自社のWebサービスや社内システムの脆弱性診断を外部に依頼したいものの、どの会社に頼めばよいか決めきれずにいませんか。脆弱性診断を手がける会社はツールによる自動診断を得意とするところから、専門の診断員が手作業で深く調べるところまで幅広く、費用も数万円から数百万円まで開きがあります。
依頼先を見極めるには、診断の進め方（ツール型か専門家型か）、対応できる診断対象、実績や体制、診断後のフォローといった軸で会社を比べる必要があります。どの軸を重く見るべきかは、守りたいシステムの性質や社内の体制によって変わります。
本記事では、脆弱性診断を依頼できる会社20社を診断手法のタイプ別に比較・解説します。会社ごとの違いの見極め方、費用が開く理由と見積もりの考え方、中立的に会社を見分ける信頼材料まで整理しました。自社の規模・予算・求める精度に合う依頼先を数社に絞り込むための材料としてご活用ください。
また、自社の状況に合わせて最適な依頼先を最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
脆弱性診断を依頼できる会社のタイプ（診断手法別）
ここからは、脆弱性診断を依頼できる会社を診断手法で3つのタイプに分け、それぞれどんな企業に向くかを整理します。会社選びの出発点として、自社がどのタイプを必要としているかを見極める手がかりになります。
ツール自動型（手軽・低コストで繰り返し診断したい企業向け）
専用の診断ツール（スキャナー）がWebアプリケーションやサーバーに疑似的な攻撃リクエストを送り、応答から脆弱性を自動で検出するタイプです。費用を抑えやすく、月額や年額の契約で何度でも診断できる製品が多いため、開発サイクルに合わせて繰り返し検査したい企業に向いています。クラウド型のサービスとして提供され、申し込みから短期間で診断を始められるものが中心です。
一方で、自動ツールは決まった検査パターンに沿って網羅的に調べる仕組みのため、画面の遷移や権限の組み合わせといった「そのシステム固有の業務ロジックの穴」までは踏み込みにくい面があります。手軽さと引き換えに、検出できる範囲には線引きがあると理解したうえで使うのが前提です。
専門家手動型（高精度で深く調べたい企業向け）
セキュリティの診断員が手作業で検査するタイプです。ツールが苦手とする業務ロジックの不備や、複数の脆弱性を組み合わせた攻撃の成立可否まで踏み込んで調べられるため、検出の精度と深さを求める場合に適しています。金融機関や官公庁向けの実績を持つ会社も多く、報告書の内容や是正支援まで含めて依頼したいケースで選ばれます。
診断員の工数がそのまま費用に反映されるため、ツール自動型に比べて価格は高くなりやすく、診断にかかる期間も長めです。重要な公開システムや、個人情報・決済を扱う画面など、リスクの高い範囲に絞って依頼する使い方が現実的です。
ハイブリッド・対象特化型（自動と手動の組み合わせ、特定領域に強い企業向け）
自動ツールで広く検査しつつ、重要な箇所は診断員が手作業で精査する組み合わせ型や、ネットワーク・クラウドなど特定の対象に特化した会社がこのタイプです。広く浅くと狭く深くを両立しやすく、診断対象が複数領域にまたがる企業や、ネットワーク機器・サーバーの弱点を外部の目で洗い出したい企業に向いています。
同じハイブリッドでも、自動と手動の比重や得意な対象は会社ごとに異なります。自社が最も守りたい対象（Webアプリケーションか、ネットワークか、クラウド設定か）を起点に、その領域を得意とする会社を選ぶのが近道です。
脆弱性診断会社の選び方
依頼先を数社に絞り込むには、いくつかの軸で会社を見比べることが大切です。診断手法（ツール型か専門家型か）は前の章で自社に合うタイプを見極めた前提とし、費用は次の章で扱います。ここでは、残る3つの軸――診断対象・実績や認証による信頼材料・診断後のフォロー体制――を順に整理します。
診断対象で選ぶ（Webアプリ・ネットワーク・スマホアプリ・クラウド・ソースコード）
脆弱性診断の対象は、公開しているWebアプリケーション、サーバーやネットワーク機器といったプラットフォーム、スマートフォンアプリ、クラウドの設定、ソースコードなど多岐にわたります。会社によって得意とする対象が異なるため、まず自社が診断したい資産を洗い出し、それらをまとめて診断できる会社かどうかを確認するとよいでしょう。
たとえばWebアプリケーションだけを調べたいのか、外部に公開しているサーバー群まで含めて調べたいのかで、候補になる会社は変わります。複数の対象を別々の会社に依頼すると窓口が増えて管理が煩雑になるため、診断したい対象を一社でカバーできるかは実務上の重要な判断材料です。クラウド環境の設定不備（公開範囲や権限の誤り）を調べたい場合は、クラウドのセキュリティ設定診断に対応しているかも確認が必要です。
実績・認証・体制で信頼できる会社を見分ける
脆弱性診断は、依頼する側がその品質を直接確かめにくいサービスです。そこで、会社の信頼性を客観的に測る手がかりとして、第三者が関与する公的な制度や、国際的に認知された基準への準拠が役立ちます。ただし、いずれも「目安」であって品質の保証ではない点を押さえたうえで使うことが重要です。
一つ目の手がかりが、経済産業省が策定した「情報セキュリティサービス基準」への適合です。この基準に適合すると審査登録機関が認めた事業者のサービスは、独立行政法人情報処理推進機構（IPA）が公開する「情報セキュリティサービス基準適合サービスリスト」に掲載されます。脆弱性診断サービスもこのリストの対象分野に含まれており、掲載の有無は第三者の審査を経たことを確かめる一つの目安になります。
ただし、このリストへの掲載は品質そのものの保証ではありません。IPA自身が、リストへの掲載にあたって適合性を再確認・検証していない旨を明記しています。
IPAは、登録台帳からの掲載に際してサービス基準適合性の再確認・検証等を行っておりません。
出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）
したがって、「リストに載っているから安全・高品質」と受け取るのではなく、第三者の審査を経た事業者であることを客観的に確認できる材料の一つ、という位置づけで見るのが適切です。
二つ目の手がかりが、Webアプリケーション診断の国際的な基準・手法への準拠です。
脆弱性診断の世界では、OWASP（The Open Worldwide Application Security Project）が公開する検証基準「ASVS（Application Security Verification Standard）」と、テスト手法をまとめた「WSTG（Web Security Testing Guide）」が広く参照されています。
ASVSはWebアプリケーションの技術的なセキュリティ管理策を検証するための要件を定めた基準で、WSTGはそれをどう検査するかの手法をまとめたガイドです。会社が「OWASP準拠」を掲げている場合、診断の網羅水準や手法を共通の枠組みに揃えているという意味になります。
この「準拠」は、第三者が付与する公的な認証ではなく、あくまで検証の網羅性や手法を標準に合わせているという表明です。基準（ASVS）と手法（WSTG）の両面を参照しているかを確認すると、診断の深さと手順の標準化をより正確に読み取れます。
これらに加えて、診断実績の件数や対象業種、情報セキュリティマネジメントシステム（ISMS／ISO/IEC 27001）などの会社としての認証、診断を担う有資格者の在籍も、体制を見極める材料になります。会社の公式サイトで、これらが公開されているかを確認するとよいでしょう。
出典・参考資料（4件）
診断後のフォロー体制で選ぶ（再診断・報告会・速報）
脆弱性診断は、問題点を見つけて終わりではありません。見つかった脆弱性を修正したうえで、本当に直ったかを確かめる再診断まで含めて、ようやく対策が完了します。依頼先を選ぶ際は、診断結果を報告して終わりにせず、是正まで伴走してくれるかを見極めることが重要です。
具体的には、修正後の再診断が費用に含まれるか（または別料金か）、報告書の内容を説明する報告会があるか、危険度の高い脆弱性が見つかったときに診断完了を待たず速報してくれるか、といった点です。
報告書が脆弱性の一覧だけでなく、危険度の評価と優先順位、具体的な対策方法まで記載されているかも、修正作業の進めやすさを左右します。自社に専門の担当者がいない場合ほど、このフォロー体制の厚さが依頼先選びの決め手になります。
脆弱性診断の費用相場と見積もりの考え方
ここでは、脆弱性診断の費用がなぜ数万円から数百万円まで開くのか、その理由と見積もりを取るときの考え方を整理します。相場観を持っておくと、各社の見積もりが妥当かを判断しやすくなります。
費用の幅は、おもに「診断対象」「診断手法」「対象の規模」の3つで決まります。ツールによる自動診断は、Webアプリケーション1サイトあたり数万円から数十万円程度、クラウド型の継続契約では月額5万円程度からというサービスもあります。
一方、診断員が手作業で深く調べる手動診断や、攻撃者の視点で侵入を試みるペネトレーションテストになると、数百万円規模になることも珍しくありません。実際に、手動主体の会社では、Webアプリケーションの標準的な診断で数十万円から、ペネトレーションテストで700万円から1,000万円規模といった価格が公式に示されています。
| 診断手法・対象 | 費用の目安 |
|---|---|
| ツール自動（Webアプリ・継続SaaS） | 月額5万円〜 |
| ツール自動（Webアプリ・スポット） | 数万〜数十万円 |
| 専門家手動（Webアプリ1サイトの標準診断） | 数十万円〜 |
| 専門家手動・ペネトレーションテスト | 数百万円〜（例: 700万〜1,000万円） |
| 内部ネットワークの継続診断 | 年額数十万円〜（規模による） |
同じ「脆弱性診断」でも、安価な自動診断と高額な手動診断は守備範囲が異なります。IPAが公開する簡易診断の仕様「ウェブ健康診断仕様」は、危険度の高い13項目に絞った診断であり、IPA自身がその限界を次のように明記しています。
検査パターンを絞り込んだ診断ですので、脆弱性が検出されなかった場合でも、安全宣言には繋がりません
出典：安全なウェブサイトの作り方 別冊「ウェブ健康診断仕様」｜独立行政法人情報処理推進機構（IPA）
安価な診断で問題が見つからなかったとしても、それは「調べた範囲では問題がなかった」という意味にとどまります。費用の安さだけで選ぶと、本当に調べたかった深い部分が診断対象に入っていないことがあるため、見積もりを取る際は金額と合わせて「どの対象を・どの手法で・どこまで調べるのか」を必ず確認することが大切です。
見積もりを比較するときは、診断対象の数え方（画面数・リクエスト数・IPアドレス数・FQDN数など会社によって単位が異なる）、再診断やオプションの費用が含まれるか、報告書や報告会が標準かオプションかをそろえて見ることが大切です。同じ「一式いくら」でも含まれる範囲が違うと、単純な金額比較では判断を誤ります。
多くの会社が対象をヒアリングしたうえで個別見積もりを出す形をとっているため、複数社から同じ条件で見積もりを取り、内訳をそろえて比べるのが確実です。
自社がどのタイプの会社に適しているか判断が難しい場合もあります。そのような場合でも最適なサービスを最短で見つけられるよう、以下の「30秒で終わる選定診断ツール」をご活用ください。
一括ダウンロードする
【比較表】脆弱性診断会社を横断比較
ここからは、脆弱性診断を依頼できる会社20社を診断手法のタイプ別に分類し、診断対象・費用感・情報セキュリティサービス基準への適合・診断後のフォロー体制などを横断的に比較します。自社の課題や要件に合わせて客観的に比べられるよう、ツール自動型・専門家手動型・ハイブリッド/対象特化型の3タイプに整理しました。
ツール自動型
| サービス名 | Aikido Security | AeyeScan | Securify | VAddy | SCT SECURE クラウドスキャン |
|---|---|---|---|---|---|
| 診断実績 | 公式非公表 | 有償契約500社以上 | 公式非公表 | 公式非公表 | 公式非公表 |
| 診断手法 | ツール自動 | ツール自動 | ツール自動（DAST） | ツール自動（DAST・CI/CD連携） | ツール自動（クラウド型・毎日自動） |
| 主な診断対象 | ソースコード・クラウド設定・コンテナ・Webアプリ | Webアプリ・SPA・API・Androidアプリ | Webアプリ・API（ASM/CSPM/SBOMも同シリーズ） | Webアプリ・APIサーバー | Webサイト・ネットワーク機器（IP/FQDN単位） |
| 費用感 | 月額5万円台〜（年間契約・利用者10人まで） | 要問い合わせ | 月額5万円〜（年間60万円・1IP/FQDN） | 月額19,800円〜（初期費用0円・税別） | 年額564,000円〜（初年度・3IP/FQDNまで・税抜） |
| 情報セキュリティサービス基準の登録 | − | − | ●登録番号020-0025-20 | − | ●登録番号019-0042-60 |
| 診断後のフォロー | AutoFixで修正コードのプルリクエストを自動生成。日本語で導入・運用を伴走（AndGo） | 経営層向け概要〜エンジニア向け詳細ログのレポート、画面遷移図を自動生成 | 診断回数無制限・スケジュール実行。メールサポート（営業日10〜18時） | 全プランでPDFレポート・検出時メール通知（手動診断オプションは再診断1回） | 毎日自動診断・ポータルでレポート出力（PCI DSS ASV診断と同じテスト内容） |
| 提供形態 | 継続・SaaS（サブスク） | 継続・SaaS（回数無制限の定額制） | 継続・SaaS（月額） | 継続・SaaS（月額/年額・スキャン無制限） | 継続・SaaS（年額） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※診断手法・対象・費用・登録状況は2026年10月時点の各社公式情報に基づきます（費用の明示がないものは「要問い合わせ」）。「●」は情報セキュリティサービス基準適合サービスリストへの登録ありを示します。「−」は当該サービスで登録を確認できなかったことを示し、会社の信頼性の優劣や品質保証を意味しません（適合リスト掲載は目安です）。最新の内容は各社公式情報・資料でご確認ください。
専門家手動型
| サービス名 | セキュリティ診断（ラック） | セキュリティ診断（NRIセキュア） | GMOサイバーセキュリティ byイエラエ | 脆弱性診断（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） | Webアプリケーション診断（Sky） | ペネトレーションテスト（GSX） |
|---|---|---|---|---|---|---|---|
| 診断実績 | 1995年開始・金融機関向け実績 | 公式非公表 | 累計診断16,000件 | 8,000件以上(2017/4〜2024/3) | 公式非公表 | 公式非公表 | 公式非公表 |
| 診断手法 | 専門家手動 | 専門家手動 | 専門家手動 | 専門家手動 | 専門家手動（セルフ診断も選択可） | 専門家手動（リモート診断） | 専門家手動（ペネトレーションテスト） |
| 主な診断対象 | Web・プラットフォーム・クラウド・スマホ・無線LAN・IoT | Web・プラットフォーム・スマホ・API・クラウド・ソースコード・IoT/OT | Web・スマホ・クラウド・ネットワーク・ブロックチェーン・IoT | Web・ネットワーク・スマホ・IoT/OT（ペネトレーション・TLPTも） | Web・プラットフォーム・IoT/OT（RedTeam/TLPT対応） | Webアプリ（162項目ベース、ペネトレーションはオプション） | プラットフォーム（外部NW・内部AD）※顧客開発Webアプリ固有の脆弱性は範囲外 |
| 費用感 | 要問い合わせ（脆弱性診断は個別見積もり／ペネトレーションテスト700万〜1,000万円・税抜） | 要問い合わせ（脆弱性診断は個別見積もり／ペネトレーションテスト800万円〜・税別） | 要問い合わせ（ツール型ASMは月額4万円〜） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 情報セキュリティサービス基準の登録 | − | − | − | − | − | − | ● |
| 診断後のフォロー | 報告書・報告会、納品後1か月のサポート（JSOC監視・緊急対応と連携可） | 報告書・報告会。Webアプリ診断は実施1か月以内に対策状況を確認 | 報告書・報告会（オプション）。ASM伴走プランは運用サポート | 診断結果報告書・報告会 | 要問い合わせ（報告書内容・再診断は公式に記載なし） | 5段階リスク分類レポート・開発者向け再現手法。高リスク時はメール速報 | 報告書・報告会（デブリーフィング）、改善提案 |
| 提供形態 | スポット（都度見積もり） | スポット（受注型） | スポット（手動診断）／継続・SaaS（ASM） | スポット（都度見積もり） | スポット（都度見積もり） | スポット（最短5〜6営業日） | スポット（シナリオA〜C） |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト |
※診断手法・対象・費用・登録状況は2026年10月時点の各社公式情報に基づきます（費用の明示がないものは「要問い合わせ」）。「●」は情報セキュリティサービス基準適合サービスリストへの登録ありを示します。「−」は当該サービスで登録を確認できなかったことを示し、会社の信頼性の優劣や品質保証を意味しません（適合リスト掲載は目安です）。最新の内容は各社公式情報・資料でご確認ください。
ハイブリッド・対象特化型
| サービス名 | セキュア・レントゲン | CoWorker 脆弱性診断 | KATABAMI | SQAT | Vex（ユービーセキュア） | Cloudbric脆弱性診断 | 脆弱性診断（NTTドコモソリューションズ） | レイ・イージス |
|---|---|---|---|---|---|---|---|---|
| 診断実績 | 公式非公表 | 公式非公表 | 公式非公表 | 延べ10,300組織(2025/6時点) | 公式非公表 | 公式非公表 | 年間Web約550サイト・NW約670システム | 公式非公表 |
| 診断手法 | ハイブリッド（AI＋手動のネットワーク通信分析） | ハイブリッド（AI解析＋専門家確認） | ツール診断＋専門家伴走（内部ネットワーク） | ハイブリッド（手動＋独自自動診断） | ハイブリッド（ツール自動＋手動の診断代行） | ハイブリッド（専門家手動＋ツール） | ハイブリッド（ツール＋手動。Webアプリのライト版はツールのみ） | ハイブリッド（AIツール＋手動） |
| 主な診断対象 | ネットワーク通信（IT/OT）※クラウド・コンテナ・依存ライブラリは対象外 | ソースコード・Webアプリ・API（設計書も） | 社内ネットワーク機器・サーバー・複合機・PC（内部から約600項目） | Web・ネットワーク・スマホ・IoT・クラウド・ソースコード | Webアプリ・API・SPA（代行はプラットフォーム・スマホも） | Webサイト・Webアプリ・API・プラットフォーム・スマホ | ネットワーク・サーバ構成・Webアプリ・スマホ | Web・プラットフォーム・モバイルアプリ・API |
| 費用感 | 要問い合わせ | 50万円〜（ソースコードAI診断は15万円〜） | 1台 月額1,250円〜（100ノード以下は年額90万〜150万円目安） | 要問い合わせ | ツール 年額66万円〜／診断代行 税込467,500円〜（5画面程度） | 要問い合わせ | 要問い合わせ（合計税抜80万円以上でサイバー保険を無償付帯） | 要問い合わせ（FQDN単位の定額制） |
| 情報セキュリティサービス基準の登録 | − | − | − | − | ●診断代行が審査登録制度に登録 | ●委託先ranryu名義で登録（021-0017-20・ペネトレは対象外） | ●ネットワーク/Webアプリ診断が適合 | − |
| 診断後のフォロー | レポート（5構成）＋報告会、緊急度の高いリスクは速報 | 最短3営業日で報告書。再診断はStandard1回・Professional2回 | 月次（年12回）でA〜E評価レポート・原則毎月の相談会で伴走。重大時は速報 | 診断終了後3か月まで再診断可、期間内の相談・質問受付。緊急時は連絡 | 再診断は契約時に選択可、納品後1か月は問い合わせ受付 | 検出後にCloudbric WAF+等の対策提案まで支援（報告書形式・再診断は公式記載なし） | 報告書・報告会。報告書提出後3か月以内に最大3回まで無償再診断。速報あり | Web診断は3か月以内の再診断付き、ペネトレは報告書作成後1年間の再診断無料 |
| 提供形態 | スポット（最短1カ月の単発診断） | スポット（都度・プラン制） | 継続（月次診断＋バックアップ・サイバー保険の統合パッケージ） | スポット（診断保守メニューは継続） | 継続（ツール年間ライセンス）／スポット（診断代行） | スポット（都度） | スポット（都度見積もり） | スポット（FQDN定額） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト |
※診断手法・対象・費用・登録状況は2026年10月時点の各社公式情報に基づきます（費用の明示がないものは「要問い合わせ」）。「●」は情報セキュリティサービス基準適合サービスリストへの登録ありを示します。「−」は当該サービスで登録を確認できなかったことを示し、会社の信頼性の優劣や品質保証を意味しません（適合リスト掲載は目安です）。最新の内容は各社公式情報・資料でご確認ください。
脆弱性診断会社の個別紹介
ここからは、タイプ別に各社の特徴を紹介します。診断手法・対応対象・費用の示し方・フォロー体制の違いに注目しながら、自社の要件に合う会社を見つける参考にしてください。
ツール自動型の会社
自動ツールで手軽に、繰り返し診断したい企業に向くサービス群です。
1. Aikido Security（株式会社AndGo）
開発元はベルギーのAikido Security BV、日本では株式会社AndGoが正規代理店として提供する、クラウド型のセキュリティ診断ツールです。ソースコード・クラウド設定・コンテナ・稼働中のWebアプリまでを、Code／Cloud／Attack／Protectの4区分で扱います。
依存パッケージの脆弱性検査（SCA）、ソースコードの静的解析（SAST）、クラウド設定の検査（CSPM）など複数の検査を1つの画面にまとめている点が特徴です。検出した脆弱性には修正コードのプルリクエストをAIが生成するAutoFixを備え、内容を確認して取り込む流れで修正まで進められます。
料金はAndGo経由で月額5万円台から（年間契約・利用者10人まで）で、2名まで使える無料プランも用意されています。管理画面とドキュメントは日本語に対応し、導入時の設定から運用の定着までをAndGoが日本語で支援します。自社でアプリを内製する開発チームに向いたサービスです。
脆弱性を検出した後、実際の修正までをどう進めるかという論点について、日本での提供を担う株式会社AndGoの原氏は次のように話しています。
2. AeyeScan（エーアイスキャン）（株式会社エーアイセキュリティラボ）
AIが人の操作に近い形でサイト内を巡回し、テストシナリオの作成から診断までを自動化するクラウド型のWebアプリケーション脆弱性診断ツールです。運営は株式会社エーアイセキュリティラボで、対象URLを登録するだけで診断を始められます。
診断対象はWebアプリケーションとSPAが中心で、API（オプション）や2026年9月に提供を始めたAndroidアプリ診断にも対応します。OWASP TOP10やIPA「安全なウェブサイトの作り方」、ASVS 5.0を参照して診断し、対象の画面遷移図を自動生成します。
料金は用途やサイト数に応じた個別見積もりで、15日間・1サイトのOne Shotと、1年間・サイト数無制限のBusinessの2プランがあり、2サイトまで試せる無料トライアルも利用できます。公式サイトでは有償契約500社以上（2026年10月時点）と記載され、ISO/IEC 27001・27017を取得しています。
3. Securify（セキュリファイ）（株式会社スリーシェイク）
外部に公開している資産の把握（ASM）とWebアプリケーションの脆弱性診断を1つのサービスで扱えるのが、株式会社スリーシェイクが提供するSecurifyです。診断は画面遷移の巡回から疑似攻撃の送信、応答の検証までを自動で行うDAST型です。
実施する日時や頻度を指定できるスケジュール実行に加え、API経由で診断を起動してCI/CDパイプラインに組み込む運用にも対応します。Web・APIの診断はログイン後の画面やSPAも検査でき、ASM・CSPM・SBOMといった周辺機能も同じシリーズで提供されます。
脆弱性診断はSTARTERが月額5万円（年間60万円・1IP/FQDN）から、BASICが月額10万円（年間120万円）からで、いずれも診断回数に制限はありません。最短即日で使える無料トライアルも用意されています。脆弱性診断サービスは情報セキュリティサービス基準に適合するSSSマーク（登録番号020-0025-20）を掲げています。
4. VAddy（バディ）（株式会社ビットフォレスト）
開発したWebアプリケーションを、リリースのたびに自分たちで繰り返し検査したい開発チームに向く、クラウド型の脆弱性診断ツールです。提供は株式会社ビットフォレストで、実際のHTTPリクエストを送って応答を検査するDAST方式を採用しています。
WebAPIやコマンドラインツール、cronと組み合わせることで、CIパイプラインへの組み込みや夜間の定期スキャンを構築できます。スキャン回数は無制限で、Webアプリケーションに加えてREST APIサーバー単体の検査にも対応します。検出できる脆弱性はプランに応じて5・11・18項目です。
初期費用は0円で、料金はProfessionalが月額19,800円、Enterpriseが59,800円、Advancedが99,800円（いずれも税別）、1週間の無料トライアルがあります。開発・運用はクラウド型WAF「Scutum」と同じチームが担い、ビットフォレストはISMS（ISO/IEC 27001）を取得しています。
5. SCT SECURE クラウドスキャン（三和コムテック株式会社）
Webサイトだけでなく、ルータやファイアウォールといったネットワーク機器まで含めて、インターネット経由で毎日自動診断するクラウド型のサービスです。提供元は三和コムテック株式会社で、公式は手動診断を人間ドック、本サービスを定期健康診断に例え、スポット診断の合間を埋める継続診断と位置づけています。
診断対象はIPまたはFQDN単位で、SQLインジェクションやクロスサイトスクリプティングなどのWeb系項目に加え、OS・データベース・各種ポートまで検査します。クレジットカード業界のPCI DSSが定める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使用します。
料金は3IP/FQDNまでで、初年度が年額564,000円（ライセンス504,000円＋初期設定費用60,000円、税抜）、2年目以降はライセンスのみの年額504,000円です。経済産業省が策定した情報セキュリティサービス基準に適合するサービスとして、適合リスト（登録番号019-0042-60）に登録されています。
専門家手動型の会社
診断員が手作業で深く調べる、高精度を求める企業に向くサービス群です。
6. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックが1995年から提供する、脆弱性診断・ペネトレーションテスト・TLPT（脅威ベースのペネトレーションテスト）のサービス群です。Webアプリケーションやプラットフォームから、クラウド・SaaSの設定、スマートフォンアプリ、無線LANまで幅広い対象を診断できます。
攻撃者視点で侵入を試みるレッドチーム側の知見と、監視センター「JSOC」やサイバー救急センターで培った検知・対応のノウハウの両方を持つ点が特徴です。脆弱性を網羅的に洗い出す脆弱性診断と、侵入後の影響範囲まで確認するペネトレーションテストを区別して依頼できます。
料金は、情報システムペネトレーションテストが標準シナリオで700万〜1,000万円（税抜）、TLPTが1,000万円程度からと公式に示されています。範囲やシナリオに応じた個別見積もりとなります。
7. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
野村総合研究所（NRI）を単一株主とするセキュリティ専業会社、NRIセキュアテクノロジーズ株式会社によるセキュリティ診断・ペネトレーションテストです。コンサルティングから診断、SOC運営、製品、教育までを一貫して手がけています。
診断はツール任せにせず、米国SANSの専門トレーニング修了者やCISSP・OSCP・GIACなどの国際資格を持つ専門家による手作業を主体とします。Webアプリケーション診断では、手動のみの「プロフェッショナル方式」と、手動にツールを併用する「ハイブリッド方式」から選べます。
診断対象はWebアプリ・プラットフォーム・スマホアプリ・API・クラウド設定・ソースコード・ブロックチェーン・AIまで広く揃います。攻撃者視点のペネトレーションテストは800万円〜（税別）で、ほかの診断メニューは個別見積もりです。
8. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエ株式会社による、専門家の手動診断を中核とした脆弱性診断・ペネトレーションテストです。GMOインターネットグループ傘下のサイバーセキュリティ専門企業が提供します。
脆弱性診断はホワイトハッカーが診断ツールと独自の知見を組み合わせて実施し、Webアプリ・スマホアプリ・クラウド・ネットワーク・ブロックチェーンなど幅広い対象に対応します。ペネトレーションテストは、攻撃シナリオの実現性を試す「シナリオ型」と、ソースコードなど開発情報も含めて問題点を洗い出す「調査型」を用意しています。
手動診断とは別に、外部公開資産を継続的に診断するツール型サービス「GMOサイバー攻撃ネットde診断 ASM」も提供しています。ツールのみの自走プランは月額4万円から、運用サポート付きの伴走プランは月額12万円からで、中小企業向けの「ネットde診断 Lite」は1ドメインあたり月額4,280円（税抜）です。手動診断の料金は診断範囲に応じた個別見積もりとなります。
9. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
2001年のWebアプリケーション診断から診断事業を続ける、三井物産セキュアディレクション株式会社（MBSD）の脆弱性診断サービスです。同社は三井物産株式会社が100%出資するサイバーセキュリティ専門企業です。
セキュリティエンジニアが攻撃者の視点で脆弱性を診断・分析し、対処方法まで助言します。手動診断を主体に、網羅性を担保するための独自の補助ツールや商用ツールを組み合わせる方式です。
診断メニューはWebアプリケーション・ネットワーク・スマホアプリの各種診断から、ペネトレーションテスト・TLPT・IoT/OT診断まで幅広く揃います。診断実績は2017年4月〜2024年3月の累計で8,000件以上で、公共・政府機関の案件も過去5年間で70件以上です。料金は診断範囲に応じた個別見積もりとなります。
10. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTグループのセキュリティ専業会社、エヌ・ティ・ティ・セキュリティ・ジャパン株式会社が「セキュリティ診断・評価・調査」として提供する診断・アセスメント群です。NTTセキュリティホールディングスの100%子会社にあたります。
脆弱性診断では、専門家が複数のツールを組み合わせて網羅的に調べる「脆弱性診断サービス（Webアプリ／プラットフォーム）」を提供します。QualysやTenableを使い顧客自身が継続的に診断できる「セルフ脆弱性診断」も選べます。攻撃者視点で侵入を試み、人・プロセス・技術の観点から耐性を評価するRedTeam／TLPTも同じカテゴリ内で依頼できます。
経済産業省の評価基準に基づくSCS評価制度アセスメントや、IoT・OT機器を対象とした診断もメニューに含みます。料金は公式に公開されておらず、診断対象の範囲や規模に応じた個別見積もりとなります。
11. Webアプリケーション診断サービス（Sky株式会社）
SKYSEA Client Viewで知られるSky株式会社が、2022年に開始したセキュリティ診断ソリューションの一つとして提供するWebアプリケーション診断です。
専門スタッフがリモートで顧客のWebアプリケーションを診断し、SQLインジェクションやクロスサイトスクリプティングなどの脆弱性を162項目をベースに横断的に検出します。検出した脆弱性はCRITICALからINFOまで5段階のリスクレベルに分類して報告し、高レベルの脆弱性はメールで速報します。
レポートは開発者向けに再現手法まで含め、対処方法のアドバイスも添えます。診断開始から最短5〜6営業日で報告を受けられ、重要な箇所にはオプションでペネトレーションテストを追加できます。料金は要問い合わせです。
12. ペネトレーションテスト（グローバルセキュリティエキスパート株式会社）
東京証券取引所グロース市場に上場するグローバルセキュリティエキスパート株式会社（GSX）が、「FindRisk」シリーズの一つとして提供するペネトレーションテストです。また、GSXはWeb・プラットフォームを対象とした脆弱性診断（FindRisk）も別メニューで提供しており、本記事ではそのうち侵入検証を主目的とするペネトレーションテストを取り上げています。
実際の攻撃者の視点で疑似攻撃を行い、システムへの侵入可否から内部への横展開、データの持ち出しまでを検証します。外部ネットワークからの攻撃（シナリオA）、社内のActive Directoryを狙う攻撃（シナリオB）、マルウェア感染後の持ち出しを検証するレッドチーム評価（シナリオC）の3シナリオに体系化しています。
診断エンジニアは全員がCEH（Certified Ethical Hacker、認定ホワイトハッカー資格）を保有し、IPAの情報セキュリティサービス基準適合サービスリストにも登録されています。ただし、顧客が開発したWebアプリケーション固有の脆弱性は本テストの範囲外で、料金は要問い合わせです。
ハイブリッド・対象特化型の会社
自動と手動を組み合わせる会社や、ネットワーク・クラウドなど特定の対象に強い会社です。
13. セキュア・レントゲン（株式会社クワッドマイナージャパン）
実際にネットワークを流れている通信を全数取得して分析する、ネットワークリスク診断サービスです。株式会社クワッドマイナージャパンが、NDR（ネットワークを流れる通信を監視して脅威を検知する仕組み）製品「Network Blackbox」のフルパケットキャプチャ技術を使って提供しています。Webアプリやサーバーへ疑似攻撃を送るタイプとは異なり、通信そのものを調べます。
この方式のため、外部からの攻撃だけでなく、すでに内部に侵入・潜伏している脅威や不審な通信まで洗い出せます。スイッチにミラーリング方式で接続するので、万一障害が起きても業務ネットワークには影響しません。IT環境に加えてOTプロトコルにも対応し、工場のネットワークを含めて診断できます（クラウドやコンテナ、依存ライブラリは対象外）。
進め方は、機器を設置して通信を取得し、専門のアナリストが分析したうえでレポートと報告会で結果を伝える流れで、公式は最短1カ月としています。危険度の高いリスクを見つけた場合は、診断の完了を待たずに速報します。料金は分析手法・トラフィック量・設置台数によって変わるため、見積りでの確認が必要です。
境界防御やEDRを導入済みの金融機関が、あえてネットワーク内部の診断を選ぶ理由について、提供元である株式会社クワッドマイナージャパンの白垣氏は次のように説明しています。
金融機関のお客様は、脆弱性診断やペネトレーションテストをすでに実施されていたり、ネットワーク分離によって、境界防御やエンドポイント、つまり入り口と出口の対策はしっかり固めていらっしゃるところが大多数です。ただ、お話を伺うと「侵入されない前提で設計しているからこそ、そこを突破されてひとたび中に入られてしまうと、内部は弱いんだよね」という現状があるとおっしゃいます。そうした中で、入り口を通り抜けられてしまった後の、現状の内部リスクを可視化できるという点が決め手になっていると感じています。
14. CoWorker 脆弱性診断サービス（CoWorker株式会社）
AIによる自動解析と、社内のセキュリティ専門家による最終確認を組み合わせて実施する脆弱性診断サービスです。CoWorker株式会社が提供し、診断対象はソースコードや設計書、稼働中のWebアプリケーション・APIに及びます。ソースコードを対象とするAI診断は、本番環境に影響を与えずにリスクを洗い出せると説明しています。
メニューはソースコードAI診断、動的脆弱性診断（Web／API）、実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、調べたい範囲に応じて段階的に選べます。プレスリリースでは、診断開始から最短3営業日で報告書をPDF形式で納品するとしています。
公式サイトでは通常料金を50万円からとしています。カタログの掲載情報によると、これとは別にソースコードAI診断の15万円から始まる4段階のプラン（Lite・Standard・Professional）も案内されており、上位プランほど再診断の回数と診断できるAPI件数が増えます。税区分の明記はないため、適用される料金は見積りで確認します。
15. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
ネットワークの内側にリモートで入り込んで脆弱性を調べる点が、株式会社SYNCHROが提供するKATABAMIの特徴です。中核となる脆弱性診断「KATABAMI VDP」では、Kali Linuxをベースにした専用アプライアンスがネットワーク内部から約600項目を検査します。メールやUSB経由で入り込むマルウェアなど、外部スキャンでは捉えにくい内部起点の弱点まで洗い出します。
診断は月次（年12回）で実施し、結果をA〜Eの5段階で評価して改善策をレポートします。検出して終わりにせず、原則毎月の相談会で対策の進め方まで伴走するため、専任のセキュリティ担当者がいない企業でも進めやすい設計です。対策の実装そのものは標準の範囲外で、希望する場合は別料金での委託になります。
料金は1台あたり月額1,250円からで、診断する端末数（ノード数）と頻度によって変わり、100ノード以下では年額90万〜150万円が目安と案内されています。脆弱性診断に加えて、隔離した経路へのバックアップ（復旧）と、あいおいニッセイ同和損害保険のサイバー保険の自動付帯（補償）を束ねたパッケージとして提供されます。
ネットワーク内部の診断を毎月続けられる形にした背景について、提供元の株式会社SYNCHROの北口氏は、従来の訪問型診断の実情を次のように話しています。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。一方で、新しい脆弱性は日々生まれており、生成AIの登場でそのスピードもさらに上がっています。
16. SQAT（株式会社ブロードバンドセキュリティ）
SQAT（エスキュート）は、2000年創業のセキュリティ専業企業、株式会社ブロードバンドセキュリティが手がける脆弱性診断ブランドです。精度の高い手動診断と、独自開発の自動診断を組み合わせて実施する方式を公式に掲げています。
診断対象はWebアプリケーション・ネットワーク・スマートフォンアプリ・IoT・クラウドの設定・ソースコードからペネトレーションテストまで幅広く、複数の資産を一社にまとめて依頼しやすい構成です。報告書提出まで最短7営業日の短納期メニュー「SQAT with Swift Delivery」もあり、こちらは範囲を優先度の高い箇所や指定箇所に絞って実施します。
導入実績は延べ10,300組織・64,280システム超（2025年6月時点）と公表しています。診断終了後3か月までは再診断に対応し、提供元のBBSecはISMS（JIS Q 27001）やプライバシーマーク、PCI DSS関連の各種アセッサー認定を保有しています。
17. Vex（株式会社ユービーセキュア）
Webアプリケーションを主な対象とする脆弱性検査ツールです。株式会社ユービーセキュアが提供するVexは、対象URLへ外部から疑似攻撃リクエストを送り、応答を解析して脆弱性を調べるDAST方式を採用しています。自動クローリングや、ログイン後の画面遷移を再現するシナリオスキャン、OpenAPI／Swagger定義を読み込むAPI診断まで備えます。
Vexには、自社で運用するライセンス提供と、ユービーセキュアが実施する診断代行の2つの使い方があります。ライセンスは年間契約で、小規模向けのVex Teamが年額66万円から、エンタープライズ向けのVex Enterpriseが300万円から、診断事業者向けのVex Auditorが400万円からの3プランです。14日間は機能制限なしで試せます。
診断代行は、Vexによる検査と診断士の手動診断を組み合わせる形で、Webアプリケーション診断は5画面程度で税込467,500円からの個別見積りです。この代行のWeb・プラットフォーム・スマートフォンアプリ診断は、経済産業省の情報セキュリティサービス審査登録制度に登録されています。ただし、プラットフォームやスマホアプリの診断はツール本体ではなく代行側のメニューです。
18. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
Cloudbric脆弱性診断は、WAFなどのセキュリティ製品を手がけるペンタセキュリティ株式会社（韓国本社は1997年設立）が「Cloudbric」ブランドで提供する診断サービスです。技術者が手動で診断し、同社が独自に収集する脅威インテリジェンスに基づく項目で検査する点を特長に掲げ、メニューによっては自動スキャンツールも併用します。
診断メニューはWebサイト・Webアプリケーション・API・プラットフォーム・スマートフォンアプリの各診断と、ペネトレーションテストの6種類です。検出した脆弱性には、Cloudbric WAF+などの対策提案まで支援すると説明しています。料金は公式に記載がなく、問い合わせでの見積りになります。
診断の実施は株式会社ranryuに委託されており、経済産業省の基準に基づく情報セキュリティサービス基準適合サービスリストには、この委託先のranryu名義でWebアプリやプラットフォームなど5種の診断サービスが登録されています（登録番号021-0017-20、ペネトレーションテストは対象外）。
19. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
サイバー保険付き脆弱性診断サービスは、NTTドコモソリューションズ株式会社（旧NTTコムウェア）がDSCBブランドで提供しています。ネットワーク・サーバ構成・Webアプリケーション・スマートフォンアプリの各診断とペネトレーションテストの5メニューを持ち、ツールと専門家の手動検査を併用して調べます（Webアプリのライト版はツール診断のみ）。
診断はIPAの「ウェブ健康診断仕様」やOWASP ASVSに準拠し、情報処理安全確保支援士やCISSPなどの有資格者が担います。報告書は総合評価をA〜Cの3段階で示し、脆弱性ごとにCVSS（脆弱性の深刻度を数値化する国際指標）で評価します。ネットワーク診断とWebアプリ診断（スタンダード版）では、報告書提出後3か月以内に最大3回まで無償で再診断を受けられます。
ネットワーク診断とWebアプリケーション診断は、経済産業省の情報セキュリティサービス基準に適合するサービスとして、IPAの適合サービスリストに登録されています。
標準的な診断に、差別化要素としてサイバー保険が無償で付帯するのがこのサービスの特徴です。全メニュー合計の契約金額が税抜80万円以上の場合に、支払限度額1,000万円（診断契約日から1年間）の保険が自動で付きます。引受は三井住友海上火災保険で、保険のみの単体加入はできません。
20. レイ・イージスの脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）
台湾発のセキュリティベンダーRayAegisの日本法人、株式会社レイ・イージス・ジャパンが提供する診断サービスです。AIを搭載した脆弱性探査ツールと診断エンジニアによる手動診断を組み合わせているのが特徴です。Webアプリケーション・プラットフォーム・モバイルアプリ・APIを対象に、脆弱性診断からペネトレーションテストまで手がけます。
診断項目はOWASPのWeb Security Testing Guide（WSTG 4.2）に基づき、手動を組み合わせるAIリモート脆弱性診断では最大105項目、ツール中心のAIクイック・ツール診断では最大57項目と、メニューごとに検査範囲を明示しています。クイック診断でもエンジニアが結果を確認し、誤検知を除外する体制です。
料金は、ページ数や画面数が増えても金額が変わらないFQDN単位の定額制を採用しているとされます。具体的な金額や再診断の条件はメニューによって異なるため、依頼前に公式サイトで確認することをおすすめします。
脆弱性診断とペネトレーションテスト・ASMの違い
依頼範囲を決める際に迷いやすいのが、脆弱性診断と、よく併記されるペネトレーションテストやASM（Attack Surface Management）との違いです。それぞれ目的が異なるため、整理しておきます。
脆弱性診断は、対象のシステムに既知の弱点がないかを網羅的に洗い出すことを目的とします。これに対しペネトレーションテストは、攻撃者の視点で実際に侵入を試み、「どこまで被害が及ぶか」を検証することに主眼があります。
弱点を一覧化したいなら脆弱性診断、特定の攻撃シナリオに耐えられるかを確かめたいならペネトレーションテスト、という使い分けになります。前出のIPAの基準でも、ペネトレーションテストは脆弱性診断サービスのオプションとして位置づけられています。
侵入検証そのものを主目的に据える場合は、依頼先の見極め方も脆弱性診断とは少し異なります。ペネトレーションテストを専門に手がける会社を費用相場・診断範囲の観点で比較した「ペネトレーションテスト会社おすすめ15選｜費用相場・診断範囲・失敗しない選び方を比較」もあわせて検討材料にできます。
一方ASMは、自社が外部に公開している資産（ドメイン・IPアドレス・クラウド上のサービスなど）を攻撃者の視点で継続的に洗い出し、把握しきれていない公開資産や設定不備を可視化する取り組みです。一度きりの診断ではなく、資産の変化を継続的に監視する点が脆弱性診断との違いです。
どこに何を公開しているか自体を把握しきれていない場合は、ASMで対象資産を棚卸ししてから脆弱性診断に進む、という組み合わせも有効です。
ASMが脆弱性診断とどう役割を分担するのか、導入の進め方や費用感まで踏み込んで知りたい場合は、次の記事で詳しく解説しています。公開資産の棚卸しから着手すべきか迷うときの判断材料になります。
無料ツール・成果報酬型という選択肢
会社に委託する以外に、無料の診断ツールや成果報酬型のサービスを使う選択肢もあります。委託とは向き不向きが異なるため、位置づけを整理します。
オープンソースの無料診断ツールには、サーバーの脆弱性を検出するVuls、ネットワークやサーバーを広く検査するOpenVAS、Webサーバーの既知の問題を調べるNiktoなどがあります。コストをかけずに自社で検査できる利点がありますが、導入・運用やスキャン結果の解釈に専門知識が必要で、検出された項目が本当に問題なのかを判断する作業は利用者側に委ねられます。
社内に専門人材がいる場合の継続的な自己点検には向きますが、網羅的な診断や報告書を前提とする場面では委託型の診断を補完する位置づけになります。
成果報酬型のサービスとしては、発見された脆弱性に応じて報酬を支払うバグバウンティ（脆弱性報奨金制度）の形をとるプラットフォームがあります。外部の多数の技術者に調べてもらえる反面、検査の範囲や報告のタイミングをコントロールしにくく、報酬額の予測が立てにくい面があります。
決まった範囲を決まった期日で診断し報告書を受け取りたい、という一般的な委託診断のニーズとは購入・運用の考え方が異なるため、自社の目的に合うかを見極めて選ぶことが大切です。
まとめ
脆弱性診断の依頼先は、まず診断手法（ツール自動型・専門家手動型・ハイブリッド/対象特化型）で自社に合うタイプを見極め、次に診断対象・実績や認証・フォロー体制の軸で候補を絞り込むのが基本です。費用は対象・手法・規模で数万円から数百万円まで開くため、同じ条件で複数社から見積もりを取り、含まれる範囲をそろえて比べることが欠かせません。
情報セキュリティサービス基準への適合やOWASPの基準への準拠といった信頼材料も手がかりにしながら、本記事の比較表と選定診断ツールを使って、自社の規模・予算・求める精度に合う依頼先を数社に絞り込み、資料請求や見積もり依頼に進む材料としてご活用ください。
一括ダウンロードする
よくある質問（FAQ）
Q. 情報セキュリティサービス基準への適合とは何ですか？
A. 情報セキュリティサービス基準への適合とは、経済産業省が定めた品質基準を満たすと審査登録機関が認めた脆弱性診断などのサービスが、独立行政法人情報処理推進機構（IPA）の「情報セキュリティサービス基準適合サービスリスト」に掲載されることです。脆弱性診断会社を客観的に見分ける手がかりの一つになります。
ただし、IPAはリストへの掲載にあたって基準適合性の再確認・検証を行っていないと明記しており、掲載は品質そのものの保証ではありません。「載っているから安全・高品質」と受け取るのではなく、第三者の審査を経た事業者であることを確認できる目安として見るのが適切です。
出典・参考資料（2件）
Q. 脆弱性診断の費用はなぜ数万円から数百万円まで開くのですか？
A. 脆弱性診断の費用は、診断対象・診断手法・対象の規模の3つで決まり、ツールによる自動診断は1サイト数万〜数十万円程度、診断員が手作業で深く調べる手動診断やペネトレーションテストは数百万円規模になるため、大きく開きます。
手動診断は診断員の工数がそのまま費用に反映され、実際に手動主体の会社ではペネトレーションテストで700万〜1,000万円規模といった価格が公式に示されています。安さだけで選ぶと本当に調べたかった深い部分が診断対象に入っていないこともあるため、金額と合わせて「どの対象を・どの手法で・どこまで調べるのか」を必ず確認することが大切です。
Q. 脆弱性診断はツール自動型と専門家手動型のどちらを選べばよいですか？
A. 脆弱性診断は、開発サイクルに合わせて手軽に繰り返し検査したいならツール自動型、業務ロジックの不備まで深く精度を求めるなら専門家手動型が向きます。
自動ツールは費用を抑えやすく短期間で始められる反面、そのシステム固有の業務ロジックの穴までは踏み込みにくい面があります。手動型は検出の精度と深さに優れますが、費用が高く診断期間も長めです。個人情報・決済を扱う画面など、リスクの高い範囲は手動型で深く、広く継続的に監視したい範囲はツール型で、と組み合わせる使い方も現実的です。
Q. 脆弱性診断は依頼してからどのくらいの期間がかかりますか？
A. 脆弱性診断にかかる期間は会社と手法によって幅があり、手動を含む診断でも報告書提出まで最短3〜7営業日程度で対応する会社がある一方、ネットワーク全体や大規模な手動診断では1カ月程度かかることもあります。
ツール型の自動診断は申し込みから短期間で始められるものが中心です。期間は診断対象の数や範囲、手動と自動の比重で変わるため、見積もり時に報告書提出までの日数とスケジュールを確認するとよいでしょう。急ぐ場合は、範囲を優先度の高い箇所に絞った短納期メニューを持つ会社を選ぶ方法もあります。
Q. 脆弱性診断に修正後の再診断は含まれますか？
A. 脆弱性診断の再診断が費用に含まれるかは会社によって異なり、一定期間内の再診断を無償とする会社もあれば、別料金のオプションとする会社もあるため、依頼前の確認が欠かせません。
脆弱性は、見つけた問題を修正し、本当に直ったかを再診断で確かめてようやく対策が完了します。報告書提出後の一定期間内・一定回数まで無償、といった形で条件が定められていることが多いため、再診断の有無・回数・期限・費用をあわせて確認すると、是正まで伴走してもらえる依頼先かを見極められます。
Q. 無料の診断ツールで脆弱性診断会社への依頼を代替できますか？
A. 無料の診断ツールは、社内に専門人材がいる場合の継続的な自己点検には使える一方、網羅的な診断や報告書を前提とする場面では会社への委託を完全には代替できません。
VulsやOpenVAS、Niktoなどのオープンソースツールはコストをかけずに自社で検査できますが、導入・運用やスキャン結果の解釈に専門知識が必要で、検出された項目が本当に問題かの判断は利用者側に委ねられます。危険度の評価や優先順位、具体的な対策方法まで記載した報告書や、第三者による客観的な診断が必要な場合は、委託型の診断が適しています。
Q. 脆弱性診断会社は何を基準に候補を絞り込めばよいですか？
A. 脆弱性診断会社は、まず診断手法（ツール自動型か専門家手動型か）で自社に合うタイプを見極め、次に診断対象・実績や認証・診断後のフォロー体制の軸で絞り込むのが基本です。
診断したい資産（Webアプリ・ネットワーク・スマホアプリ・クラウド・ソースコード）を一社でカバーできるか、情報セキュリティサービス基準への適合やOWASPの基準への準拠などの信頼材料があるか、再診断や報告会まで対応するかを見比べることが大切です。そのうえで、同じ条件で複数社から見積もりを取り、内訳をそろえて比べると、自社の規模・予算・求める精度に合う依頼先を数社に絞り込めます。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断を依頼できる会社の最新資料を無料で一括請求できます。診断手法・対応対象・費用感・フォロー体制を見比べて、自社に合う依頼先を効率的に選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
