ソフトウェアの開発では、オープンソースソフトウェア（OSS）や外部で作られた部品を数多く取り込むのが当たり前になりました。その部品や、ソフトウェアを配布する経路を悪用して利用者に被害を広げる「ソフトウェアサプライチェーン攻撃」が、国内外で相次いで報告されています。自社が開発・運用するソフトウェアも、使っている部品やビルドの経路を通じて攻撃の入口になり得ます。
こうしたリスクに対しては、依存パッケージの検査やソフトウェア部品表（SBOM）の生成、ソースコードの診断、稼働中のWebアプリケーションの診断など、守る範囲の異なる複数の対策があり、それぞれを提供するベンダーやサービスも分かれています。本記事では、攻撃の侵入経路と対策の種類を整理したうえで、対策を提供する主要なベンダー・ソリューションを対策タイプ別に分類し、比較・紹介します。
自社の開発形態や、取引先から求められる対応に照らして、どの対策タイプが必要で、どのサービスに相談すればよいかを見極める材料としてご活用ください。国内で資料請求や問い合わせができるサービスから、海外で広く使われている製品まで、対応範囲を横並びで確認できるよう整理しています。
目次
一括ダウンロードする
ソフトウェアサプライチェーンセキュリティとは｜攻撃経路と対策タイプの地図
ここでは、対策タイプ別のソリューションを読み解くための前提として、攻撃がどの経路から入り、だからどの対策が必要になるのかを手短に整理します。
ソフトウェアサプライチェーン攻撃とは（なぜ部品・ビルド・配布経路が狙われるのか）
ソフトウェアサプライチェーン攻撃とは、ソフトウェアが作られて利用者に届くまでの過程（開発に使うOSSや外部の部品、ビルド、配布）に不正なコードを紛れ込ませ、その成果物を使う多数の利用者へ被害を広げる攻撃です。
1つの正規の部品やアップデートに攻撃を仕込めば、それを取り込んだ組織すべてに影響が及ぶため、攻撃者にとって効率がよく、守る側は自社が直接書いたコードだけを見ていても気づけない点に難しさがあります。
現代のソフトウェアは、自社で書くコードよりも、取り込むOSSや外部ライブラリの比率が高くなっています。使っている部品に既知の脆弱性や改ざんが含まれていないかを、自社の開発・運用の中で継続的に確かめる必要があります。
主な侵入経路（ソフトウェア更新／依存関係・OSS／ビルド／コード署名）
攻撃の入口は、大きく分けて、正規のソフトウェア更新やビルド・配布経路への混入と、依存するOSSパッケージへの混入に分けられます。実際に公的機関が注意喚起した次の2つの事例で、それぞれの経路を確認します。
1つ目は、正規のアップデートやビルド・配布の工程に不正なコードが混入する経路です。2020年に発覚したネットワーク管理ソフト「SolarWinds Orion」の事案では、正規に署名・配布されたアップデートに不正なコードが仕込まれ、これを導入した組織が影響を受けました。ビルドから配布までの経路が狙われた例にあたります。
米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2020年12月13日に緊急指令（Emergency Directive 21-01）を発し、対象バージョンの切り離しを求めています。
2つ目は、依存するOSSパッケージに不正なコードが混入する経路です。2025年9月には、JavaScriptのパッケージ管理基盤であるnpmのエコシステムが広範に侵害されました。CISAの注意喚起によれば、自己増殖するワーム（Shai-Hulud）が他のパッケージへ感染を広げながら、500を超えるパッケージに不正なコードを混入させたとされています。
自社が直接取り込む部品だけでなく、その部品がさらに依存する部品（間接依存）まで含めて検査する必要があることを示す事例です。
出典・参考資料（2件）
守る範囲で分かれる4つの対策タイプ
攻撃の入口が複数あるため、対策も「どの範囲を守るか」で分かれます。本記事では、ソリューションを次の4つの対策タイプに分けて整理します。それぞれ守る対象と、提供するベンダーの顔ぶれが異なります。
- 依存関係・OSS検査（SCA）／SBOM生成：取り込むOSSや依存パッケージに既知の脆弱性や不正なコードが含まれていないかを検査し、使っている部品の一覧であるSBOM（ソフトウェア部品表）を作る領域です。ソフトウェアコンポジション解析（SCA）とも呼ばれ、供給網対策の中核にあたります。
- ソースコード診断（SAST）：自社が書くソースコード自体に、攻撃されやすい書き方や欠陥がないかを静的に解析する領域です。静的アプリケーションセキュリティテスト（SAST）とも呼ばれ、専門会社に依頼する委託型と、自社の開発環境で回すツール型があります。
- Web・API脆弱性診断（DAST）：完成して稼働しているWebアプリケーションやAPIに、外部から疑似的な攻撃を送って弱点を洗い出す領域です。動的診断（DAST）とも呼ばれます。
- ネットワーク・ランタイム保護：ビルドや配布の経路、実行中のアプリケーションを監視し、不正なパッケージの取り込みや実行時の攻撃を防ぐ領域です。SCAなどを備える多機能なプラットフォームが、この範囲も合わせて担うことがあります。
攻撃が入り得る段階と、それぞれを守る対策タイプの対応は次のとおりです。
SBOMの生成は、依存関係を検査するSCAツールが同じ画面で兼ねることが多い機能です。次章から、この4タイプごとに主要なベンダー・ソリューションを見ていきます。
対策タイプ別の主要ベンダー・ソリューション
ここからは、4つの対策タイプごとに、どのベンダー・ソリューションが何を守るのかを整理します。まず全体像として、各タイプが守る主な経路と、この記事で紹介する代表的なサービスを一覧にします。
| 対策タイプ別の守備範囲マップ | 依存関係・OSS検査（SCA）／SBOM生成 | ソースコード診断（SAST） | Web・API脆弱性診断（DAST） | ネットワーク・ランタイム保護 |
|---|---|---|---|---|
| 守る主な経路 | 依存パッケージ・OSS・コンテナ（取り込む部品） | 自社が書くソースコード | 稼働中のWebアプリ・API | ビルド・配布経路、実行中のアプリ |
| 主な方式 | 既知脆弱性・不正パッケージの検査、SBOM生成 | 静的解析（委託型の受託診断／自社CI/CDで回すツール型） | 外部からの疑似攻撃による動的診断 | 不正パッケージの取り込み遮断、実行時防御 |
| この記事で紹介する主なサービス（代表例） | Aikido Security、Snyk、Sonatype、Black Duck、Trivy（無料OSS） | SHIFT SECURITY・セキュアブレイン・レオンテクノロジー・KSK・CoWorker・GMO Flatt Security（委託型）、Checkmarx・Veracode・Semgrep・GitHub Advanced Security（ツール型） | AeyeScan、Securify、VAddy、Vex | SCAを備える多機能プラットフォーム（Aikido Security ほか）が合わせて担う |
依存関係・OSS検査（SCA）／SBOM生成のソリューション
供給網対策の中核にあたる領域です。取り込んだOSSや依存パッケージに既知の脆弱性（CVE）がないか、不正なパッケージが紛れ込んでいないかを検査し、使っている部品の一覧であるSBOMを生成します。
直接取り込む部品だけでなく、その部品がさらに依存する間接依存まで検査できるか、不正パッケージを取り込む前に遮断できるか、SBOMをSPDXやCycloneDXなどの標準形式で出力できるかが、ソリューションを見分ける観点になります。
この領域は海外発の製品が広く使われており、各製品の対応範囲の違いは後半の比較表で確認できます。国内では、日本語の管理画面やサポートを備えた選択肢から着手することもできます。
ソースコード診断（SAST）のソリューション
自社が書くコードも、供給網の一部です。ソースコードを静的に解析して、攻撃されやすい書き方や欠陥を見つける領域で、依頼のしかたによって大きく2つに分かれます。
委託型：専門会社にソースコード診断を依頼する
外部に開発を委託している、あるいは社内に診断の体制がない場合に向く形です。ソースコード一式を提供し、専門の診断員が静的解析ツールと目視を組み合わせて脆弱性を洗い出し、報告書にまとめます。国内の事業者に日本語で依頼でき、報告会で開発者の疑問に答える体制を持つサービスもあります。
ツール型：自社のCI/CDで回すSAST（SCAを併せ持つ製品もある）
社内で継続的に開発している場合は、開発の仕組み（CI/CD）に組み込んで、コードを書くたびに自動で解析するツール型が向きます。製品によっては、ソースコードの静的解析に加えて、依存パッケージの検査（SCA）やSBOM生成を同じ画面で扱え、供給網対策を一体で進められるものもあります。
委託型とツール型のどちらが自社に向くか、費用相場や依頼先の見極め方をさらに詳しく知りたい場合は、ソースコード診断にしぼってタイプ別に整理した次の記事が参考になります。
Web・API脆弱性診断（DAST）のソリューション
完成して稼働しているWebアプリケーションやAPIに、外部から疑似的な攻撃を送って弱点を洗い出す領域です。供給網そのものというより、供給網対策で作り込んだ成果物が実際に安全に動いているかを確かめる役割を担います。
クラウド型で対象のURLを登録すれば自動で巡回・診断するツールが多く、ログイン後の画面やSPA・APIまで診断できるか、開発の仕組み（CI/CD）に組み込んで定期的に実行できるかが、ソリューションを見分ける観点になります。
ネットワーク・ランタイム保護のソリューション
ビルドや配布の経路の完全性を保ち、コード署名の検証（SLSAなどのフレームワーク）や、実行中のアプリケーションへの攻撃の防御、不正なパッケージを取り込む前の遮断を担う領域です。
国内で単独で相談できる専業サービスは多くなく、依存関係の検査（SCA）を中核に持つ多機能なプラットフォームが、開発者の端末での不正パッケージの監視や実行時防御まで合わせて担う形が実務的です。どの製品がこの範囲まで兼ねるかは、前掲の守備範囲マップと後半の比較表で確認できます。
自社に合う対策タイプ・ソリューションの選び方
ここからは、自社の状況に合う対策タイプとソリューションを見極めるための観点を整理します。すべてを一度に導入する必要はなく、開発の形態や、いま最も不安のある経路から優先して着手するのが現実的です。
自社の開発形態は、内製中心か外注中心か
最初に見るべきは、ソフトウェアを自社の開発チームで作っているか、外部に委託しているかです。内製が中心で、継続的にコードを更新しているなら、開発の仕組み（CI/CD）に組み込んで自動で回すツール型のソースコード診断や、依存関係の検査（SCA）が適しています。
一方、開発を外注していて社内に診断の体制がない場合は、ソースコード一式を預けて専門会社に診断してもらう委託型が、無理なく始められる選択肢になります。
OSS・依存パッケージへの依存度はどれくらいか
取り込むOSSや外部ライブラリが多いほど、依存関係の検査（SCA）とSBOM生成の重要度が上がります。直接取り込む部品だけでなく、その部品がさらに依存する間接依存まで検査できるか、既知の脆弱性に加えて不正なパッケージ（マルウェア）も検出できるかを確認します。
まずコストを抑えて着手したい場合や、OSS依存が重い開発チームでは、無料で使えるオープンソースのスキャナーから始め、運用に乗ってきた段階で商用サービスの導入を検討する進め方もあります。
依存パッケージやOSSの脆弱性を継続的に検知し、SBOM対応や守りたい対象の広さまで含めてツールの候補を洗い出したい場合は、脆弱性管理ツールを対象別に比較した次の記事が役立ちます。
検出した後、修正まで進めやすい仕組みがあるか
脆弱性は、見つけて終わりではなく、直して初めてリスクが下がります。自動で大量のアラートが出ると、どれから対応すべきか分からなくなり、放置が始まりやすくなります。
そのため、検出結果に優先順位を付けられるか、修正案の提示や、依存パッケージの更新をまとめて行う機能があるかは、運用が続くかどうかを分ける観点です。委託型の診断では、報告書で脆弱性ごとに脅威と対策、該当するファイル名・行番号まで示されるかを確認すると、修正の工数を見積もりやすくなります。
取引先や顧客からSBOMの提出を求められていないか
近年は、取引先や顧客から、納品するソフトウェアに含まれる部品の一覧（SBOM）の提出や、供給網のセキュリティ対応を求められる場面が増えています。
こうした要求に応える必要がある場合は、SBOMをSPDXやCycloneDXといった標準的な形式で出力できるかが、ソリューションを選ぶ具体的な条件になります。どの制度・動向がこの流れを後押ししているかは、記事後半の「制度・動向から見た選定観点」で整理します。
一括ダウンロードする
対策タイプ別のソリューションを比較・紹介
ここからは、主要なソリューションの対応範囲を比較表で見比べたうえで、国内で資料請求や問い合わせができるサービスを対策タイプ別に紹介します。
【比較表】主要ソリューションの対応範囲比較
対策タイプ別に、各ソリューションの対応範囲・診断方式・対象・料金の有無を整理しました。料金や対応範囲は変わることがあるため、導入検討時には各社の最新の公式情報をあわせてご確認ください。
| 主要ソリューションの対応範囲比較 | Aikido Security | Snyk | Sonatype | Black Duck | Trivy | SHIFT SECURITY ソースコード診断 | セキュアブレイン ソースコード診断 | レオンテクノロジー ソースコード診断 | KSK ソースコード診断 | CoWorker 脆弱性診断 | GMO Flatt Security | Checkmarx One | Veracode | Semgrep | GitHub Advanced Security | AeyeScan | Securify | VAddy | Vex |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 対策タイプ | 依存関係・OSS検査（SCA）／SBOM | 依存関係・OSS検査（SCA）／SBOM | 依存関係・OSS検査（SCA）／SBOM | 依存関係・OSS検査（SCA）／SBOM | 依存関係・OSS検査（SCA）／SBOM | ソースコード診断（委託型） | ソースコード診断（委託型） | ソースコード診断（委託型） | ソースコード診断（委託型） | ソースコード診断（委託型） | ソースコード診断・Web診断（委託型） | ソースコード診断（ツール型／SAST） | ソースコード診断（ツール型／SAST） | ソースコード診断（ツール型／SAST） | ソースコード診断（ツール型／SAST） | Web・API脆弱性診断（DAST） | Web・API脆弱性診断（DAST） | Web・API脆弱性診断（DAST） | Web・API脆弱性診断（DAST） |
| 診断・検査の方式 | ツール（SaaS・自動スキャン） | ツール（SaaS・開発ワークフロー組み込み） | ツール（SCA・リポジトリFirewall・SBOM管理） | ツール（SCA。SaaS／オンプレ） | ツール（OSS・CLI／CI組み込み） | 委託診断（静的解析＋専門家の目視） | 委託診断（静的解析＋アナリスト精査） | 委託診断（ツール＋診断士の目視／ホワイトボックス） | 委託診断（診断員の目視） | 委託診断（AI解析＋専門家確認） | 委託診断（手動主体＋部分的ソースコード診断） | ツール（SaaS・AI＋ルールのハイブリッドSAST） | ツール（SaaS・バイナリ／ソース解析SAST） | ツール（OSS／SaaS・パターン解析SAST） | ツール（GitHub組み込み・CodeQL） | ツール（SaaS・AI自動巡回DAST） | ツール（SaaS・自動巡回DAST） | ツール（SaaS・CI／CD連携DAST） | ツール＋診断代行（DAST＋手動） |
| 主な対象 | 依存パッケージ・OSS・ソースコード・コンテナ・クラウド | 依存パッケージ・ソースコード・コンテナ・IaC | 依存パッケージ・OSS・リポジトリ | 依存パッケージ・OSS・コンテナ | 依存パッケージ・コンテナ・IaC・リポジトリ | ソースコード | ソースコード | ソースコード | ソースコード | ソースコード・設計書・稼働中Web／API | Webアプリ・ソースコード・クラウド・コンテナ 等 | ソースコード（SCA・DAST等も） | ソースコード（バイナリ含む） | ソースコード（SCA・シークレットも） | ソースコード・依存パッケージ・シークレット | Webアプリ・SPA・API | Webアプリ・API（ASM／CSPM／SBOMモジュールも） | Webアプリ・API | Webアプリ・API・SPA |
| SBOM出力 | ●SPDX・CycloneDX・CSV | ●エクスポート対応 | ●SPDX・CycloneDX（VEX・AIBOM対応） | ●SPDX・CycloneDX | ●CycloneDX・SPDX | × | × | × | × | × | × | — | — | — | — | × | ●SBOMモジュール | × | × |
| 料金（目安） | 月額5万円台〜（AndGo経由・年間契約・利用者10人まで）。無料プランあり | 無料プランあり／Team 月額$25〜／Enterprise 要問い合わせ | 一部無料／Guide Pro 年額$1,200〜ほか（要問い合わせ） | 要問い合わせ | 無料（OSS） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | ソースコードAI診断15万円〜 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 無料プランあり／Teams 月額$30〜／Enterprise 要問い合わせ | Code Security 月額$30／Secret Protection 月額$19（コミッター単位）。公開リポジトリは一部無料 | 要問い合わせ（無料トライアルあり） | 月額5万円〜（Webアプリケーション診断STARTER） | 月額19,800円〜（税別・初期費用0円） | 年額66万円〜（Vex Team）／診断代行は個別見積り |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※ 上表は2026年10月時点で確認した各社の公式情報に基づいて作成しています。「—」は、そのソリューションの公式情報でSBOM出力の有無を確認できなかったことを示します。料金・対応範囲は変更される場合があるため、最新情報は各社の公式サイトでご確認ください。
サービス個別紹介
ここからは、国内で資料請求や問い合わせができるサービスを対策タイプ別に紹介します。海外で広く使われている製品の対応範囲は、上の比較表で確認できます。以下では、依存関係の検査から委託型のソースコード診断、Web・API診断まで、日本語で相談できるサービスを順に取り上げます。
依存関係・OSS検査（SCA）／Aikido Security（株式会社AndGo）
Aikido Security は、依存関係の検査（SCA）、静的解析（SAST）、クラウド設定やコンテナイメージの検査、実行時の防御などを1つの画面にまとめたセキュリティSaaSです。開発元はベルギーの Aikido Security BV で、日本では株式会社AndGo が正規代理店として、日本語の管理画面・ドキュメントと導入支援を提供しています。
供給網対策としては、OSS依存関係の脆弱性検査に加え、npmやPyPIなどに紛れ込んだ不正なパッケージの検出（Proプラン以上）に対応します。インストール時点での悪性パッケージの遮断や、SBOMの出力（SPDX・CycloneDX・CSV、Basicプラン以上）までを扱います。
検出した脆弱性に対して修正案のプルリクエストを自動生成する機能を持ち、直すところまで進めやすい設計が特徴です。料金はAndGo経由で月額5万円台から（年間契約・利用者10人までの場合）とされ、2名まで使える無料プランもあります。
診断ツールは、脆弱性の場所と直し方を示して終わり、になりがちです。そこで当社としては、直すところまで進めやすい体験が重要だと思っています。Aikido Securityには、オートフィックスとして修正案のドラフトを作ってプルリクエストまで投げられる機能があります。レビューして進める形にできるので、「じゃあ直すか」の速度が上がります。
ソースコード診断（委託型）／SHIFT SECURITY ソースコード診断（株式会社SHIFT）
ソフトウェアテスト大手の株式会社SHIFT（旧・株式会社SHIFT SECURITY、2026年9月に吸収合併）が提供する、ソースコードの静的解析による脆弱性診断サービスです。外部からの動的診断では見つけにくい、コード内部に潜む脆弱性の洗い出しを主眼としています。
対象アプリの規模や公開範囲に応じた複数のプランがあり、対応言語の幅や、専門家の目視解析の有無がプランで分かれます。脆弱性ごとに脅威・対策・根拠を示す報告書を提供し、金融分野をはじめ豊富な診断実績を公表している点も、依頼先を選ぶうえで確認しやすい材料です。
ソースコード診断（委託型）／セキュアブレイン ソースコード診断（株式会社日立システムズ）
株式会社日立システムズが「セキュアブレイン」ブランドで提供するセキュリティ診断サービスのうち、ソースコードを対象とするメニューです（旧・株式会社セキュアブレインは2024年4月に日立システムズへ吸収合併）。ITインフラ診断・Webアプリケーション診断と並ぶ3つの診断の一つとして位置づけられています。
Webサーバーの環境を用意する必要がなく、ソースコードを提供すれば稼働中システムに影響を与えずに診断できる点を訴求しています。脆弱性が検出された場合はファイル名・行番号まで報告する仕様で、修正作業の工数削減につながるとしています。拡張オプションとして侵入テスト（ペネトレーションテスト）も用意されています。
ソースコード診断（委託型）／ソースコード診断（株式会社レオンテクノロジー）
診断士がツールと目視チェックを組み合わせて実施するのが、株式会社レオンテクノロジーのホワイトボックス型ソースコード診断です。対象システムのソースコード一式をもとに、外部からのブラックボックス診断では検出が難しい脆弱性にも対応するとしています。
インジェクション・認証・認可制御・セッション管理・情報漏えいなど、検出項目を8カテゴリに整理して公開しています。診断士は自社社員のみで対応する体制を掲げ、重大な脆弱性を発見した場合は速報で通知、開発の途中段階での部分的な診断にも対応します。
ソースコード診断（委託型）／ソースコード診断（株式会社KSK）
「Web・スマホの品質に関するプロ集団」を掲げる株式会社KSKが、ソフトウェアテストソリューション「KSK Verification」の中で提供するソースコードの静的診断です。診断員による目視診断を軸に、コードの内部構造に起因する脆弱性のほか、非推奨のAPI・関数の利用やデッドコードなど、コード品質に関わる項目も対象としています。
開発・実装の段階からの診断に対応しており、早期に発見することで修正コストの削減につながるとしています。危険度の高い脆弱性を検出した場合の速報サービスや、報告会をオプションで用意しています。
ソースコード診断（委託型）／CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発AI「Red Agent」による自動解析と社内の専門家による最終確認を組み合わせたのが、CoWorker株式会社の脆弱性診断サービスです。メニューは「ソースコードAI診断」「動的脆弱性診断（Web/API診断）」「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3段構成で、必要な範囲を段階的に選べます。
ソースコードAI診断は、ソースコードや設計書をAIが解析し、本番環境に影響を与えずにリスクを洗い出すとしています。ソースコードの静的な診断から、稼働中アプリの動的診断まで一つの窓口で相談できるため、供給網の内側（コード）と外側（稼働アプリ）を合わせて見たい場合の選択肢になります。
Web・API脆弱性診断／AeyeScan（株式会社エーアイセキュリティラボ）
株式会社エーアイセキュリティラボが開発・提供する、クラウド型のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールが不要で、ブラウザから診断を開始できます。AIが利用者の操作に近い形でサイト内を巡回し、画面遷移図の自動生成まで行う点が特徴です。
診断対象はWebサイト・Webアプリケーション、SPA、API（オプション）で、OWASP Top 10や独立行政法人情報処理推進機構（IPA）の「安全なウェブサイトの作り方」に沿った診断に対応します。CI/CDツールとのAPI連携やスケジュール機能により、継続的な診断を自動化できるとしています。料金は用途やサイト数に応じた個別見積りで、無料トライアルが用意されています。
Web・API脆弱性診断／Securify（株式会社スリーシェイク）
Web・APIへの自動診断を中核に複数のモジュールを同じシリーズで束ねたのが、株式会社スリーシェイクのクラウド型診断サービス「Securify」です。外部公開資産を継続的に把握するASM、クラウド設定を監視するCSPM、部品を抽出して脆弱性と突き合わせるSBOMまでをカバーします。
画面遷移の巡回から疑似攻撃の送信、応答の検証までを自動で実行し、ログイン後の画面やSPAにも対応します。診断の実施日時や頻度を指定でき、APIトークンを使ってCI/CDパイプラインに組み込むこともできます。Webアプリケーション診断は月額5万円からと、料金の目安が公開されています。
Web・API脆弱性診断／VAddy（株式会社ビットフォレスト）
CI/CDパイプラインへの組み込みを前提に設計された、株式会社ビットフォレストのクラウド型Webアプリケーション脆弱性診断ツールです。WebAPIやコマンドラインツールと連携し、cronによる夜間の自動実行環境を構築できるため、継続的な診断を開発の流れに組み込みやすい設計です。
診断方式は動的診断（DAST）で、スキャン回数は無制限、初期費用は0円、1ヶ月単位から契約できます。ログイン必須のアプリやAPIサーバー、SPAの検査に対応し、月額は19,800円からと料金の目安が公開されています（いずれも税別、2026年10月時点）。
Web・API脆弱性診断／Vex（株式会社ユービーセキュア）
NRIセキュアグループの株式会社ユービーセキュアが提供する、Webアプリケーションを主対象とする脆弱性検査ツールです。対象URLを入力すると外部から疑似攻撃を送り、レスポンスを解析して脆弱性を確認する動的診断（DAST）方式で、長年の診断実績を公表しています。
自動クローリングやログイン後の画面を再現するシナリオスキャン、OpenAPI/Swagger定義を読み込むAPI診断に対応します。2026年4月に従来の2ブランドを「Vex」へ統合し、事業者向けから診断事業者向けまで3プラン構成に刷新しました。ツールの導入に加えて、診断士の手動診断を組み合わせた診断代行サービスも用意されています。
ここで取り上げたWeb・API脆弱性診断やソースコード診断は、いずれも脆弱性診断サービスの一種です。供給網対策に限らず、脆弱性診断サービス全般の診断方法・費用相場・選び方を見渡して依頼先を比べたい場合は、次の記事が参考になります。
制度・動向から見た選定観点
ソフトウェアサプライチェーンのセキュリティは、国内外の制度や動向からも後押しされています。ここでは、どの対策に備え、取引先の要求にどう応えるべきかを判断する材料として、代表的な動きを整理します。
国内：IPAの「SCS評価制度」
国内では、独立行政法人情報処理推進機構（IPA）が「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を整備しています。経済産業省および内閣官房国家サイバー統括室の監督のもと、IPAが運営する制度で、サプライチェーン全体でのセキュリティ対策水準の向上を目的としています。委託する側と委託される側の関係に着目している点が特徴です。
委託元が、委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することを想定しています。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜独立行政法人情報処理推進機構（IPA）
対策水準は星（★）の段階で評価する仕組みで、現時点では★3が一般的なサイバー脅威に対処しうる水準、★4がサプライチェーンにおける自社の役割に適合した強靭化策が講じられている水準として規定されています。
制度はまだ整備・展開の途上にあり、申請方法や各段階の要求事項の詳細は順次公開される段階です。委託先として評価を求められる可能性に備え、自社がどの段階の対策を講じているかを把握しておく観点が、今後の選定で意味を持ちます。
出典・参考資料（1件）
SBOM（ソフトウェア部品表）をめぐる動き
使っている部品を一覧化するSBOMは、供給網対策の共通基盤となる情報です。経済産業省は「ソフトウェア管理に向けたSBOMの導入に関する手引」を公開しており（ver 2.0は令和6年8月29日付）、SBOMを次のように定義しています。
SBOM とは、ソフトウェアコンポーネントやそれらの依存関係の情報も含めた機械処理可能な一覧リストである。SBOM には、ソフトウェアに含まれるコンポーネントの名称やバージョン情報、コンポーネントの開発者等の情報が含まれ、OSS だけではなくプロプライエタリソフトウェアに関する情報も含めることができる。
出典：ソフトウェア管理に向けたSBOMの導入に関する手引 ver 2.0｜経済産業省 商務情報政策局 サイバーセキュリティ課
取引先からSBOMの提出を求められる場面では、依存関係の検査（SCA）を担うソリューションが、SPDXやCycloneDXといった標準形式でSBOMを出力できるかどうかが、実務上の選定条件になります。
海外：米国の大統領令14028号
海外の動向として、米国では2021年5月12日に発令された大統領令14028号が、連邦政府が調達するソフトウェアについて、供給者に対し製品ごとのSBOMの提供を求めました。
政府調達を起点にSBOMの提供を求める流れは、その後の各国の議論や、民間取引での要求にも影響を与えています。日本国内で事業を行う場合でも、米国の政府機関や、SBOMの提供を前提とする取引先と関わる企業にとっては、備えておくべき動きといえます。
出典・参考資料（1件）
まとめ
ソフトウェアサプライチェーンセキュリティは、依存関係・OSSの検査（SCA）とSBOM生成、ソースコード診断、Web・API脆弱性診断、ネットワーク・ランタイム保護という、守る範囲の異なる対策に分かれ、提供するベンダーもそれぞれ異なります。まずは自社の開発形態（内製か外注か）と、OSSへの依存度、取引先からの要求を踏まえて、どの対策タイプから着手すべきかを見極めるところから始めるのが現実的です。
国内で日本語のサポートを受けながら相談できるサービスから、開発ワークフローに組み込んで使うツールまで、対応範囲と料金の目安を比較表で確認できます。気になるサービスの資料をまとめて取り寄せ、自社の体制に合う依頼先を具体的に比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ソフトウェアサプライチェーンセキュリティとは何ですか？
A. ソフトウェアサプライチェーンセキュリティとは、ソフトウェアが開発され利用者に届くまでの過程（OSSや外部の部品、ビルド、配布）に、不正なコードや脆弱性が入り込むのを防ぐための一連の対策です。
自社が書いたコードだけを対象とする従来のアプリケーションセキュリティと異なり、取り込む部品やビルド・配布の経路まで含めて守る点が特徴です。具体的には、依存パッケージ・OSSの検査（SCA）とSBOM生成、ソースコード診断（SAST）、Web・API脆弱性診断（DAST）、ネットワーク・ランタイム保護といった、守る範囲の異なる複数の対策で構成されます。
Q. SBOM（ソフトウェア部品表）とは何ですか？なぜ重要なのですか？
A. SBOMとは、ソフトウェアに含まれる部品（コンポーネント）やその依存関係、バージョン情報などを、機械処理できる形で一覧化したリストです。経済産業省の手引では、OSSだけでなくプロプライエタリ（商用）ソフトウェアの情報も含められると定義されています。
使っている部品が分かっていれば、新たな脆弱性が公表されたときに自社の製品が影響を受けるかを素早く確認できます。取引先からの部品一覧の提出要求にも応えられるため、供給網対策の共通基盤として扱われます。
Q. ソフトウェアサプライチェーン攻撃と一般的なサイバー攻撃は何が違うのですか？
A. 最大の違いは、攻撃者が標的を直接狙わず、標的が信頼して取り込む正規の部品やソフトウェア更新に不正を仕込み、それを使う多数の組織へ一度に被害を広げる点です。
自社のネットワークやアプリに直接侵入を試みる一般的な攻撃と異なり、入口が「信頼済みの外部の部品・更新」になるため、自社が直接書いたコードだけを監視していても気づきにくいのが特徴です。だからこそ、取り込む部品や配布経路まで含めて検査する、供給網向けの対策が必要になります。
Q. SCA（依存関係・OSS検査）とSAST（ソースコード診断）は何が違うのですか？
A. SCAは「外部から取り込んだOSS・依存パッケージ」に既知の脆弱性や不正がないかを検査するのに対し、SASTは「自社が書いたソースコード」自体に脆弱な書き方や欠陥がないかを静的に解析します。検査する対象が、借りてきた部品か、自作のコードかで分かれます。現代のソフトウェアは外部部品の比率が高いため両方が必要になる場面が多く、製品によっては両方の検査を1つの画面で扱えるものもあります。
Q. オープンソースソフトウェア（OSS）は商用ソフトウェアより危険なのですか？
A. OSSが商用ソフトウェアより一律に危険というわけではなく、公開性ゆえに脆弱性が発見・修正されやすい利点がある一方、誰でも公開できる仕組みが悪用され、不正なパッケージが紛れ込むリスクもあります。
重要なのはOSSか商用かという区分そのものではなく、取り込む部品に既知の脆弱性や改ざんがないかを継続的に検査し、間接依存（部品がさらに依存する部品）まで把握できているかどうかです。OSSは依存関係が深くなりやすいため、SCAとSBOMによる可視化がとくに有効です。
Q. 無料のOSSスキャナーと商用のセキュリティサービスは何が違うのですか？
A. 無料のオープンソースのスキャナーは導入コストを抑えて検査を始められ、商用サービスは運用を支える機能で差がつきます。商用では、検出後の修正支援や優先順位付け、不正パッケージの取り込み遮断、日本語サポートや報告書といった点が強みになります。
脆弱性は見つけるだけでなく、直して初めてリスクが下がります。アラートを捌ききれずに放置が生じやすい運用フェーズでは商用サービスの支援機能が効いてくるため、まず無料ツールで着手し、運用に乗った段階で商用の導入を検討する進め方もあります。
Q. ソフトウェアサプライチェーンセキュリティ対策は、どのタイプから始めるべきですか？
A. すべてを一度に導入する必要はなく、自社の開発形態と、いま最も不安のある経路から優先して着手するのが現実的です。
内製でコードを継続的に更新しているなら依存関係の検査（SCA）やツール型のソースコード診断、開発を外注していて社内に診断の体制がないなら委託型のソースコード診断、稼働中のWebサービスの安全性を確かめたいならWeb・API脆弱性診断（DAST）が起点になります。取引先からSBOMの提出を求められている場合は、SCA／SBOM領域の優先度が上がります。
Q. 取引先からSBOMの提出や供給網対策を求められたら、対応は法律上の義務ですか？
A. 日本国内では、現時点でSBOMの提出や供給網セキュリティ対策を民間企業に一律で課す法的義務はなく、多くは取引先との契約上の要求として生じます。
一方、米国では2021年の大統領令14028号により連邦政府が調達するソフトウェアでSBOMの提供が求められ、国内でもIPAが「SCS評価制度」で委託元・委託先の対策水準を段階評価する仕組みを整えるなど、取引を通じて対応を求められる場面は広がっています。法的義務の有無にかかわらず、取引継続の条件として備えておく実務的な意味は大きいといえます。
出典・参考資料（3件）
ソフトウェアサプライチェーンセキュリティの料金・資料を一括チェック
MCB FinTechカタログでは、依存関係の検査やSBOM生成、ソースコード診断、Web・API診断に対応する法人向けサービスの最新資料を無料で一括請求できます。対応範囲や料金を見比べて、自社に合う依頼先の検討にお役立てください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
