脆弱性診断サービス21選を実績で比較｜診断件数・対応業種・第三者認定で発注先を見極める

脆弱性診断を依頼したくても、診断を手がける会社は数多くあり、どこが本当に実力を備えているのか見極めづらいと感じていませんか。各社の公式サイトには「診断実績900社以上」「累計数万件」といった数字が並びますが、数え方は会社ごとに異なり、数字の大小だけでは比べきれません。

自社のWebアプリケーションやサーバーを安心して任せられる発注先を数社に絞り込むには、各社の診断実績を同じ物差しで並べて見比べる必要があります。実績の裏づけが第三者に確認されているかどうかも、社内で発注を説明するときの材料になります。

本記事では、脆弱性診断サービス21社を実績の観点（診断件数・対応業種・診断対象・第三者認定・再診断）で横断的に比較します。診断方法や費用相場そのものよりも、各社の実績から信頼できる発注先を見極めることに絞ってまとめました。発注先を数社に絞り込む判断材料としてご活用ください。

また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

脆弱性診断の「実績」で何を見るか

ここからは、脆弱性診断サービスを比較するときに、各社の実績を何で・どう読めばよいかを整理します。脆弱性診断は、Webアプリケーションやサーバーなどに潜むセキュリティ上の弱点を洗い出すサービスです。診断そのものの仕組みや費用相場は別の記事で解説しているため、本記事では実績の読み方に絞って見ていきます。

そもそも脆弱性診断とは何を調べる検査なのか、診断の種類（Webアプリ・プラットフォーム・APIなど対象別の違い）やツール診断と手動診断の手法差、ペネトレーションテストとの違い、費用相場の目安から先に押さえておきたい場合は、以下の記事で基礎から整理しています。診断の全体像をつかんでおくと、各社の実績を自社に必要な診断に引き付けて読み解きやすくなります。

診断件数・導入社数は何件なら信頼できるか

各社が掲げる「診断実績○○社」「累計○万件」という数字は、その会社がどれだけ場数を踏んできたかを測る出発点になります。経験が多いほど、さまざまなシステム構成や脆弱性のパターンに触れており、診断の勘所を押さえている可能性が高まります。

ただし、数字の大小だけで優劣は決められません。「社数」で数える会社もあれば、同じ企業の複数システムや毎年の再診断を「件数」として積み上げる会社もあり、数え方の基準は統一されていません。累計なのか直近なのか、期間の取り方も会社によって違います。

そのため、総数の多さを横並びで競わせるのではなく、自社と近い規模・近い対象の診断をどれだけ手がけてきたかに注目すると、実力を測りやすくなります。件数の定義が公式サイトに明記されていない場合は、資料請求や問い合わせの際に数え方を確認するとよいでしょう。

自社と同じ業種・規模への診断実績があるか

実績は、総数よりも「自社と同じ業種・規模への診断経験があるか」で見るほうが、発注後のミスマッチを避けやすくなります。金融・カード・ECなど、扱うデータの機微さや適用される規制は業種で異なり、同業種での診断経験は要件の理解度に直結します。

たとえばカード情報を扱う事業者であれば、関連する基準に沿った診断の経験があるかが重要になります。公式サイトの導入事例や実績紹介で、自社と似た業種・規模の企業名や事例が挙がっているかを確認すると、発注後の認識のずれを減らせます。

診断対象（Webアプリ・プラットフォーム・API・ソースコード）ごとの実績か

脆弱性診断は対象によって必要な技術が異なるため、実績も対象ごとに見る必要があります。経済産業省の「情報セキュリティサービス基準」は、脆弱性診断サービスを次のように定義しています。

システムやソフトウェア等の脆弱性に関する一定の知見を有する者が、システムやソフトウェア等に対して行う次に掲げるいずれか又は全てのサービスをいう。
ア　Webアプリケーション脆弱性診断
イ　プラットフォーム脆弱性診断
ウ　スマートフォンアプリケーション脆弱性診断

出典：経済産業省「情報セキュリティサービス基準」脆弱性診断サービス｜独立行政法人情報処理推進機構（IPA）

公的な定義が挙げるのは、Webアプリケーション・プラットフォーム（ネットワークやサーバー）・スマートフォンアプリの3つです。実際のサービスでは、これに加えてAPIやクラウド設定の診断、ソースコードを静的に解析するソースコード診断を提供する会社もあります。自社が診てほしい対象で実績があるかを、対象ごとに確認します。

実績が第三者に裏づけられているか（適合サービスリスト・ISMS等）

各社が示す実績の数字を自社だけで検証するのは難しいため、第三者が審査した裏づけがあるかを確認すると、社内稟議での説明材料にもなります。脆弱性診断サービスに特化した代表的な裏づけが、経済産業省の基準に基づく「情報セキュリティサービス基準適合サービスリスト」です。

情報セキュリティサービス基準適合サービスリストは、経済産業省が策定した「情報セキュリティサービス基準」への適合性を各審査登録機関により審査され、同基準に適合すると認められ、各機関の登録台帳に登録され、併せて、「誓約書」をIPAに提出頂いた事業者の各情報セキュリティサービスを掲載するものです。

出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）

このリストは独立行政法人情報処理推進機構（IPA）が公開しており、脆弱性診断サービスの区分で、審査に適合した事業者が掲載されています。リストから候補の会社を事業者名で検索すれば、登録年月日・有効期限・主たる対応業種を確認できます。

ただし注意したいのは、IPAが「本リストに掲載された事業者及びサービスについて、IPAによるいかなる保証等をも意味するものではありません」と明記している点です。リストへの掲載は、審査（運営は日本セキュリティ監査協会）に適合したという一定の裏づけであって、診断の品質や検出力そのものを保証するものではありません。登録があれば実力が高い、と断定せずに判断材料の一つとして使います。

このほか、組織の情報セキュリティ体制を示すISMS認証（ISO/IEC 27001）を取得している会社もあります。ISMSは会社の管理体制に対する認証で、脆弱性診断サービス個別の実力を示すものではないため、適合サービスリスト（診断サービスそのものの裏づけ）とは役割を分けて見ます。

カード決済やECに関わる場合は、PCI DSSの外部スキャンを担うASV（認定スキャニングベンダー）やQSAの認定も、業種特有の裏づけとして確認できます。

出典・参考資料（3件）

• 出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）（リンク）
• 出典：経済産業省「情報セキュリティサービス基準」脆弱性診断サービス｜独立行政法人情報処理推進機構（IPA）（リンク）
• 出典：ISMS適合性評価制度｜一般社団法人情報マネジメントシステム認定センター（ISMS-AC）（リンク）

実績数字のカラクリ（資料請求数ランキングと診断実力の違い）

「実績」に見える数字のなかには、診断の実力とは別物のものも混じっています。比較サイトが公表する「資料請求数ランキング」や、サイト上の受賞表示は、その会社の人気や認知度を反映しますが、診断の精度や脆弱性の検出力を示すものではありません。

資料請求数は、営業力や広告出稿の多さにも左右されます。順位が高いからといって、自社の診断対象や業種に実績があるとは限りません。こうしたランキングは候補を知るきっかけとして使い、最終的な判断は、各社が公式に示す診断件数・対応業種・第三者認定を自分で確かめたうえで下すのが確実です。

しかし、自社がどの診断対象・どの精度の実績を重視すべきか、判断が難しいケースも存在します。そのような場合は、いくつかの質問に答えるだけで条件に合う診断サービスを絞り込める以下の選定診断ツールもご活用ください。

【比較表】実績で選ぶ脆弱性診断サービス比較

ここからは、自社の課題や要件に合わせて客観的に比較・選定できるよう、主要な脆弱性診断サービス21社を、実績の観点（診断件数・対応業種・診断対象・第三者認定・再診断・料金目安）で横並びにしました。公開されている実績はそのまま記載し、公表されていない項目は「非公表（要問い合わせ）」としています。

表を読むときは、診断実績の数字が会社によって「社数」「システム数」など単位も数え方も異なり、総数の大小での優劣比較には向かない点に注意してください。件数を公表していない会社も、技術者の体制や脆弱性発見コンテストの受賞、公的機関への脆弱性報告などで実績を示しており、空欄は実力が低いことを意味しません。

対応業種が「ほか」や非公表の会社は、公式サイトの導入事例や情報セキュリティサービス基準適合サービスリストの「主たる対応業種」で、自社の業種の実績を確認できます。表の並びは順位ではなく掲載順です。

※各社の実績・認定・料金は2026年10月時点で確認した公式情報に基づきます。最新の情報や詳細は各社の公式情報をご確認ください。

脆弱性診断サービスの個別紹介

ここからは、比較表で取り上げた脆弱性診断サービスを、各社の診断実績・対応業種・認定とあわせて個別に紹介します。自社の診断対象や業種に近い実績があるかを確かめながら、候補を絞り込む参考にしてください。

1. Aikido Security（株式会社AndGo）

Aikido Securityは、ベルギーのAikido Security BVが開発するセキュリティSaaSを、株式会社AndGoが正規代理店として日本語で提供するサービスです。ソースコード解析（SAST）、オープンソース依存関係の検査（SCA）、クラウド設定の点検（CSPM）、コンテナイメージ、動的診断（DAST）など、複数の診断を1つの画面にまとめて扱えます。

診断対象は公開中のWebサイトそのものより、開発途中のソースコードやクラウド環境が中心で、開発の各段階で繰り返し自動で検査する使い方に向いています。検出した脆弱性には、修正コードのプルリクエストをAIが生成するAutoFixが用意され、見つけてから直すまでを同じ画面で進められます。

実績の裏づけとしては、開発元のAikido Security BVがSOC 2 Type IIとISO/IEC 27001:2022を取得しています。日本では株式会社AndGoが管理画面・ドキュメントの日本語対応と導入・運用支援を担い、料金は年間契約・利用者10人までで月額5万円台から案内しています。日本国内の導入企業名や導入数は公表されていません。

脆弱性を見つけた後、実際に直すまでの工程について、株式会社AndGoの原氏は次のように話しています。

2. セキュア・レントゲン（株式会社クワッドマイナージャパン）

セキュア・レントゲンは、ネットワークを流れる通信を100%そのまま記録するフルパケットキャプチャ技術を使い、専門のアナリストが内部に潜む脅威やリスクを洗い出すネットワークリスク診断サービスです。NDR製品「Network Blackbox」を基盤に、株式会社クワッドマイナージャパンが提供しています。

WebアプリケーションやソースコードではなくIT環境とOT環境のネットワークトラフィックを診断対象とし、OTプロトコルにも対応して、外部からの攻撃だけでなく内部に侵入・潜伏している脅威まで検知の対象に含めます。機器をミラーリング方式で2週間ほど設置してから分析し、最短1カ月で検出した脅威と対策案をレポートと報告会で示します。

導入の相談は地方銀行・信用金庫・市役所・大手製造業などから寄せられています。基盤となるNDR製品Network Blackboxは、国防機関やメガバンク、大手企業などへの導入実績を持ち、2020年から2023年まで4年連続でGartnerのレポートにNDRの代表ベンダーの1社として取り上げられました。料金は分析手法やトラフィック量、設置台数によって変わるため、要問い合わせです。

金融機関から相談が寄せられる背景について、株式会社クワッドマイナージャパンの白垣氏は次のように説明しています。

3. CoWorker 脆弱性診断サービス（CoWorker株式会社）

自社開発したAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせて脆弱性を洗い出すのが、CoWorker株式会社のCoWorker 脆弱性診断サービスです。ソースコードのAI診断、稼働中のWebアプリケーション・APIを対象とした動的診断、ペネトレーションテスト（実践攻撃シミュレーション診断）を段階的に選べます。

診断対象はソースコードや設計書、稼働中のWebアプリケーション・APIで、ソースコードのAI診断は本番環境に影響を与えずに解析できると公式に説明されています。報告書は診断開始から最短3営業日でPDFで納品され、プランに応じて修正後の再診断（Standardで1回、Professionalで2回）にも対応します。

料金は公式サイトでは通常50万円からと案内されています。提供元の案内では、ソースコードAI診断が15万円、動的診断を含むLiteが50万円、再診断の付くStandard・Professionalが100万〜150万円です（税区分の記載はありません）。導入事例としては、VRうつ病治療システムのWebアプリケーション・APIなどを対象とした脆弱性診断の実施が公表されています。

4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

株式会社SYNCHROが開発した国産のネットワーク技術「KATABAMI」を基盤に、脆弱性診断（予防）・隔離経路へのバックアップ（復旧）・サイバー保険（補償）を1つにまとめたパッケージ型のサービスです。脆弱性診断に当たるのは「KATABAMI VDP」で、ネットワーク内部から月次（年12回）で診断し、検出した脆弱性と対策案を月1回のペースでレポートします。

診断対象はサーバー・ネットワーク機器・複合機・PCなど社内ネットワークに接続された機器で、Kali Linuxベースの専用アプライアンスが約600項目のテスト・検査を実施します。外部スキャンでは捉えにくい、メールやUSB経由のマルウェアといった内部起点の脅威まで検出できる点が診断方式の特徴です。

検出した脆弱性への対策の実装自体は標準サービスの範囲外で、希望する場合は別料金でSYNCHROに委託できます。

第三者の裏づけとしては、KATABAMIのソフトウェアとハードウェアが2023年2月にセキュアIoT認定（Gold）を取得しています。一方で診断件数や導入社数は公式に公表されていないため、自社と近い業種・規模での診断実績は、オンライン相談で直接確認するのが確実です。

5. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

国内のホワイトハッカーを多数擁する、GMOサイバーセキュリティ byイエラエ株式会社のサービスです。専門家が手作業で検証する手動主体の脆弱性診断・ペネトレーションテストを中核に、Webアプリ・スマホアプリ・クラウド・ネットワーク・IoTなど幅広い対象を診断します。

公式サイトでは脆弱性診断件数16,000やCVE（共通脆弱性識別子）申請数269件を掲げ、あわせて脆弱性発見コンテスト（CTF）での受賞や、OS・ソフトウェアに見つけた脆弱性を公的機関へ報告した実績を公表しており、手動診断の経験量を前面に打ち出しています。

ツール型で外部公開資産を継続的に点検する「GMOサイバー攻撃ネットde診断 ASM」も月額4万円から提供します。手動診断は診断する画面数やAPI数に応じた個別見積もりのため、料金は問い合わせが必要です。

6. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）

野村総合研究所グループのセキュリティ専業会社、NRIセキュアテクノロジーズが提供する診断サービスです。SANSのトレーニング修了者やCISSP・OSCPなどの国際資格を持つ専門家が、手作業を主体に診断する点を強みとしています。

診断対象はWebアプリ・プラットフォーム・API・クラウド設定・ソースコードなど幅広く、攻撃者視点のペネトレーションテストやレッドチームオペレーションまで一貫して依頼できます。Webアプリケーション診断では銀行・証券など高度なセキュリティが求められる金融・上場企業での実績が多いと説明しています。

全社でISO/IEC 27001（ISMS）を取得し、ペネトレーションテストは国際団体CRESTの認定を受けています。料金は個別見積もりで、ペネトレーションテストは公式に800万円（税別）からと示されています。

7. セキュリティ診断・TLPT（株式会社ラック）

1995年から診断サービスを手がけてきた株式会社ラックの、脆弱性診断・ペネトレーションテストです。脆弱性を網羅的に洗い出す診断と、現実的な攻撃シナリオで影響を確かめるペネトレーションテストを分けて提供します。

攻撃側の知見に加え、セキュリティ監視拠点JSOCやサイバー救急センターで培った防御側のノウハウを併せ持つ点が特徴です。脅威ベースのペネトレーションテスト（TLPT）では、ふくおかフィナンシャルグループなど金融機関での実施事例を公開しています。

情報システムペネトレーションテストは標準シナリオで700万〜1,000万円（税抜）、TLPTは1,000万円程度からと公式に示しています。Webアプリケーション診断はエクスプレス版の30万円からなど、規模に応じた段階的なメニューを用意しています。

8. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

三井物産グループのセキュリティ専門企業、三井物産セキュアディレクション（MBSD）が2001年のWebアプリケーション診断から続ける脆弱性診断サービスです。専門家による手動診断を主体に、網羅性を補う独自ツールを組み合わせます。

公式サイトは2017年4月〜2024年3月の累計で診断実績8,000件以上を公表し、内訳としてWebアプリケーション診断4,300サイト以上、ネットワーク診断3,200案件、スマホアプリ診断500件以上を挙げています。公共・政府機関向けも過去5年で70件以上の実績があります。

ヤマハ発動機やセブン＆アイ・ホールディングスなどの導入事例を掲載し、未知の脆弱性（0day）を公的な脆弱性情報データベースJVNへ累計200件以上報告しています。会社としてISO/IEC 27001・ISO 9001を取得しています。

9. SQAT（株式会社ブロードバンドセキュリティ）

SQAT（エスキュート）は、2000年創業のセキュリティ専業企業、株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランドです。精度の高い手動診断と独自開発の自動診断を組み合わせて実施します。

公式サイトでは、2025年6月時点で延べ10,300組織・64,280システム超の診断実績を掲げています。ソースコード診断とWebアプリケーション診断を併用するGlassBoxや、報告書を最短7営業日で提出する短納期メニューなど、目的に応じた選択肢を用意しています。

ISMSやプライバシーマークに加え、クレジットカード業界のセキュリティ基準PCI DSSの審査機関（QSA）などの認定を保有しています。IoTセキュリティ診断は国の制度JC-STARの★1評価に対応し、情報セキュリティサービス基準の「機器検証サービス」（登録番号018-0038-50）にも登録されています。

10. AeyeScan（株式会社エーアイセキュリティラボ）

AeyeScanは、株式会社エーアイセキュリティラボが開発したクラウド型のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールは不要で、AIがサイト内を自動で巡回し、診断シナリオの生成からレポート出力までを自動化します。

公式サイトは有償契約500社以上（2026年10月時点）の導入を公表し、アイフル・NTT東日本・カプコン・マネーフォワードなどの利用企業を挙げています。さまざまな業種・規模で使われている点が、自動診断を内製で回したい企業の判断材料になります。

診断対象はWebアプリケーションやSPAが中心で、オプションでAPIやAndroidアプリにも対応します。運営会社はISO/IEC 27001とISO/IEC 27017を取得しています。2サイトまでの無料トライアルがあり、料金は用途やサイト数に応じた個別見積もりです。

11. Securify（株式会社スリーシェイク）

株式会社スリーシェイクが提供するSecurifyは、外部公開資産の把握（ASM）と脆弱性診断を同じサービス内で扱えるクラウド型のツールです。画面の巡回・疑似攻撃・応答検証を自動で実行し、実施する日時や頻度を指定して継続的に診断できます。

API経由で診断を起動できるため、開発のパイプラインに組み込んだ運用にも対応します。Web・APIの診断に加え、クラウド設定の監視（CSPM）やソフトウェア部品の把握（SBOM）まで、同じ画面で管理できます。

公式サイトでは導入400社以上と記載し、ギフトモールやライフイズテック、九州大学などの事例を紹介しています。脆弱性診断は月額5万円から（診断回数の制限なし）で、脆弱性診断サービスが情報セキュリティサービス基準適合（登録番号020-0025-20）の対象になっています。

12. VAddy（株式会社ビットフォレスト）

開発のたびに繰り返し脆弱性を検査したい開発チームに向けて、株式会社ビットフォレストが提供するクラウド型の自動診断ツールです。診断方式はDAST（動的テスト）で、実際のリクエストを送ってレスポンスを検査します。

提供されるWebAPIやコマンドラインツール、cronと組み合わせて、CIパイプラインへの組み込みや夜間の定期実行ができます。スキャン回数は無制限で、WebアプリケーションのほかREST APIサーバー単体の検査にも対応します。

初期費用は0円、料金は月額19,800円から（税別）で、1週間の無料トライアルを用意しています。公式サイトには集英社やGMOペパボなど導入企業を掲載し、運営会社はSaaS型脆弱性診断ツールの開発・運用を範囲にISMS（ISO/IEC 27001）やプライバシーマークを取得しています。

13. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）

WAF製品で知られるペンタセキュリティ株式会社によるセキュリティ診断サービスです。技術者が手動で診断し、メニューによっては自動スキャンツールも併用するハイブリッド方式で、独自に収集した脅威情報に基づく項目を検査します。

診断メニューはWebサイト・Webアプリ・API・プラットフォーム・スマホアプリの診断とペネトレーションテストで、検出後はWAFなどの対策提案まで支援します。

診断の実施は株式会社ranryuに委託されており、情報セキュリティサービス基準適合サービスリストにはこのranryu名義で登録（登録番号021-0017-20、有効期限2027年12月23日）されています。登録対象はWebアプリ・プラットフォーム・Webサイト・API・スマホアプリの5種で、ペネトレーションテストは対象外です。料金は要問い合わせです。

14. Vex（株式会社ユービーセキュア）

Vexは、NRIセキュアグループの株式会社ユービーセキュアが開発する脆弱性検査ツールです。対象URLを入力すると外部から疑似攻撃を送ってレスポンスを解析するDAST方式で、ログイン後の画面遷移を記録して診断するシナリオスキャンやREST API診断にも対応します。

2026年4月に従来の「Vex」「VexCloud」を統合し、年間ライセンスを3プラン（Team 66万円から、Enterprise 300万円から、Auditor 400万円から）に整理しました。ツールの提供に加え、同じ自社ツールと診断士の手動診断を組み合わせる診断代行も手がけています。

診断代行のWebアプリケーション診断・プラットフォーム診断・スマートフォンアプリ診断は、経済産業省の情報セキュリティサービス審査登録制度に登録されています。クレジットカード業界のPCI DSS外部スキャンを担うASV認定も保有します。ツールは14日間、機能制限なしで試せます。

15. SCT SECURE クラウドスキャン（三和コムテック株式会社）

SCT SECURE クラウドスキャンは、三和コムテック株式会社が提供する、毎日自動で診断を回すクラウド型のスキャンサービスです。Webサイトとネットワーク機器をIP／FQDN単位で診断し、ソフトのインストールやハードの設置は不要です。

2004年から提供し、公式のニュースリリースでは累計300社以上に1,500万回以上の診断を実施（2024年2月時点）と公表しています。クレジットカード業界のPCI DSSが求める外部脆弱性診断（ASV診断）と同じテスト内容を採用している点も、カード決済に関わる事業者の確認材料になります。

料金は年額564,000円から（初年度・3IP/FQDNまで、税抜。2年目以降は504,000円）で、年単位の契約です。情報セキュリティサービス基準適合サービスリストに登録（登録番号019-0042-60）し、組織としてISMS（ISO/IEC 27001）認証を取得しています。

16. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTTグループのサイバーセキュリティ専業会社、エヌ・ティ・ティ・セキュリティ・ジャパンが「セキュリティ診断・評価・調査」として提供する診断群です。専門家が複数のツールを組み合わせて網羅的に診る脆弱性診断と、QualysやTenableを使って顧客自身が継続的に点検するセルフ診断を選べます。

攻撃者の視点で人・プロセス・技術への耐性を評価するRedTeam/TLPTや、経済産業省の評価基準に基づくサプライチェーン全体の診断（SCS評価制度アセスメント）、IoT・OT（工場の制御システム）領域の診断まで扱います。取引先からサプライチェーンのセキュリティ評価を求められる発注元に向く選択肢です。

親会社NTTセキュリティホールディングスの100%子会社で、会社としてISMS認証（認証番号22127-ISMS-001）を取得しています。料金は全メニューが非公開で、診断対象の範囲や規模に応じた個別見積もりとなります。

17. Webアプリケーション診断サービス（Sky株式会社）

IT資産管理製品「SKYSEA Client View」で知られるSky株式会社が、2022年1月から提供するセキュリティ診断ソリューションの一メニューです。本サービスはWebアプリケーションを対象に、セキュリティエンジニアがリモートで診断します。

SQLインジェクションやクロスサイトスクリプティングなどを162項目をベースに横断的に診断し、検出した脆弱性をCRITICALからINFOまでの5段階に分類して報告します。高レベルの脆弱性が見つかった場合はメールで速報し、開発者向けに再現手法を含むレポートを作成します。

診断開始から最短5〜6営業日で報告し、重要な箇所にはオプションでペネトレーションテストも実施できます。会社としてISO/IEC 27001やプライバシーマークを取得しています。料金は要問い合わせです。

18. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）

NTTドコモソリューションズ（旧NTTコムウェア）が「DSCB」ブランドで提供する脆弱性診断サービスです。ネットワーク・サーバ構成・Webアプリ・スマホアプリ・ペネトレーションテストの5メニューを持ち、ツールと専門家の手動検査を併用して診断します（Webアプリのライト版はツール診断のみ）。

特徴は、全メニュー合計の契約金額が税抜80万円以上のときにサイバー保険が無償で付帯する（支払限度額1,000万円・1年間）点です。年間診断実績（2025年度）はネットワーク診断で約670システム・8,950IP、Webアプリケーション診断で約550サイト・10,660リクエストと公表しています。

情報処理安全確保支援士やCISSPなどの有資格者が診断を担い、ネットワーク診断とWebアプリ診断は経済産業省の情報セキュリティサービス基準に適合、IPAの適合サービスリストにも掲載されています。改修後は一定条件で無償の再診断にも対応します。料金は要問い合わせです。

19. TISI ペネトレーションテストサービス（TISI株式会社）

ホワイトハッカーが実際の攻撃者の視点で侵入を試すペネトレーションテストを、脆弱性診断サービスの一メニューとして提供しています。運営はTISインテックグループのTISI株式会社で、想定する脅威を外部からの侵入・内部からの侵入・従業員を狙った攻撃の3系統にパッケージ化し、検証したいシナリオを選んで依頼できます。

脆弱性診断サービス全体では、金融・公共・製造・流通など900社以上の導入実績を公式サイトに掲げています（ペネトレーションテスト単体の導入社数は非公表）。幅広い業種での診断経験があり、自社と近い業種の実績をたどりやすいことが、候補に挙げる手がかりになります。

会社としては経済産業省の情報セキュリティサービス基準の審査登録制度に登録し、PCI DSSのQSA（認定審査機関）とASV（認定スキャンベンダー）の両認定を保有します。カード情報を扱う事業者が業種特有の裏づけを確認する材料になります。料金は最短シナリオで70万円から、ほかのシナリオは要問い合わせです。

20. ペネトレーションテスト（グローバルセキュリティエキスパート株式会社）

グローバルセキュリティエキスパート株式会社は、東証グロース市場に上場するセキュリティ専業企業です。本サービスは同社の診断シリーズ『FindRisk』に含まれるペネトレーションテストで、外部ネットワークからの攻撃、社内Active Directoryへの攻撃、マルウェア感染を起点とするレッドチーム評価の3シナリオから、検証したい攻撃経路を選べます。

診断を担当するエンジニアは全員がCEH（Certified Ethical Hacker）資格を保有し、IPAの情報セキュリティサービス基準適合サービスリストにも登録しています。第三者基準と担当者の資格の両面から、実績の裏づけを確認できます。

プラットフォーム診断と組み合わせて侵入可否や内部横展開を検証する構成で、顧客が自社開発したWebアプリケーション固有の脆弱性はテスト範囲外です。Webアプリの検査が必要なら別メニューを併用します。診断後は報告会で結果を説明し、料金は要問い合わせとなります。

21. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）

台湾発のセキュリティベンダーRayAegisの日本法人として、株式会社アリスとの合弁で設立されたのが株式会社レイ・イージス・ジャパンです。同社の脆弱性診断・ペネトレーションテストは、AIを搭載した探査ツールと診断エンジニアの手動診断を組み合わせ、Webアプリケーション・プラットフォーム・モバイルアプリ・APIを診断対象とします。

Webアプリケーション診断の項目はOWASPのWSTG 4.2に沿って設計され、手動診断を含むAIリモート脆弱性診断で最大105項目、ツール中心のクイック診断で最大57項目を検査します。料金はFQDN単位の定額制で、画面数が多いサイトでも料金が変わらない設計です。

診断エンジニアにはCISSP・CISM・CEHなどの資格保有者が在籍します。一方、導入実績の件数や第三者認定の登録状況は公式サイトで公表を確認できなかったため、自社の要件に合うかは診断対象や再診断条件とあわせて問い合わせで確かめるのが確実です。

実績で発注先を絞り込む選び方

ここからは、前半で整理した実績の物差しを、自社の状況に順番に当てはめて候補を絞り込む手順を示します。すべての条件を同時に見ると迷いやすいため、影響の大きい順に一つずつ確認していくと、発注先を決めやすくなります。

まず、自社の診断対象に実績がある会社に絞る

最初の絞り込みは、自社が診てほしい対象で実績があるかどうかです。公開しているWebアプリケーションを診たいのか、社内ネットワークやサーバー（プラットフォーム）を診たいのか、APIやクラウド設定、ソースコードまで含めるのかで、必要な技術と実績は変わります。

対象が合わない会社は、総数の実績が豊富でも自社の要件には噛み合いません。たとえばWebアプリ診断の実績が中心の会社に、ネットワーク機器の診断を依頼しても強みを活かせない場合があります。比較表の「診断対象」列で、自社の対象をカバーしている会社をまず残しましょう。

次に、実績が第三者に担保されているかを確認する

対象で絞ったら、その候補が「実績で何を見るか」で触れた情報セキュリティサービス基準適合サービスリストに登録されているかを当てはめて確認しましょう。登録があれば、第三者の審査で裏づけられた候補として、社内で発注の妥当性を説明する材料になります。

ただし登録は品質の保証ではないため、登録の有無だけで決めず、対応業種や診断対象の実績とあわせて総合的に判断しましょう。登録のない会社でも、公式の導入事例やISMS認証などで裏づけを確認できる場合があります。

そのうえで、自動診断と手動診断どちらの実績が自社に要るか

脆弱性診断には、ツールで広く速く検査する自動診断（ツール診断）と、専門家が手作業で深く検証する手動診断があり、実績の見え方も異なります。自動診断型は診断件数や診断回数で実績を語りやすく、継続的に数多く回したい場合に向きます。手動診断型は、専門家の体制や、脆弱性発見コンテストの受賞、CVE（共通脆弱性識別子）の申請数などで実力を示すことが多いです。

リリース前の重要なシステムを一度しっかり診たいなら手動診断の実績を、開発のたびに繰り返し広く検査したいなら自動診断の実績を重視すると、自社の使い方に合った会社を選びやすくなります。両方を組み合わせて提供する会社もあるため、自社の運用に合う診断の形を先に決めておくと比較が進みます。

残った候補を、報告書の品質・改修サポート・再診断の有無で比べる

最後に残った候補は、診断後に自社が動けるかどうかで比べます。脆弱性診断は、弱点を見つけて終わりではなく、報告書をもとに改修して初めて意味を持ちます。報告書に、検出した脆弱性の深刻度（リスクの高さ）や再現手順、具体的な対策が分かりやすく書かれているかは、社内での対応のしやすさを左右します。

加えて、改修に関する相談に応じてくれるか、修正後にもう一度確認する再診断が含まれるか（または追加費用でどこまで対応するか）も確認します。再診断の有無は、脆弱性が本当に塞がったかを確かめる最後の工程に関わるため、比較表の「再診断」列やサービスの個別紹介で、自社の運用に合う候補を見極めましょう。

ここまでの実績による絞り込みに加えて、診断方法（手動・ツール自動・ハイブリッド）や費用相場、診断後のサポートまで含めて脆弱性診断サービスを広く比較したい場合は、以下の記事が検討材料になります。

まとめ

脆弱性診断の発注先を実績で選ぶときは、総数の数字に惑わされず、診断件数の数え方・自社と同じ業種や規模への実績・診断対象ごとの経験という物差しで見比べることが大切です。数字の裏づけは、情報セキュリティサービス基準適合サービスリストのような第三者の審査で確認でき、社内での説明材料にもなります。

実際の発注先は、自社の診断対象に実績がある会社に絞り、第三者の裏づけを確認し、自動診断と手動診断のどちらが自社に合うかを踏まえ、報告書の品質や再診断の有無で比べる、という順序で決めると迷いが減ります。本記事の比較表と個別紹介を使って、自社に合う数社の資料を取り寄せ、見比べてみてください。

よくある質問（FAQ）

Q. 情報セキュリティサービス基準適合サービスリストとは何ですか？

情報セキュリティサービス基準適合サービスリストとは、経済産業省が策定した「情報セキュリティサービス基準」に適合すると審査され、独立行政法人情報処理推進機構（IPA）が公開している脆弱性診断などの事業者・サービスの一覧です。候補の会社を事業者名で検索すると、登録年月日・有効期限・主たる対応業種を確認できます。

ただしIPAは、掲載がIPAによるいかなる保証も意味しないと明記しており、登録は基準への適合が審査された一定の裏づけであって、診断の品質や検出力そのものを保証するものではありません。登録の有無だけで決めず、対応業種や診断対象の実績とあわせて判断材料の一つとして使います。

Q. 脆弱性診断の実績はどこを見ればいいですか？

脆弱性診断の実績は、診断件数の総数よりも、自社と近い業種・規模・診断対象での経験があるか、そしてその実績が第三者認定で裏づけられているかを合わせて見るのが基本です。各社が掲げる「○○社」「○万件」は数え方の基準が統一されておらず、総数の大小だけでは優劣を決められません。

公式サイトの導入事例に自社と似た業種・規模の事例があるか、情報セキュリティサービス基準適合サービスリストに登録があるかを確認すると、発注後のミスマッチを減らせます。

Q. 脆弱性診断の実績は何件あれば安心ですか？

脆弱性診断の実績は、「何件以上なら安心」と件数の絶対数で線引きできるものではありません。社数で数える会社もあれば、同じ企業の複数システムや毎年の再診断を件数として積み上げる会社もあり、累計なのか直近なのかも会社によって異なるためです。

総数の多さを横並びで競わせるより、自社と近い規模・近い診断対象の実績をどれだけ持っているかに注目すると、実力を測りやすくなります。件数の定義が公式サイトに明記されていない場合は、資料請求や問い合わせで数え方を確認するとよいでしょう。

Q. 資料請求数ランキングで上位の脆弱性診断サービスを選べば間違いありませんか？

資料請求数ランキングの上位は、その会社の人気や認知度を反映するもので、診断の精度や脆弱性の検出力を保証するものではありません。順位は営業力や広告出稿の多さにも左右され、自社の診断対象や業種に実績があるとは限りません。こうしたランキングは候補を知るきっかけとして使い、最終的な判断は、各社が公式に示す診断件数・対応業種・第三者認定を自分で確かめたうえで下すのが確実です。

Q. 自社と同じ業種への脆弱性診断の実績は、どう探せばいいですか？

自社と同じ業種の実績は、各社の公式サイトの導入事例や実績紹介で、自社に近い業種・規模の企業名や事例が挙がっているかをまず確認するのが近道です。金融・カード・ECなどは扱うデータの機微さや適用される規制が業種で異なり、同業種での診断経験は要件の理解度に直結します。

事例が見当たらない場合は、情報セキュリティサービス基準適合サービスリストの「主たる対応業種」を手がかりにしたり、資料請求・問い合わせで同業種の診断実績を直接たずねたりするとよいでしょう。

Q. 脆弱性診断は、自動診断と手動診断のどちらの実績を重視すべきですか？

どちらの実績を重視すべきかは、自社の診断の使い方によって変わります。開発のたびに繰り返し広く検査したいなら、診断件数や診断回数で語られる自動診断（ツール診断）の実績を重視します。

リリース前の重要なシステムを一度しっかり診たいなら、専門家の体制や脆弱性発見コンテストの受賞・CVE（共通脆弱性識別子）の申請数などで示される手動診断の実績を重視すると、自社の運用に合った会社を選びやすくなります。両方を組み合わせて提供する会社もあるため、求める診断の形を先に決めておくと比較が進みます。

Q. 診断実績が豊富な会社なら、報告書の質や再診断も安心して任せられますか？

脆弱性診断の実績が豊富であることと、報告書の分かりやすさや再診断への対応は別の観点なので、実績の多さだけで判断するのは避けるのが安全です。脆弱性診断は弱点を見つけて終わりではなく、報告書をもとに改修して初めて意味を持ちます。

検出した脆弱性の深刻度や再現手順、具体的な対策が分かりやすく書かれているか（報告書サンプルを公開している会社もあります）、修正後の再診断が含まれるか・追加費用でどこまで対応するかを、実績とは分けて個別に確かめておきましょう。

脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象・対応業種・料金やサポート体制を見比べて、実績から自社に合う依頼先を効率よく選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。