料ではなく、スキャンしたリソース量などに応じた利用料金がかかります。外部委託より安く始めやすいものの、費用がかからないわけではない点は押さえておきます。
AWS純正ツール以外にも、クラウド設定診断やWebアプリ診断を自動で継続実行するSaaS型のツールがあります。これも自己診断の選択肢に含められます。
一方の外部ベンダー診断は、専門家が時間をかけて調べる精密検査にあたります。自動ツールでは拾いにくい欠陥や、報告書という形での説明責任が求められる場面で力を発揮します。どちらか一方だけでなく、両者を組み合わせる考え方は、後半で改めて整理します。
そもそもAWSの脆弱性診断で「自社が守る範囲」はどこか（責任共有モデル）
手段を選ぶ前に押さえておきたいのが、AWSと利用企業の責任の分かれ目です。AWSはこれを責任共有モデルとして公開しており、データセンターやハードウェアなどのインフラ側はAWSが、その上で動かすOS・アプリケーション・アクセス権限の設定は利用企業が責任を負う、と定めています。
お客様には、ゲストオペレーティングシステム (更新とセキュリティパッチを含む)、その他の関連アプリケーションソフトウェア、および AWS が提供するセキュリティグループファイアウォールの設定に対する責任と管理を担っていただきます。
出典：責任共有モデル｜アマゾン ウェブ サービス（AWS）
AWSの脆弱性診断で自社が確認すべき対象は、OSやミドルウェアのパッチ状況、公開範囲やアクセス権限の設定、Webアプリケーションの作り込みといった「自社が管理する部分」です。
とくに、ストレージの公開範囲やアクセス権限などクラウド特有の設定ミスは情報漏えいに直結しやすい部分です。こうした設定に起因する弱点を、攻撃を受ける前に洗い出すことが、AWSの脆弱性診断の目的になります。
脆弱性診断とペネトレーションテストの違い
AWSの診断を調べていると、脆弱性診断とよく似た言葉としてペネトレーションテスト（侵入テスト）が出てきます。両者は目的が異なり、自社に必要なのがどちらかを見極める必要があります。
脆弱性診断は、システムに既知の弱点がないかを網羅的に洗い出す検査です。健康診断のように、対象範囲全体をチェックして弱点の一覧と対処の優先度を示します。一方のペネトレーションテストは、攻撃者の視点で特定の目標（たとえば重要データの窃取）まで到達できるかを実際に試す検査です。弱点を広く探すのが脆弱性診断、見つかった弱点を突いてどこまで侵入できるかを検証するのがペネトレーションテスト、と整理できます。
まず自社の弱点を一通り把握したい段階であれば脆弱性診断から始めるのが基本です。重要システムについて、実際の攻撃に耐えられるかまで踏み込んで確かめたい場合に、ペネトレーションテストを追加で検討します。費用や期間はペネトレーションテストの方が大きくなる傾向があります。
ペネトレーションテストを追加で検討する場合、費用がどの程度になるかは対象や規模によって幅があります。金額の目安を先に把握しておきたい方は、対象別・規模別の料金相場と見積もりの取り方をまとめた以下の記事も参考になります。
ペネトレーションテストの費用相場｜対象別・規模別の料金と見積もりの取り方
監査対応や取引先からのセキュリティ質問票、あるいは経営層からの一言をきっかけに、ペネトレーションテストの発注を検討することになった――そんなとき、まず知りたいのは「いくらぐらいかかるのか」の具体的な金額の当たりです。 ところが検索結果には「…
AWSの脆弱性診断の種類（Webアプリケーション／プラットフォーム／AWS設定=CSPM）
AWSの脆弱性診断は、何を対象にするかで大きく3種類に分かれます。自社のAWS環境の構成に照らして、どれを受けるべきかを判断します。
Webアプリケーション診断は、AWS上で公開しているWebサイトやWebアプリを対象に、入力値の処理やセッション管理といったアプリの作り込みに弱点がないかを調べます。自社でWebサービスやECサイトを提供している場合に中心となる診断です。
プラットフォーム診断は、EC2インスタンスなどのサーバーやネットワークを対象に、OSやミドルウェアのパッチ漏れ、不要な開放ポート、既知の脆弱性がないかを調べます。ネットワーク経由でのスキャンが中心で、サーバーの土台部分の安全性を確認します。
AWS設定診断（クラウドセキュリティ設定診断・CSPM）は、IAM（アクセス権限）やストレージの公開設定、暗号化やログ取得の有無といったAWSの設定そのものを対象に、ベストプラクティスから外れた危険な設定がないかを確認します。クラウド特有の設定不備は情報漏えいに直結しやすいため、AWS環境ならではの重要な診断です。CSPMはこの設定不備という脆弱性を継続的に検出する仕組みと位置づけられます。
自社が公開Webサービスを持つならWebアプリケーション診断、サーバーを自前で構築・運用しているならプラットフォーム診断、AWSの設定運用に不安があるならAWS設定診断、というように、環境に応じて組み合わせて選びます。
S3の公開設定やRDS・IAMといったAWSの設定は、このAWS設定診断（CSPM）で確認します。設定内容を読み取って点検する方式で対象システムへ攻撃通信を送らないため、後述するAWSへの事前申請は原則として不要です。
AWSに加えてAzureやGoogle Cloudも利用しており、クラウド全般で受けるべき診断を整理したい場合は、以下の記事が参考になります。設定診断（CSPM）と、クラウド上に構築したシステムを診る従来型の脆弱性診断の違いを、対象・費用の面から解説しています。
AWSに診断・スキャンをかける前の事前申請と許可・禁止ルール
AWS環境に対して脆弱性診断やスキャンを実施する際は、AWSの利用規約に沿う必要があります。自己判断で負荷の高いテストを行うと規約違反になりかねないため、事前に何が許可され、何が禁止されているかを確認しておきます。AWSは対象サービスの範囲について、次のように定めています。
AWS のお客様は、[Permitted Services] (許可されたサービス) の下の次のセクションに記載されているサービスについて、事前の承認なしに AWS インフラストラクチャのセキュリティ評価またはペネトレーションテストを実行できます。 さらに、AWS は、お客様がオンプレミス、AWS、またはサードパーティーと契約したテストのために、AWS IP スペースまたは他のクラウドプロバイダー内でセキュリティ評価ツールをホストすることを許可します。Command and Control (C2) を含むすべてのセキュリティテストには、事前の承認が必要です。
出典：侵入テスト｜アマゾン ウェブ サービス（AWS）
ここで重要なのは、自社で実施する場合も、外部の専門会社に委託する場合も、同じポリシーが適用される点です。また、AWSのインフラやAWSのサービスそのものを診断対象にすることは許可されていません。診断できるのは、あくまで自社が管理する設定・アプリケーションの範囲です。事前の承認なしに実施してよい「許可されたサービス」は、次のとおり公開されています。
出典：侵入テスト｜アマゾン ウェブ サービス（AWS）
- Amazon EC2 インスタンス、WAF、NAT ゲートウェイ、Elastic Load Balancer
- Amazon RDS
- Amazon CloudFront
- Amazon Aurora
- Amazon API Gateway
- AWS AppSync
- AWS Lambda 関数および Lambda Edge 関数
- Amazon Lightsail リソース
- Amazon Elastic Beanstalk 環境
- Amazon Elastic Container Service
- AWS Fargate
- Amazon OpenSearch Service
- Amazon FSx
- Amazon Transit Gateway
一方で、AWSが明確に禁止している行為もあります。サービス拒否（DoS）や分散型サービス拒否（DDoS）、各種のフラッディング、DNSを悪用する行為などが該当します。
出典：侵入テスト｜アマゾン ウェブ サービス（AWS）
- Amazon Route 53 ホストゾーン経由の DNS ゾーンウォーキング
- Route 53 経由の DNS ハイジャック
- Route 53 経由の DNS ファーミング
- サービス拒否 (DoS)、分散型サービス拒否 (DDoS)、シミュレートされた DoS、シミュレートされた DDoS（これらの対象となるのは DDoS シミュレーションテストポリシー）
- ポートフラッディング
- プロトコルフラッディング
- リクエストフラッディング (ログインリクエストフラッディング、API リクエストフラッディング)
- S3 バケット乗っ取り
- サブドメイン乗っ取り
ただし、DoS・DDoSのシミュレーションや、ネットワーク負荷テスト、iPerfテスト、模擬フィッシングは、専用のフォーム提出による事前申請を行えば実施できる位置づけです。これらのテストを予定する場合は、AWSに対して遅くとも開始日の2週間前までに申請する必要があります。通常の脆弱性診断は事前承認なしで実施できますが、負荷やなりすましを伴うテストは申請が要る、と覚えておくと安全です。
出典・参考資料（1件）
AWS脆弱性診断の進め方・流れと所要期間
外部ベンダーに脆弱性診断を依頼する場合の進め方は、おおむね共通しています。全体像を把握しておくと、社内での段取りや説明がしやすくなります。
診断の全体の流れ
診断は、まずどのシステム・どの範囲を診断するかを決めるところから始まります。次に、対象環境の情報共有やスケジュール調整といった準備を行い、診断を実施します。診断後は、検出された弱点と危険度・対処の優先度をまとめた報告書を受け取り、それに沿って修正と再診断を行って完了です。範囲決定から再診断までを一連の流れとして捉えると、抜け漏れなく進められます。
診断全体の所要期間の目安
所要期間は診断の対象範囲や手法によって幅があります。ツールによる自動診断であれば数日程度で結果が出ることもありますが、専門家による手動診断では、準備から報告書の受領まで数週間程度を見込むのが一般的です。修正と再診断の期間も加わるため、リリース時期などの期限がある場合は、余裕をもって早めに依頼先へ相談しておくと安心です。正確な期間は診断範囲によって変わるため、見積もり時に各社へ確認します。
診断中、AWS環境（サービス）は止まるのか
「診断でシステムが止まらないか」は、担当者が気にしやすい点です。設定内容の確認を中心とするAWS設定診断は、環境に負荷をかけずリモートで実施できるため、サービスを止めずに行えるのが一般的です。実際に、設定確認型の診断について「本診断は設定内容を確認するサービスのため、お客様の環境には影響を与えません」と明示している事業者もあります。
一方、Webアプリケーション診断やプラットフォーム診断では、実際にリクエストを送って挙動を確かめます。負荷が想定される場合は、本番環境を避けて検証環境で実施する、あるいは実施時間帯を調整するといった配慮を、あらかじめ依頼先と相談しておくと安心です。
AWS脆弱性診断の費用相場
脆弱性診断の費用には、公的に定められた標準価格はありません。金額は、診断の種類、対象の規模（画面数・サーバー台数・IPアドレス数）、ツール診断か専門家の手動診断かといった手法によって変わります。
種類別のおおまかな目安としては、専門家による手動のWebアプリケーション診断は対象の規模に応じて数十万円から、規模や深さによっては数百万円に及ぶこともあります。プラットフォーム診断は診断対象のIPアドレス単位で費用が積み上がる形が一般的で、自動診断のSaaS型ツールは月額数万円台から始められるものもあります。ただし、これらは各社の料金体系によって幅があるため、目安として捉えてください。
費用は対象範囲の切り方で大きく変わるため、「どこまでを診断するか」を先に固めることが、見積もりを比較する近道になります。各社で料金体系や含まれる作業範囲（再診断の有無、報告会の実施など）は異なります。
本記事の後半では、AWS・クラウド対応の診断サービスを比較表で紹介しています。公開されている料金の目安もそこで確認できるため、複数社の資料や見積もりとあわせて、費用感と対応範囲の両面から判断してみてください。
一括ダウンロードする
自己診断と外部ベンダー診断の使い分け（どこまで自分で・どこから外注するか）
冒頭で整理した2つの手段は、どちらか一方に絞るものではありません。役割の違いを踏まえ、組み合わせて使うのが現実的です。
日常の自動スキャンと定期のプロ診断を組み合わせる
日々の運用では、Amazon Inspectorによる脆弱性の自動検出や、AWS Security Hub CSPMによる設定チェックを有効にしておき、新たな弱点や設定のずれを継続的に把握します。これに加えて、Webアプリケーションの改修時やサービスの公開前、あるいは年に一度といった節目で、外部の専門家による手動診断を受けます。
自動スキャンで日常の変化を見張り、定期的なプロ診断で自動では拾いにくい欠陥を確認する、という二段構えが基本形です。頻度の目安としては、外部診断は年1回程度に構成変更時のスポット診断を足す形が、多くの企業にとって現実的です。
リソースが限られる中小・中堅企業がまず着手する順番
専任のセキュリティ担当を置きにくい企業では、まず費用を抑えやすい範囲から着手するのが現実的です。AWSの設定の棚卸しとして、Amazon InspectorやAWS Security Hubなどの標準機能を有効にし、明らかな設定不備や既知の脆弱性を洗い出します。そのうえで、外部に公開しているWebアプリケーションなど、事故が起きたときの影響が大きい部分に絞って、外部の手動診断を優先的に依頼します。
すべてを一度に外注するのではなく、リスクの高いところから段階的に外部診断へ広げていくと、費用と効果のバランスを取りやすくなります。標準機能の利用にも料金はかかりますが、影響の大きい部分から手を付けることで、限られた予算を効果的に使えます。
診断後の修正・再診断と継続的なセキュリティ管理
脆弱性診断は、受けて終わりではありません。検出された弱点を直し、その状態を保ち続けることで、はじめて安全性につながります。
実際に、脆弱性診断ツールを提供する事業者からも、一度の診断で終わらせることの限界を指摘する声が聞かれます。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。
診断結果を受けた修正と再診断
報告書では、弱点ごとに危険度と対処の優先度が示されます。危険度の高いものから修正に着手し、修正が完了したら、その内容が正しく反映され、新たな問題が生じていないかを再診断で確認します。修正と再診断までを一つの区切りとして扱うことで、対応の抜け漏れを防げます。
継続運用のためのAWSツール（Security Hub・GuardDuty）とCSPM・DevSecOps
一度直した設定も、運用のなかで再びずれることがあります。AWS Security Hub CSPMは、AWS環境全体のセキュリティ状態を業界標準やベストプラクティスに照らして継続的にチェックする役割を担います。Amazon Inspectorの検出結果もSecurity Hubに集約でき、環境全体の状況を一元的に把握できます。
あわせて、Amazon GuardDutyのような脅威検知の仕組みを併用すると、不審な挙動を継続的に監視できます。さらに、開発・運用の工程にセキュリティチェックを組み込むDevSecOpsの考え方を取り入れると、脆弱性を早い段階で検出しやすくなります。
単発の診断と、こうした継続的な仕組みを組み合わせることで、攻撃を受ける前に弱点を見つけ、安全な状態を保ち続けやすくなります。
AWS・クラウド対応の脆弱性診断サービス（自己診断ツールから外部ベンダー診断まで）
ここからは、AWSやクラウド環境の診断に対応したサービスを紹介します。自社で継続的に回すSaaS型の自動診断ツールから、専門家による外部ベンダー診断まで幅があるため、自社の環境や診断したい対象に合わせて、比較検討の出発点としてご活用ください。
ここではAWS・クラウド環境の診断に対応したサービスに絞って紹介しますが、診断方法や費用相場、選び方まで含めて脆弱性診断サービス全般を広く見比べたい場合は、以下の記事で主要サービスを比較・解説しています。あわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
以下は、ご紹介するAWS／クラウド対応の脆弱性診断サービスの比較表です。
| AWS・クラウド対応の脆弱性診断サービス比較 | Aikido Security | GMOサイバーセキュリティ byイエラエ | セキュリティ診断（NRIセキュア） | セキュリティ診断（ラック） | SQAT | Securify（セキュリファイ） |
|---|---|---|---|---|---|---|
| 提供会社 | 株式会社AndGo （開発元: Aikido Security BV） | GMOサイバーセキュリティ byイエラエ株式会社 | NRIセキュアテクノロジーズ株式会社 | 株式会社ラック | 株式会社ブロードバンドセキュリティ | 株式会社スリーシェイク |
| 診断方式 | ツール自動診断（SaaS） | ハイブリッド（手動診断＋ツールASM） | ハイブリッド（手動主体） | ハイブリッド（手動主体） | ハイブリッド（手動＋独自自動診断） | ツール自動診断（DAST） |
| 主な診断対象 | ソースコード／クラウド設定／コンテナ／依存ミドルウェア（11種スキャナ統合） | Webアプリ／クラウド／ネットワーク／スマホアプリ／IoT／AI ほか | Webアプリ／プラットフォーム／クラウド設定／API／ソースコード／ペネトレ／AI／IoT・OT | Webアプリ／プラットフォーム／クラウド設定／スマホアプリ／IoT／ペネトレーションテスト | Webアプリ／API／ネットワーク／スマホアプリ／IoT／クラウド設定／ソースコード／ペネトレ | Webアプリ（DAST）／クラウド設定／公開資産（ASM）／WordPress |
| AWS・クラウド設定診断（CSPM） | ● | ●手動診断で対応 | ● | ● | ● | ● |
| 料金の目安 | 月額50,000円台〜 （AndGo経由・Freeプランあり） | 個別見積 （ASMツールは月額40,000円〜） | 個別見積 （ペネトレは800万円〜） | 個別見積 （Web診断は30万円〜） | 個別見積 | 月額50,000円〜 （Webアプリ診断・無料トライアルあり） |
| 提供形態 | SaaS（ツール提供） | 請負診断＋SaaS（ASM） | 請負診断（受注型） | 請負診断（受注型） | 請負診断（受注型） | SaaS（ツール提供） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金・対応範囲は各社の公開情報にもとづく目安です（2026年9月時点）。最新の内容は各社の資料・公式サイトでご確認ください。
1. Aikido Security（株式会社AndGo）
開発チーム向けに、複数のセキュリティ診断をひとつにまとめて運用できるオールインワン型の診断ツールです。日本では株式会社AndGoが提供しており、ソースコードの診断、AWSなどクラウド側の設定ミスの検出、サーバーOSやミドルウェア起因の脆弱性の検出を、1つの画面で扱えます。
開発の初期段階からセキュリティを組み込むDevSecOpsを前提に設計されており、検出した脆弱性の修正案をプルリクエストとして提示するオートフィックス機能を備えます。バラバラに出やすいアラートを統一し、対応すべき項目を絞り込める点も特徴です。自社でアプリケーションを内製している企業やSaaS事業者に適しています。
2. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
多くのホワイトハッカーが所属するサイバーセキュリティ専門企業による、専門家の手による診断を主体とした脆弱性診断・ペネトレーションテストです。診断対象としてクラウド（AWS / Azure / Google Cloud）を公式に掲げており、AWS環境そのものの診断に対応します。
手動診断に加えて、インターネットに公開された資産を継続的に把握するASMツール「GMOサイバー攻撃ネットde診断 ASM」も提供しています。節目ごとの精密な手動診断と、日常的な継続監視を組み合わせて依頼できる点が魅力です。
3. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
NRIグループのセキュリティ専業会社であるNRIセキュアテクノロジーズ株式会社が提供する、専門家による手動主体のセキュリティ診断・ペネトレーションテストです。国際資格を持つ専門家が手作業で診断を行う方式を中核に据えています。
Webアプリケーション診断やプラットフォーム診断に加え、AWSなどの設定を評価するクラウド設定評価サービス（CSPM）まで幅広く用意されています。攻撃者視点で目標到達可否を試すペネトレーションテストやレッドチームオペレーションにも対応するため、重要システムを深く検査したい場合に適しています。
4. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
セキュリティ監視センターJSOCで知られる株式会社ラックの脆弱性診断・セキュリティ診断サービスです。熟練エンジニアが攻撃者視点で疑似攻撃を行い、ツールでは検出しにくい弱点まで人手で検証する、手動診断を主体としたハイブリッド型の診断です。
Webアプリケーションやサーバ・ネットワーク機器、クラウド/SaaSまで幅広い対象に対応します。診断単体にとどまらず、JSOCによる監視や緊急対応、コンサルティングと組み合わせて依頼できる総合力が強みで、官公庁や金融分野での実績が長い点も安心材料になります。
5. SQAT（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティ（BBSec）が提供する脆弱性診断ブランドがSQAT（エスキュート）です。手動診断と独自開発の自動診断を組み合わせたハイブリッド方式で、攻撃を受ける前にリスクを洗い出します。
Webアプリケーション・API・ネットワークの診断に加え、クラウドセキュリティ設定診断にも対応しています。公式サイトでは延べ10,300組織・64,280システムを超える診断実績を掲げており、ソースコード診断とWeb診断を組み合わせた「SQAT GlassBox」など、内部と外部の両視点からの診断メニューも用意されています。
6. Securify（株式会社スリーシェイク）
クラウド型（SaaS）の自動脆弱性診断プラットフォームとして、株式会社スリーシェイクが提供しているのがSecurify（セキュリファイ）です。Webアプリケーションへの自動巡回スキャン（DAST）を中核に、複数の診断機能を1つのシリーズに統合しています。
クラウドの設定管理を行うCSPM、公開資産を棚卸しするASM、WordPress診断などを備え、スケジュール実行による継続的な自動診断ができる点が特徴です。専門家に依頼する単発診断とは異なり、自社で日常的に回す自己診断寄りの運用に向いています。中核のWebアプリケーション診断は月額50,000円から利用できます（公式料金、2026年6月時点）。
まとめ
AWSの脆弱性診断は、Amazon Inspectorなどのツールによる自己診断と、外部ベンダーによる診断の2つの手段を、役割に応じて組み合わせるのが基本です。まずは責任共有モデルにもとづき自社が守る範囲を確認し、Webアプリケーション・プラットフォーム・AWS設定のうち自社に必要な種類を見極めます。
診断を実施する際は、AWSの許可・禁止ルールと申請の要否を押さえておけば、規約に沿って安全に進められます。日常の自動スキャンと定期的な外部診断、そして診断後の修正・再診断までを一つの運用として回すことが、AWS環境を継続的に守る近道です。
外部診断を検討する際は、自社の環境と対象に合ったサービスの資料をまとめて取り寄せ、対応範囲と費用を見比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. AWSの脆弱性診断とは何ですか？
A. AWSの脆弱性診断とは、AWS上で自社が管理するOS・アプリケーション・アクセス権限などの設定に、攻撃に悪用されうる弱点がないかを事前に洗い出す検査です。AWSでは責任共有モデルにより、インフラ側はAWSが、その上で動かすOS・アプリ・設定は利用企業が責任を負うため、この自社責任の範囲に潜む弱点を見つけることが目的になります。
診断の手段は、Amazon Inspectorなどを使う自己診断と、外部ベンダーへの依頼の2つに大別されます。
Q. AWSに脆弱性診断をかけるのに事前申請は必要ですか？
A. AWSの脆弱性診断は、AWSが定める「許可されたサービス」（Amazon EC2・RDS・CloudFront・Lambdaなど）が対象であれば、事前の承認なしで実施できます。ただし、DoS・DDoSのシミュレーションやネットワーク負荷テスト、模擬フィッシングを行う場合は専用フォームでの事前申請が必要で、遅くとも開始日の2週間前までに申請します。
自社で実施する場合も外部に委託する場合も同じポリシーが適用され、AWSのインフラやAWSのサービスそのものを診断対象にすることはできません。
出典・参考資料（1件）
Q. AWSの脆弱性診断を実施すると、診断中はサービスが止まりますか？
A. 設定内容の確認を中心とするAWS設定診断（CSPM）は、環境に負荷をかけずリモートで実施できるため、サービスを止めずに行えるのが一般的です。一方、Webアプリケーション診断やプラットフォーム診断は、実際にリクエストを送って挙動を確かめます。
負荷が想定される場合は、本番環境を避けて検証環境で実施する、実施時間帯を調整するといった配慮を依頼先と相談します。診断の種類によって影響の度合いが変わる点を押さえておくと安心です。
Q. AWSの脆弱性診断の費用相場はどれくらいですか？
A. AWSの脆弱性診断の費用に公的な標準価格はなく、自動診断のツールは比較的安価に始められる一方、専門家による手動のWebアプリケーション診断は対象規模に応じて数十万円から、規模や深さによっては数百万円に及ぶこともあります。
金額は診断の種類・対象の規模（画面数・サーバー台数・IPアドレス数）・ツール診断か手動診断かといった手法で変わります。診断範囲を先に固めたうえで、複数社の見積もりを取り寄せて比較するのが確実です。
Q. AWSの脆弱性診断はAmazon Inspectorだけで十分ですか？
A. Amazon Inspectorなどによる自己診断だけでは不十分な場合があります。Amazon Inspectorはソフトウェアの脆弱性を、AWS Security Hub CSPMはAWS設定のベストプラクティス逸脱を継続的・自動的に検出できますが、Webアプリの入力処理の欠陥や複合的な攻撃経路など、手動でしか見つからない弱点までは拾いにくいためです。
日常はAmazon InspectorやAWS Security Hubで自動監視し、公開Webアプリの改修時や年次の節目で外部の専門家による手動診断を受ける、という二段構えが基本形になります。
Q. AWSの脆弱性診断はどれくらいの頻度で実施すべきですか？
A. AWSは機能の追加・変更が頻繁なため、外部ベンダーによる診断は年1回程度の定期実施が一つの目安です。加えて、Webアプリケーションの大きな改修時やサービスの公開前など、構成が変わる節目でも実施します。日常的な設定チェックや脆弱性検出はAmazon InspectorやAWS Security Hubで継続的に自動化しておくと、定期診断の間に生じた変化も把握しやすくなります。
Q. AWSの脆弱性診断を外部ベンダーに依頼する前に、何を伝えればよいですか？
A. 見積もりを取る前に「どのシステムの・どの範囲を診断するか」を固め、対象のAWSアカウント数や診断対象の規模（画面数・サーバー台数・IPアドレス数）を整理しておくとスムーズです。費用は対象範囲の切り方で大きく変わるため、範囲が曖昧なままだと各社の見積もりを比較しにくくなります。
あわせて、再診断の有無や報告会の実施といった含まれる作業範囲も確認しておくと、費用感と対応範囲の両面で判断しやすくなります。
AWS対応の脆弱性診断サービスの資料をまとめてチェック
MCB FinTechカタログでは、AWSやクラウド環境の脆弱性診断に対応したサービスの最新資料を無料で一括請求できます。診断の対象範囲や費用、対応する診断の種類をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
