「脆弱性診断はやらなくていいのか」と社内や取引先から問われ、まず言葉の意味から押さえたい——そう考えて調べ始める方は少なくありません。脆弱性診断とは、ひとことで言えば「システムやアプリに攻撃へ悪用されうる弱点が無いかを調べ、どこがどれだけ危険かを報告してくれる検査」です。
ただし、診断の対象（Webサイトなのか、サーバーなのか、アプリなのか）や手法（ツールか専門家の手動か）によって、分かることも費用も大きく変わります。情報漏えいやランサムウェアの被害が身近になるなか、自社に必要な診断を見極めるには全体像を押さえておくことが欠かせません。
本記事では、脆弱性診断とは何を調べる検査なのかという定義から、診断の種類（対象別）・手法の違い・ペネトレーションテストとの違い・費用相場・実施の流れ・失敗しない選び方までを整理します。自社に必要な診断の種類の見当を付け、依頼先を比較検討するための判断材料としてご活用ください。
目次
一括ダウンロードする
脆弱性診断（セキュリティ診断）とは
脆弱性診断（セキュリティ診断）とは、システムやソフトウェアに存在する「攻撃に悪用されうる弱点」を専門家やツールが調べ、どこにどのような危険があるかを洗い出して報告する検査です。診断を受けると、危険度を評価した一覧と改善のための助言が報告書として得られます。
政府のガイドラインでも、脆弱性診断の位置づけは次のように示されています。診断は弱点を「特定する」ものであり、それ自体が弱点を「塞ぐ」わけではない点が要点です。
脆弱性診断はシステムにおけるセキュリティ上の弱点を特定するものであるが、診断のみでシステムのセキュリティリスクを防ぐことはできない。
デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン」（DS-221、2024年）出典
脆弱性診断は、発見した弱点をパッチ適用や設定変更などで修正する対策とセットで実施して初めて効果を発揮します。診断は「健康診断」にあたり、その結果をもとにした改善（治療）が別途必要になる、と捉えると分かりやすいでしょう。
そもそも脆弱性（弱点）とは
脆弱性とは、プログラムの設計や実装の不備、機器の設定ミスなどによって生じる「攻撃に悪用されうる穴」を指します。放置すると、不正アクセスや情報の盗み取りといった攻撃の入口になります。
実際、警察庁は、サイバー攻撃の前兆ともなる脆弱性探索行為などの不審なアクセスが増加の一途をたどっていると報告しています。攻撃者は日常的に狙える弱点を探しており、脆弱性診断はその弱点を攻撃者より先に見つけるための検査だといえます。
出典・参考資料（1件）
- 出典：令和６年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（リンク）
脆弱性診断でわかること・報告書の中身
脆弱性診断を受けると、一般に次のような内容が報告書として提示されます。自社のシステムのどこに、どの程度のリスクがあり、何を優先して直すべきかが具体的に分かります。
- 検出された脆弱性の一覧と、その内容の説明
- 各脆弱性の危険度（深刻度）の評価
- 攻撃された場合に想定される影響
- 修正・改善のための具体的な助言
脆弱性診断が必要な理由と放置するリスク
脆弱性診断が必要とされる理由と、弱点を放置した場合のリスクは、社内で対策の必要性を説明するうえでも押さえておきたいポイントです。
最大の理由は、弱点が不正アクセス・情報漏えい・マルウェア（ウイルス）感染といった攻撃の入口になるためです。攻撃者は公開されたサーバーやWebアプリの弱点を常に探しており、対策が手薄なほど狙われやすくなります。
被害は現実に高い水準で続いています。警察庁によると、令和6年（2024年）のランサムウェアの被害報告件数は222件と引き続き高水準で推移し、組織規模別では大企業の被害が減少する一方、中小企業の被害件数は前年比37%増加しました。対策が比較的手薄な中小企業ほど被害が広がっている点は見過ごせません。
出典・参考資料（1件）
- 出典：令和６年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（リンク）
被害が発生すると、金銭的な損失だけでなく、事業停止・復旧対応・顧客への説明といった負担も生じます。攻撃を受けてから対応するより、弱点を事前に把握して塞いでおくほうが、結果的にコストを抑えられます。また、取引先からの要請や各種ガイドラインへの対応が、診断を実施するきっかけになるケースも増えています。
診断を実施するきっかけとして、近年は規制当局によるガイドラインの整備も挙げられます。ネットワークリスク診断を手がける事業者は、金融機関からの相談が増えている背景を次のように説明しています。
金融機関、特に銀行様からのご相談が多いのは、2024年10月に金融庁から公表されたガイドラインの影響が大きいと考えています。このガイドラインでは、金融機関において実施していくべきセキュリティ対策について記載されているのですが、脆弱性診断やペネトレーションテストを実施していくこと、ネットワークの対策を強化し監視していくことが求められました。
こうした規制対応は金融業界が先行していますが、取引先からセキュリティ対策を求められる動きは業種を問わず広がっており、Webサイトやシステムを持つ企業にとって脆弱性診断は身近なテーマになっています。
脆弱性診断の種類（診断対象別）
脆弱性診断は「何を診断対象にするか」で種類が分かれます。まず、経済産業省の「情報セキュリティサービス基準」は、脆弱性診断サービスを次の3つの対象で定義しています。
ア Web アプリケーション脆弱性診断／イ プラットフォーム脆弱性診断／ウ スマートフォン／タブレット端末アプリケーション脆弱性診断
経済産業省「情報セキュリティサービス基準」第4.1版（2025年）定義（３）脆弱性診断サービス出典
実際のサービスでは、この3分類に加えて、クラウド環境やソースコードを対象とする診断も提供されています。自社の「何を診てほしいか」から必要な診断を逆引きできるよう、代表的な診断対象を次の表に整理しました。
| 診断対象 | Webアプリケーション診断 | プラットフォーム診断（サーバ・ネットワーク） | スマートフォンアプリ診断 | クラウド診断 | ソースコード診断 |
|---|---|---|---|---|---|
| 何を診るか | 会員登録・問い合わせフォーム・ECなど、公開Webアプリの作り込みの不備（不正なデータでDBを操作するSQLインジェクション、不正なスクリプトを埋め込むクロスサイトスクリプティング等） | サーバやネットワーク機器の不要なポート開放・古いソフトの利用・設定不備 | iOS・Androidアプリの実装や通信・データ保存の不備 | クラウド（IaaS/PaaS）のアクセス権限・公開設定などの構成ミス | プログラムのソースコードを解析し、危険なコードの書き方を検出 |
| こんな場合に | 自社サイトやWebサービスを公開・リニューアルする | 自社サーバやネットワーク機器の設定に不安がある | 自社でスマホアプリを提供している | AWS・Azure・Google Cloud上でシステムを運用している | 開発段階から弱点を作り込まないようにしたい |
※Webアプリケーション・プラットフォーム・スマートフォンアプリの3対象は経済産業省「情報セキュリティサービス基準」の分類にもとづく。クラウド診断・ソースコード診断は各社が商用サービスとして提供する対象。API診断はサービス名として使われるが、公的なガイドライン上はWebアプリケーション診断に含まれる。
診断対象ごとに検出される弱点の種類は異なります。たとえばWebアプリケーション診断では、公開アプリで狙われやすい代表的な弱点を検査します。
国際的な指標であるOWASP Top 10（2021年版）では、アクセス制御の不備・暗号化の失敗・インジェクション（SQLインジェクション等を含む）などが挙げられています。国内では、IPA（情報処理推進機構）の「安全なウェブサイトの作り方」が、届出の多い脆弱性をもとにした検査観点を公開しています。
診断対象のうちプラットフォーム診断は、実施する場所によってさらに2つに分かれます。インターネット側から調べる「外部診断（リモート診断）」と、社内ネットワークの内側から調べる「内部診断（オンサイト診断）」です。過去に診断を実施していない場合は、外部から攻撃を受けやすい外部診断を優先的に実施することが推奨されています。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）
手動診断とツール診断の違い
脆弱性診断は、実施のやり方でも「ツール診断」と「手動診断」に分かれます。それぞれ得意・不得意があり、費用や期間の感覚も異なります。両者の特徴は次のとおりです。
| 診断手法 | ツール診断 | 手動診断 |
|---|---|---|
| やり方 | 診断ツールで自動的にスキャンする | 専門家（セキュリティ技術者）が手作業で検査する |
| 得意なこと | 既知の弱点を短時間で広く検出。定期的な繰り返しに向く | 自動検出しにくい複雑な弱点も、知見にもとづき検出 |
| 苦手なこと | 仕様や業務ロジックに起因する複雑な弱点は見つけにくい | 工数がかかる |
| 費用・期間の傾向 | 比較的安く、短期間 | 比較的高く、期間も長め |
重要なのは、どちらか一方で十分というものではない点です。政府のガイドラインは、ツールと手動の併用が欠かせないと明記しています。
診断サービスの選定においては、ツールによる自動的な診断のみでは不十分であり、専門家による手動による診断との併用が不可欠である。
デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン」（DS-221、2024年）出典
特にWebアプリケーション診断では、ツールによる自動診断だけでは仕様に起因する弱点の検出が難しく、専門家による手動診断で補う必要があります。多くの診断サービスが、ツールで広く洗い出したうえで専門家が精査する形を採っているのはこのためです。
脆弱性診断とペネトレーションテストの違い
脆弱性診断と混同されやすいのがペネトレーションテスト（侵入試験）です。両者は目的も進め方も異なります。まず、経済産業省の基準はペネトレーションテストを次のように定義しています。
脆弱性診断のサービスの定義を満たすサービスのうち、攻撃者が実際に侵入等を行うために用いる手法と同様の手法により、アプリケーション、システム、又はネットワークのセキュリティ機能を回避して攻撃の目的を達成できるかの観点から試験を行い、その結果をもとに助言を行うサービスをいう。
経済産業省「情報セキュリティサービス基準」第4.1版（2025年）定義（４）ペネトレーションテスト（侵入試験）サービス出典
脆弱性診断が「弱点を網羅的に洗い出す」ことを目的とするのに対し、ペネトレーションテストは「攻撃者の目線で、実際に目的（侵入や情報の窃取など）を達成できるかを試す」点に主眼があります。目的・範囲・想定される費用感の違いを表に整理します。
| 比較項目 | 目的 | 範囲 | 費用・期間の傾向 |
|---|---|---|---|
| 脆弱性診断 | 弱点を網羅的に洗い出し、危険度を評価する | 対象システムの弱点を幅広く検査 | 対象・手法により幅がある |
| ペネトレーションテスト | 攻撃者と同じ手法で、実際に攻撃の目的を達成できるかを試す | 特定のシナリオ（侵入の可否など）に絞って深く検証 | 個別のシナリオ設計を伴い、比較的高くなりやすい |
まず自社の弱点を全体的に把握したい段階では脆弱性診断が適し、より深く攻撃シナリオへの耐性を検証したい段階でペネトレーションテストを検討する、という使い分けが基本になります。
自社にはペネトレーションテストのほうが合いそうだと感じた場合は、費用相場や診断シナリオの組み立て方、依頼先の見極め方を次の記事で詳しく解説しています。
脆弱性診断の費用相場（対象別・手法別）
費用は、脆弱性診断を検討するうえで多くの方が最も気にする点です。ただし、脆弱性診断の料金は「一律いくら」とは言えず、診断対象の規模と手法によって幅があります。
費用が変動する理由は、診断対象の量に応じて工数が変わるためです。ガイドラインでも、外部診断ではグローバルIPアドレス数に応じて、Webアプリケーション診断では主に画面数やリクエスト数に応じて費用が変動するとされています。同じ「Webアプリ診断」でも、対象ページが数ページか数十ページかで費用は大きく変わります。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）
そのうえで、診断対象別・手法別のおおよその費用感は次のとおりです。複数の診断事業者が公開している料金をもとにした目安で、実際の金額は診断範囲によって変わります。
| 診断対象 | Webアプリケーション診断 | プラットフォーム診断（サーバ・ネットワーク） | スマートフォンアプリ診断 | クラウド診断 | ソースコード診断 |
|---|---|---|---|---|---|
| ツール診断の目安 | 月額数万円台〜 | 月額数万円台〜 | 対応は限定的 | 月額数万円台〜（構成監視型） | 月額数万円台〜 |
| 手動診断の目安 | 1サイト30万〜500万円（規模による） | 1IPアドレスあたり5万〜20万円 | 1OSあたり50万〜300万円 | 要見積もり | 要見積もり |
| 費用が変わる主な要因 | 画面数、ログイン・決済など機能の複雑さ | 診断対象のIPアドレス数 | 対応OS数、アプリの規模 | 対象アカウント・リソース数 | 解析するコードの規模 |
※複数の診断事業者が公開する料金をもとにした目安（2026年9月時点）。実際の料金は診断対象の規模・手法・オプションにより変動します。
規模別の目安として、Webアプリケーションの手動診断では、中小企業のコーポレートサイトで30万〜80万円、EC・会員制サイトで80万〜200万円、SaaS・金融系サービスで200万〜500万円程度が一つの目安とされています。自社の対象規模に近いレンジを、予算の当たりを付ける手がかりにしてください。
出典・参考資料（2件）
記事後半のサービス比較でも、各社が公開している具体的な料金を掲載しています。
無料ツール・社内診断で代替できるか
コストを抑えるために、無料の診断ツールや社内での自己診断を検討する企業もあります。実際、簡易な検査を無料・低コストで実施できる仕組みは存在します。たとえばIPAは、危険度の高い脆弱性など13の診断項目を示した「ウェブ健康診断仕様」を公開しています。
ただし、こうした簡易診断には限界があります。IPA自身も、ウェブ健康診断仕様は検査パターンを絞り込んだ診断であり、脆弱性が検出されなかったとしても安全宣言にはつながらないと明記しています。
前述のとおり、ツールによる自動診断だけでは複雑な弱点を見逃しやすく、専門家による手動診断との併用が欠かせません。無料ツールや社内診断は「日常的な一次チェック」として活用し、重要なシステムや公開前の確認は専門ベンダーの診断に委ねる、という使い分けが向いています。
出典・参考資料（1件）
- 出典：安全なウェブサイトの作り方（ウェブ健康診断仕様）｜IPA（リンク）
脆弱性診断の実施の流れと期間
専門ベンダーに脆弱性診断を依頼する場合、おおまかには次のようなステップで進みます。
- 問い合わせ・ヒアリング：診断したい対象（Webサイト・サーバー・アプリなど）や目的を伝えます
- 診断範囲の確定・見積もり：対象の画面数やIPアドレス数などをもとに範囲と費用を決めます
- 診断の実施：ツール診断・手動診断を実施します
- 報告書の納品：検出された脆弱性・危険度・改善策をまとめた報告書を受け取ります
- 改善・再診断：報告をもとに修正し、必要に応じて再診断で対策の効果を確認します
期間は診断対象の規模や手法によって異なり、小規模なツール診断なら数日程度、手動を含む診断では数週間かかることもあります。範囲の確定から報告書の受領までを含めて、あらかじめスケジュールに余裕を持たせておくとよいでしょう。診断後の改善までを見据え、報告書の内容や再診断への対応も依頼先を選ぶ段階で確認しておくと安心です。
脆弱性診断サービスの選び方
脆弱性診断サービスは数多くあり、何を基準に選べばよいか迷いがちです。特定のサービスに偏らず客観的に選ぶための観点として、次の3つが挙げられます。
国の基準（情報セキュリティサービス基準）に適合しているか
客観的な指標として使えるのが、経済産業省の「情報セキュリティサービス基準」への適合です。この基準は、技術要件と品質管理要件を満たすサービスを明らかにすることを目的として設けられています。
本基準は、情報セキュリティサービスに関する一定の技術要件及び品質管理要件を示し、品質の維持・向上に努めている情報セキュリティサービスを明らかにするための基準を設けることで、情報セキュリティサービス業の普及を促進し、国民が情報セキュリティサービスを安心して活用することができる環境を醸成することを目的とする。
経済産業省「情報セキュリティサービス基準」第4.1版（2025年）第1章 総則 目的出典
この基準に適合したサービスは、IPAが公開する「情報セキュリティサービス基準適合サービスリスト」で確認できます。診断を担当する技術者以外による検査報告書のレビュー体制など、報告書の品質にかかわる要件も審査対象に含まれるため、依頼先選びの出発点として役立ちます。
出典・参考資料（1件）
- 参考資料：情報セキュリティサービス基準適合サービスリスト｜IPA（リンク）
診断範囲と手法が自社の目的に合っているか
自社が診断したい対象（Webアプリ・サーバー・クラウド・スマホアプリなど）に、そのサービスが対応しているかをまず確認しましょう。あわせて、ツール診断だけか、専門家による手動診断まで含むかも重要です。仕様に起因する複雑な弱点まで洗い出したい場合は、手動診断を含むサービスが適しています。
報告書の質と診断後のサポートは十分か
脆弱性診断は、報告書を受け取って終わりではありません。検出された弱点を修正して初めてリスクが下がります。そのため、報告書が改善策まで踏み込んで書かれているか、修正後に効果を確かめる再診断に対応しているか、質問に応じてもらえるかといった、診断後のサポート体制も選定の分かれ目になります。継続的にセキュリティを維持したい場合は、定期的な診断に対応しているかも確認しておきましょう。
「見つけて終わりにしない」という観点は、診断を提供する側も課題として挙げています。診断ツールを開発・提供する事業者は、検出から修正までの間にあるハードルを次のように話します。
一括ダウンロードする
自社に合う脆弱性診断サービスの比較・選定
ここまでの内容を踏まえ、診断のアプローチが異なる代表的な脆弱性診断サービスを紹介します。ソースコードからクラウドまでを一括で診断できるツール型、AIと専門家を組み合わせたWeb・API診断、ネットワーク全体を対象とする診断など、得意領域はサービスごとに異なります。自社が診断したい対象と手法に合わせて比較してください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | セキュア・レントゲン | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|
| 提供会社 | 株式会社AndGo （開発元：Aikido Security BV） | CoWorker株式会社 | 株式会社クワッドマイナージャパン | 株式会社SYNCHRO |
| 提供形態 | ツール型SaaS（継続利用） | 専門家による診断（プラン制） | スポット型のネットワーク診断 | 診断を含む統合パッケージ （予防・復旧・補償） |
| 主な診断対象 | ソースコード・クラウド・実行環境 （SAST／DAST／SCA／CSPM等11種スキャナ） | ソースコード・Webアプリ・API （ペネトレーションテストまで3段階） | ネットワーク全体の通信（IT／OT環境） | 社内ネットワーク内部の機器 （サーバ・ネットワーク機器・複合機・PC等） |
| 診断手法 | ツール診断（自動スキャン・自動トリアージ） | AI自動解析＋専門家レビュー | フルパケットキャプチャ＋専門家分析 | ネットワーク内部からのリモート診断（月次） |
| 費用感 | 月額50,000円台〜 （Freeプランあり） | 150,000円〜1,500,000円 （プラン制） | 要問い合わせ （分析手法・トラフィック量・設置台数で変動） | 1台あたり月額1,250円〜 |
| 向くケース | 内製で開発するSaaS企業。開発段階から継続的に診断したい | リリース前などに専門家の診断を短納期で受けたい | 内部に潜む脅威までネットワーク全体を点検したい | 診断・バックアップ・保険をまとめて継続運用したい |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※費用は2026年9月時点の各社公開情報にもとづく。最新の料金・提供内容は各サービスの公式情報をご確認ください。
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・クラウド・実行環境までを横断して調べる複数のスキャン機能を、1つのプラットフォームに統合したオールインワンの脆弱性診断SaaSです。静的コード解析（SAST）、依存関係のスキャン、クラウド設定の監視（CSPM）、動的診断（DAST）など、これまで個別に導入していた機能を単一のダッシュボードにまとめられます。
検出したアラートの重要度を自動で判定して優先度を下げる仕組みにより、誤検知の多さで運用が回らなくなる問題を抑えられる点が特徴です。開発中のコードを修正するプルリクエストの自動生成やIDE連携にも対応し、開発の早い段階から弱点を作り込まない運用に向いています。日本では株式会社AndGoが正規代理店として、日本語での導入・運用支援や請求書払いに対応しています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
AIによる自動解析と専門家によるレビューを組み合わせたハイブリッド型なのが、CoWorker 脆弱性診断サービスです。ソースコードのAI診断、稼働中のWebアプリケーション・APIを対象とした動的診断、攻撃を想定したペネトレーションテストの3段階に対応します。
自社開発のAIで自動解析を行ったうえで、社内のセキュリティ専門家が最終確認とレポート作成を担う二段構えの体制を採っています。料金はソースコードのAI診断単体から、動的診断やペネトレーションテストまで含む上位プランまで、目的と予算に応じて選べるプラン制です。短納期での報告書納品を掲げている点も、スピードを重視する場合の選択肢になります。
3. セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンが調べるのは、Webアプリケーション単体ではなくネットワーク全体を流れる通信です。NDR（ネットワーク上の通信を監視・分析する仕組み）製品のフルパケットキャプチャ技術を活用し、外部からの脅威だけでなく、すでに内部へ侵入・潜伏している脅威や弱点まで洗い出すネットワークリスク診断サービスです。
IPアドレスを持つ端末を網羅的に監視でき、IT環境に加えて工場などのOT環境にも対応します。スイッチのミラーポートに接続する方式のため、診断中に業務ネットワークへ影響を与えにくい点も特徴です。料金は分析手法やトラフィック量、設置台数によって変動するスポット型で、詳細は問い合わせのうえ見積もりを取る形になります。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMI サイバーセキュリティ対策パッケージは、脆弱性診断を単体で提供するサービスではなく、予防・復旧・補償を1つにまとめた統合パッケージ型のソリューションです。脆弱性診断にあたるのは「予防」の部分で、ネットワークの内側から月次（年12回）で弱点を検出し、A〜Eの5段階評価と改善策のレポートを提示します。
これに、ランサムウェア対策として隔離されたバックアップから復旧できる仕組みと、サイバー保険を自動付帯する仕組みを組み合わせている点が、診断専業のサービスとの違いです。外部からのスキャンでは捉えにくい、社内ネットワーク起点の脅威まで含めて定期的に点検したい企業に向いています。料金はデバイス単位の月額課金で提供されます。
社内ネットワークの内側を診断すると、身近な機器に思わぬ弱点が見つかることがあります。オフィスにある複合機やコピー機は、その代表例として提供会社の担当者が次のように指摘しています。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
ここで取り上げたのは代表的な4サービスです。診断対象・手法・費用でより多くの脆弱性診断サービスを横断比較し、選び方まで詳しく確認したい方は、以下の比較記事もあわせてご覧ください。
まとめ
脆弱性診断とは、システムやアプリに潜む「攻撃に悪用されうる弱点」を洗い出し、危険度と改善策を報告してくれる検査です。診断だけでリスクが消えるわけではなく、見つかった弱点を修正する対策とセットで実施して初めて効果を発揮します。
自社に必要な診断を見極めるには、まず「何を診断したいか（Webアプリ・サーバー・クラウド・スマホアプリなど）」を決め、次にツール診断・手動診断の使い分けや、ペネトレーションテストとの違いを押さえるのが近道です。
費用は対象の規模と手法で幅があるため、複数のサービスを比較して見積もりを取り、報告書の質や診断後のサポートまで含めて選ぶとよいでしょう。まずは気になるサービスの資料を取り寄せ、自社の対象・予算に合う依頼先を検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断とは何ですか？
A. 脆弱性診断とは、システムやアプリに潜む「攻撃に悪用されうる弱点」を専門家やツールが洗い出し、どこにどれだけ危険があるかを報告書にまとめて示す検査です。診断は弱点を「特定する」ものであり、それ自体が弱点を「塞ぐ」わけではないため、報告をもとにした修正（パッチ適用や設定変更）とセットで実施して初めて効果を発揮します。
出典・参考資料（1件）
- 出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）
Q. 脆弱性診断の費用はどのくらいかかりますか？
A. 脆弱性診断の費用は、診断対象の規模と手法によって幅があり、月額数万円台から使えるツール型と、専門家による手動診断で十数万円〜百万円台までが目安です。費用は診断対象の量（Webアプリの画面数・リクエスト数、対象のIPアドレス数など）に応じて工数が変わるため変動し、「一律いくら」とは言えません。
同じWebアプリ診断でも、対象が数ページか数十ページかで費用は大きく変わるため、診断したい範囲を伝えて見積もりを取るのが確実です。
Q. 脆弱性診断にかかる期間・納期はどのくらいですか？
A. 脆弱性診断の期間は、小規模なツール診断なら数日程度、専門家による手動診断を含む場合は数週間かかることもあります。対象の規模や手法によって変わるため、問い合わせから範囲の確定・診断・報告書の受領までを見込んで、スケジュールに余裕を持たせておくと安心です。診断後の修正や再診断まで見据えると、さらに時間を要する点も踏まえて計画するとよいでしょう。
Q. 脆弱性診断はどのくらいの頻度で受けるべきですか？
A. 脆弱性診断の頻度に一律の決まりはありませんが、システムの公開・大きな改修のタイミングと、その後も定期的に受けるのが基本です。弱点は新しいプログラムの追加や設定変更によって新たに生まれるため、一度きりの診断では時間の経過とともにリスクが把握できなくなります。
継続的に確認したい場合は、繰り返し診断しやすいツール型のサービスを日常的なチェックに併用し、重要なシステムは節目ごとに手動診断を受ける、という使い分けが現実的です。
Q. 脆弱性診断は自社（社内）だけで実施できますか？
A. 脆弱性診断は、無料ツールや簡易な仕組みを使えば社内での一次的なチェックは可能ですが、重要なシステムや公開前の確認は専門ベンダーに委ねるのが現実的です。IPAが公開する「ウェブ健康診断仕様」のような簡易診断は検査パターンを絞り込んだもので、脆弱性が検出されなくても安全宣言にはつながらないとされています。
ツールによる自動診断だけでは仕様や業務ロジックに起因する複雑な弱点を見逃しやすいため、社内診断は日常的な一次チェックに、重要箇所は専門家の手動診断に、と役割を分けるのが向いています。
出典・参考資料（1件）
- 出典：安全なウェブサイトの作り方（ウェブ健康診断仕様）｜IPA（リンク）
Q. 脆弱性診断とペネトレーションテストは、どちらを受ければよいですか？
A. まず自社の弱点を全体的に把握したい段階では脆弱性診断、想定される攻撃シナリオに耐えられるかを深く検証したい段階ではペネトレーションテストが適しています。脆弱性診断が弱点を網羅的に洗い出すのに対し、ペネトレーションテストは攻撃者と同じ手法で実際に侵入や情報の窃取などの目的を達成できるかを試すもので、目的も進め方も異なります。
初めて診断を受ける場合は、まず脆弱性診断で全体像を押さえてから、必要に応じてペネトレーションテストを検討するのが一般的な進め方です。
Q. 脆弱性診断は報告書を受け取って終わりですか？
A. 脆弱性診断は、報告書を受け取って終わりではなく、検出された弱点を修正して初めてリスクが下がります。そのため依頼先を選ぶ際は、報告書が改善策まで踏み込んで書かれているか、修正後に効果を確かめる再診断に対応しているか、内容について質問に応じてもらえるかといった、診断後のサポート体制もあわせて確認しておくと安心です。
継続的にセキュリティを維持したい場合は、定期的な診断に対応しているかも選定の分かれ目になります。
Q. 診断中に自社のサービスを止める必要はありますか？
A. 診断のやり方によって異なりますが、多くの場合はサービスを止めずに実施できます。ただし、負荷のかかる診断や、本番環境での誤操作リスクを避けたい場合は、検証環境での実施やアクセスの少ない時間帯での診断を相談できることもあります。診断範囲を決める段階で、業務への影響と実施方法をあわせて確認しておくとよいでしょう。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・セキュリティ診断サービスの最新資料を無料で一括請求できます。診断対象や手法、費用感を横断で比較し、自社に合う依頼先を効率的に見つけられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
