脆弱性診断の依頼ガイド｜初めてでも分かる範囲の決め方・見積もりの取り方・依頼の流れ

自社が公開・運用するWebサービスや社内システムのセキュリティ上の弱点を、攻撃を受ける前に外部へ依頼して洗い出したい。そう考えても、初めての依頼では「何をどこまで頼めばよいのか」「費用はいくらかかるのか」が分からず、問い合わせの一歩を踏み出せないことがあります。取引先や監査、顧客から診断を求められ、期限までに依頼先を決めなければならない状況もあるでしょう。

脆弱性診断（システムやアプリに潜むセキュリティ上の弱点を外部の専門会社が検出・評価するサービス）の依頼は、診断範囲の決め方・見積もりの取り方・問い合わせから報告までの流れを押さえれば、初めてでも落ち着いて進められます。頼みすぎて費用がふくらむことも、頼み不足で肝心の弱点を見逃すことも、進め方を知っていれば避けられます。

本記事では、診断範囲（対象×深さ）の決め方から、見積もりに必要な情報、費用が数万円から数百万円まで開く理由、問い合わせ・範囲調整・契約・診断・報告書・再診断という依頼の流れ、自社に合う依頼先の見分け方までを順に整理します。読み終えたときに候補を数社へ絞り、見積もり依頼や資料請求に進める状態を目指します。

また、自社の診断対象・規模・予算・求める精度に合う依頼先のタイプを短時間で見極められるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

脆弱性診断を依頼する前に決めること（診断範囲＝対象×深さの決め方）

ここからは、依頼の出発点になる「診断範囲」の決め方を整理します。範囲は「何を診断するか（対象）」と「どこまで深く診断するか（深さ）」の掛け合わせで決まり、この2軸が定まると見積もりも依頼先選びも一気に進めやすくなります。

対象は、自社の資産を思い浮かべながら次のどれに当てはまるかで分けられます。会員制サイトやECなどのWebアプリケーション、サーバやネットワーク機器といったプラットフォーム（ネットワーク診断とも呼ばれます）、iOS・Androidのスマートフォンアプリ、AWSやMicrosoft 365などのクラウドの設定、開発したソースコードが代表的な対象です。

自社がどれを公開・運用しているかを棚卸しすると、依頼すべき対象が見えてきます。

深さは、ツールによる自動診断で広く浅く調べるか、診断員の手作業で深く調べるかの2択です。それぞれの得意・不得意は次章で詳しく扱いますが、範囲を決める段階では、どの資産にどちらの深さを割り当てるかを検討します。

すべてを最大の深さで頼むと費用はふくらみます。外部に公開していて、個人情報や決済を扱う資産から優先的に、深い診断を割り当てるのが現実的です。社内だけで使う管理画面や、公開していても静的な情報ページは、まず自動診断で様子を見る、といった配分も検討できます。

どんな弱点が狙われやすいかを知っておくと、深い診断を優先する対象を見極めやすくなります。Webサイトで狙われやすい弱点の観点は、次の公的機関の資料が参考になります。

出典・参考資料（1件）

• 参考資料：安全なウェブサイトの作り方｜独立行政法人 情報処理推進機構（IPA）

診断手法×対象から見た診断タイプの向き・不向き

続いて、決めた範囲に照らして「どのタイプの診断が自社に向くか」を見極めます。依頼先は大きく、自動診断を主体とするタイプ、専門家の手作業を主体とするタイプ、その両方や特定の対象に特化したタイプに分かれます。それぞれの向き・不向きを押さえると、過不足のない依頼につながります。

そもそも脆弱性診断にはどんな種類・手法があり、何がわかるのかを基礎から押さえておきたい場合は、次の記事で解説しています。

ツール自動型（低コスト・短納期・繰り返し診断向け）

ツール自動型は、診断ツールが自動でサイトやサーバを巡回し、既知の弱点を検出するタイプです。費用を抑えやすく、数日程度の短い期間で結果が出るため、まず範囲を広く安く確かめたい初回の依頼や、リリースのたびに繰り返し診断したい運用に向きます。開発の工程に組み込んで継続的に回す使い方とも相性が良い方法です。

一方で、ツールは「決まったパターンの弱点」を見つけるのは得意でも、業務ロジックの作り込みに起因する不備や、複数の操作を組み合わせて初めて悪用できる問題は検出しにくい傾向があります。高リスクな資産を、自動診断だけで診断し切ったと判断するのは避けたほうが安全です。

専門家手動型（高精度・ビジネスロジックまで／高リスク対象向け）

専門家手動型は、診断員が実際に手を動かし、画面の操作や通信をたどりながら弱点を検証するタイプです。自動診断では拾いにくい権限管理の抜けや決済処理の不備まで踏み込めるため、個人情報・決済・金融といった攻撃されたときの影響が大きい資産の診断に向きます。誤検知が少なく、検出した弱点の悪用可能性まで評価してもらえる点も強みです。

精度が高いぶん費用と期間はかかり、ツール型より見積もりの金額は上がります。公開範囲が狭い情報ページまで一律に手作業で診断すると割高になるため、対象を絞って依頼するのが費用対効果の面で合理的です。攻撃者の視点で侵入経路を試すペネトレーションテスト（侵入テスト）を組み合わせられる依頼先もあり、どこまで深く検証するかは依頼時に相談できます。

脆弱性診断とペネトレーションテストは、弱点を広く洗い出すか、攻撃者の視点で特定の資産まで侵入できるかを試すかで目的が異なります。高リスクな資産でどちらを依頼すべきか、目的・費用・選び方から整理したい場合は、両者を比較した次の記事が参考になります。

ハイブリッド・対象特化型（ツール＋専門家／ネットワーク・クラウド等）

ハイブリッド型は、自動診断で広く検出したうえで、重要な箇所を専門家が手作業で深掘りするタイプです。広さと深さのバランスを取りやすく、ECサイトや社内システムなど、公開範囲も重要度もまちまちな資産をまとめて診断したい場合に向きます。コストと精度の折り合いをつけたい初回依頼の有力な選択肢です。

対象特化型は、ネットワーク機器やクラウド設定など、特定の対象に合わせた診断に強みを持つタイプです。自社の弱点が「Webアプリよりもサーバやネットワークの構成にありそう」「クラウドの設定が正しいか不安」といった場合は、その対象を得意とする依頼先を選ぶと、汎用的な依頼より的確な結果を得られます。複数の対象が絡むときは、依頼先が対応できる範囲を問い合わせ時に確かめておきましょう。

脆弱性診断の費用相場と、費用が数万円から数百万円まで開く理由

ここからは、初めての依頼でとくに見当のつきにくい費用を整理します。脆弱性診断の費用は、無料で使えるツールから100万円を超える規模まで大きく開きます。同じ「脆弱性診断」でも金額がこれだけ違うのは、診断の中身を決める要因が複数あるためです。

費用を左右する4つの要因（範囲・手法・規模・報告と再診断）

金額を動かす要因は、大きく4つに整理できます。1つ目は診断範囲で、Webアプリだけか、サーバやクラウドも含むかで作業量が変わります。2つ目は診断手法で、自動診断中心か、診断員の手作業を伴うかで単価が大きく変わります。

3つ目は対象システムの規模です。診断対象の画面数・入力フォーム数・機能の数が増えるほど、確認する箇所が増えて費用も上がります。4つ目は報告と再診断の対応で、報告書の詳しさ、報告会の有無、修正後にもう一度確認する再診断を含めるかどうかが金額に反映されます。見積もりが各社で違って見えるときは、この4要因のどこに差があるかを見ると比較しやすくなります。

想定される費用帯の目安

金額はあくまで個別見積もりが基本ですが、想定する企業・用途ごとに整理すると、おおよその目安はつかめます。

想定企業・用途	費用帯の目安	主な手法
小規模なWebサイト・LP	数万円〜数十万円（月額のツール型もあり）	自動診断が中心
ECサイト・社内システム	数十万円規模	自動＋一部手作業
官公庁・金融・医療など高い精度が必要	100万円超	専門家の手作業

具体的な実額は比較表や各社の個別紹介のとおりで、ツール型なら月額数万円規模から始められ、専門家の手作業によるペネトレーションテストでは数百万円規模まで開きます。小規模な対象なら、まずツール型の自動診断から始める進め方も現実的です。

公開されている料金はこうした条件の違いを均した参考値なので、自社の対象・規模に対する正確な金額は「要お問い合わせ」として見積もりで確かめるのが確実です。無料で使えるツールや、弱点を見つけた報酬を支払う成果報酬型という選び方もあり、これらは記事後半で改めて取り上げます。

見積もりの取り方と見積もりに必要な情報

範囲とタイプの見当がついたら、見積もりを取ります。脆弱性診断の見積もりは、依頼先が作業量を見積もるための情報をこちらから渡すことで、精度が上がり、やり取りの回数も減ります。問い合わせの前に、次の情報を手元にそろえておくとスムーズです。

• 診断対象のURL：診断してほしいサイトやシステムのアドレス。複数ある場合はすべて洗い出す
• ページ数・画面数：診断範囲に含まれる画面のおおよその数
• 入力フォームの数：ログイン・問い合わせ・申込・検索など、データを入力する箇所の数（弱点が生まれやすく、工数に直結する）
• 画面遷移の情報：ログイン後にしか見られない画面や、申込から完了までの流れ。開発中で外部から見られない場合は、画面のスクリーンショットや画面遷移図を用意する
• ソースコードの提供可否：ソースコード診断を希望する場合、コードを渡せるかどうか
• 希望する手法・時期・予算感：自動か手作業か、いつまでに結果が必要か、確保できる予算の目安

これらがそろっていれば、依頼先は作業量を見積もりやすくなり、提示される金額や期間の根拠も読み取りやすくなります。情報がまだ固まっていない段階でも、まず分かる範囲で伝えて相談すれば、依頼先が範囲の切り方を一緒に整理してくれるケースもあります。複数社から同じ条件で見積もりを取ると、費用の4要因のどこで差がついているかを比べやすくなります。

脆弱性診断を依頼する流れ（問い合わせ→範囲調整→契約→診断→報告書→再診断）

ここからは、問い合わせたあとに何がどう進むのかを、全体像として追います。依頼先によって呼び方は多少違っても、大まかな流れはおおむね共通しています。見通しを持っておくと、社内の稟議や関係部署との調整も進めやすくなります。

問い合わせから報告書までにかかる期間は、診断範囲・手法・依頼先の空き状況によって変わり、一般には数週間〜1〜2か月程度が目安です（診断の実施自体は対象規模により数営業日〜数週間）。締め切りがある場合は、見積もり時に全体スケジュールを確認しておくと動きやすくなります。

最初は問い合わせ・ヒアリングです。診断したい対象と目的を伝え、依頼先が概要を把握します。次に範囲調整（スコーピング）で、対象・手法・深さをすり合わせて見積もりを確定します。ここで提示された内容に納得したうえで契約に進むのが基本で、不明点は契約前に解消しておきます。

契約後は診断の実施に入ります。多くはリモートで行われ、外部から接続できない環境では診断用の機材を持ち込むオンサイト対応もあります。診断中に危険度の高い弱点が見つかった場合、報告書を待たずに速報として連絡する対応を用意している依頼先もあります。診断が終わると報告書の納品があり、必要に応じて修正後の再診断へと続きます。

診断では疑似的な通信や検査を行うため、本番環境では一時的な負荷やレスポンスの低下が生じる場合があります。本番環境でそのまま実施するか、検証用（ステージング）環境を用意するか、実施する時間帯も含めて依頼時に相談しておくと安心です。

報告書の見方（管理者向けサマリーと技術者向け詳細の2部構成）

納品される報告書は、読み手の違う2部構成になっていることが一般的です。1つは管理者向けのサマリーで、検出した弱点の件数や危険度の全体像、対応の優先順位がまとまっており、経営層への報告や予算確保の判断材料に使えます。

もう1つは技術者向けの詳細で、個々の弱点の再現手順、影響、具体的な修正方法が記載されます。開発・運用の担当者はこちらを見て実際の修正を進めます。報告書のサンプルを事前にもらえる依頼先もあるため、自社が必要とする詳しさに合うかを契約前に確かめておくと、納品後のギャップを防げます。

報告後の再診断・報告会・QAサポート

診断は「弱点を見つけて終わり」ではありません。報告書で指摘された箇所を修正したあと、本当に直ったかを確認する再診断があってはじめて、対策が完了したと言えます。再診断が標準で含まれるか、オプションか、1回無料かは依頼先によって異なるため、見積もり段階で確認しておきたい項目です。

このほか、報告内容を直接説明してもらえる報告会や、報告書の内容について質問できるQAサポート（納品後の一定期間、疑問に回答してくれる仕組み）を用意する依頼先もあります。社内に専門の担当者がいない場合、こうした修正まで伴走するフォローがあると、診断結果を実際の改善につなげやすくなります。

自社に合う依頼先の選び方と信頼材料

ここまでで対象・予算・求める精度に合う診断の型は整理できたので、ここからは候補が信頼して任せられる相手かを見極める観点を扱います。

流れが見えたら、どの依頼先に頼むかを絞り込みます。依頼先選びでは、自社の対象・求める精度に対応できるかに加えて、安心して任せられる裏づけがあるかを確かめます。ここでは、判断の手がかりになる信頼材料を整理します。

実績・診断体制・情報セキュリティサービス基準への適合で見極める

まず確かめたいのが診断実績です。診断した件数や期間、どの分野・業種を手がけてきたかを見ると、自社の対象を任せられるかの見当がつきます。金融や官公庁など自社と近い領域の実績があれば、求める水準を満たしやすい依頼先と考えられます。

次に診断体制です。診断員の人数や、自動診断と手作業のどちらを得意とするかは、診断の深さと納期に関わります。手作業の診断を求めるなら、それを担える診断員を抱えているかが重要になります。

もう一つの客観的な手がかりが情報セキュリティサービス基準への適合です。これは、脆弱性診断などのセキュリティサービスの品質を評価するために経済産業省が定めた基準で、適合したサービスは「情報セキュリティサービス基準適合サービスリスト」に登録されます。公式サイトで適合をうたう依頼先は多いので、その登録を公的な台帳で確かめる方法を次に紹介します。

公的な適合サービスリスト（SSS-ERC）で依頼先を確認する

情報セキュリティサービス基準に適合したサービスは、情報セキュリティサービス基準審査登録制度（SSS-ERC）が運営する公的な台帳で一覧になっています。この台帳では、各サービスの登録番号・登録年月日・有効期限・対象とする分野や地域を自分で確認でき、提供地域や得意業務、対象分野で絞り込むこともできます。広告色の強い比較に頼らず、公的な台帳そのもので依頼先の適合を確かめたいときに役立ちます。

ただし、この台帳の見方には一つ注意点があります。適合登録そのものは審査を経た公的な事実ですが、台帳に載る「サービスの概要」などの一部の項目は、各社が申請した情報で審査の対象外とされています。

※検索項目及び台帳の「サービスの概要」「主たる顧客対象の分野・業種」「対象とする地域」は事業者からの申請情報を掲載したものであり、サービス基準審査登録の審査対象事項ではありません。

出典：脆弱性診断サービス｜情報セキュリティサービス基準審査登録制度

「基準に適合しているか」は台帳で公的に確認できる一方、概要欄に書かれた得意分野などは各社の自己申告として読む、という区別をしておくと誤解がありません。適合の有無を公的な登録情報で押さえたうえで、実績や体制、見積もりの中身を合わせて判断するのが、初めての依頼でも失敗を避ける進め方です。

ここまでの整理を踏まえ、自社に向く診断の型と依頼先の候補を30秒で絞り込める選定診断ツールを以下に用意しました。対象・精度・進め方の3問に答えるだけなので、候補を見極める糸口としてご活用ください。

【比較表】脆弱性診断の依頼先を手法・対象・費用感・基準適合・再診断で比較

ここからは、ここまで整理した観点をもとに、主要な脆弱性診断サービスを横断で比較します。診断手法・主な診断対象・費用感の目安・情報セキュリティサービス基準への適合・再診断やフォロー・導入実績を一覧にまとめました。自社の範囲と予算に照らして、候補を絞る手がかりとしてご活用ください。

※「情報セキュリティサービス基準適合」欄は、●＝適合登録を確認、△＝一部の診断メニューのみ登録、—＝本記事の調査時点で登録を確認できず（不適合という意味ではありません）。最新の登録状況は各社サイトや公的台帳でご確認ください。

※「費用感の目安」欄は、ツール型が月額・年額などの継続費用、手動型が1案件あたりの一式費用を示し、性質が異なります。「診断手法」欄とあわせてお読みください。

脆弱性診断サービスの個別紹介

比較表で気になったサービスについて、提供会社・診断対象・特徴を個別に紹介します。先ほどの3つのタイプごとに分けているので、自社に向くタイプから読み進めると候補を絞りやすくなります。

ツール自動型（低コスト・短納期・繰り返し診断向け）

まず、自動診断を主体とし、費用を抑えて繰り返し診断しやすいサービスを紹介します。

1. Aikido Security（株式会社AndGo）

ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが正規代理店として提供する、複数のセキュリティ検査を1つの画面にまとめたクラウド型のツールです。依存パッケージの脆弱性検査（SCA）、ソースコードの静的解析（SAST）、クラウド設定の検査（CSPM）、コンテナイメージの検査などを、製品を分けずに扱えます。

検出した脆弱性に対しては、AutoFixが修正コードのプルリクエストを自動で生成し、人がレビューしてから反映する流れをとれます。開発の工程に組み込んで繰り返し診断する運用に向き、内製でアプリ開発を行う企業での活用が想定されています。

料金は月額固定のサブスクリプション型で、2ユーザーまでの無料プランのほか、AndGo経由では月額5万円台から（年間契約・利用者10人まで）利用できます。管理画面やドキュメントは日本語に対応し、導入から運用の定着までをAndGoが日本語で支援します。

開発の工程にセキュリティ診断を組み込む動きが広がる背景について、提供元の株式会社AndGoの原氏は次のように話します。

2. AeyeScan（エーアイスキャン）（株式会社エーアイセキュリティラボ）

AeyeScanは、AIが利用者に近い操作でWebサイトやWebアプリケーションを自動で巡回し、テストシナリオの作成からスキャンまでを自動化するクラウド型の脆弱性診断ツールです。開発・提供元は株式会社エーアイセキュリティラボで、対象URLを登録すれば専用サーバーの構築やソフトのインストールなしに診断を始められます。

診断対象はWebアプリやSPA、オプションのAPI、2026年9月に提供を開始したAndroidアプリに広がります。OWASP TOP10やIPA「安全なウェブサイトの作り方」、ASVS 5.0に準拠し、経営層向けの概要からエンジニア向けの詳細ログまでレポートを出力できます。

専門知識がなくても自動診断を実施でき、外部委託への依存を抑えながら診断を内製化したい場合に向きます。公式サイトでは有償契約500社以上（2026年10月時点）への導入を掲げています。料金は用途やサイト数に応じた個別見積もりで、2サイトまでの無料トライアルも用意されています。

3. Securify（セキュリファイ）（株式会社スリーシェイク）

株式会社スリーシェイクが提供するSecurifyは、外部に公開した資産の把握（ASM）と脆弱性診断を同じサービスで扱えるクラウド型のツールです。脆弱性診断では、画面遷移の巡回から疑似攻撃の送信、応答の検証までを自動で実行し、ログイン後の画面やSPA、APIにも対応します。

診断する日時や頻度を指定したスケジュール実行に加え、API経由での診断実行にも対応し、CI/CDパイプラインに組み込んで継続的に診断を回せます。リリースのたびに繰り返し確認したい開発・運用の現場で扱いやすい作りです。

料金は検査対象のIP/FQDN数に応じたプラン制で、脆弱性診断のSTARTERプランは月額5万円（年間60万円）から、診断回数の制限なく利用できます。3つ以上のIP/FQDNを対象にするBASICプランは月額10万円からで、最短即日の無料トライアルも案内されています。

4. VAddy（バディ）（株式会社ビットフォレスト）

開発の工程に脆弱性診断を組み込んで繰り返し回したいチームに向くクラウド型ツールが、株式会社ビットフォレストのVAddyです。WebAPIやコマンドラインツール、cronと連携させ、リリース前や夜間にスキャンを自動で実行できます。

診断方式はDAST（動的テスト）で、WebアプリケーションのほかREST APIサーバーの検査にも対応します。初期費用は0円、料金は月額19,800円（税別）から公開されており、スキャン回数は無制限です。プランは診断項目数に応じてProfessional・Enterprise・Advancedの3段階に分かれています。

1週間の無料トライアルで試せるほか、より深い検証が必要な場合は、提携先の株式会社SHIFTが提供する手動脆弱性診断（40万円）やプラットフォーム診断（15万円／回）を有償オプションとして組み合わせられます。

5. SCT SECURE クラウドスキャン（三和コムテック株式会社）

SCT SECURE クラウドスキャンは、Webサイトに加えてルータやファイアウォール、DNSといったネットワーク機器までを対象に、インターネット経由で毎日自動診断するクラウド型のスキャンサービスです。提供元は三和コムテック株式会社で、ソフトのインストールや機器の設置は必要ありません。

PCI DSSが求める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使います。公式は本サービスを「定期健康診断」、深く調べる手作業の診断を「人間ドック」に例えており、手動診断の合間を自動で埋める継続診断に位置づけています。

契約は年単位で、料金は3つのIP/FQDNまでで初年度が年額564,000円（税抜）、2年目以降はライセンス費用の504,000円です。4つ目以降のIP/FQDNは、1つあたり年額140,000円などで追加できます。

専門家手動型（高精度・ビジネスロジックまで／高リスク対象向け）

続いて、診断員の手作業で深く検証し、高リスクな資産の診断に向くサービスを紹介します。

6. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）

国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業による、手動主体の脆弱性診断・ペネトレーションテストです。Webアプリ・スマホアプリ・クラウド・ネットワークなどの脆弱性診断に加え、攻撃者視点で侵入を試みるペネトレーションテストやレッドチーム演習まで、13種のメニューをそろえます。

脆弱性診断はホワイトハッカーが診断ツールと独自の知見を併用して検証し、ペネトレーションテストは設定した攻撃シナリオの実現性を疑似攻撃で確かめます。NFT・ブロックチェーンやIoTデバイスといった専門性の高い対象にも、個別メニューで対応します。

手動診断の料金は、診断したい画面数・API数・攻撃シナリオをもとにした個別見積もりで、要問い合わせです。外部公開資産を月額課金で継続的に診断するツール型のASM（自走プラン月額4万円〜、伴走プラン月額12万円〜）も併せて提供しています。

7. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）

NRIセキュアテクノロジーズは、野村総合研究所（NRI）グループのセキュリティ専業会社です。提供するセキュリティ診断は専門家の手作業を主体とし、Webアプリケーション診断では手作業のみのプロフェッショナル方式と、ツールを補助的に併用するハイブリッド方式を選べます。

診断対象はWebアプリ・プラットフォーム・スマホアプリ・クラウドなど幅広く、ブロックチェーンやIoT/OTといった専門性の高い領域にも対応します。攻撃者視点のペネトレーションテストやレッドチームオペレーションも手がけ、診断はSANSの専門トレーニング修了者やCISSP・OSCP・GIAC等の資格保有者が担当します。

料金は対象や範囲に応じた個別見積もりが基本で、ペネトレーションテストは公式に800万円〜（税別）を提示しています（プロジェクト全体で2.5カ月程度が目安）。金融機関や上場企業を中心とした診断実績があり、高度なセキュリティが求められる対象に向きます。

8. セキュリティ診断・TLPT（株式会社ラック）

1995年から診断サービスを提供する株式会社ラックのセキュリティ診断・TLPTです。脆弱性を網羅的に洗い出す脆弱性診断と、攻撃者視点の疑似攻撃で侵入後の影響範囲まで確認するペネトレーションテストを、明確に分けて提供します。

診断対象はWebアプリ・サーバ・ネットワーク機器・スマホアプリ・クラウド設定など多岐にわたり、レッドチームとブルーチームが攻防するTLPT（脅威ベースのペネトレーションテスト）まで扱います。攻撃側の知見に加え、監視拠点JSOCやサイバー救急センターで培った防御側のノウハウを併せ持ちます。

料金は対象規模により変わり、情報システムペネトレーションテストは700万〜1,000万円（税抜）、TLPTは1,000万円程度からが公式の目安です。診断からインシデント発生時の緊急対応までを、同じ事業者にまとめて相談したい企業に向きます。

9. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

三井物産の100%出資によるサイバーセキュリティ専門企業、三井物産セキュアディレクション（MBSD）の脆弱性診断サービスです。2001年のWebアプリケーション診断から診断事業を続け、セキュリティエンジニアが攻撃者の視点で脆弱性を診断・評価します。

診断は専門家の手動診断を主体に、網羅性を担保する独自の補助ツールや商用ツールを組み合わせて実施します。Webアプリ・ネットワーク・スマホアプリの診断に加え、ペネトレーションテストやTLPT、IoT機器の診断までメニューをそろえます。

脆弱性診断の累計は8,000件以上（2017年4月〜2024年3月）、公共・政府機関の案件も過去5年で70件以上を数えます。発見した未公表の脆弱性はJVNへ累計200件以上報告しています。料金は診断範囲・対象に応じた個別見積もりで、要問い合わせです。

10. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

エヌ・ティ・ティ・セキュリティ・ジャパンは、NTTセキュリティホールディングスを親会社とするNTTグループのセキュリティ専業会社です。専門家が複数のツールを組み合わせて網羅的に診断する脆弱性診断を中核に、アセスメントやRedTeam、感染端末調査までを扱います。

脆弱性診断は、専門家が実施するWebアプリケーション／プラットフォーム診断と、QualysやTenableを使って顧客自身が継続的に脆弱性を把握するセルフ診断を選べます。攻撃者視点で人・プロセス・技術の耐性を評価するRedTeam/TLPTや、経済産業省の評価基準に基づくSCS評価制度アセスメントにも対応します。

IoT機器や工場向け制御システム（OT）の診断メニューも持ち、サプライチェーン全体のセキュリティ評価を求められる依頼にも応じられます。料金は全メニューが要問い合わせで、診断対象の範囲・規模に応じた個別見積もりです。

11. Webアプリケーション診断サービス（Sky株式会社）

IT資産管理製品「SKYSEA Client View」で知られるSky株式会社が、2022年に始めたセキュリティ診断ソリューションの一つです。本サービスはWebアプリケーションを対象に、セキュリティエンジニアがリモートで脆弱性を診断します。

SQLインジェクションやクロスサイトスクリプティングなどを162項目をベースに横断的に検査し、検出した脆弱性をCRITICALからINFOまで5段階のリスクレベルに分類して報告します。開発者が修正しやすいよう再現手法を含むレポートを作成し、危険度の高い脆弱性はメールで速報します。

診断開始から最短5〜6営業日で報告し、重要な箇所にはオプションでペネトレーションテストを組み合わせられます。Web・スマートフォンアプリ・IoT・クラウドまで対象をそろえたメニューの一部で、料金は要問い合わせです。

12. ペネトレーションテスト（グローバルセキュリティエキスパート株式会社）

東証グロース市場に上場するグローバルセキュリティエキスパート（GSX）のペネトレーションテストは、「FindRisk」シリーズの一つです。実際の攻撃者の視点で疑似攻撃を行い、システムへの侵入可否から侵入後の内部横展開、データの持ち出しまでを検証します。

想定シナリオを、外部ネットワークからの攻撃、内部のActive Directoryへの攻撃、マルウェア感染を起点としたレッドチーム評価の3種類に体系化し、検証したい攻撃経路を選んで依頼できます。OSINTやポートスキャンから権限昇格、内部横展開までの攻撃プロセスをたどります。

診断エンジニアは全員がCEH（認定ホワイトハッカー）資格を保有し、IPAの情報セキュリティサービス基準適合サービスリストにも登録されています。顧客が開発したWebアプリケーション固有の脆弱性検査は範囲外で、必要な場合は別のWebアプリケーション診断と組み合わせます。料金は要問い合わせです。

ハイブリッド・対象特化型（ツール＋専門家／ネットワーク・クラウド等）

最後に、自動と手作業を組み合わせたり、ネットワークやクラウドなど特定の対象に強みを持つサービスを紹介します。

13. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker株式会社が自社開発したAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。ソースコードや設計書を対象とするAI診断から、稼働中のWebアプリ・APIへの動的診断、実践攻撃シミュレーション診断（ペネトレーションテスト）までをメニューにそろえます。

ソースコードAI診断は本番環境に影響を与えずに解析でき、AIで広く洗い出したうえで専門家がレポートを仕上げます。プレスリリースでは、診断開始から最短3営業日での報告書納品を掲げています。

料金は、ソースコードのAI解析のみのプランが15万円、ソースコード診断と動的診断を組み合わせたプランが50万円からで（いずれも税区分の記載はありません）、上位プランには再診断が1〜2回付きます。

14. セキュア・レントゲン（株式会社クワッドマイナージャパン）

NDR製品「Network Blackbox」のフルパケットキャプチャ技術を用いて、ネットワークを実際に流れる通信を全数検査するリスク診断サービスです。提供元は株式会社クワッドマイナージャパンで、Webアプリの脆弱性スキャンとは異なり、外部からの脅威だけでなく内部に侵入・潜伏した脅威まで洗い出します。

IT環境に加えてOTプロトコルにも対応し、工場のネットワークを含めて診断できます。スイッチにミラーリング方式で接続するため、顧客側の作業はミラーリング設定のみで、障害が起きてもネットワーク本体に影響しません。

診断は最短1カ月のスポット型で、検出した脅威と対策案をまとめた5構成のレポートと報告会で結果を共有します。料金は分析手法やトラフィック量、設置台数によって変わる個別見積もりで、要問い合わせです。

なぜ外部対策を固めた企業でも内部の診断が必要になるのか。提供元の株式会社クワッドマイナージャパンの白垣氏は、金融機関を例に次のように話します。

15. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

脆弱性診断を中核に、復旧と補償まで束ねたパッケージが、株式会社SYNCHROの国産ネットワーク技術「KATABAMI」を用いた本サービスです。脆弱性診断「KATABAMI VDP」は、ネットワークの内部から月に1回のペースで約600項目を検査し、A〜Eの5段階評価と改善策をレポートします。

複合機やネットワーク機器など、外部スキャンでは見えにくい内部起点の弱点まで対象にします。従来は専門家が客先に出向いていた内部診断をKATABAMIの通信経路でリモート実施するため、立ち会いの工数を抑えて毎月継続でき、検出した弱点の対策は月次の相談会で伴走し、実装自体は利用企業が主体で進める設計です。

料金は診断する端末（ノード）数に応じて決まり、100ノード以下で年額90万〜150万円が目安です。診断に加えて、隔離した経路へのバックアップ（復旧）と、あいおいニッセイ同和損保のサイバー保険（補償）を組み合わせられます。

内部ネットワークの診断が従来どのように行われ、どのような負担があったのか。提供元の株式会社SYNCHROの北口氏は次のように話します。

16. SQAT（株式会社ブロードバンドセキュリティ）

手動診断と独自開発の自動診断を組み合わせたハイブリッド方式で、幅広い対象をカバーするのがSQAT（エスキュート）です。提供元の株式会社ブロードバンドセキュリティは2000年創業のセキュリティ専業企業で、Web・ネットワーク・スマホアプリ・IoT・クラウド設定・ソースコードまでをメニューにそろえます。

ソースコード診断とWebアプリ診断を併用し、内部からの検証（ホワイトボックス）と外部からの検証（ブラックボックス）を組み合わせるGlassBoxなど、対象や深さに応じて選べます。短納期メニューのSwift Deliveryでは、優先箇所に絞って報告書を最短7営業日で提出します。

診断実績は延べ10,300組織・64,280システム超（2025年6月時点）にのぼり、診断終了後3か月までの再診断に対応します。料金は診断対象の数量に応じた個別見積もりで、要問い合わせです。

17. Vex（株式会社ユービーセキュア）

株式会社ユービーセキュアが2007年から開発を続けるVexは、Webアプリケーションを主対象とする脆弱性検査ツールです。対象URLに疑似攻撃のリクエストを送り、応答を解析して脆弱性を確認するDAST方式を基盤に、ログイン後の画面遷移を再現するシナリオスキャンやAPI診断にも対応します。

自社で運用する年間ライセンスのほか、同社の診断士がツールと手作業を組み合わせて実施する診断代行も選べます。ツールは2026年4月にVexとVexCloudが統合され、用途別の3プラン（Team／Enterprise／Auditor）に再編されました。

ライセンスはTeamプランが年額66万円から、診断代行は5画面程度で42万5,000円（税込46万7,500円）からが公式の目安です。14日間・機能制限なしの無料トライアルも用意されています。

18. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）

専門家の手動診断を軸に、メニューに応じて自動ツールを併用するのがCloudbric脆弱性診断です。提供元はWAF製品で知られるペンタセキュリティ株式会社で、Webサイト、Webアプリケーション、API、サーバーやミドルウェアなどのプラットフォームまで6つのメニューで対象をカバーします。

診断項目は、同社が独自に収集する脅威インテリジェンスに基づいて設定され、検出後はWAFなどの対策提案まで支援します。診断の実施は、情報セキュリティサービス基準適合サービスリストに登録された株式会社ranryuに委託されています。

プラットフォーム診断のクイックスキャンは最短3営業日、ペネトレーションテストのエントリープランは目安5日間と、メニューによって期間が分かれます。料金は公式サイトに記載がなく、要問い合わせです。

19. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）

ネットワークからペネトレーションテストまで5つのメニューを持つ、NTTドコモソリューションズ株式会社（旧NTTコムウェア）のDSCBブランドの診断サービスです。ネットワーク・サーバ構成・Webアプリ・スマホアプリ・ペネトレーションテストを、ツールと専門家の手動検査を併用して診断します（Webアプリのライト版はツール診断のみ）。

診断はIPA「ウェブ健康診断仕様」やOWASP ASVSに準拠し、情報処理安全確保支援士やCISSPなどの有資格者が担当します。改修後の再診断は、ネットワーク診断とWebアプリ診断（スタンダード版）で報告書提出後3か月以内に最大3回まで無料です。

診断契約の合計金額が税抜80万円以上の場合は、支払限度額1,000万円のサイバー保険が無償で付帯します（保険のみの加入は不可）。料金は診断対象をヒアリングしたうえでの個別見積もりで、要問い合わせです。

20. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）

台湾発のセキュリティベンダーRayAegisの日本法人、株式会社レイ・イージス・ジャパンが提供する脆弱性診断・ペネトレーションテストです。AIを搭載した探査ツールと診断エンジニアの手動診断を組み合わせ、Webアプリケーション・プラットフォーム・モバイルアプリ・APIを対象とします。

診断項目はOWASP WSTG 4.2に基づき、手動を組み合わせるAIリモート診断で最大105項目、ツール中心のクイック診断で最大57項目を検査します。ページ数の多いサイトでも約1〜5営業日、モバイルアプリ診断は最短1日で実施します。

料金はFQDN（ドメイン）単位の定額制で、診断するページ数が増えても料金が変わらない設計です。具体的な金額は診断対象の規模に応じた見積もりで、公式サイトへの問い合わせが必要です。

無料ツール・成果報酬型という選択肢

予算が限られる場合やテスト用途では、専門会社への委託以外の選択肢もあります。使い方の見当をつけるために、代表的な2つを押さえておきましょう。

一つは無料のツールです。Vuls・OpenVAS・OWASP ZAP・Niktoといったオープンソースソフトウェア（OSS。無料で使えて改変もできるソフト）の診断ツールがあり、開発中のテストや個人開発、自社での一次チェックに使えます。

ただし、ツールの導入・運用や結果の読み解きは自社で担う必要があり、検出できる弱点も自動診断の範囲にとどまります。本番サービスの安全性を対外的に示したい場面では、専門会社の診断と役割が異なる点を理解して使い分けます。

もう一つは成果報酬型（バグバウンティ）です。これは、外部の技術者に弱点を探してもらい、見つかった弱点に応じて報酬を支払う仕組みで、スタートアップや新サービスの検証などで活用されます。常時さまざまな視点でチェックを受けられる一方、運用の設計や報告対応に一定の体制が求められるため、初めての一回限りの診断というより、継続的に安全性を高めたい段階で選択肢に入ります。

無料ツールでの自社チェックと専門会社への依頼のどちらで進めるか、具体的な手順や費用の目安から比べて決めたい場合は、次の記事が参考になります。

まとめ

初めての脆弱性診断の依頼は、範囲を「対象×深さ」で決めることから始めると迷いが減ります。外部に公開していて影響の大きい資産から優先して深い診断を割り当て、自社に向くタイプ（自動か、手作業か、その組み合わせか）を見極めるのが出発点です。

費用は範囲・手法・規模・報告と再診断で変わるため、対象URL・ページ数・フォーム数・画面遷移などの情報をそろえて複数社から同条件で見積もりを取ると、金額の差の理由が読み取れます。

依頼先は、実績・体制に加えて情報セキュリティサービス基準への適合を公的な台帳で確かめ、報告書の詳しさや再診断・報告会・QAサポートまで含めて選ぶと、診断結果を実際の改善につなげやすくなります。自社の対象・予算に合う候補を数社に絞り、見積もり依頼や資料請求に進めてみてください。

よくある質問（FAQ）

Q. 脆弱性診断とは何ですか？

A. 脆弱性診断とは、自社が公開・運用するWebサービスやサーバなどに潜むセキュリティ上の弱点を、攻撃を受ける前に外部の専門会社が検出・評価するサービスです。

診断対象は、Webアプリケーション・サーバやネットワーク機器（プラットフォーム）・スマートフォンアプリ・クラウドの設定・ソースコードなどが代表的です。調べ方には、ツールが自動で巡回して既知の弱点を検出する自動診断と、診断員が手作業で深く検証する手動診断があり、対象と求める精度に応じて選びます。

Q. 脆弱性診断の見積もりには何を伝えればよいですか？

A. 脆弱性診断の見積もりでは、診断対象のURL・ページ数（画面数）・入力フォームの数・ログイン後の画面遷移・ソースコードの提供可否・希望する手法と時期・予算感を伝えると精度が上がります。

これらがそろうと、依頼先は作業量を見積もりやすくなり、やり取りの回数も減ります。開発中で外部から画面を見られない場合は、スクリーンショットや画面遷移図を用意すると確認がスムーズです。情報がまだ固まっていなくても、分かる範囲で伝えれば依頼先が範囲の切り方を一緒に整理してくれることもあります。

数え落としやすいのが、サブドメインや管理画面など複数のサイトを1件とまとめてしまうケースです。別URLはすべて洗い出して伝えると、見積もり後に対象が増えて金額が変わる事態を防げます。

Q. 脆弱性診断の費用はなぜ数万円から数百万円まで開くのですか？

A. 脆弱性診断の費用が大きく開くのは、診断範囲・診断手法・対象システムの規模・報告と再診断の対応という4つの要因で、作業量と単価が変わるためです。

目安としては、小規模なWebサイトを自動診断中心で調べる場合は数万円〜数十万円、ECサイトや社内システムを自動と手作業の組み合わせで診断する場合は数十万円規模、官公庁・金融・医療のように攻撃の影響が大きいシステムを専門家が手作業で深く診断する場合は100万円を超えることもあります。正確な金額は自社の対象・規模に対する個別見積もりで確かめるのが確実です。

金額だけで比べるときの注意点として、同じ「Webアプリ診断」でも自動中心か手作業かで検出できる弱点の深さが変わります。見積もりは手法まで含めて並べると、安さの裏にある診断範囲の差に気づけます。

Q. 脆弱性診断の診断範囲はどう決めればよいですか？

A. 脆弱性診断の範囲は、「何を診断するか（対象）」と「どこまで深く診断するか（深さ）」の掛け合わせで決めます。

すべてを最大の深さで頼むと費用はふくらむため、外部に公開していて個人情報や決済を扱う資産から優先して、深い診断を割り当てるのが現実的です。社内だけで使う管理画面や静的な情報ページは、まず自動診断で様子を見るといった配分も検討できます。この2軸が定まると、見積もりも依頼先選びも進めやすくなります。

迷ったときの目安は、「その資産が攻撃され、個人情報や決済が漏れたら事業に大きな影響が出るか」です。影響が大きい資産から深い診断を割り当てると、優先順位をつけやすくなります。

Q. 脆弱性診断のツールによる自動診断と専門家の手動診断は何が違いますか？

A. 両者の違いは、自動診断は短時間で広い範囲の既知の弱点を低コストで検出でき、手動診断は診断員が業務ロジックの不備や権限管理の抜けまで深く検証できる点です。

自動診断は費用を抑えやすく、リリースのたびに繰り返し診断する運用や、まず範囲を広く安く確かめたい初回依頼に向きます。手動診断は誤検知が少なく悪用可能性まで評価できるため、個人情報・決済・金融といった攻撃の影響が大きい資産に向きます。両方を組み合わせ、自動で広く検出して重要箇所を専門家が深掘りするハイブリッド型もあります。

つまずきやすいのは、自動診断の結果だけで高リスクな資産まで安全と判断してしまうことです。決済や権限管理が絡む機能は、自動で広く調べたうえで手作業の確認を重ねると、見落としを防げます。

Q. 脆弱性診断とペネトレーションテストは、どちらを依頼すべきですか？

A. 脆弱性診断は弱点を網羅的に洗い出す診断、ペネトレーションテストは攻撃者の視点で特定の目的まで侵入できるかを試すテストで、目的が異なります。

まず自社の弱点を幅広く把握したい段階では脆弱性診断が適し、重要資産に実際に侵入されるリスクを確かめたい段階ではペネトレーションテストが選択肢になります。高リスクな対象では両方を組み合わせることもあり、どちらを受けるべきか迷う場合は、診断範囲とあわせて依頼先に相談するのが確実です。

Q. 脆弱性診断を依頼してから報告までの流れはどうなりますか？

A. 脆弱性診断の依頼は、問い合わせ・ヒアリング→範囲調整（スコーピング）→契約→診断の実施→報告書の納品→再診断という流れで進みます。

範囲調整で対象・手法・深さをすり合わせて見積もりを確定し、内容に納得したうえで契約に進むのが基本です。診断は多くがリモートで行われ、外部から接続できない環境では機材を持ち込むオンサイト対応もあります。危険度の高い弱点が見つかった場合、報告書を待たずに速報として連絡する依頼先もあります。

見落としやすいのは、範囲調整や社内の稟議に思ったより日数がかかる点です。締め切りがある場合は、診断の実施期間だけでなく契約前のやり取りも含めて逆算すると、間に合わせやすくなります。

Q. 脆弱性診断では、修正後の再診断は含まれますか？

A. 再診断が標準で含まれるか、オプションか、1回無料かは依頼先によって異なります。

報告書で指摘された箇所を修正したあと、本当に直ったかを確認する再診断があってはじめて、対策が完了したと言えます。そのため、再診断の扱いは見積もり段階で確認しておきたい項目です。あわせて、報告内容を説明する報告会や、納品後に質問できるQAサポートの有無も確認しておくと、診断結果を実際の改善につなげやすくなります。

注意したいのは、再診断に「報告書提出から3か月以内」などの期限が設けられている場合があることです。社内の修正スケジュールと照らし、期限内に再診断を受けられるかを契約時に確かめておくと安心です。

Q. 脆弱性診断の依頼先が信頼できるかは、どう確認すればよいですか？

A. 脆弱性診断の依頼先は、診断実績・診断体制に加えて、経済産業省が定めた「情報セキュリティサービス基準」への適合を、SSS-ERC（情報セキュリティサービス基準審査登録制度）が運営する公的な台帳で確認できます。

この台帳では、各サービスの登録番号・登録年月日・有効期限・対象とする分野などを自分で確かめられ、広告色の強い比較に頼らず、公的な台帳で適合を確認できます。ただし台帳の「サービスの概要」欄は事業者からの申請情報で審査対象外のため、適合の有無は台帳の事実として、得意分野などは各社の自己申告として読み分けると誤解がありません。

判断を誤りやすいのが、公式サイトの「基準適合」の表示だけで決めてしまうケースです。どの診断メニューが登録対象かは台帳で確認でき、依頼したい診断と登録範囲が一致しているかまで見ると確実です。

脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、脆弱性診断を依頼できるサービスの最新資料を無料で一括請求できます。診断手法や対象、費用感、再診断の有無を見比べながら、自社に合う依頼先を効率的に絞り込めます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。