自社のWebサイトや社内システムの脆弱性診断を外部に任せたいと考えても、診断を手がける会社は数多く、どこに依頼すればよいか決めかねていませんか。専門家が手作業で深く調べる会社もあれば、ツールで自動的にスキャンするサービスもあり、対応できる範囲や費用、診断後のフォローも会社ごとに大きく異なります。
自社のシステム規模や予算、求める精度に合った依頼先を見つけるには、どのような観点でベンダーを比べればよいのでしょうか。診断手法の違いを理解せずに価格だけで選ぶと、必要な範囲を調べきれなかったり、報告書を受け取った後の改修に困ったりすることがあります。
本記事では、脆弱性診断を依頼できる主要なベンダー21社を診断手法のタイプ別に比較・解説します。手動診断とツール自動診断の違い、対応範囲や認証・実績の見極め方、費用相場、診断後のサポートまで、依頼先を決めるために必要な判断材料を整理しました。自社のシステムの脆弱性診断を外部に委託したい担当者が、自社に合う依頼先を選ぶための検討材料としてご活用ください。
また、自社の状況に合わせて最適な依頼先を最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。対象システムや求める精度を選ぶだけで、自社に向いたベンダーのタイプと候補を確認できます。
目次
一括ダウンロードする
脆弱性診断とは｜ベンダーに依頼する診断の種類と対応範囲
脆弱性診断とは、Webサイトやサーバー、ネットワーク機器などに潜むセキュリティ上の弱点を、攻撃者に悪用される前に洗い出す調査です。自社にセキュリティの専門人材が乏しい場合や、第三者の客観的な評価が必要な場合は、専門のベンダーに委託して診断を受けるのが一般的です。依頼先を選ぶ前に、まずは診断の対象範囲と手法の種類を押さえておくと、自社に必要な診断メニューを見極めやすくなります。
ベンダーが対応する診断対象の範囲
脆弱性診断は、調べる対象によっていくつかのメニューに分かれます。ベンダーごとに得意な領域が異なるため、自社が診断したい対象をどこまでカバーできるかが、依頼先選びの最初の分かれ目になります。
- Webアプリケーション診断：ECサイトや会員サイト、業務用Webシステムなど、利用者が操作する画面やAPIに潜む弱点を調べます。SQLインジェクションやクロスサイトスクリプティングなど、Web特有の攻撃を想定した診断です。
- プラットフォーム診断（ネットワーク診断）：サーバーやネットワーク機器のOS・ミドルウェアの設定不備や、修正プログラムの適用漏れを調べます。自社データセンターやクラウド上の基盤が対象です。
- クラウド診断：Amazon Web ServicesやMicrosoft Azureなどのクラウド環境で、アクセス権限やストレージの公開設定といった構成の不備を調べます。
- スマートフォンアプリ診断・ソースコード診断：モバイルアプリの挙動や、プログラムの設計段階に潜む問題を調べるメニューです。対応するベンダーは限られます。
自社が守りたいシステムがWebアプリ中心なのか、サーバー基盤まで含むのかによって、依頼すべき診断メニューは変わります。複数の対象をまとめて診断したい場合は、Webとプラットフォームの両方に対応するベンダーを選ぶと窓口を一本化できます。
特定の対象に絞って依頼先を探している場合は、対象別に診断の内容と選び方をまとめた記事もあります。クラウド環境ならクラウドの脆弱性診断とは？対象・種類・費用と設定診断（CSPM）との違い、スマートフォンアプリならスマホアプリ脆弱性診断の費用相場と選び方、プログラムの内部まで調べたいならソースコード診断とは？費用相場と依頼先の選び方をご参照ください。
脆弱性診断とペネトレーションテストの違い
依頼内容を決めるうえで混同しやすいのが、脆弱性診断とペネトレーションテスト（侵入試験）の違いです。脆弱性診断が対象システムの弱点を網羅的に洗い出す調査であるのに対し、ペネトレーションテストは特定の目的（重要情報の窃取など）を達成できるかを、実際に攻撃を試みて検証するテストです。
経済産業省は、情報セキュリティサービス審査登録制度において、ペネトレーションテストを「実際に既知の技術を用いて侵入を試みるテスト方式」と位置づけ、脆弱性診断サービスのオプションサービスとして扱っています。
制度上はペネトレーションテストが脆弱性診断を包含する上位の位置づけとされており、まず全体の弱点を把握したいなら脆弱性診断、攻撃者目線で侵入の成否まで確かめたいならペネトレーションテスト、という使い分けになります。
出典・参考資料（2件）
- 参考資料：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）https://www.ipa.go.jp/security/service_list.html
- 参考資料：「情報セキュリティサービス審査登録制度」の対象に「ペネトレーションテスト（侵入試験）サービス」を追加しました｜経済産業省https://www.meti.go.jp/press/2024/04/20240404001/20240404001.html
脆弱性診断とペネトレーションテストのどちらを自社で選ぶべきか、目的・費用・使い分けの観点からもう一歩踏み込んで整理したい場合は、両者を正面から比較した以下の記事もご覧ください。
脆弱性診断ベンダーのタイプ（診断手法で選ぶ）
脆弱性診断ベンダーは、おもに診断手法（進め方）で3タイプ、診断対象で1タイプの、大きく4つに分かれます。手法による3タイプは、専門家が手作業で深く調べる手動診断型、ツールで自動スキャンするツール自動診断型、その両方を組み合わせるハイブリッド型です。
これに、Webアプリより社内ネットワーク基盤側を重点的に調べるネットワーク・インフラ特化型が加わります。タイプによって精度・費用・速度が変わるため、まずは自社が「どの手法を必要としているか」を見極めると、候補を絞り込みやすくなります。
| タイプ | 専門家による手動診断型 | ツール自動診断型（SaaS） | ハイブリッド型 | ネットワーク・インフラ特化型 |
|---|---|---|---|---|
| 診断の進め方 | セキュリティ技術者が手作業で検査し、ツールでは検出しにくい設計上の弱点まで調べる | 専用ツールで自動スキャンし、短期間・低コストで繰り返し診断する | ツールの網羅性と専門家の手動検査を組み合わせる | サーバーやネットワーク基盤のリスクを可視化する |
| 向いている企業・システム | 金融・決済など高リスクのシステム、精度を最優先したい場合 | 開発サイクルの中で定期的に自社で回したい場合 | 網羅性と精度のバランスを取りたい中規模システム | 社内ネットワークやインフラ側の弱点を重点的に調べたい場合 |
| 費用感の傾向 | 高め | 低め | 中程度 | 月額課金型から個別見積もりまで幅広い |
なお、最初の3タイプは診断手法による分け方で、4つ目のネットワーク・インフラ特化型は診断対象による分け方です。ツールと手動を組み合わせるなど複数の手法を提供する会社も多いため、各社が実際にどの手法を用いるかは、後述の比較表の「診断手法」欄もあわせて確認してください。
どこから見るか迷う場合は、高い精度が求められる重要システムなら手動診断型、開発サイクルで頻繁に回したい小規模・低予算のケースならツール自動診断型、その中間ならハイブリッド型、社内ネットワーク基盤を重点的に調べたいならネットワーク・インフラ特化型を起点にすると絞り込みやすくなります。
専門家による手動診断を強みとするベンダー
セキュリティ技術者が手作業で検査するタイプです。ツールの自動スキャンでは見つけにくい、業務ロジックの欠陥や複雑な権限設定の不備まで踏み込んで調べられるのが強みです。診断の精度が高く、攻撃者目線のペネトレーションテストに対応する会社も多い一方、人手がかかるため費用は高めで、診断期間も長くなる傾向があります。重要情報を扱う高リスクなシステムや、取引先から高い水準の診断を求められる場合に向いています。
ツールによる自動診断（SaaS）を提供するベンダー
専用の診断ツールをクラウドサービスとして提供し、利用者が自社で診断を実行できるタイプです。短期間・低コストで繰り返し診断できるため、開発のたびにチェックしたい、リリース前に手早く確認したいといったニーズに向きます。手動診断に比べると深い検査は難しい面がありますが、月額料金で何度でも診断できる料金体系の製品が多く、内製でセキュリティ品質を維持したい企業に適しています。
手動とツールを組み合わせたハイブリッド型のベンダー
ツールによる網羅的なスキャンと、専門家による手動の深掘り検査を組み合わせるタイプです。ツールで効率よく広く調べつつ、重要な箇所は人の目で確かめるため、網羅性と精度の両立を図れます。手動診断型より費用を抑えつつ、自動診断型より踏み込んだ検査を受けたい、中規模のシステムを持つ企業に向いています。
ネットワーク・インフラのリスク診断に特化したベンダー
Webアプリケーションよりも、サーバーやネットワーク機器といった基盤側のリスクを重点的に調べるタイプです。通信の内容を分析して不審な挙動や設定不備を可視化するなど、インフラ領域の弱点を明らかにします。社内ネットワークやデータセンター環境のセキュリティを点検したい場合に適しています。
自社がどのタイプに合うか判断が難しい場合でも、状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
脆弱性診断ベンダーの選び方｜確認すべき観点
ここからは、依頼先のベンダーを比べるときに確認したい観点を整理します。価格だけで決めず、対応範囲・手法・信頼性・費用・診断後のサポート、そして内製と委託のどちらで進めるかを順に照らし合わせると、自社に合う依頼先を選びやすくなります。
診断対象の範囲が自社システムをカバーしているか
まず確認したいのは、診断したい対象をベンダーがカバーしているかです。Webアプリケーションだけを診断したいのか、サーバー基盤やクラウド環境、スマートフォンアプリまで含めたいのかで、候補となるベンダーは変わります。複数の対象をまとめて任せたい場合は、Webとプラットフォームの両方に対応し、クラウドやモバイルのメニューも揃うベンダーを選ぶと、窓口が一つで済み、診断結果も横断的に把握できます。
診断手法（手動／ツール／ハイブリッド）が自社の精度要件に合うか
求める精度と、かけられる手間・費用のバランスで手法を選びます。金融・決済や個人情報を大量に扱うシステムなど、万一の侵害の影響が大きい場合は、専門家が手作業で深く調べる手動診断が安心です。一方、開発のたびに手早くチェックしたい、社内で定期的に回したいという場合は、ツール自動診断の方が費用と頻度の面で現実的です。どちらとも言い切れない場合は、網羅性と精度を両立するハイブリッド型が候補になります。
認証・実績・体制で信頼性を見極める
診断を委託する以上、ベンダー自身の信頼性も見極めたい観点です。判断材料になるのが、第三者が品質や技術を審査する公的な制度です。
経済産業省は、脆弱性診断などのサービスが満たすべき品質・技術の基準として「情報セキュリティサービス基準」を定め、この基準に適合すると審査されたサービスを「情報セキュリティサービス基準適合サービスリスト」として公表しています。このリストには「脆弱性診断サービス」の区分があり、適合が認められたサービスが掲載されています。
当該リストに掲載された企業が、政府調達や地方公共団体における調達で活用することが推奨されるなど、情報セキュリティサービス審査登録制度の活用も進んでいます。
出典：「情報セキュリティサービス審査登録制度」の対象に「ペネトレーションテスト（侵入試験）サービス」を追加しました｜経済産業省
政府や自治体の調達で参照が推奨される制度のため、この基準への適合は、社内の稟議や取引先からの要求を通す際の客観的な裏づけとして使えます。あわせて、情報セキュリティマネジメントの国際規格であるISMS（ISO/IEC 27001）や、個人情報の取り扱いを認定するプライバシーマークの取得状況も確認するとよいでしょう。
ただしこの2つは、診断サービスそのものの品質ではなく、その事業者（組織）の管理体制を認証するものである点には注意が必要です。診断サービスの品質・技術の裏づけとしては、前述の情報セキュリティサービス基準適合サービスリストへの掲載が直接的な指標になります。
認証に加えて、診断実績の件数や、情報処理安全確保支援士などの有資格者が在籍しているか、Webアプリの代表的なリスクをまとめた国際的な指標であるOWASP Top 10などの基準に沿って診断しているかも、信頼性を測る手がかりになります。
後述の比較表では第三者基準・認証の欄が「-」となっているベンダーもありますが、これは必ずしも信頼性が低いことを意味しません。認証は判断材料の一つであり、診断実績や技術者の体制、採用している診断基準といった別の裏づけとあわせて総合的に見ることが大切です。
出典・参考資料（4件）
- 出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）https://www.ipa.go.jp/security/service_list.html
- 参考資料：ISMS適合性評価制度｜一般社団法人情報マネジメントシステム認定センター（ISMS-AC）https://isms.jp/isms.html
- 参考資料：プライバシーマーク制度｜一般財団法人日本情報経済社会推進協会（JIPDEC）https://privacymark.jp/
- 参考資料：OWASP Top Ten｜OWASP Foundationhttps://owasp.org/www-project-top-ten/
費用が予算と必要精度に見合うか
費用は診断手法と対象の規模で大きく変わります。手動診断は精度が高い分、費用も高くなりがちで、ツール自動診断は低コストで繰り返せる代わりに深い検査には向きません。重要なのは、必要な精度に見合った費用かどうかです。
影響の小さいシステムに高額な手動診断をかける必要はなく、逆に重要システムをツール診断だけで済ませると見落としのリスクが残ります。多くのベンダーは対象の規模に応じた個別見積もりを基本とするため、複数社から見積もりを取り、診断範囲と価格の内訳を比べて判断するとよいでしょう。
診断後のサポート（報告書・再診断・改修支援）が充実しているか
診断は弱点を見つけて終わりではなく、見つかった問題を直してはじめて意味を持ちます。そのため、診断後のサポート体制も重要な比較観点です。確認したいのは、報告書の内容を口頭で説明してもらえるか、改修後に問題が解消したかを確かめる再診断に対応しているか、危険度の高い弱点が見つかった際に速やかに連絡をもらえるか、といった点です。
社内にセキュリティの専門人材が少ない場合は、報告書を渡すだけでなく、改修の進め方まで相談できるベンダーを選ぶと、診断結果を確実に対策につなげられます。
内製ツールで回すか、専門ベンダーに委託するか
脆弱性診断には、自社でツールを使って継続的に回す方法と、専門ベンダーに委託する方法があります。どちらが正解ということはなく、両者を使い分けるのが現実的です。
開発サイクルの中で頻繁にチェックしたい日常的な診断は、ツール自動診断のサービスを導入して自社で回し、リリース前の重要な節目や、取引先・監査で第三者の診断証明が必要な場面では、専門ベンダーの手動診断を受ける、という組み合わせが考えられます。自社にセキュリティ人材がほとんどいない場合は、まず委託から始め、運用が定着してきたら一部を内製化していくのも一つの進め方です。
内製化をどこまで進められるか迷う場合は、どの診断項目がツールで置き換えられ、どこから専門ベンダーに任せるべきかを項目別に整理した以下の記事も参考になります。
脆弱性診断の費用相場｜診断手法・対象規模別の目安
脆弱性診断の費用は、診断手法と対象の規模によって幅があります。公的に定められた相場はなく、各社の公開情報を見ても料金体系はさまざまですが、おおまかな傾向は次のように整理できます。
2026年10月時点で各社が公開している料金を手法別に見ると、ツールによる自動診断のSaaSは月額・年額の定額制が中心で、月額数万円程度から継続的に利用できるものが多くあります。ネットワーク内部を対象とする月額課金型では、1台あたり月額千円台からというプランもあります。
専門家による手動のWebアプリケーション診断は、対象の画面数や機能数に応じて数十万円から百数十万円規模が目安です。攻撃者目線で深く侵入を試みるペネトレーションテストやTLPT（脅威ベースのペネトレーションテスト）では、数百万円から1,000万円規模に及ぶこともあり、ハイブリッド型はその中間に位置づけられます。
ただし多くのベンダーは、診断対象の規模や内容に応じた個別見積もりを基本としており、料金を公開していないケースも少なくありません。正確な費用は、診断したい範囲を伝えて複数社から見積もりを取り、比較するのが確実です。
なお、成果に応じて報酬を支払う成果報酬型の診断や、無料で使えるオープンソースの診断ツールという選択肢もあります。各社の料金体系の目安は、タイプ別の比較表でも確認できます。
無料ツールも含めた診断方法ごとの費用相場や選び方を、カテゴリ全体で広く把握しておきたい場合は、以下の記事で脆弱性診断サービスの全体像を確認できます。
一括ダウンロードする
【比較表】脆弱性診断ベンダーを診断手法・対応範囲・費用・認証で比較
ここからは、自社の課題や要件に合わせた客観的な比較・選定ができるよう、主要な脆弱性診断ベンダーを診断手法のタイプ別に分類し、対応範囲・費用感・第三者基準や認証・診断後のサポートを一覧で比較します。
専門家による手動診断を強みとするベンダーの比較
| サービス名 | 脆弱性診断・ペネトレーションテスト（三井物産セキュアディレクション） | セキュリティ診断・TLPT（ラック） | セキュリティ診断（NRIセキュア） | セキュリティ診断・評価・調査（NTTセキュリティ・ジャパン） | 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ） | Webアプリケーション診断（GMO Flatt Security） | ペネトレーションテスト（グローバルセキュリティエキスパート） | 脆弱性診断・ペネトレーションテスト（レイ・イージス・ジャパン） |
|---|---|---|---|---|---|---|---|---|
| 診断手法 | 手動主体（補助ツール・商用ツール併用） | 手動主体 | 手動主体（ハイブリッド方式も選択可） | 手動主体（複数ツール併用） | 手動主体（ツール併用） | グレー／ブラックボックス診断（AI「Takumi」活用・ソースコード診断を標準付帯） | 手動主体（疑似攻撃によるペネトレ） | 診断エンジニアによる手動診断（独自AI探査ツール併用） |
| 主な対応範囲 | Webアプリ／ネットワーク／スマホアプリ／IoT・OT／ペネトレ・TLPT | Webアプリ／ネットワーク／クラウド／スマホアプリ／ペネトレ・TLPT | Webアプリ／プラットフォーム／スマホアプリ／API／クラウド／ソースコード／ペネトレ／AI／IoT・OT | Webアプリ／プラットフォーム／RedTeam・TLPT／IoT・OT（セルフ診断も選択可） | Webアプリ／スマホアプリ／クラウド／ネットワーク／NFT・ブロックチェーン／ペネトレ（13種） | Webアプリ／API／SPA／GraphQL／LLM・生成AI／クラウド | ペネトレ（外部NW／社内AD／マルウェア感染起点）＋プラットフォーム診断（Webアプリ固有の脆弱性は範囲外） | Webアプリ／プラットフォーム／モバイルアプリ／API／ペネトレ |
| 第三者基準・認証 | ISMS（ISO/IEC 27001）／ISO 9001 | ISMS（ISO/IEC 27001）ほか取得 | ISMS（ISO/IEC 27001） | ISMS（22127-ISMS-001） | 情報セキュリティサービス基準適合／ISMS（ISO 27001） | 情報セキュリティサービス基準適合 | 情報セキュリティサービス基準適合（IPA登録） | -（OWASP WSTG 4.2に基づき診断） |
| 費用の目安 | 要問い合わせ（個別見積もり） | ペネトレ700万〜1,000万円／TLPT 1,000万円程度〜（個別見積もり） | 個別見積もり（ペネトレは800万円〜・税別） | 要問い合わせ（全メニュー非公開） | 要問い合わせ（画面数・API数で個別見積もり） | 100万円〜（税別、見積り無料） | 要問い合わせ | 要問い合わせ（FQDN単位の定額制） |
| 診断後サポート | 報告書で対処方法まで助言 | 報告会・納品後1か月サポート／JSOC監視・緊急対応と連携可 | 報告書・対策アドバイス／実施1ヶ月以内に対策状況を確認 | 要問い合わせ | 報告書・報告会（オプション） | 最短7営業日で報告書を納品 | 要問い合わせ | Web診断は3カ月以内、ペネトレは初回報告書後1年間の再診断が付帯 |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト |
ツールによる自動診断（SaaS）を提供するベンダーの比較
| サービス名 | Aikido Security（AndGo） | AeyeScan（エーアイセキュリティラボ） | Securify（スリーシェイク） | VAddy（ビットフォレスト） | SCT SECURE クラウドスキャン（三和コムテック） |
|---|---|---|---|---|---|
| 診断手法 | ツール自動（SaaS） | ツール自動（AIクロール・SaaS） | ツール自動（SaaS） | ツール自動（SaaS／CI/CD組み込み） | ツール自動（毎日自動診断・SaaS） |
| 主な対応範囲 | SCA／SAST／DAST／シークレット検出／CSPM／コンテナ検査（開発〜運用を1画面） | Webアプリ／SPA（オプションでAPI・Androidアプリ） | Webアプリ／API（ASM・CSPM・SBOMも同一サービス） | Webアプリ／REST API | Webサイト／ネットワーク機器（ルータ・FW・DNS等、PCI DSS ASV相当） |
| 第三者基準・認証 | – | ISMS（ISO/IEC 27001・27017） | 情報セキュリティサービス基準適合（020-0025-20） | ISMS（ISO/IEC 27001）／Pマーク | 情報セキュリティサービス基準適合（019-0042-60） |
| 費用の目安 | 月額5万円台〜（年間契約・利用者10人まで）／2ユーザーまで無料プランあり | 個別見積もり（2サイトまで無料トライアルあり） | 月額5万円〜（STARTER・年60万円）／BASIC 月額10万円〜（無料トライアルあり） | 初期費用0円、月額19,800円〜（Professional・税別／3FQDN。1週間の無料トライアルあり） | 年額564,000円〜（初年度・3IP/FQDN・税抜、2年目以降504,000円） |
| 診断後サポート | 検出脆弱性の修正コードをAutoFixが自動生成（PR、マージは人のレビュー） | 診断シナリオ自動生成・画面遷移図を出力、繰り返し診断可 | スケジュール診断で継続診断可（回数無制限） | スキャン回数無制限で継続診断可 | 毎日自動で継続的に再診断 |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
手動とツールを組み合わせたハイブリッド型のベンダーの比較
| サービス名 | CoWorker 脆弱性診断サービス（CoWorker） | SQAT（ブロードバンドセキュリティ） | Cloudbric脆弱性診断（ペンタセキュリティ） | Webアプリケーション診断サービス（Sky） | Vex（ユービーセキュア） | サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ） |
|---|---|---|---|---|---|---|
| 診断手法 | AI自動解析＋専門家確認（ハイブリッド） | 手動診断＋独自自動診断（ハイブリッド） | 手動主体（メニューにより自動ツール併用） | 専門スタッフによるリモート診断 | DASTツール＋診断士の手動診断（診断代行） | ツール＋手動のハイブリッド（ライト版はツールのみ） |
| 主な対応範囲 | ソースコード／Webアプリ・API（動的診断）／ペネトレ | Webアプリ／ネットワーク／スマホアプリ／IoT／クラウド／ソースコード／ペネトレ | Webサイト・Webアプリ／API／プラットフォーム／スマホアプリ／ペネトレ（6種） | Webアプリ（162項目ベース、オプションでペネトレ） | Webアプリ／API（シナリオスキャン対応） | ネットワーク／サーバ構成／Webアプリ／スマホアプリ／ペネトレ（5メニュー） |
| 第三者基準・認証 | – | ISMS／Pマーク／PCI SSC QSA認定 | 情報セキュリティサービス基準適合（021-0017-20・委託先ranryu名義、ペネトレは対象外） | ISMS（ISO/IEC 27001） | ISMS（ISO/IEC 27001） | 情報セキュリティサービス基準適合（IPA掲載） |
| 費用の目安 | ソースコードAI診断15万円〜／動的診断と組み合わせ50万円〜 | 要問い合わせ（個別見積もり） | 要問い合わせ | 要問い合わせ | ツールライセンス年額66万円〜（Vex Team）／Enterprise 300万円〜／Auditor 400万円〜（14日間無料トライアル） | 要問い合わせ（契約80万円以上でサイバー保険が無償付帯） |
| 診断後サポート | 最短3営業日でPDF報告書／上位プランは再診断対応 | 報告書提出（最短7営業日のSwift Deliveryあり） | 検出後はCloudbric WAF+等の対策提案まで支援 | 高レベル脆弱性はメールで速報／最短5〜6営業日でレポート提供 | ツール運用サポート・診断代行も提供 | 改修後の再診断に対応（NW・Web標準版は3カ月以内に最大3回無料） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
ネットワーク・インフラ診断に特化したベンダーの比較
| サービス名 | セキュア・レントゲン（クワッドマイナージャパン） | KATABAMI サイバーセキュリティ対策パッケージ（SYNCHRO） |
|---|---|---|
| 診断手法 | フルパケット収集＋専門アナリスト分析（NDR） | リモート内部診断（月次・自動検査） |
| 主な対応範囲 | ネットワーク（通信の中身まで検査）／OTプロトコル・工場NW | ネットワーク内部（複合機・NW機器など内部起点、約600項目・月次） |
| 第三者基準・認証 | – | – |
| 費用の目安 | 要問い合わせ（分析手法・トラフィック量・設置台数で個別見積もり） | 月額1,250円〜／1台 |
| 診断後サポート | 最短1カ月で現状分析・対策案レポートと報告会 | 月次で検出・対策案をレポート／改善でサイバー保険が自動付帯 |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 |
※料金・対応範囲・認証の取得状況は変動します。最新かつ正確な情報は各社の公式情報をご確認ください。
脆弱性診断ベンダー各社の紹介（タイプ別）
ここからは、診断手法のタイプ別に、主要な脆弱性診断ベンダー各社の特徴を紹介します。自社に合うタイプを見極めたうえで、各社の対応範囲や強みを確認してください。
専門家による手動診断を強みとするベンダー
1. 脆弱性診断・ペネトレーションテスト（三井物産セキュアディレクション株式会社）
三井物産株式会社が100%出資するサイバーセキュリティ専門企業、三井物産セキュアディレクション株式会社が提供する診断サービスです。2001年のWebアプリケーション診断サービス開始以来、セキュリティエンジニアが攻撃者の視点で脆弱性を調べ、対処方法まで助言します。
手動診断を主体に独自の補助ツール・商用ツールを組み合わせる診断方式で、Webアプリケーション診断・ネットワーク診断・スマホアプリ診断・ペネトレーションテスト・TLPT・IoT/OT診断まで対応します。診断実績は合計8,000件以上（2017年4月〜2024年3月の脆弱性診断累計）に達します。
会社としてISO/IEC 27001・ISO 9001を取得しています。料金は診断範囲・対象に応じた個別見積もりで、詳細は要問い合わせです。
2. セキュリティ診断・TLPT（株式会社ラック）
1995年から診断サービスを提供する株式会社ラックのセキュリティ診断サービス群です。脆弱性を網羅的に洗い出す脆弱性診断と、攻撃者視点で実際の影響を確認するペネトレーションテストを区別して提供します。
診断対象はWebアプリケーション、サーバ・ネットワーク機器、スマホアプリ、クラウド/SaaS設定、生成AI活用システムなどに及びます。診断に加え、セキュリティ監視拠点のJSOCやインシデント対応のサイバー救急センターを同じベンダーで組み合わせられる点が特徴で、攻撃側と防御側の両方の知見を持ちます。
料金は情報システムペネトレーションテストが700万〜1,000万円（税抜）、脅威ベースのペネトレーションテスト（TLPT）が1,000万円程度〜で、いずれも個別見積もりです。金融機関でのTLPT実施実績があります。
3. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
野村総合研究所を単一株主とするセキュリティ専業会社、NRIセキュアテクノロジーズ株式会社による診断サービスです。ツール任せにせず、SANS Instituteの専門トレーニング修了者やCISSP・OSCP・GIACなどの資格保有者が手作業で診断する、手動主体の方式を中核に据えます。
診断対象はWebアプリ・プラットフォーム・スマホアプリ・API・クラウド・ソースコード・ブロックチェーン・AI（LLM）・IoT/OTまで幅広く、攻撃者視点のペネトレーションテストやレッドチームオペレーションまで一貫して提供します。Webアプリケーション診断は手作業のみのプロフェッショナル方式と、ツールを併用するハイブリッド方式から選べます。
料金は個別見積もりが中心で、ペネトレーションテストは800万円〜（税別）です。金融機関や上場企業での診断実績が多いと公式に記載しています。
4. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTグループのサイバーセキュリティ専業会社、エヌ・ティ・ティ・セキュリティ・ジャパン株式会社が「セキュリティ診断・評価・調査」として提供する診断・アセスメント群です。専門家が複数のツールを組み合わせて網羅的に診断します。
専門家による脆弱性診断（Webアプリ・プラットフォーム）のほか、顧客自身が継続的に診断するセルフ診断や、攻撃耐性を評価するRedTeam/TLPTなどを揃えます。経済産業省の評価基準に基づくSCS評価制度アセスメントや、IoT・OT（工場向け制御システム）領域の診断にも対応します。
親会社NTTセキュリティホールディングスの100%子会社で、ISMS認証（22127-ISMS-001）を取得しています。料金は全メニューが非公開で、診断対象の範囲・規模に応じた個別見積もり（要お問い合わせ）です。
5. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業、GMOサイバーセキュリティ byイエラエ株式会社が提供する脆弱性診断・ペネトレーションテストです。ホワイトハッカーが診断ツールと独自の知見を用いてリスクを評価する、手動主体の診断を中核とします。
診断メニューは、Webアプリ・スマホアプリ・クラウド・ネットワークなどの診断に、IoTデバイスやレッドチーム演習を含むペネトレーションテストを加えた13種類です。診断はASVSやOWASP Top 10などの国際基準に対応し、経済産業省の情報セキュリティサービス基準に適合しています。
同社はホワイトハッカーを200名以上擁しています。料金は診断したい画面数・API数・攻撃シナリオを基にした個別見積もり（要問い合わせ）です。
6. Webアプリケーション診断（GMO Flatt Security株式会社）
GMO Flatt Security株式会社が提供する、ブラウザで利用するWebアプリケーション向けの脆弱性診断です。自社所属のセキュリティエンジニアが網羅的に診断し、AIエージェント「Takumi」を用いて診断を行うとしています。
グレーボックスまたはブラックボックス形式で実施し、標準の診断にはソースコード診断（部分的なホワイトボックス）が追加料金なしで付きます。API・SPA・GraphQL・LLM/生成AIなど多様な個別メニューが揃い、OWASP Top 10・ASVSの典型的な脆弱性に加えて、ビジネスロジックの脆弱性も対象とします。
料金は脆弱性診断100万円〜（税別）で、見積りは無料です。URLと認証情報の提出から最短7営業日で報告書を納品し、経済産業省の情報セキュリティサービス基準に適合しています。
7. ペネトレーションテスト（グローバルセキュリティエキスパート株式会社）
東京証券取引所グロース市場に上場するグローバルセキュリティエキスパート株式会社（GSX）が、「FindRisk」シリーズの一つとして提供するペネトレーションテストです。実際の攻撃者の視点で疑似攻撃を行い、システムへの侵入可否から内部への横展開、データ持ち出しの可否までを検証します。
想定シナリオを外部ネットワークからの攻撃、社内Active Directoryへの攻撃、社内PCのマルウェア感染を起点とするレッドチーム評価の3種類に体系化し、検証したい攻撃経路を選んで依頼できます。診断エンジニアは全員がCEH（認定ホワイトハッカー）資格を保有し、IPAの情報セキュリティサービス基準適合サービスリストに登録されています。
プラットフォーム診断と組み合わせて実施する構成で、顧客開発のWebアプリケーション固有の脆弱性は範囲外となるため、必要な場合はWebアプリケーション診断を別途利用します。料金は要問い合わせです。
8. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）
台湾発のセキュリティベンダーRayAegisの日本法人、株式会社レイ・イージス・ジャパンが提供する脆弱性診断・ペネトレーションテストです。AIを搭載した脆弱性探査ツールと診断エンジニアによる手動診断を組み合わせて実施します。
対象はWebアプリケーション・プラットフォーム・モバイルアプリ・APIです。診断項目はOWASP WSTG 4.2に基づき、AIリモート脆弱性診断では最大105項目、AIクイック・ツール診断では最大57項目を検査し、エンジニアがツールの検出結果を確認して誤検知を除外します。
料金はFQDN（ドメイン）単位の定額制で、ページ数が多いサイトでも料金が増えない設計です。Web診断は3カ月以内、ペネトレーションテストは初回報告書作成後1年間の再診断が付帯します。具体的な金額は要問い合わせです。
ツールによる自動診断（SaaS）を提供するベンダー
9. Aikido Security（株式会社AndGo）
開発と運用の現場で必要なセキュリティ診断を1つのプラットフォームにまとめたSaaSです。開発元はベルギーのAikido Security BVで、日本国内では株式会社AndGoが正規代理店として導入・運用を支援します。
依存関係の脆弱性検査（SCA）、静的解析（SAST）、シークレット検出、クラウド設定の検査（CSPM）、コンテナイメージ検査、動的検査（DAST）などを一つの画面で扱えます。検出した脆弱性に対し、AutoFixが修正コードのプルリクエストを自動生成する点も特徴で、マージは人のレビューを経る流れです。
料金はAndGo経由で月額5万円台〜（年間契約・利用者10人まで）で、2ユーザーまで無料のプランもあります。管理画面・ドキュメントの日本語対応と、日本語での導入・運用支援を受けられます。
開発の現場でセキュリティの位置づけがどのように変わってきているのか。日本提供元である株式会社AndGoの原氏は、従来の考え方との違いを次のように話します。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
10. AeyeScan（株式会社エーアイセキュリティラボ）
株式会社エーアイセキュリティラボが開発・提供するクラウド型（SaaS）のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールは不要で、ブラウザから対象URLを登録して診断を開始できます。
AIが利用者の操作に近い形でサイト内を自動で巡回し、診断シナリオの自動生成や画面遷移図の作成まで行います。OWASP Top 10やIPA「安全なウェブサイトの作り方」、ASVS 5.0に準拠し、Webアプリ・SPAに加えて、オプションでAPIやAndroidアプリの診断にも対応します。
有償契約の導入実績は500社以上（2026年10月時点）で、ISO/IEC 27001・27017を取得しています。料金は用途やサイト数に応じた個別見積もりで、2サイトまで試せる無料トライアルがあります。
11. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供する、ASM（攻撃対象領域管理）と脆弱性診断を組み合わせたクラウド型（SaaS）サービスです。画面遷移の自動巡回から疑似攻撃の送信、応答の検証までを自動で実行します。
診断の実施日時や頻度をスケジュール指定でき、API経由での診断実行によってCI/CDパイプラインにも組み込めます。Web・APIの脆弱性診断に加え、外部公開資産を継続把握するASM、クラウド設定を監視するCSPM、部品構成を検査するSBOMを同一サービス内で扱えます。
料金は脆弱性診断のSTARTERプランが月額5万円（年間60万円・1IP/FQDN、診断回数は無制限）、BASICプランが月額10万円〜で、無料トライアルがあります。脆弱性診断サービスは情報セキュリティサービス基準に適合（登録番号020-0025-20）しています。
12. VAddy（株式会社ビットフォレスト）
株式会社ビットフォレストが提供するクラウド型のWebアプリケーション脆弱性診断ツールです。利用者自身が診断対象を検査する方式で、CI/CDパイプラインに組み込んで継続的に脆弱性スキャンを回せます。
提供されるWebAPIやコマンドラインツール、cronと連携することで、リリース前や夜間の自動診断を構築できます。スキャン回数は無制限で、WebアプリケーションのほかREST APIサーバー（JSON形式を含む）の検査にも対応します。
初期費用は0円で、料金はProfessionalプランが月額19,800円、Enterpriseが59,800円、Advancedが99,800円（いずれも税別・3FQDN）です。1週間の無料トライアルがあり、本体はISMS（ISO/IEC 27001）・プライバシーマークを取得しています。
13. SCT SECURE クラウドスキャン（三和コムテック株式会社）
三和コムテック株式会社が提供するクラウド型の自動脆弱性診断サービスです。Webサイトとネットワーク機器（ルータ・ファイアウォール・DNSなど）を対象に、インターネット経由で毎日自動診断します。ソフトのインストールやハードウェアの設置は不要です。
診断項目はSQLインジェクションやクロスサイトスクリプティングなどのWeb系項目のほか、データベース、OS、各種ポートに及びます。PCI DSSが定める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使用します。
料金は3IP/FQDNまでで初年度が年額564,000円（税抜）、2年目以降は504,000円です。2004年からの提供で、情報セキュリティサービス基準に適合（登録番号019-0042-60）しています。
手動とツールを組み合わせたハイブリッド型のベンダー
14. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社が提供する、自社開発AI「Red Agent」による自動解析と社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。
診断メニューは、ソースコードや設計書をAIが解析するソースコードAI診断、稼働中のWebアプリ・APIを対象とする動的脆弱性診断、実践攻撃シミュレーション診断（ペネトレーションテスト）の3つです。AIが洗い出したリスクを専門家が確認してレポートを作成し、診断開始から最短3営業日で報告書をPDFで納品します。
料金はソースコードAI診断が15万円から、ソースコードと動的診断を組み合わせたプランが50万円からで、上位プランでは再診断にも対応します。
15. SQAT（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランド「SQAT（エスキュート）」です。精度の高い手動診断と独自開発の自動診断を組み合わせて実施します。
診断対象はWebアプリ・ネットワーク・スマホアプリ・IoT・クラウド設定・ソースコード・ペネトレーションテストまで幅広く、ソースコード診断とWeb診断を組み合わせたSQAT GlassBoxや、報告書を最短7営業日で提出する短納期メニューのSwift Deliveryも用意されています。延べ10,300組織・64,280システム超の診断実績があります（2025年6月時点）。
提供元のBBSecは2000年創業のセキュリティ専業企業で、ISMS・プライバシーマークを保有し、PCI SSCからQSAなどのアセッサー認定を受けています。料金は診断範囲に応じた個別見積もり（要問い合わせ）です。
16. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
ペンタセキュリティ株式会社が「Cloudbric（クラウドブリック）」ブランドで提供するセキュリティ診断サービスです。技術者が手動で診断し、メニューによっては自動ツールによるスキャンも組み合わせます。
診断メニューはWebサイト・Webアプリケーション・API・プラットフォーム・スマホアプリの診断とペネトレーションテストの6種類です。独自に収集した脅威インテリジェンスに基づく項目で検査し、検出後はCloudbric WAF+などの対策提案まで支援します。診断の実施は株式会社ranryuに委託されています。
Webアプリ・プラットフォーム・Webサイト・API・スマホアプリの各診断は、委託先のranryu名義で情報セキュリティサービス基準適合サービスリストに登録（登録番号021-0017-20、ペネトレーションテストは対象外）されています。料金は要問い合わせです。
17. Webアプリケーション診断サービス（Sky株式会社）
SKYSEA Client Viewで知られるSky株式会社が、2022年から提供するセキュリティ診断ソリューションの一メニューです。セキュリティエンジニアがリモートで顧客のWebアプリケーションを診断します。
SQLインジェクションやクロスサイトスクリプティングなどを162項目をベースに横断的に検出し、脆弱性をCRITICALからINFOまでの5段階に分類して報告します。高レベルの脆弱性を検出した場合はメールで速報し、重要な箇所にはオプションでペネトレーションテストも実施できます。
診断開始から最短5〜6営業日で、開発者にもわかりやすい再現手法を含むレポートを提供します。会社としてISO/IEC 27001を取得しています。料金は要問い合わせです。
18. Vex（株式会社ユービーセキュア）
株式会社ユービーセキュアが提供する、Webアプリケーションを主対象とする脆弱性検査ツール「Vex（ヴェックス）」です。対象URLに外部から疑似攻撃リクエストを送り、レスポンスを解析して脆弱性を確認するDAST方式を基盤とします。
自動クローリングに加え、ログイン後や複数ステップの画面遷移を記録して診断するシナリオスキャン、OpenAPI定義を読み込むAPI診断に対応します。自社で運用するツールのライセンス提供に加え、Vexと診断士の手動診断を組み合わせた診断代行サービスも手がけています。
ツールのライセンスは年額でVex Team 66万円〜、Vex Enterprise 300万円〜、Vex Auditor 400万円〜の3プランがあり、14日間の無料トライアルが利用できます。NRIセキュアグループの一社で、本体はISO/IEC 27001を取得しています。
19. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
NTTドコモソリューションズ株式会社（旧NTTコムウェア）が「DSCB」ブランドで提供する脆弱性診断サービスです。ネットワーク診断・サーバ構成診断・Webアプリ診断・スマホアプリ診断・ペネトレーションテストの5メニューを持ちます。
診断はツールと専門家の手動検査を併用するハイブリッド方式で（Webアプリ診断のライト版はツールのみ）、経済産業省の情報セキュリティサービス基準に適合し、IPAの適合サービスリストに掲載されています。改修後の再診断にも対応し、ネットワーク診断とWebアプリ診断（スタンダード版）は報告書提出後3カ月以内に最大3回まで無料です。
全メニュー合計の契約金額が税抜80万円以上の場合、支払限度額1,000万円のサイバー保険が無償で自動付帯します（診断契約日から1年間）。2025年度の年間診断実績は、ネットワーク診断で約670システム、Webアプリ診断で約550サイトです。
ネットワーク・インフラのリスク診断に特化したベンダー
20. セキュア・レントゲン（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンが提供する、NDR製品「Network Blackbox」のフルパケットキャプチャ技術を活用したネットワークリスク診断サービスです。実際にネットワークを流れている通信を100%収集し、専門アナリストが分析します。
Webアプリの脆弱性スキャンとは異なり、通信の中身まで検査することで、外部からの脅威だけでなく、内部に侵入・潜伏している脅威や不審な通信も洗い出します。IT環境に加えてOTプロトコルにも対応し、工場のネットワークも診断対象にできます。
スイッチのミラーポートに接続するミラーリング方式のため、障害が起きてもネットワーク本体に影響しません。顧客側の作業はミラーリング設定のみで、最短1カ月で現状分析と対策案のレポート・報告会まで提供します。料金は分析手法やトラフィック量、設置台数によって変わる個別見積もりです。
ネットワーク領域の診断が金融機関を中心に求められるようになった背景について、同社の白垣氏は制度面の変化を挙げます。
金融機関、特に銀行様からのご相談が多いのは、2024年10月に金融庁から公表されたガイドラインの影響が大きいと考えています。このガイドラインでは、金融機関において実施していくべきセキュリティ対策について記載されているのですが、脆弱性診断やペネトレーションテストを実施していくこと、ネットワークの対策を強化し監視していくことが求められました。
21. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROが提供する、脆弱性診断（予防）・バックアップ（復旧）・サイバー保険（補償）を1つにまとめたパッケージ型サービスです。国産の排他的IPネットワーキング技術「KATABAMI」を基盤とします。
脆弱性診断「KATABAMI VDP」は、ネットワーク内部から月次（年12回）で約600項目を検査し、複合機やネットワーク機器など内部起点の脆弱性を検出して対策案をレポートします。KATABAMIの通信経路を使い、訪問せずリモートで内部ネットワークまで診断できます。
料金は1台あたり月額1,250円〜で、検出した脆弱性を一定水準まで改善した契約には、あいおいニッセイ同和損保のサイバー保険（賠償損害1億円・費用損害3,000万円）が自動付帯します。
ネットワーク内部の診断を継続的に行うことがなぜ課題になるのか。従来の訪問型診断の実情について、同社の北口氏は次のように説明します。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。一方で、新しい脆弱性は日々生まれており、生成AIの登場でそのスピードもさらに上がっています。
まとめ
脆弱性診断ベンダーは、診断手法によって精度・費用・スピードが大きく異なります。重要情報を扱うシステムで高い精度を求めるなら専門家による手動診断型、開発サイクルの中で繰り返し手早く調べたいならツール自動診断型、両者のバランスを取りたいならハイブリッド型、基盤側の弱点を重点的に調べたいならネットワーク・インフラ特化型が候補になります。
依頼先を選ぶ際は、診断対象が自社システムをカバーしているか、診断手法が求める精度に合うか、第三者基準への適合や実績で信頼性を確認できるか、費用が必要精度に見合うか、そして診断後の報告書説明や改修支援まで任せられるかを順に照らし合わせると、判断の軸が定まります。まずは自社の状況に近いタイプから候補を絞り込み、気になるベンダーの資料を取り寄せて、対応範囲と費用を具体的に比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断ベンダーとは何ですか？
A. 脆弱性診断ベンダーとは、Webサイトやサーバー、ネットワークなどに潜むセキュリティ上の弱点を、専門家やツールを使って第三者の立場で調査する会社です。自社にセキュリティの専門人材が乏しい場合や、取引先・監査から客観的な診断証明を求められる場合に、診断を委託する依頼先になります。
専門家が手作業で深く調べるタイプ、ツールで自動スキャンするタイプ、その両方を組み合わせるタイプ、ネットワーク基盤に特化するタイプがあり、対応範囲や費用、診断後のフォローが会社ごとに異なります。
Q. 脆弱性診断ベンダーは手動診断とツール自動診断のどちらを選ぶべきですか？
A. 脆弱性診断ベンダーは、求める精度が高いなら専門家による手動診断、頻度とコストを優先するならツール自動診断を選ぶのが基本です。金融・決済や個人情報を大量に扱うなど、万一の侵害の影響が大きいシステムは、設計上の弱点まで踏み込める手動診断が安心です。
一方、開発のたびに手早くチェックしたい、社内で定期的に回したいという場合は、低コストで繰り返せるツール自動診断が現実的です。どちらとも言い切れない場合は、両者を組み合わせたハイブリッド型が候補になります。
Q. 脆弱性診断はどれくらいの頻度で受けるのが適切ですか？
A. 脆弱性診断は、最低でも年1回の定期診断に加え、システムに大きな変更を加えたタイミングで実施するのが一般的な目安です。
新機能のリリースや仕様変更のたびに新たな弱点が生まれる可能性があるため、改修の頻度が高いサービスや、重要な個人情報を扱うシステムでは、機能追加時や四半期ごとなど、より短い間隔での診断も検討されます。ツール自動診断を導入して日常的に自社で回し、重要な節目に専門ベンダーの診断を受けるという組み合わせも有効です。
Q. 脆弱性診断にはどれくらいの期間がかかりますか？
A. 脆弱性診断にかかる期間は、診断手法と対象の規模によって、数日から数週間程度まで幅があります。ツールによる自動診断は実行そのものは短時間で終わりますが、専門家による手動診断は対象の画面数や機能数が多いほど時間がかかります。
報告書の提出まで含めると、短納期メニューで最短数営業日、一般的な手動診断では診断開始から数週間を見込むケースが多いです。リリース日などの期限がある場合は、見積もり時に報告書の納品時期まで確認しておくとスケジュールを組みやすくなります。
Q. 脆弱性診断の費用はどれくらいが目安ですか？
A. 脆弱性診断の費用は、対象の規模や内容に応じた個別見積もりが基本で、手法によって料金体系が大きく異なります。ツールによる自動診断のSaaSは月額数万円台からの定額で繰り返し診断できる製品が多く、専門家による手動診断は対象の画面数や機能数に応じて費用が上がります。
公的に定められた相場はないため、診断したい範囲を伝えたうえで複数社から見積もりを取り、診断範囲と価格の内訳を比べるのが確実です。各社の料金体系の目安は本記事の比較表で確認できます。
Q. 脆弱性診断中にシステムが停止するリスクはありますか？
A. 脆弱性診断では、通常は本番環境に影響が出ないよう配慮して実施されるため、システムが停止するリスクは限定的です。ただし、診断は実際にシステムへリクエストを送って挙動を確かめるため、手法や対象によっては一時的に負荷がかかる場合があります。重要なシステムを診断する際は、アクセスの少ない時間帯での実施や、テスト環境・ステージング環境での診断を選べるかを、事前にベンダーへ相談しておくと安心です。
Q. 脆弱性診断で弱点が見つかったらどう対応すればよいですか？
A. 脆弱性が見つかった場合は、報告書に示される危険度や影響の大きさをもとに、改修の優先順位をつけて対応します。危険度の高いものから先に修正し、改修後は再診断で問題が解消したことを確認するのが基本的な流れです。
社内にセキュリティの専門人材が少ない場合は、報告書を渡すだけでなく、改修の進め方まで相談できるベンダーを選ぶと、診断結果を確実に対策につなげられます。診断後のサポート体制は、依頼先を選ぶ段階で確認しておきたい観点です。
Q. 脆弱性診断の報告書は社内稟議や取引先への提出に使えますか？
A. 脆弱性診断の報告書は、第三者による診断を実施した客観的な証明として、社内稟議や取引先・監査への提出に活用できます。
特に、経済産業省の情報セキュリティサービス基準に適合したサービスによる診断は、政府や自治体の調達でも参照が推奨される制度に基づくため、品質の裏づけとして説明しやすくなります。取引先から第三者診断の実施を求められている場合は、その基準への適合状況や報告書の様式を、依頼前にベンダーへ確認しておくとよいでしょう。
Q. 小規模なWebサイトでも脆弱性診断ベンダーに依頼できますか？
A. 小規模なWebサイトでも、ツールによる自動診断を提供するベンダーを選べば、低コストで脆弱性診断を依頼できます。
月額数万円台から始められる自動診断のSaaSや、診断したいドメイン単位の定額制を採るサービスもあり、ページ数や予算が限られていても利用しやすいのが特徴です。まずは自動診断で全体の状態を把握し、重要なシステムや取引先要求がある部分だけ専門家の手動診断を受ける、といった使い分けも現実的です。
脆弱性診断ベンダーの料金・資料を一括チェック
MCB FinTechカタログでは、掲載中の脆弱性診断サービスの資料を無料で一括請求できます。診断手法や対応範囲、費用の目安をまとめて比べ、自社に合う依頼先を効率的に見つけられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
