セキュリティテストの実績で選ぶ脆弱性診断サービス｜診断件数・導入事例・有資格者で依頼先を見極める

自社のWebサービスや社内システムの弱点を、攻撃を受ける前に洗い出したい。そう考えてセキュリティテスト（脆弱性診断・ペネトレーションテスト）の依頼先を探し始めると、数多くの診断会社やツールが見つかり、どこに任せれば安心できるのか判断に迷います。

価格は数万円から数百万円まで開きがあり、安い診断が品質に見合うのか、形だけのスキャンで重大な欠陥を見逃されないかという不安もつきまといます。こうした場面で依頼先を見極める手がかりになるのが、各社の「実績」です。診断件数や導入業種、公的機関・大手企業との取引、有資格者の体制、第三者による評価の有無は、そのベンダーがどれだけ経験を積み、品質を外部から確かめられているかを映します。

本記事では、セキュリティテストの実績を読み解くときに確認したいポイントを整理したうえで、主要な脆弱性診断・セキュリティテストサービスの実績を同じ観点で比較します。実績の数字や認証が何を意味するのかを押さえれば、自社の規模・業種・求める精度に合う依頼先を、根拠を持って選べるようになります。

セキュリティテスト（脆弱性診断・ペネトレーションテスト）の実績とは

はじめに、この記事が扱う「セキュリティテスト」の範囲を整理します。実績を比較する前に、何に対する実績なのかをそろえておくと、各社の数字を同じ土俵で読めるようになります。

企業向けのセキュリティテストは、おもに脆弱性診断とペネトレーションテストを指します。脆弱性診断は、WebアプリケーションやネットワークにツールやエンジニアがアクセスしてOSやミドルウェア・アプリケーションの既知の弱点を洗い出す作業です。ペネトレーションテスト（侵入試験）は、実際の攻撃者の手口を模して「どこまで侵入できるか」を検証し、弱点が組み合わさったときの実害を確かめます。

Webアプリケーションを対象とする診断では、OWASP Foundation が公開する「OWASP Top 10」などが参照される基準の例として挙がります。どの基準に沿って診断するかは、各社の対応範囲や報告書の内容を確認するときの目安になります。

検索で「セキュリティテスト 実績」と調べると、ウイルス対策ソフト（アンチウイルス製品）の第三者機関テストでの受賞実績を紹介するページも見かけます。これは製品の検知性能を評価するもので、自社システムの弱点を洗い出す診断サービスとは目的が異なります。本記事が扱うのは後者の、自社のWebサービス・システムに対して脆弱性診断やペネトレーションテストを実施してくれる依頼先の実績です。

依頼先の実績として確認できる情報には、累計の診断件数、導入した企業の業種・規模、公的機関や大手企業との取引、診断を担う技術者の保有資格、第三者が品質を評価した登録や認証などがあります。次の章では、これらをどう読み解けば信頼の判断に使えるのかを順に見ていきます。

実績で信頼できる依頼先を見極めるポイント

ここからは、各社が掲げる実績を自社の判断材料に変えるための見方を5つの観点から解説します。数字や認証をそのまま受け取るのではなく、「何を意味するのか」を押さえると、見かけの派手さに惑わされずに比較できます。

診断件数・導入実績の数字をどう読むか

診断件数や導入社数は、そのベンダーがどれだけ多くの現場を経験してきたかを示す代表的な実績です。件数が多いほど、多様なシステム構成や攻撃パターンに触れ、知見が蓄積されていると期待できます。

ただし、数字の集計範囲には注意が必要です。「累計◯万件」という表示が、診断の実施回数なのか、依頼企業の社数なのか、あるいはツールによる自動スキャンの延べ回数なのかで、重みは変わります。自動スキャンの延べ回数は大きくなりやすい一方、エンジニアが手動で深く検証した件数とは質が異なります。

たとえば「◯万回」はツールの延べ実行回数、「◯組織」「◯社」は依頼した組織・企業の数を指すことが多く、後半の比較表でも単位（件・社・組織・回）が各社で異なります。数の大小だけで優劣を判断せず、単位をそろえて読むことが大切です。

自社が求めるのが手動中心の精緻な診断なら、ツールの実行回数ではなく手動診断の実績を確認するとよいでしょう。件数を公表していないベンダーもありますが、その場合でも後述する第三者認証や事例で経験を推し量れます。

自社に近い業種・規模の事例があるか

総件数以上に判断材料になりやすいのが、自社と近い業種・規模での導入事例です。金融機関やECサイト、公的機関など、業種ごとに守るべき情報や想定される攻撃、準拠すべき基準は異なります。自社と同じ領域での診断経験があるベンダーは、その業界特有のリスクや、報告書を社内・監督官庁に説明する際の勘所を把握しています。

事例を見るときは、企業名のロゴが並んでいるだけでなく、どのサービス（脆弱性診断・ペネトレーションテストなど）でどんな課題を解決したのかまで示されているかを確認すると、実態に近づけます。公的機関や金融機関との取引が公開されている場合、厳格な調達・審査を通過した実績として読めます。

有資格者・診断体制（情報処理安全確保支援士・CISSP・OSCPなど）

診断の品質は、最終的には担当する技術者の力量に左右されます。そこで、どのような有資格者が在籍し、どんな体制で診断にあたるかも実績の一部として確認しておきたいところです。

国内の資格では、情報処理安全確保支援士（登録セキスペ）が代表的です。これはサイバーセキュリティ対策を担う人材の国家資格で、2016年10月の情報処理の促進に関する法律の改正で創設され、登録者には毎年の講習受講が義務づけられています。

ただし、この資格には弁護士のような独占業務がなく、「有資格者でなければ診断できない」という性質のものではありません。資格保有は診断の必須条件ではなく、技術者の専門性と体制を示すシグナルの一つとして読むのが適切です。

このほか、CISSP（国際情報システムセキュリティ認証）やOSCP（攻撃者視点の実技資格）といった国際的な民間資格の保有者数を公開しているベンダーもあります。資格の種類と保有人数、そして診断を実際に担うチームにその有資格者が含まれているかをあわせて見ると、体制の厚みを判断しやすくなります。

（出典）

出典・参考資料（1件）

• 出典：情報処理安全確保支援士（登録セキスペ）とは｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/riss/about.html）

第三者認証・適合サービス登録（ISMS・情報セキュリティサービス基準など）

自社では品質の良し悪しを判断しきれないとき、第三者による評価は有力な手がかりになります。ただし、認証や登録の種類によって「何を保証しているのか」が違うため、区別して読む必要があります。

診断サービスそのものの品質に最も近い公的な裏づけが、経済産業省が策定した「情報セキュリティサービス基準」への適合です。この基準では脆弱性診断サービスとペネトレーションテスト（侵入試験）サービスが専用のカテゴリとして設けられ、適合と判断されたサービスはIPA（独立行政法人情報処理推進機構）が「情報セキュリティサービス基準適合サービスリスト」として公開しています。

依頼先がこのリストに掲載されているかは、診断サービスの品質要件を第三者が審査した実績として参照できます。

ただし、このリストには留意点があります。IPA自身が次のように明記しているとおり、掲載はIPAによる保証を意味せず、適合性の審査・判定は日本セキュリティ監査協会（JASA）が運営しています。過度に「お墨付き」と受け取らず、第三者が基準で確認した実績という範囲で読むのが正確です。

IPAは、登録台帳からの掲載に際してサービス基準適合性の再確認・検証等を行っておりません。以下の各リストに掲載された事業者及びサービスについて、IPAによるいかなる保証等をも意味するものではありません。

出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）

一方、ISMS（ISO/IEC 27001）は、組織全体の情報セキュリティ管理体制を評価する第三者認証です。ベンダーが自社の情報を適切に管理している裏づけにはなりますが、診断サービスそのものの品質を保証する認証ではない点を踏まえて読むのが適切です。

クレジットカード情報を扱う事業者向けの基準であるPCI DSSも実績として挙げられることがあります。ここで注意したいのは、PCI DSSはカード情報を扱う事業者（加盟店など）が満たす基準であって、診断ベンダー自身が取得する認証ではないことです。

診断会社側の実績として読めるのは、PCI SSC（PCI Security Standards Council）が外部脆弱性スキャンの実施を承認した事業者であるASV（Approved Scanning Vendor）であること、あるいはPCI DSS準拠を支援できることです。「PCI DSS対応」という表記を見たときは、どちらの意味かを確かめることが大切です。

（出典）

出典・参考資料（3件）

• 出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/service_list.html）
• 出典：ISMS適合性評価制度｜情報マネジメントシステム認定センター（ISMS-AC）（https://isms.jp/isms.html）
• 出典：Glossary（Approved Scanning Vendor）｜PCI Security Standards Council（https://www.pcisecuritystandards.org/about_us/glossary/）

報告書の質・再診断の有無

診断の価値は、見つかった弱点を自社が修正できて初めて実を結びます。その橋渡しをするのが報告書です。実績を見るときは、件数や認証だけでなく、成果物として受け取る報告書の質まで確認したいところです。

具体的には、検出した脆弱性に危険度のランク付けがあるか、再現手順や修正方法まで示されるか、開発者が理解できる粒度で書かれているかが目安になります。

あわせて、指摘を修正したあとに再診断を受けられるか、その費用は初回に含まれるか別料金かも確認しておきたい点です。無償の再診断が付くベンダーは、修正完了までを実績として支える姿勢があると読めます。報告会で結果の説明を受けられるかどうかも、社内に展開するうえで差が出ます。

実績を見る観点が整理できたら、自社の状況に合う診断サービスを絞り込んでみましょう。次の診断ツールでは、企業規模・診断したい対象・重視する実績の種類を選ぶと、条件に近いサービスを提案します。

実績で選ぶ脆弱性診断・セキュリティテストサービス比較

ここからは、主要な脆弱性診断・セキュリティテストサービスの実績を同じ観点で並べて比較します。対応する診断の種別や診断手法に加え、診断実績・体制や有資格者・第三者認証・料金の目安を一覧で確認できるよう整理しました。各社の詳細は比較表の下の個別紹介で解説します。

主要な脆弱性診断・セキュリティテストサービスの詳細

ここからは、比較表で取り上げた各サービスについて、提供会社・診断の対応範囲・公開されている実績や体制を具体的に紹介します。掲載の順序は実績の優劣を示すものではないため、各社の実績は紹介文と比較表の該当列で見比べてください。

紹介は、専門家が手を動かす委託型の診断会社、手動と自動を組み合わせるハイブリッド型、自動診断を主体とするツール型SaaS の順に並びます。自社に近い業種・規模の導入事例があるかは、各社の実績の記述を手がかりに確認してください。

1. Aikido Security（株式会社AndGo）

Aikido Security は、ベルギーの Aikido Security BV が開発し、日本では株式会社AndGo が正規代理店として提供するセキュリティSaaSです。AndGoが管理画面・ドキュメントの日本語対応と導入・運用支援を担い、国内では月額5万円台から（年間契約・利用者10人までの場合）案内されています。

対応範囲は、ソースコードの静的解析（SAST）、オープンソース依存関係の脆弱性検査（SCA）、クラウド設定の検査（CSPM）、コンテナイメージ検査、DAST、AIによるペネトレーションテストなどで、これらを1つの画面で運用できます。検出した脆弱性には修正コードのプルリクエストを自動生成するAutoFixを備え、人のレビューを経てから修正に進める流れです。

実績の面では、開発元のAikido Security BVがSOC 2 Type II・ISO/IEC 27001:2022・ISO/IEC 42001に準拠し、外部ペネトレーションテストを年次で実施しています。

日本での提供元であるAndGoは、グローバルで5万社を超える組織・10万人以上の開発者に利用されていると発表していますが、これは開発元が公表するグローバルの数値で、日本国内単独の導入実績ではありません。

診断を開発の工程に組み込んで継続的に回す動きについて、Aikido Security を国内提供する株式会社AndGo の原氏は、AIを使った侵入テストの今後を次のように話しています。

2. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker株式会社は、システム開発・ITコンサルティング・セキュリティを手がける2019年設立の企業で、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家によるレビューを組み合わせた脆弱性診断サービスを提供しています。

診断対象はソースコードや仕様書・設計書、稼働中のWebアプリケーション・APIで、メニューはソースコードAI診断・動的脆弱性診断（Web/API）・実践攻撃シミュレーション診断（ペネトレーションテスト）の3つに分かれます。ソースコードAI診断は本番環境に影響を与えずに実施でき、プレスリリースでは診断開始から最短3営業日でPDF形式の報告書を納品するとしています。

公開されている導入事例としてはBiPSEE社のVRうつ病治療システムへの診断があり、Webアプリケーション・APIエンドポイント・ユーザー認証やデータ通信を対象に実施されました（導入社数や検出件数の公表は確認できていません）。

公開されている料金では、ソースコードAI診断が15万円、動的診断まで含むプランは50万円からとされ、上位プランには再診断（Standardで1回、Professionalで2回）が付きます（税区分の明記はありません）。

3. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

ホワイトハッカーを多数擁するサイバーセキュリティ専門企業で、専門家が手を動かす脆弱性診断とペネトレーションテストを中核に据えています。診断メニューはWeb・スマホアプリ・クラウド・ネットワークからNFT・ブロックチェーン、IoT機器まで13種に及びます。

診断は国際基準のOWASP Top 10やASVSに対応し、IoT機器を対象とする機器検証サービスは経済産業省の情報セキュリティサービス基準に適合（登録番号019-0004-50）しています。公式サイトでは累計の診断件数16,000件超、在籍するホワイトハッカー200名以上を公表しており（集計時点の明記はなし）、手を動かす診断の経験量を実績として示しています。

出典・参考資料（1件）

• 出典：導入事例・実績（Our Track Record）｜GMOサイバーセキュリティ byイエラエ（https://gmo-cybersecurity.com/case）

4. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）

野村総合研究所グループのセキュリティ専業会社が提供する、手動診断を主体としたセキュリティ診断・ペネトレーションテストです。Webアプリケーション・プラットフォーム・スマホアプリ・API・クラウド・ソースコードからブロックチェーン、IoT/OTまでをワンストップで診断します。

診断を担うのは米国SANS Instituteの専門トレーニング修了者やCISSP・OSCP・GIACなどの国際資格保有者で、ペネトレーションテストは国際団体CRESTの認定を受けています。Webアプリケーション診断のページでは、銀行・証券など高度なセキュリティが求められる金融機関や東証一部上場企業を中心とした実績を挙げています。

累計の診断件数は公式に公表していませんが、会社としてISO/IEC 27001を2003年に全社で取得しています。料金はメニューごとの個別見積りで、ペネトレーションテストサービスは800万円〜（税別）と明示されています。

5. セキュリティ診断・TLPT（株式会社ラック）

株式会社ラックは1995年から診断サービスを提供し、2000年に設置したセキュリティ監視センター「JSOC」を運営しています。脆弱性を網羅的に洗い出す脆弱性診断と、攻撃者視点で侵入後の影響範囲まで確かめるペネトレーションテスト・TLPT（脅威ベースのペネトレーションテスト）を区別して提供します。

攻撃側の脅威情報・攻撃手法の知見と、JSOCやサイバー救急センターで培った検知・対応ノウハウの両方を持つ点を軸に据えています。TLPTでは、想定した攻撃シナリオに沿って新規システムや既存の社内システムへの侵入を試み、検知・対応の態勢までを実戦形式で評価します。

料金は、情報システムペネトレーションテストが標準シナリオで700万〜1,000万円（税抜）、TLPTが1,000万円程度〜と公式に示されています。会社としてISO/IEC 27001などを取得しています。

6. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

三井物産が100%出資するサイバーセキュリティ専門企業で、2001年のWebアプリケーション診断から診断事業を続けています。セキュリティエンジニアによる手動診断を主体に、網羅性を担保する独自ツール・商用ツールを組み合わせて診断します。

公式サイトでは、2017年4月〜2024年3月の脆弱性診断累計で8,000件以上という実績を示し、内訳としてWebアプリケーション診断4,300サイト以上、ネットワーク診断3,200案件、スマホアプリ診断500件以上を挙げています。公共・政府機関の案件は過去5年間の累計で70件以上とし、総務省・防衛省などの名前を挙げています。

導入事例にはヤマハ発動機やセブン＆アイ・ホールディングスなどが並びます。JVN（脆弱性情報データベース）へ新規の脆弱性を累計200件以上報告しており、本体はISO/IEC 27001とISO 9001を取得しています。

出典・参考資料（1件）

• 出典：脆弱性診断サービスの診断実績（公式トップページ）｜三井物産セキュアディレクション（https://www.mbsd.jp/）

7. SQAT（株式会社ブロードバンドセキュリティ）

SQAT（エスキュート）は、2000年創業のセキュリティ専業企業である株式会社ブロードバンドセキュリティ（東証スタンダード上場）の脆弱性診断ブランドです。精度の高い手動診断と独自開発の自動診断を組み合わせるハイブリッド方式で診断します。

公式サイトでは、延べ10,300組織・64,280システム超（2025年6月時点）の診断実績を掲げています。Web・ネットワーク・スマホアプリ・IoT・クラウド・ソースコードからペネトレーションテストまで対象が広く、短納期メニュー「SQAT with Swift Delivery」では報告書を最短7営業日で提出します。

会社としてISMS・プライバシーマーク・ISO 9001を取得し、PCI SSCからQSAやP2PEなどのアセッサー認定を受けています。料金は診断範囲に応じた個別見積りです。

出典・参考資料（1件）

• 出典：SQAT 診断実績（公式サイト）｜株式会社ブロードバンドセキュリティ（https://www.sqat.jp/）

8. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTTグループのサイバーセキュリティ専業会社で、NTTセキュリティホールディングスの100%子会社です。専門家が複数のツールを組み合わせる脆弱性診断、顧客自身が継続的に把握するセルフ診断、攻撃耐性を評価するRedTeam/TLPTまでを扱います。

経済産業省の評価基準に基づき、サプライチェーン全体のセキュリティ対策状況を診断する「SCS評価制度アセスメント」をメニューに含みます。会社としてISMS認証（認証番号22127-ISMS-001）を取得しています。

一方で、診断件数や導入社数といった具体的な実績数値は公式サイトで公表しておらず、料金も全メニューが問い合わせ対応です。実績を定量的に比較したい場合は、資料請求で診断範囲や体制を確認する形になります。

9. Webアプリケーション診断サービス（Sky株式会社）

IT資産管理製品「SKYSEA Client View」で知られるSky株式会社が、2022年1月から提供するセキュリティ診断ソリューションの一メニューです。セキュリティエンジニアがリモートで、SQLインジェクションやクロスサイトスクリプティングなどの脆弱性を検出します。

診断は162項目をベースに実施し、検出した脆弱性をCRITICALからINFOまでの5段階に分類して報告します。開発者向けに再現手法を含めたレポートを作成し、高リスクの脆弱性を検出した際はメールで速報します。報告は最短5〜6営業日程度で、重要箇所にはオプションでペネトレーションテストを追加できます。

脆弱性診断サービス単独の導入社数・診断件数は公式に公表されていません。会社としてISO/IEC 27001やプライバシーマークを取得していますが、診断サービスが審査範囲に含まれるかは公式に明示されていません。

10. Vex（株式会社ユービーセキュア）

Vex（ヴェックス）は、NRIセキュアグループの株式会社ユービーセキュアが2007年から開発を続ける脆弱性検査ツールです。対象URLに疑似攻撃リクエストを送って応答を解析するDAST方式で、ツールの自社運用と、同社が手動診断を組み合わせて代行する診断サービスの両方を選べます。

同社の診断サービスは、Webアプリケーション診断・プラットフォーム診断・スマートフォンアプリ診断が経済産業省の情報セキュリティサービス審査登録制度に登録されており、PCI DSSの外部スキャンを担うASV認定も保有しています。本体はISO/IEC 27001を取得しています。

ツールの料金は年額制で、Team 66万円〜・Enterprise 300万円〜・Auditor 400万円〜の3プランがあり、14日間の無料トライアルを用意しています。診断代行は個別見積りで、5画面程度で425,000円（税込467,500円）〜という価格例が公式に示されています。

11. AeyeScan（株式会社エーアイセキュリティラボ）

AeyeScan（エーアイスキャン）は、株式会社エーアイセキュリティラボが提供するクラウド型のWebアプリケーション脆弱性診断ツールです。AIが利用者の操作に近い形でサイト内を巡回して診断シナリオを自動生成するため、対象URLを登録するだけで診断を始められます。

公式サイトでは、有償契約500社以上（2026年10月時点）の導入を掲げ、アイフル・NTT東日本・カプコン・マネーフォワード・富士通・日本経済新聞社などを導入企業例として挙げています。会社としてISO/IEC 27001とISO/IEC 27017を取得し、データは国内リージョンに保存されます。

料金は用途やサイト数に応じた個別見積りで、1サイト・15日間の「One Shot」と、サイト数無制限・1年間の「Business」のプランがあります。2サイトまで試せる無料トライアルも用意されています。

出典・参考資料（1件）

• 出典：AeyeScan 導入実績（公式サイト）｜株式会社エーアイセキュリティラボ（https://www.aeyescan.jp/）

12. Securify（株式会社スリーシェイク）

株式会社スリーシェイクのSaaS型サービスで、外部公開資産を把握するASMと脆弱性診断を同じ基盤で扱えます。脆弱性診断は、画面遷移の巡回・疑似攻撃の送信・応答の検証を自動で実行するDAST方式で、実施する日時や頻度を指定した継続診断ができます。

API経由で診断を実行できるため、CI/CDパイプラインへの組み込みにも対応します。公式サイトには導入実績400社以上（時点の記載なし）とあり、脆弱性診断サービスが経済産業省の情報セキュリティサービス基準に適合（登録番号020-0025-20）していることを示すマークを掲げています。

料金は、検査対象1IP/FQDNの「STARTER」が月額5万円（年間60万円）、3IP/FQDN以上の「BASIC」が月額10万円〜で、いずれも診断回数に制限はありません。無料トライアルも利用できます。

13. VAddy（株式会社ビットフォレスト）

VAddy（バディ）は、株式会社ビットフォレストが提供するクラウド型のWebアプリケーション脆弱性診断ツールです。WebAPI・コマンドラインツール・cronと連携し、開発パイプラインに組み込んで夜間やリリース前に繰り返し自動スキャンを回せる点を主眼に置いています。

国内のSaaS型WAF「Scutum」と同じ開発・運用チームが手がけ、公式サイトには集英社・GMOペパボ・弁護士ドットコムなど導入企業のロゴと、サービス開始から10年を超える運用実績が示されています。本体はISMS（ISO/IEC 27001）・ISMSクラウドセキュリティ認証・プライバシーマークを取得しています。

初期費用は0円、料金は月額19,800円〜（税別）で、スキャン回数は無制限です。1週間の無料トライアルがあり、1ヶ月単位で契約できます。

14. SCT SECURE クラウドスキャン（三和コムテック株式会社）

三和コムテック株式会社が2004年から提供する（旧称 Hackersafe）、クラウド型の自動脆弱性診断サービスです。Webサイトとルータ・ファイアウォールなどのネットワーク機器を対象に、インターネット経由で毎日自動診断します。機器の設置やソフトのインストールは不要です。

PCI DSSが定める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使用します。

実績として、製品ページでは大手を含む200社以上での利用、2024年2月のニュースリリースでは2004年からの累計で300社以上・1,500万回以上の診断を公表しています（表記は時点により異なります）。経済産業省の情報セキュリティサービス基準適合リスト（登録番号019-0042-60）に登録されています。

料金は年単位で、標準の3IP/FQDNまでが初年度564,000円（税抜。ライセンス504,000円＋初期設定60,000円）、2年目以降は504,000円です。公式も幅や深さは手動診断のほうが上回ると位置づけており、スポット診断の合間を埋める継続的な自動診断を担います。

出典・参考資料（2件）

• 出典：SCT SECURE クラウドスキャン 製品ページ｜三和コムテック株式会社（https://product.sct.co.jp/product/security/cloud-scan）
• 出典：SCT SECURE クラウドスキャン 新マーク提供のお知らせ（累計実績）｜三和コムテック株式会社（https://www.sct.co.jp/news/cloud-scan-new-mark-released）

15. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）

クラウド型WAF「Cloudbric WAF+」で知られるペンタセキュリティ株式会社（韓国本社1997年、日本法人2009年）が提供するセキュリティ診断です。技術者による手動診断を軸に、メニューによって自動スキャンを組み合わせるハイブリッド方式で、Webサイト・Webアプリ・API・プラットフォーム・スマホアプリ・ペネトレーションテストの6メニューを用意しています。

診断の実施は株式会社ranryuに委託されており、この委託先の名義で、Webアプリ・プラットフォーム・Webサイト・API・スマートフォンアプリの5種が経済産業省の情報セキュリティサービス基準適合サービスリストに登録されています（登録番号021-0017-20、ペネトレーションテストは対象外）。本体はISO/IEC 27001を取得しています。

脆弱性診断単体の導入社数や診断件数、料金は公式サイトで公表されていません。実績や費用を確認するには、資料請求や問い合わせで診断範囲とあわせて照会する形になります。

16. ペネトレーションテスト・レッドチーム演習（株式会社サイバーディフェンス研究所）

2008年に伊藤忠商事の社内セキュリティ研究組織が分社化して設立された、手動主体のペネトレーションテストとレッドチーム演習を専門とする診断会社です。ネットワークや制御システム（ICS）、組み込み機器・IoT、Webアプリケーションを対象に、経験を積んだエンジニアが攻撃者の手口で侵入を試みます。

診断を担うエンジニアには、OSCPやOSCE、CRTOといった攻撃技術の資格保有者が在籍します。ネットワークペネトレーションテストは情報セキュリティサービス基準（JASA審査）に適合し、登録番号018-0006-60で公開リストに登録されています。

報告書は経営層向けの総合評価と技術者向けの詳細分析の2部構成で、診断中にも速報を提供します。公式サイトにはメルカリやクックパッド、freee、日立製作所などの導入実績が掲載されています。料金は対象の仕様や規模に応じた個別見積もりで、公開価格は提示されていません。

17. FindRisk ペネトレーションテスト（グローバルセキュリティエキスパート株式会社）

東京証券取引所グロース市場に上場するグローバルセキュリティエキスパート株式会社が、診断サービス群「FindRisk」の一つとして提供するペネトレーションテストです。実際の攻撃者の視点で疑似攻撃を行い、システムへの侵入可否から内部での横展開、データ持ち出しの可否までを検証します。

想定シナリオを3種類に体系化している点が特徴です。外部ネットワークからの攻撃（シナリオA）、社内のActive Directoryを狙う攻撃（シナリオB）、社内PCのマルウェア感染を起点にデータ持ち出しを検証するレッドチーム評価（シナリオC）から、検証したい攻撃経路を選んで依頼できます。

診断エンジニアは全員がCEH（認定ホワイトハッカー）を保有し、サービスはIPAの情報セキュリティサービス基準適合サービスリストに登録されています。一方で、利用企業が独自開発したWebアプリケーションの脆弱性は診断の対象外で、必要な場合はWebアプリケーション診断を別に組み合わせます。結果は報告会（デブリーフィング）で説明を受けられ、料金は問い合わせに応じた見積もりとなります。

18. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）

台湾発のセキュリティベンダー RayAegis の日本法人で、株式会社アリスと台湾の RayAegis Information Security が設立した合弁会社が運営します。AIを搭載した脆弱性探査ツールと診断エンジニアによる手動診断を組み合わせ、Webアプリケーション・プラットフォーム・モバイルアプリ・API を対象に脆弱性診断とペネトレーションテストを提供します。

診断項目はOWASPのWSTG 4.2に基づき、AIリモート脆弱性診断では最大105項目、AIクイック・ツール診断では最大57項目を確認します。ツール診断でもエンジニアが結果を確認して誤検知を除外し、担当するエンジニアはCISSP・CISM・CEHなどの資格を保有しています。

料金はFQDN単位の定額制で、画面数やページ数が多いサイトでも料金が増えない仕組みです。Webの脆弱性診断には3カ月以内の再診断、ペネトレーションテストには初回報告書作成後1年間の無償再診断が付きます。具体的な金額は問い合わせで確認してください。

実績以外の観点も含めた総合的な選び方

実績は信頼できる依頼先を絞り込む有力な手がかりですが、最後は実績以外の観点もあわせて総合的に判断することになります。ここでは、実績と並んで検討したい費用と、診断手法・対応範囲・サポートの見方を整理します。

費用と実績の関係（安い診断は品質に見合うか）

脆弱性診断の費用は、ツールによる自動診断なら数万円から、エンジニアが手動で深く検証する診断やペネトレーションテストでは数十万円から数百万円と幅があります。この差の多くは、診断にかける人手と深さの違いから生まれます。

安い自動診断は、既知の弱点を広く速く洗い出すのに向く一方、設計上の欠陥や複数の弱点を組み合わせた攻撃までは見つけにくい傾向があります。重要な個人情報や決済を扱うシステムでは、手動診断やペネトレーションテストで深く確かめる価値が高まります。

費用を比較するときは、金額の安さだけでなく、その価格でどの範囲をどの深さまで診断するのか、実績として示された診断の質と見合っているのかを合わせて判断することが大切です。費用相場の全体像は、カテゴリ全体を比較する別記事もあわせて参考にしてください。

診断手法・対応範囲・サポートなど実績以外の観点

実績が十分でも、自社が診断したい対象に対応していなければ依頼先として成り立ちません。Webアプリケーション・ネットワーク・スマートフォンアプリ・クラウド設定・ソースコードなど、診断したい範囲をカバーしているかをまず確認することが出発点になります。

診断手法が、ツールによる自動診断か、エンジニアによる手動診断か、両者を組み合わせたハイブリッドかも、求める精度と予算に直結します。継続的に開発を回すシステムなら、CI/CDに組み込んで定期的に診断できるサービスが運用に合います。

さらに、診断後の問い合わせ対応や修正の相談に乗ってくれるか、日本語で報告・やり取りができるかといったサポート面も、はじめて診断を依頼する企業には重要です。これらの観点を含めてサービス全体を横断的に比較したい場合は、カテゴリの総合比較記事を参照すると選択肢を広く見渡せます。

次の記事は、脆弱性診断サービスを費用相場・診断方法・選び方まで整理したカテゴリ全体の比較です。実績で絞り込む前に、どんな依頼先があるのかを広く見渡したい方はこちらもご覧ください。

まとめ

セキュリティテストの依頼先を実績で見極めるときは、診断件数の集計範囲、自社に近い業種・規模の事例、有資格者と診断体制、第三者認証や適合サービス登録、そして報告書の質と再診断の有無を、それぞれが何を意味するのかを踏まえて読み解くことが大切です。数字や認証の見かけだけでなく、自社が求める診断の深さや対象と見合っているかまで確認すれば、根拠を持って依頼先を選べます。

気になるサービスが見つかったら、資料で診断の対応範囲や実績、料金の詳細を確かめたうえで比較検討を進めてください。複数サービスの資料はまとめて請求できます。

よくある質問（FAQ）

Q. 無料トライアルやツール型の診断で、まず自社だけでセキュリティテストを試す場合に気をつけることは？

A. 無料トライアルやツール型の診断で自社だけで試す場合は、対象サイト数や期間が限られていて、本番相当の網羅的な確認にはならない点を踏まえ、検出されなかったことを安全の証明と受け取らないことが大切です。

多くのツール型サービスは、14日間や2サイトまでといった範囲でトライアルを用意しており、導入前に使い勝手や検出の傾向を確かめるのに向きます。ただし、試用はあくまで本格的な診断の前段階と位置づけ、重要なシステムでは診断範囲を広げられるか、開発のたびに繰り返し回せる運用に乗せられるかまで見極めると、トライアルの結果を過信せずに済みます。

Q. 海外ベンダーや代理店経由で提供されるセキュリティテストの実績は、どう読めばよいですか？

A. 海外ベンダーや代理店経由のセキュリティテストでは、公表される実績が「グローバル全体の数値」なのか国内単独なのか、認証や基準適合が開発元・提供元・診断の委託先のどの名義で取得されたものかを切り分けて読む必要があります。

たとえば開発元が海外にあるサービスでは、世界全体の導入社数が示されていても国内単独の実績とは限りません。また診断の実施を別会社に委託している場合、情報セキュリティサービス基準への登録が委託先の名義であることもあります。日本語での導入・運用支援や報告を誰が担うのか、国内の問い合わせ窓口があるかもあわせて確認すると、実態に近づけます。

Q. セキュリティテストで見つかった脆弱性の修正は、自社で行うのですか、それとも依頼先に任せられますか？

A. セキュリティテストは弱点を見つけて報告するところまでが基本の範囲で、実際の修正は自社の開発側で行うのが一般的です。

ただし、報告書に危険度のランクや再現手順だけでなく修正方法まで記載するサービスや、検出した脆弱性に対する修正コードを自動生成する機能を備えるツール、修正方針の相談に乗る報告会・サポートを用意する依頼先もあります。修正まで見据えるなら、報告書の具体性と、修正段階でどこまで支援を受けられるかを事前に確認しておくと、診断後に社内で動きやすくなります。

Q. セキュリティテストの再診断は、初回の費用に含まれますか？

A. セキュリティテストの再診断が初回費用に含まれるかは依頼先ごとに異なり、無償で付くもの、回数や期間が決められているもの、別料金になるものがあります。

たとえば上位プランに再診断を一定回数含めるサービスや、Web診断は一定期間内・ペネトレーションテストは報告書作成後の一定期間内の再診断を無償とするサービスがあります。指摘された弱点を修正したあとに同じ対象を再度確認できるかは、修正完了まで到達できるかに直結します。再診断の回数・対象範囲・期限・費用の扱いを、見積もりの段階で確かめておくと安心です。

Q. 公開前の新規サービスと、長期運用中のシステムとで、セキュリティテストの依頼先の選び方は変わりますか？

A. 変わります。セキュリティテストは、公開前の新規サービスならリリース前の総点検に向く診断を、長期運用中のシステムなら変更のたびに繰り返し確認できる継続的な診断を軸に依頼先を選ぶとかみ合いやすくなります。

新規公開前は、対象を手動も含めて網羅的に診断し、必要に応じて侵入耐性まで確かめる形が向きます。一方、機能追加を続けるシステムでは、CI/CDパイプラインに組み込んで自動で繰り返しスキャンできるサービスや、毎日自動で診断するサービスが運用に乗せやすくなります。どちらの使い方を想定しているかを依頼先の得意分野と照らすと、候補を絞り込めます。

Q. セキュリティテストは依頼してから結果が出るまでどのくらいかかりますか？

A. セキュリティテストの所要期間は診断の種類と対象の規模で変わり、ツール型や短納期メニューでは最短3〜7営業日程度、手動主体の診断やペネトレーションテストは対象の規模に応じてさらに時間がかかるのが一般的です。

自動診断は対象を登録すれば短期間で結果を得やすく、短納期をうたうメニューでは報告書を数営業日で受け取れるものもあります。一方、エンジニアが手を動かす手動診断やペネトレーションテストは、対象の画面数やシナリオの複雑さに応じて期間が延びます。締め切りがある場合は、見積もり時に報告書の納品時期と、報告会まで含めた全体の期間を確認しておくとよいでしょう。

脆弱性診断・セキュリティテストの料金・資料を一括チェック

MCB FinTechカタログでは、脆弱性診断・ペネトレーションテストを実績で比較検討したい方に向けて、主要サービスの最新資料を無料で一括請求できます。診断の対応範囲・実績・料金をまとめて見比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。