自社で開発・運用しているシステムのソースコードに、攻撃につながる脆弱性が残っていないか気になっていませんか。開発の初期段階でコードを検査するSAST（静的アプリケーションセキュリティテスト）は、リリース後に脆弱性が見つかって大きな手戻りが発生する前に、問題を早く安く潰すための手段として広がっています。
一方で「SASTツール」と検索しても、具体的にどの製品があるのか、商用とオープンソース（OSS）で何が違うのか、自社にはどれが合うのかを、商用・OSSを横断して見比べるのは簡単ではありません。
本記事では、商用・OSSの主要なSASTツールを横断的に比較し、対応言語・提供形態・費用の目安・選び方を整理します。あわせて、SASTとDAST・SCA・IASTの違いや、ツール導入ではなく専門家に依頼する国内のソースコード診断サービスという選択肢まで解説します。開発・セキュリティ担当者が、自社に合う進め方を判断するための材料としてご活用ください。
目次
一括ダウンロードする
主要SASTツールの比較一覧（商用・OSS横断）
まず、代表的なSASTツールを一覧で見比べられるように整理します。対応言語・提供形態（OSSか商用か、クラウドのSaaSかセルフホストか）・費用の目安・CI/CDやIDEとの連携・特徴を横断的にまとめました。具体的な製品名から自社の候補を絞り込む起点としてご覧ください。
| ツール名 | SonarQube | Semgrep | Snyk Code | Checkmarx One | Veracode | OpenText Fortify | GitHub CodeQL | Black Duck Coverity |
|---|---|---|---|---|---|---|---|---|
| 提供形態 | OSS＋商用 SaaS・セルフホスト・IDE | OSS＋商用 SaaS | 商用 SaaS（Local Engine構成も選択可） | 商用 SaaS（セルフホスト版は別製品CxSAST） | 商用 SaaS（クラウド） | 商用 SaaS・セルフホスト | OSSは無料＋商用 GitHubに統合（CLIあり） | 商用 セルフホスト・SaaS（Polaris fAST Static） |
| 主な対応言語 | Java・C#・JS・TS・Python・PHP・Go・Kotlin ほか（エディション別に22〜48言語） | Java・JS・TS・Python・Go・C#・Kotlin・C/C++ ほか（計39言語） | Java/Kotlin・JS・TS・.NET・Python・Go・PHP・Ruby・C/C++ ほか（16区分） | Java・JS・TS・Python・C#・C/C++・Go・COBOL・PL/SQL ほか | 100以上の言語・フレームワーク（公式訴求） | 44言語以上・350以上のフレームワーク（公式表記。COBOL・ABAP・Apex 等を含む） | C/C++・C#・Go・Java・Kotlin・JS・TS・Python・Ruby・Rust・Swift（12区分） | C/C++・C#・Java・JS/TS・Python・Go・Kotlin・Swift ほか（22言語） |
| 費用の目安 | 無料枠あり Cloud Team 月額34米ドル〜 | 無料枠あり Teams 月額30米ドル/人〜 | 無料枠あり Team 月額25米ドル〜 | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 無料枠あり（public・OSS） private版は月額30米ドル/コミッター | 要お問い合わせ （OSS向けは無料のCoverity Scan） |
| CI/CD | ● | ● | ● | ● | ● | ● | ● | ● |
| IDE連携 | ● | ● | ● | ● | ● | ● | △VS Code拡張（クエリ作成） | ● |
| 特徴 | コード品質とセキュリティを同一基盤で解析。無料のCommunity版からSaaS・セルフホストまで提供形態がそろう | YAMLで自社独自の検査ルールを書ける。スキャンが高速で開発チーム主導で導入しやすい | 開発者向けに設計されたAIベースのSAST。IDE・PR上での検査とワンクリック修正提案（Agent Fix） | エンタープライズ向け統合基盤でSASTは全プランに含む。SOC 2・ISO 27001などの認証を備える | ソース・バイナリ・併用のスキャンに対応。金融・公共など規制の厳しい領域での実績を訴求 | 老舗のSAST。対応言語の幅広さと大規模・規制対応が特徴。AI修正支援（Remediation Aviator）を備える | 独自クエリ言語でコードを検索して脆弱性を発見。GitHub ActionsやCopilot AutofixなどGitHub中心の開発と相性が良い | C/C++解析の深さとMISRA・ISO 26262など機能安全規格への対応。組込み・大規模開発で実績 |
| 詳細情報 | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
ここからは、各ツールがどのような位置づけの製品かを簡潔に補足します。詳しい料金や対応言語の最新情報は、導入検討時に各公式サイトでご確認ください。
SonarQube（Sonar）は、無料で使えるCommunity版から、クラウド版（SonarQube Cloud）、自社サーバーで動かすServer版まで提供形態がそろうツールです。コード品質とセキュリティの両面を解析する点が特徴で、まずは無料で試してから有償版を検討しやすい構成になっています。
Semgrepは、OSSのエンジン（Semgrep CE）とSaaS版を持ち、YAML形式で自社独自の検査ルールを書けるのが強みです。スキャンが高速で、無料枠（コントリビューター最大10名まで）から始められるため、開発チーム主導で導入しやすいツールといえます。
Snyk Codeは、開発者が使うことを前提に設計されたSASTで、AIベースの解析エンジンを採用しています。IDEやプルリクエスト上での検査、ワンクリックの修正提案（Agent Fix）など、開発の流れに組み込む機能が充実しており、無料のFreeプランも用意されています。
Checkmarx Oneは、Checkmarxが提供するエンタープライズ向けのアプリケーションセキュリティ基盤で、SASTはそのモジュールとして全プランに含まれます。幅広い言語に対応し、SOC 2 Type IIやISO/IEC 27001などの認証も備えます。料金は開発者数やアプリ数に応じた個別見積り（要お問い合わせ）です。
Veracodeは、クラウド上でソースコードやビルド成果物をアップロードして解析する方式が中心で、ポリシースキャンとパイプラインスキャンを使い分けられます。金融・公共など規制の厳しい領域での実績が訴求されており、料金は要お問い合わせです。
OpenText Fortify（旧Micro Focus Fortify）は、長年提供されているSASTで、クラウド版（Fortify on Demand）とオンプレミス版を選べます。対応言語の幅広さと大規模・規制対応が特徴で、料金は要お問い合わせです。
GitHub CodeQLは、GitHubのCode Security（旧GitHub Advanced Securityの一部）として提供されるSASTエンジンです。独自のクエリ言語でコードを検索して脆弱性を見つけ、公開リポジトリでは無料で利用できます。
GitHub Actionsやプルリクエストへの統合、Copilot Autofixによる修正提案など、GitHub中心の開発と相性が良いのが強みです。
Black Duck Coverity（旧Synopsys）は、MISRAやISO 26262などの機能安全・コーディング規約への対応が広く、組込み・大規模開発での導入実績があるツールです。OSS向けには無料のCoverity Scanも提供されています。商用の料金は要お問い合わせです。
ここで挙げた製品は海外発のツールが中心です。国内で日本語の導入支援を受けながらSaaS型のツールを使いたい場合は、後半で紹介するAikido Securityも選択肢になります。
各SASTツールの費用の目安（無料枠・商用の価格帯）
ここでは、SASTツールの費用感を無料枠と商用プランに分けて整理します。SASTツールは「まず無料で試せるもの」と「規模に応じた個別見積りが基本のもの」に大きく分かれます。
無料で始められるものとしては、SonarQubeのCommunity版（OSS）、SemgrepのCE版、Snyk CodeのFreeプラン、公開リポジトリで無料のGitHub CodeQL、OSS向けのCoverity Scanなどがあります。小規模なプロジェクトや試用から入り、必要に応じて有償版へ移行する進め方が取りやすい構成です。
SaaSの小規模向け有償プランは月額課金が中心ですが、課金の単位はプランによって異なります。2026年10月時点の公式料金では、Snyk CodeのTeamプランが月額25米ドルから（最大10開発者）、SonarQube CloudのTeamが月額34米ドルから（10万行まで）です。
SemgrepのTeamsは1コントリビューターあたり月額30米ドル、GitHub CodeQL（Code Security）はプライベートリポジトリでアクティブコミッター1人あたり月額30米ドルと、利用者単位の課金です。いずれも米ドル建てで、公式サイトに円建ての表記は確認できませんでした。
出典・参考資料（4件）
- 参考資料：Plans and Pricing｜Snyk
- 参考資料：Pricing｜Semgrep
- 参考資料：Plans and Pricing｜Sonar
- 参考資料：Plans｜GitHub Advanced Security
エンタープライズ向けの商用製品であるCheckmarx One・Veracode・OpenText Fortify・Black Duck Coverityは、いずれも公式サイトに価格を掲載しておらず、開発者数・アプリ数・利用規模に応じた個別見積り（要お問い合わせ）です。これらは海外ベンダーのため、国内では代理店経由で導入・サポートを受ける形になることもあります。
SASTツールの選び方（自社に合う条件の対応づけ）
ここからは、数あるSASTツールから自社に合うものを選ぶ観点を解説します。OWASP（Webアプリケーションセキュリティの国際的な非営利団体）もSASTツールの選定基準として、対応言語・OWASP Top 10への対応・誤検知率・IDEプラグインの有無・CI/CDへの組み込み・ライセンス費用などを挙げています。
これらの観点を「自社の技術環境に合うか」「自社の運用・体制・規制に合うか」の2段階で絞り込むと判断しやすくなります。
出典・参考資料（1件）
自社の技術環境に合うか
最初に確認したいのは、ツールが自社の開発環境で問題なく動くかという土台の条件です。
対応言語は最優先の前提条件です。自社が使うプログラミング言語やフレームワークに対応していなければ、ほかの機能がどれほど優れていても検査できません。複数言語を併用している場合は、主要言語を一通りカバーできるかを確認することが重要です。
CI/CD・IDEとの連携は、検査を開発の流れに組み込めるかを左右します。GitHub ActionsやGitLab CIなど自社のパイプラインに組み込めれば、コードをプッシュするたびに自動で検査でき、プルリクエスト上で結果を確認できます。
IDE（開発者の作業画面）に対応していれば、コードを書いているその場で問題に気づけるため、修正の手戻りをさらに減らせます。開発の早い段階でセキュリティを作り込む「シフトレフト」を実践したい場合は、この連携範囲が重要な分かれ目になります。
提供形態（SaaSかセルフホストか）も、自社の方針で分かれます。手軽に始めたい場合はSaaS型が、ソースコードを社外に出せない事情がある場合はセルフホスト型やオンプレミス型が候補になります。
自社の運用・体制・規制に合うか
技術的に使えることを確認したら、次は運用して効果を出せるか、体制や予算に合うかを見ます。
誤検知の少なさは、継続して使えるかを左右します。誤検知が多いと、開発者が警告を確認する手間に疲れて結局使われなくなります。ただし誤検知率は測定方法がベンダーによって異なり、同じ基準で横並びに比較することはできません。各社が公表する数値も算出条件が示されていないことが多いため、無料枠やトライアルで自社の実際のコードを検査し、警告の量と精度を体感して選ぶのが確実です。
開発規模・体制に見合うかも確認しておきましょう。小規模なチームであれば無料枠やSaaSの小規模プランで十分なことが多く、多数の開発者・アプリを抱える組織では、集中管理やレポート機能を備えた商用プラットフォームが候補になります。料金が開発者数やコード行数に応じて変わるため、自社の規模での費用を見積もっておくと判断しやすくなります。
規制要件がある場合は、OWASP Top 10やCWE（ソフトウェアの弱点を分類した共通基準）への対応、各種認証の有無を確認しましょう。金融・公共など外部報告が求められる領域では、検出結果をこれらの基準に対応づけてレポートできるかが実務上の要件になります。
自社に合うSASTツールの候補が絞れてきたら、MCB FinTechカタログで関連するセキュリティ診断サービスの資料をまとめて請求し、機能や費用をより詳しく比較できます。
一括ダウンロードする
SASTとは？静的解析の仕組みをわかりやすく解説
ここからは、ツールを選ぶ前提として、そもそもSASTとは何かを押さえておきます。SAST（Static Application Security Testing／静的アプリケーションセキュリティテスト）は、OWASPによれば、ソースコードやコンパイル後のコードを解析して、セキュリティ上の欠陥を見つけるためのツールです。
米国国立標準技術研究所（NIST）も、ソースコードを検査して脆弱性につながる弱点を検出・報告するものと定義しています。
「静的（Static）」とは、プログラムを実行せずにコードそのものを調べるという意味です。アプリを動かさなくても検査できるため、コードを書いている開発の初期段階から問題を見つけられます。
OWASPも、SASTツールはIDEに組み込むことができ、開発の途中で問題を検出でき、開発サイクルの後半で脆弱性を見つけるよりも時間と労力を節約できると説明しています。脆弱性は発見が遅れるほど修正コストが膨らむため、早い段階でコードを検査するSASTは、手戻りを抑える手段として位置づけられています。
出典・参考資料（2件）
SAST・DAST・SCA・IASTの違い（比較表で整理）
アプリケーションのセキュリティテストには、SASTのほかにDAST・SCA・IASTがあり、それぞれ検査する対象と実施するタイミングが異なります。OWASPの定義をもとに、違いを整理したのが次の表です。
| 手法 | SAST（静的） | DAST（動的） | SCA（構成分析） | IAST（対話型） |
|---|---|---|---|---|
| 検査する対象 | ソースコード・コンパイル後のコード | 実行中のアプリ（外側から） | 利用している外部・OSSの部品（依存ライブラリ） | 実行中のアプリ内部（センサーで監視） |
| 実施フェーズ | 開発初期（実行しない） | テスト〜運用（実行時） | 開発〜運用 | テスト実行時 |
| ソースコードの要否 | 必要 | 不要 | 部品情報が必要 | 必要（センサーを組み込む） |
| 主に見つかるもの | SQLインジェクション、バッファオーバーフローなどコード上の弱点 | 認証・設定の不備など実行時に現れる問題 | 既知の脆弱性を持つライブラリの利用 | 実行中に観測される脆弱性 |
SASTが「コードを実行せずに内側から」調べるのに対し、DASTは「外側から実行中のアプリを」調べるブラックボックス型の検査です。OWASPは、SASTは非実行環境で開発サイクルの初期にソースコードを検査する一方、実行時の視点を持たないため誤検知が多くなりがちだと整理しています。
SCAは自作コードではなく利用している外部・OSS部品のリスクを対象とし、IASTはアプリ内にセンサー（ライブラリ）を組み込んで実行中の挙動を監視します。
これらは競合するものではなく、補い合う関係です。コードの弱点はSAST、依存ライブラリの既知脆弱性はSCA、実行時の問題はDASTやIAST、と役割が分かれるため、自社のリスクに応じて組み合わせるのが基本的な考え方です。
出典・参考資料（3件）
SASTツール導入のメリット・デメリットと誤検知への対処
ここでは、SASTツールを導入する利点と、運用で直面しやすい課題を整理します。両面を理解しておくと、導入後のギャップを減らせます。
SASTツール導入のメリット
最大の利点は、開発の早い段階で脆弱性を見つけ、修正コストを抑えられることです。OWASPも、SASTは多くのソフトウェアに対して繰り返し自動実行でき、ナイトリービルドやCI（継続的インテグレーション）に組み込めると整理しています。コードをプッシュするたびに自動で検査が走る仕組みにすれば、人手に頼らず継続的に品質を保てます。
検出結果が具体的である点も開発者にとって助けになります。OWASPによれば、SASTツールは問題のあるコードをファイル名・場所・行番号、さらには該当するコード断片まで示すため、どこを直せばよいかがすぐ分かります。SQLインジェクションやバッファオーバーフローといった定番の脆弱性を機械的に検出できるのも強みです。
デメリット・課題と誤検知への対処
一方で、SASTには苦手な領域があります。OWASPは、現在のSASTツールには限界があり、誤検知（実際には問題でないものを警告すること）が多いと指摘しています。検出された問題が本当に悪用可能な脆弱性かを証明するのは難しく、コードに現れない設定の不備は見つけにくいという課題もあります。
誤検知への対処としては、前述のとおり導入前にトライアルで自社コードを検査して警告の傾向をつかむこと、検出ルールを自社に合わせて調整すること、そして警告の優先順位づけ（トリアージ）を運用に組み込むことが有効です。AIを使った修正提案やトリアージ支援を備えるツールも増えており、こうした機能が開発者の負担を軽くします。
さらにOWASPは、認証やアクセス制御の不備、暗号の不適切な利用といった脆弱性は、SASTでは自動検出が難しいと整理しています。つまりSASTツールだけですべての脆弱性を網羅できるわけではなく、ほかの手法や人の目による検査と組み合わせる前提で考える必要があります。この点は、後述する専門家による手動のソースコード診断を検討する理由にもつながります。
出典・参考資料（1件）
無料・OSSで試せるSASTツール
「まず無料で試したい」という場合は、オープンソースや無料プランのあるSASTツールから始められます。本格導入の前に、自社のコードでどの程度の警告が出るか、開発フローに組み込めるかを確かめる用途に向いています。
前半の比較表と費用の目安で触れたとおり、SonarQube・Semgrep・Snyk Code・GitHub CodeQL・Coverity Scan などは無料枠やOSS版から始められます。ここでは、それらに加えて言語に特化したOSSのSASTツールを紹介します。
このほか、言語に特化したOSSのSASTツールも多数あります。たとえばPython向けのBandit、Ruby on Rails向けのBrakeman、Java向けのSpotBugs（FindSecBugsプラグイン）などが知られています。これらは特定言語に絞って手軽に導入できる一方、商用ツールのような集中管理やサポートは備えないため、小規模な検証や特定言語のプロジェクトから使うのが現実的です。
無料ツールはコストをかけずに始められる反面、導入・運用・誤検知の調整を自社で担う必要があります。開発リソースや運用体制と相談しながら、無料ツールで足りるのか、サポートのある商用ツールが必要なのかを見極めるとよいでしょう。
ツール導入か、専門家による手動のソースコード診断か
ここまで見てきたとおり、SASTツールは便利な一方で、認証やアクセス制御の不備、設定の問題など自動検出が苦手な領域があり、誤検知も避けられません。自社に専門人材が少ない場合や、金融・決済など高いセキュリティが求められるシステム、リリース前にしっかり監査したい場面では、ツール導入だけでなく、専門家にソースコード診断を依頼するという選択肢も検討に値します。
ソースコード診断そのものの費用相場や、依頼先をタイプ別にどう選ぶかを詳しく知りたい方に向けては、別の記事で整理しています。手動診断を本格的に検討する際の判断材料としてご覧ください。
ソースコード診断とは？費用相場と依頼先の選び方をタイプ別に整理
自社のWebアプリやスマホアプリを提供する立場で、上司や取引先から「ソースコード診断もやっておくべきだ」と要請を受けたり、既に実施している脆弱性診断（動的診断）だけで十分か不安を感じたりする場面が増えています。 一方で「ソースコード診断」と…
ツールと手動診断がどこで役割を分けるのかについて、セキュリティ診断サービス「Hi AUDIT」を提供する株式会社TECHFUNDの生田氏は、次のように話します。
ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。
手動のソースコード診断は、診断員がツールの検出結果を精査し、ツールだけでは見つけにくい脆弱性や設計上の問題まで確認します。ツールの「自動で素早く・繰り返し」という強みと、専門家の「深く・文脈を踏まえて」という強みは補い合う関係です。ここでは、国内で日本語で相談できるソースコード診断サービスを紹介します。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | SHIFT SECURITY ソースコード診断 | セキュアブレイン ソースコード診断 | レオンテクノロジー ソースコード診断 | KSK Verification ソースコード診断 |
|---|---|---|---|---|---|---|
| 提供形態 | SaaS型 | 依頼型診断 | 依頼型診断 | 依頼型診断 | 依頼型診断 | 依頼型診断 |
| 診断方法 | ツールによる自動検査（SAST・SCA・DAST ほか） | AI（Red Agent）の自動診断＋専門家による確認 | 静的解析 （上位プランで目視解析を追加） | 静的解析＋専門家によるノイズ除去 | 診断ツール＋診断士の目視確認（ホワイトボックス型） | 診断員による目視診断（静的診断） |
| 主な対応言語 | 公式に記載なし | 公式に記載なし | PHP・Java ほか （プランにより22〜28言語） | 約20言語（Java・C#・Python・PHP・JS・Ruby・Go・Swift ほか） | Java・C/C++・PHP・Ruby ほか（公式例示） | Java・PHP ほか（Spring・Laravel 等のフレームワークに対応） |
| 費用 | 無料プランあり 月額5万円台〜（AndGo経由） | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ |
| 特徴 | コードからクラウドまでを1つで検査するオールインワンSaaS。IDE・CI/CDと連携し開発の流れに組み込める | 自社AIが自動診断し専門家が精査する二段構成。ソースコード診断から動的診断まで段階的に選べる | 規模・用途に応じ4プランから選べる。品質保証大手SHIFTの体制を背景に網羅性を重視 | 日立システムズがセキュアブレインブランドで提供。ITインフラ・Web診断と合わせた診断体系の一部。重大な脆弱性は速報通知 | 重大な脆弱性は診断中に速報通知、報告書は完了後おおむね5営業日以内。報告会はオプション | 脆弱性に加え内部構造の欠陥やコード品質（非推奨API・未使用関数）まで確認。速報・報告会のオプションあり |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. Aikido Security（株式会社AndGo）
Aikido Securityは、コードからクラウドまでを1つで診断できるオールインワンの脆弱性診断SaaSです。静的解析（SAST）に加え、動的診断（DAST）、依存関係のスキャン（SCA）、シークレット（認証情報）の検出などを備え、SASTツールと手動診断の中間を埋める存在として国内でも導入しやすいのが特徴です。
IDEやCI/CDと連携し、コードを書いている段階から問題を検出できるため、開発の流れに自然に組み込めます。複数の検査を1つのサービスでまとめたい開発チームに向いています。
SaaS型では、検査時に自社のソースコードがどう扱われるのかが気になる点です。日本市場での提供元である株式会社AndGoの原氏は、スキャン時のコードの扱いについて次のように説明しています。
Aikido Securityは、コードスキャンの都度コンテナを起動し、お客さまのコードリポジトリを安全な仮想環境（コンテナ）に複製して検査し、検査後にその環境ごと削除する設計です。そのため、コード自体をAikido側が保持し続ける前提ではありません。また、よりコンプライアンスの厳しいお客様においては、お客様環境でスキャンを行う方式を選択いただくこともできます。この場合、コードのコピーは発生せず、スキャン自体を社内環境で完結させられます。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発のAIセキュリティ製品「Red Agent」が診断を自動で実行し、その結果をセキュリティ専門家が確認する仕組みのサービスです。AIによる自動診断のスピードと、専門家による精査の確かさを両立させている点が特徴です。
ツールの自動診断だけでは不安だが、すべてを人手に委ねるほどの予算は確保しにくい、という企業にとって検討しやすい選択肢です。費用は診断内容に応じた個別見積りとなります（要お問い合わせ）。
3. SHIFT SECURITY ソースコード診断（株式会社SHIFT）
ソフトウェアテスト大手のSHIFTが提供するソースコード診断で、静的解析によって脆弱性を検出し、対策を提案します（提供元のSHIFT SECURITYは2026年9月にSHIFTへ統合されました）。プランに応じて幅広い開発言語・フレームワークを対象とし、対応言語や解析の深さに応じた複数のプランから選べます。
品質保証の事業で培った体制を背景に、網羅性を重視した診断を求める企業に向いています。料金は診断対象の規模に応じた個別見積り（要お問い合わせ）です。
4. セキュアブレイン ソースコード診断（株式会社日立システムズ）
日立システムズがセキュアブレインブランドで提供するソースコード診断で、ソースコードの静的解析によって脆弱性を検出します。ITインフラ診断・Webアプリケーション診断とあわせた診断体系の一部として提供されており、システム全体を複数の角度から見てもらいたい場合に相談しやすいサービスです。
重大な脆弱性は診断終了後5日以内に速報で通知されるなど、報告の運用も整えられています。費用は診断範囲やステップ数をもとにした見積りで、公式には公開されていません（要お問い合わせ）。
5. レオンテクノロジー ソースコード診断（株式会社レオンテクノロジー）
レオンテクノロジーのソースコード診断は、対象システムのソースコード一式を用いるホワイトボックス型の診断です。診断ツールによる検査に加え、診断士が目視で確認する体制を取っており、ツールだけでは見落としやすい問題まで踏み込んで確認します。
重大な脆弱性は診断中に速報で通知され、診断報告書は完了後おおむね5営業日以内に提出されます。報告会はオプションです。料金は対象のステップ数（行数）に応じた個別見積り（要お問い合わせ）です。
6. KSK Verification ソースコード診断（株式会社KSK）
KSK Verification ソースコード診断は、ソフトウェアテストソリューション「KSK Verification」のセキュリティ対応として提供される、診断員による目視診断が中心のサービスです。脆弱性だけでなく、内部構造の欠陥やコード品質（非推奨APIや未使用関数など）まで確認対象に含めている点が特徴です。
診断内容の検討から見積り・契約、診断実施、報告までの流れが整理されており、速報や報告会のオプションも用意されています。料金は診断対象の実ステップ数や言語に応じた個別見積り（要お問い合わせ）です。
まとめ
SASTツールは、商用・OSSともに選択肢が豊富で、まず無料で試せるものから、規模に応じて個別見積りとなるエンタープライズ製品まで幅があります。選ぶ際は、対応言語やCI/CD・IDE連携といった自社の技術環境に合うかを確認したうえで、誤検知の少なさや開発規模・規制要件に合うかを見ていくと絞り込みやすくなります。
気になるツールが絞れたら、無料枠やトライアルで自社の実際のコードを検査し、警告の量と精度を体感してから導入を判断するのが確実です。SASTだけでは自動検出が難しい領域もあるため、重要なシステムでは専門家による手動のソースコード診断も並行して検討するとよいでしょう。自社に合うセキュリティ診断サービスを比較したい場合は、MCB FinTechカタログで資料をまとめて請求できます。
脆弱性診断にはソースコード診断のほかにも、Webアプリケーション診断やプラットフォーム診断などさまざまな手法があります。ツールにとどまらず診断サービス全体を見比べて自社に合う依頼先を選びたい方は、診断方法・費用相場・選び方をまとめた以下の比較記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
一括ダウンロードする
よくある質問（FAQ）
Q. SASTとは何ですか？
A. SAST（静的アプリケーションセキュリティテスト）は、プログラムを実行せずにソースコードを解析し、セキュリティ上の欠陥を見つける検査手法です。
アプリを動かさずに検査できるため、コードを書いている開発の初期段階から脆弱性を見つけられ、リリース後に発覚した場合の手戻りや修正コストを抑えられます。SonarQube・Semgrep・Snyk Codeなど、この手法を実装した製品が「SASTツール」と呼ばれます。
Q. SASTツールではどのような脆弱性を検出できますか？
A. SASTツールは、SQLインジェクションやバッファオーバーフローなど、ソースコードの書き方に起因する脆弱性の検出を得意とします。一方で、認証・アクセス制御の不備や設定の問題、実行時に初めて現れる脆弱性は自動検出が苦手です。
検出された問題はファイル名・行番号・該当コードまで具体的に示されるため、どこを直せばよいかがすぐ分かります。ただし苦手な領域は、DASTやSCAといった他の手法、あるいは専門家による手動のソースコード診断で補うのが基本的な考え方です。
Q. 無料で使えるSASTツールはありますか？
A. あります。SonarQubeのCommunity版、SemgrepのCE版、Snyk CodeのFreeプラン、公開リポジトリで使えるGitHub CodeQL、OSS向けのCoverity Scanなどが無料で利用できます。
このほか、Python向けのBandit、Ruby on Rails向けのBrakeman、Java向けのSpotBugs（FindSecBugsプラグイン）など、言語に特化したOSSのSASTツールもあります。ただし無料ツールは誤検知の調整や運用を自社で担う必要があるため、まず自社コードで試す用途に向いています。
Q. GitHubで使うのに最適なSASTツールはどれですか？
A. GitHub中心で開発しているなら、GitHubに組み込まれているCode Security（SASTエンジンはCodeQL）が最も相性のよい選択肢です。
GitHub Actionsやプルリクエストにネイティブに統合でき、Copilot Autofixによる修正提案も使えます。公開リポジトリであれば無料で利用できます。ただしSemgrepやSnyk CodeもGitHub連携に対応しているため、CodeQL一択ではなく、対応言語や誤検知の傾向を自社コードで試して選ぶのが確実です。
Q. 誤検知が最も少ないSASTツールはどれですか？
A. 「どのツールが最も誤検知が少ないか」を横並びで断定することはできません。
誤検知率の測定方法はベンダーによって異なり、各社が公表する数値も算出条件が示されていないことが多いため、同じ基準で比べられないためです。誤検知の量と精度は、無料枠やトライアルで自社の実際のコードを検査し、警告の傾向を体感して確かめるのが確実です。あわせて、検出ルールの調整や警告の優先順位づけ（トリアージ）を運用に組み込むと、誤検知による負担を抑えられます。
Q. SASTとSCAの違いは何ですか？
A. SASTは自社で書いたソースコードの弱点を検査するのに対し、SCA（ソフトウェア構成分析）は利用している外部・OSSライブラリに含まれる既知の脆弱性を検査します。
検査する対象が「自作のコード」か「外部から取り込んだ部品」かが根本的な違いです。両者は競合せず補い合う関係のため、自作コードはSAST、依存ライブラリはSCAと役割を分けて併用するのが基本です。両方を1つのサービスでまとめて行える製品もあります。
Q. Snyk CodeやCheckmarxの代替となるSASTツールはありますか？
A. あります。開発者向けの手軽さを重視するならSemgrep・SonarQube・GitHub CodeQL、エンタープライズ向けの網羅性や規制対応を重視するならVeracode・OpenText Fortify・Black Duck Coverityなどが代替の候補になります。
代替を選ぶときは、無料で始めたいか、CI/CD・IDE連携を重視するか、規制要件や国内での日本語サポートが必要かといった自社の重視点を軸にすると絞り込みやすくなります。
Q. 中小規模の開発チームにはどのSASTツールが向いていますか？
A. 小規模なチームには、無料枠やSaaSの小規模プランから始められるツール（SonarQube・Semgrep・Snyk Code・GitHub CodeQLなど）が向いています。
多数の開発者やアプリを抱える組織では、集中管理やレポート機能を備えた商用プラットフォームが候補になります。SASTツールの料金は開発者数やコード行数に応じて変わることが多いため、自社の規模での費用を見積もったうえで、無料枠で足りるのかサポート付きの商用版が必要なのかを判断するとよいでしょう。
Q. SASTツールだけでソースコードのセキュリティ対策は十分ですか？
A. SASTツールだけですべての脆弱性を網羅できるわけではなく、重要なシステムでは専門家による手動のソースコード診断など他の手法との併用が前提になります。
SASTは認証・アクセス制御の不備や設計上の問題の検出が苦手で、誤検知も避けられないためです。自社に専門人材が少ない場合や、金融・決済など高いセキュリティが求められるシステム、リリース前にしっかり監査したい場面では、ツールの「自動で素早く・繰り返し」という強みと、専門家の「深く・文脈を踏まえて」という強みを組み合わせるのが有効です。
Q. SASTツールで修正した脆弱性が本当に直ったかはどう確認しますか？
A. 修正後に同じ箇所をもう一度スキャンし、該当する警告が消えていることを確認するのが基本です。
SASTをCI/CDに組み込んでおけば、コードをプッシュするたびに自動で再検査が走るため、修正が反映されたかを継続的に確認できます。再検査で警告が残る場合は、修正が不十分か、あるいは実際には問題のない誤検知かを切り分け、トリアージの記録に残しておくと運用が安定します。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、SASTを備えた自動検査ツールや専門家によるソースコード診断など、脆弱性・セキュリティ診断サービスの最新資料を無料で一括請求できます。対応範囲や費用を見比べて、自社に合う依頼先を効率的に選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
