Webアプリケーション診断とは？診断項目・費用相場とサービスの選び方を比較解説

自社で運用するWebサービスやECサイト、会員制サイトに脆弱性が残っていないか、不安を抱えていませんか。公開中のWebアプリケーションは、SQLインジェクションやクロスサイトスクリプティングといった攻撃の標的になりやすく、情報漏えいや不正アクセスにつながれば事業の信頼を大きく損ないます。社内に診断の専門人材がいないまま、対策の必要性だけが高まっている企業は少なくありません。

Webアプリケーション診断を外部に依頼しようとしても、判断材料がそろわないケースは少なくありません。ツール診断と手動診断のどちらが自社に必要か、費用がなぜ数十万円から数百万円まで開くのか、どの会社に頼めば安心して任せられるのか、迷う点は多く残ります。自社のWebアプリに合った診断を選ぶには、どのような観点で比べればよいのでしょうか。

本記事では、Webアプリケーション診断の中身を整理したうえで、主要なWebアプリケーション診断サービスを診断手法・診断対象・費用感・基準適合・アフターフォローの観点で横断的に比較・解説します。診断で分かる脆弱性や診断手法の違い、費用相場の見方、失敗しない依頼先の選び方までをまとめました。情報システム部門やWebサービスの開発・運用担当者が、自社に合う依頼先を絞り込むための材料としてご活用ください。

また、自社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

Webアプリケーション診断とは？

Webアプリケーション診断とは、公開中のWebサイトやWebアプリケーション、Web APIに対して擬似的な攻撃を行い、情報漏えいや改ざん、不正アクセスにつながる脆弱性を洗い出す検査です。ログイン機能や入力フォーム、決済処理といったアプリケーションの作り込み部分を対象に、攻撃者の視点で安全性を確認します。

検出した脆弱性に対策を講じれば、同じ弱点を突いた攻撃の被害を未然に防げます。自社開発のアプリには固有の脆弱性が生じやすく、既知の対策だけでは守りきれないため、外部の専門会社による第三者診断の必要性が高まっています。

Webアプリケーションの脆弱性とは

脆弱性とは、設計や実装の不備によって生じる、攻撃に悪用され得る弱点を指します。たとえば入力値の検証が不十分だと、データベースを不正に操作するSQLインジェクションや、利用者のブラウザで不正なスクリプトを実行させるクロスサイトスクリプティングが成立します。

親切のつもりで用意した機能が弱点になることもあります。ログイン時のエラーメッセージが「IDが存在しません」と具体的に返す仕様は、攻撃者に有効なIDを推測する手がかりを与えかねません。こうした作り込み由来の弱点は、ソフトウェアの更新だけでは塞げず、アプリケーションそのものを調べる診断で見つけ出します。

プラットフォーム診断（ネットワーク診断）との違い

プラットフォーム診断は、サーバーOSやミドルウェア、ネットワーク機器など、アプリケーションが動く土台を対象にした診断です。設定の不備や既知の脆弱性、不要に開いたポートなどを調べます。

一方のWebアプリケーション診断は、その土台の上で動くアプリケーションの作り込みを対象とします。両者は守る層が異なるため、Webサービス全体の安全性を確かめるには、プラットフォーム診断と組み合わせて実施するのが基本です。

Webアプリケーションに限らず、プラットフォーム診断も含めた脆弱性診断サービス全体を診断方法・費用相場・選び方で見渡したい場合は、以下の記事で横断的に比較しています。

ペネトレーションテストとの違い

脆弱性診断が「存在する弱点を網羅的に洗い出す」検査であるのに対し、ペネトレーションテスト（侵入試験）は「特定の目標に実際に侵入できるか」を試すものです。たとえば顧客データベースへの到達可否など、攻撃シナリオに沿って弱点を連鎖させ、被害の実現性を検証します。

まず自社の弱点を広く把握したい段階では脆弱性診断が適し、重要資産への侵入リスクを具体的に確かめたい段階ではペネトレーションテストが向きます。多くの診断会社は両方を提供しており、目的に応じて使い分けます。

どちらを依頼すべきか迷う場合は、両者の目的・費用・選び方をさらに掘り下げた以下の記事が、依頼範囲を決める判断材料になります。

なぜ今Webアプリケーション診断が必要か

Webサイトを狙った攻撃は、届出件数の面でも大きな比重を占めています。独立行政法人情報処理推進機構（IPA）の集計では、脆弱性関連情報の届出の累計のうち、Webサイト（Webアプリケーション）に関するものが約7割を占めています。

届出受付開始からの累計は20,553件で、内訳はソフトウェア製品に関するもの6,887件、ウェブサイトに関するもの13,666件でウェブサイトに関する届出が全体の約7割を占めています。

出典：ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第3四半期］｜独立行政法人情報処理推進機構（IPA）

届出件数の多さは、被害が生じたときの損失の大きさと表裏一体です。セキュリティ診断サービス「Hi AUDIT」を提供する株式会社TECHFUNDの生田氏は、金融・フィンテック領域での診断について次のように話しています。

制度面でも、診断の実施が実質的に求められる場面が増えています。クレジットカードを扱うEC加盟店向けのガイドラインでは、2025年4月より指針対策として脆弱性対策が求められ、Webアプリケーションについては定期的な診断の実施が示されています。

このため、EC 加盟店においては、2025 年 4 月より、指針対策として「脆弱性対策」を求めており（中略）③Web アプリケーションの脆弱性対策／脆弱性診断又はペネトレーションテストを定期的に実施し、必要な修正対応を行う。

出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会（2026年3月）

これは割賦販売法が診断そのものを条文で義務づけたものではなく、同法のセキュリティ対策義務に対応する実務上の指針という位置づけです。とはいえ、カード情報を扱う事業者にとっては、定期的な診断が事実上の前提になりつつあります。

出典・参考資料（2件）

• 出典：ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第3四半期］｜独立行政法人情報処理推進機構（IPA）（リンク）
• 出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会（リンク）

診断を実施すべきタイミングと頻度

Webアプリケーション診断は、まず新規サービスのリリース前に実施するのが基本です。公開した瞬間から攻撃の対象になり得るため、本番環境に出す前に弱点を潰しておきます。

運用開始後も、年1回以上の定期診断に加え、大きな機能追加や改修を行ったタイミングでの実施が望まれます。新しいコードには新しい脆弱性が入り込む余地があるためです。法令や監査、取引先の契約で診断を求められた際にも実施の機会となります。

定期的な診断がなぜ欠かせないのかは、攻撃側の変化とも関わっています。脆弱性診断サービスを提供するCoWorker株式会社の一ノ瀬氏は、市場の状況を踏まえたうえで、近年の攻撃の速さと診断頻度の関係を次のように指摘します。

診断で分かる主な脆弱性と診断項目

ここからは、Webアプリケーション診断が実際に何を調べるのかを整理します。各社の診断メニューに共通して含まれる代表的な項目は、次のとおりです。

これらの項目は、Webアプリケーションの代表的なセキュリティリスクをまとめた国際的な指標「OWASP Top 10」でも継続して取り上げられています。

最新版のOWASP Top 10:2025では、SQLインジェクションやクロスサイトスクリプティングは「Injection（A05:2025）」として分類されています。診断の網羅性を測る目安として、OWASP Top 10への準拠を掲げる会社も少なくありません。

出典・参考資料（1件）

• 出典：OWASP Top 10:2025｜OWASP Foundation（リンク）

診断手法の種類と自社に合う選び方

ここからは、診断の進め方の違いを整理します。Webアプリケーション診断の手法は、大きくツール自動型・専門家手動型・ハイブリッド型の3つに分かれ、精度と費用、かかる期間が異なります。

ツール自動型（手軽・低コスト・繰り返し診断）

専用のツールが対象サイトを自動で巡回し、既知の脆弱性や定型的な項目を短時間で検査する手法です。費用を抑えやすく、開発サイクルに組み込んで繰り返し実施しやすい点が強みといえます。

一方で、複雑な業務処理や独自に作り込んだ機能では検出漏れが生じることがあります。まず全体を広く確認したい段階や、リリースのたびに定期的に回したい運用に適しています。

専門家手動型（高精度・ビジネスロジックまで）

セキュリティの専門家がアプリケーションの仕様を理解したうえで、手作業で検査する手法です。認証や権限管理、決済などの業務ロジックに踏み込んだ検証ができ、自動ツールでは見つけにくい弱点も洗い出せます。

その分、時間と費用はかかります。重要な個人情報や決済を扱うサービス、取引先や監査に提出する第三者診断が必要な場面など、高い精度が求められるケースに向いています。

ハイブリッド型（自動で広く・手動で深く）

ツールで全体を広く検査したうえで、重要な機能や気になる箇所を専門家が手動で精査する手法です。網羅性と精度、費用のバランスを取りやすく、多くの診断会社が推奨する進め方となっています。

自社の規模や予算、求める精度に応じて、ツールの比重を高めるか手動の比重を高めるかを調整できる点も特徴です。どの手法が適しているか迷う場合は、まずハイブリッド型を軸に検討するとよいでしょう。

診断対象（Webアプリ・API・スマホアプリ）で変わる選び方

手法と並んで確認したいのが、自社が診てほしい対象に会社が対応できるかです。画面を持つWebアプリケーションだけでなく、他システムと連携するWeb APIや、スマートフォンアプリの通信部分まで対象は広がります。

APIはツールの自動巡回だけでは網羅しづらく、仕様書をもとにした検査が必要になることがあります。自社の構成に合わせて、対象範囲を明示できる会社を選ぶことが、過不足のない診断につながります。

ここまで見てきた診断手法と診断対象を踏まえ、自社に合う型とサービスの候補を絞り込めるよう、選定診断ツールを以下にご用意しました。いくつかの質問に答えるだけで、自社の対象・規模・予算に適したタイプと具体的なサービスを提案します。

Webアプリケーション診断の費用相場と見積もりの考え方

Webアプリケーション診断の費用は、数十万円から数百万円まで幅があります。価格がこれほど開くのは、診断対象の画面数やリクエスト数、採用する手法、対象にWeb APIやスマホアプリを含むかといった条件で、作業量が大きく変わるためです。

目安は診断手法によっても分かれます。ツール自動型は月額数万円程度から繰り返し利用できるものがあり、専門家による手動診断やハイブリッドのスポット診断は数十万円から数百万円、重要資産への侵入可否まで検証するペネトレーションテストは数百万円以上が一つの目安です。各サービスの実際の料金は、後述の比較表で手法や診断対象とあわせて確認できます。

相場感をつかむ一例として、料金を公開しているある診断サービスでは、基本料金が500,000円〜（税別）、報告会が80,000円〜（税別）とされています。基本料金は診断対象のHTTPリクエスト数や各種要件によって変動すると明記されており、規模に応じて費用が増減する点は他社にも共通します。

見積もりを取る際は、対象サイトのURLや画面数、フォームの数、Web APIの有無、報告会や再診断の希望を整理して伝えると、各社の金額を同じ条件で比べやすくなります。極端に安い見積もりは診断範囲が限定されている場合があるため、何をどこまで診るかをあわせて確認することが大切です。

出典・参考資料（1件）

• 参考資料：Webアプリケーション診断サービス｜セコムトラストシステムズ株式会社（リンク）

失敗しない診断会社・サービスの選び方

ここからは、自社に合う依頼先を数社に絞り込むための選定軸を整理します。手法や費用に加え、次の観点を照らし合わせると判断しやすくなります。

自社の対応範囲をカバーできるか

まず確認したいのは、自社が診てほしい対象に会社が対応できるかです。Webアプリケーションに加えて、Web APIや認証周り、スマートフォンアプリまで含めたい場合は、その範囲を診断メニューで明示している会社を選ぶとよいでしょう。個人情報や決済を扱うサイトでは、該当機能が診断対象に含まれるかを見積もり段階で確かめておくと、後からの追加費用を避けられます。

診断基準（OWASP Top 10・ASVS／IPA）に準拠しているか

診断の網羅性は、どの基準に沿って検査するかで測れます。OWASP Top 10やOWASP ASVS（アプリケーションセキュリティ検証標準）、IPAの資料に基づく項目を押さえているかは、見落としを防ぐ目安になります。自社がどの基準への準拠を求められているかが決まっている場合は、その基準で診断できるかを確認しておくことが重要です。

情報セキュリティサービス基準適合サービスリストで裏取りする

各社の自己申告だけに頼らず、第三者が確認できる形で信頼性を裏取りする方法があります。IPAが公開する「情報セキュリティサービス基準適合サービスリスト」です。経済産業省が策定した基準への適合性が審査されたサービスが掲載されています。

IPA（独立行政法人情報処理推進機構）では、経済産業省が策定した「情報セキュリティサービス基準」に適合する情報セキュリティサービスの提供状況について調査を行い、情報セキュリティサービスを利用しようとする者が参照することができるように、調査の結果を以下のとおり情報セキュリティサービス基準適合サービスリストとして公開しております。

出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）

確認の手順はシンプルです。IPAのページから「脆弱性診断サービス」の一覧を開き、検討中の事業者名やサービス名で掲載の有無と登録有効期間を確かめられます。審査は日本セキュリティ監査協会（JASA）が運営する仕組みで、国が品質そのものを保証するものではありませんが、一定の基準を満たしているかを中立に確認できる材料になります。

出典・参考資料（1件）

• 出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）（リンク）

診断実績や診断員の体制は十分か

同じ業種やシステム規模での診断実績があるかは、自社の事情を理解した診断が受けられるかの手がかりになります。金融機関やECサイトなど、求められる水準が高い領域ほど、実績の厚みが判断の後ろ盾になります。あわせて、診断を担う技術者の資格や体制が公開されているかも確認したい点です。

再診断や報告会などのアフターフォローがあるか

診断はやりっぱなしでは意味がありません。検出された脆弱性を修正したあと、対策が正しく効いているかを確かめる再診断に対応しているかを確認しておきましょう。報告会で結果や対策の優先順位を直接説明してもらえるか、報告書納品後の問い合わせに応じてもらえるかも、修正を自社で進めるうえで差が出る部分です。

診断の進め方と実施後のフォロー

依頼を具体的に進める前に、診断がどのような流れで進み、何が成果物として得られるのかを押さえておきましょう。

見積もりから診断・報告までの流れ

一般的な流れは、見積もり、申し込み、診断作業、報告書の作成・提出、必要に応じた再診断・報告会という順に進みます。まず対象範囲を確定して見積もりを取り、合意したうえで診断に入ります。

所要期間は対象の規模で変わります。一例として、ある診断サービスでは診断作業に5日間、報告書の作成・提出に10日間という目安が示されています。大規模なサイトやAPIを含む診断では、これより長くなることもあります。

報告書の中身と使い方

報告書は、検出した脆弱性の一覧と危険度、再現手順、推奨される対策で構成されるのが一般的です。多くの会社が、経営層や管理者向けに全体像をまとめたサマリーと、修正を担当するエンジニア向けに詳細を記した部分の2部構成で提供します。

危険度の高い脆弱性については、報告書の提出を待たずに速報で知らせる会社もあります。報告書は、対策の優先順位づけや、取引先・監査への説明資料としても使えるため、どこまで具体的に書かれるかを事前に確認しておきましょう。

Webアプリケーション診断サービスの比較

ここからは、自社の課題や要件に合わせた客観的な比較・選定ができるよう、主要なWebアプリケーション診断サービスを診断手法・診断対象・費用感・基準適合・アフターフォローの観点で一覧にまとめました。各サービスの詳細は、表の下の個別紹介で順にご紹介します。

※「情報セキュリティサービス基準適合」は、IPAの情報セキュリティサービス基準適合サービスリスト（2026年10月時点）での脆弱性診断サービスの登録有無を示します（●＝同リストで登録を確認、×＝同リストで登録を確認できなかった＝未登録、または確認できる社名・サービス名での掲載が見当たらない状態を指し、診断品質が劣ることを示すものではありません）。個別の診断対象や提供形態（標準・オプション等）、最新の料金については各社情報をご確認ください。

各Webアプリケーション診断サービスの個別紹介

ここからは、比較表で取り上げたサービスを診断手法のタイプ別に個別に紹介します。自社に合う手法の見当がついたら、同じタイプのサービスを中心に見比べてみてください。

ツール自動型のサービス

自動スキャンを軸に、費用を抑えて繰り返し診断しやすいサービスです。開発サイクルに組み込んで継続的に弱点を確認したい企業に向いています。

1. Aikido Security（株式会社AndGo）

Aikido Securityは、ベルギーのAikido Security BVが開発するSaaS型の脆弱性診断ツールで、日本では株式会社AndGoが販売窓口として日本語での問い合わせや導入支援を担っています。ソースコードやクラウド設定、稼働中のWebアプリケーション（DAST。動いているアプリに実際にリクエストを送って検査する方式）までを1つの管理画面で自動的に検査できます。

無料で試せるDeveloperプランが用意され、本格導入の前に機能を確認できます。検出したアラートは自動でトリアージされ、修正案をプルリクエストとして作成する機能も備えます。Slack・Teams・Jira・AWSなどと連携し、通知やチケット化を自動化できる点も特徴です。

日本窓口の料金は月額5万円台（利用者10人まで・年間契約の参考価格）からで、請求は為替を考慮した日本円で案内されます。オンプレミスでのスキャンやSSO連携が必要な場合はProプランとなり、正式な金額は見積もりで確認します。

ツールを前提にした継続的な診断が広がる背景には、開発現場でのセキュリティの位置づけの変化があります。日本窓口を担う株式会社AndGoの原氏は、その変化を次のように説明します。

2. AeyeScan（株式会社エーアイセキュリティラボ）

AeyeScan（エーアイスキャン）は、株式会社エーアイセキュリティラボが開発・提供するクラウド型のWebアプリケーション脆弱性診断ツールです。対象URLを登録すると、AIが利用者の操作に近い形でサイト内を自動で巡回し、診断シナリオや画面遷移図を自動で生成します。

診断対象はWebアプリケーションやSPA、オプションのAPIスキャンに加え、2026年9月に提供を始めたAndroidアプリにも広がります。診断はOWASP Top 10やIPA「安全なウェブサイトの作り方」、ASVS 5.0に沿っており、専門知識がなくても診断を内製化しやすい点を訴えています。

公式サイトでは有償契約500社以上への導入（2026年10月時点）を掲げ、ISO/IEC 27001・27017を取得しています。料金は用途やサイト数に応じた個別見積もりで、15日間・1サイトのOne Shotと、1年間・サイト数無制限のBusinessがあり、2サイトの無料トライアルも利用できます。

3. Securify（株式会社スリーシェイク）

株式会社スリーシェイクが提供するSecurify（セキュリファイ）は、画面遷移の巡回から疑似攻撃の送信、応答の検証までをクラウド上で自動実行する脆弱性診断サービスです。ログイン後の画面やSPAの診断にも対応します。

実施する日時や頻度を指定できるスケジュール実行に加え、API経由で診断を起動でき、CI/CDパイプラインへの組み込みが可能です。脆弱性診断のほかに、外部公開資産を把握するASM、クラウド設定を監視するCSPM、部品とCVEを突き合わせるSBOMを同じサービス内で扱えます。

料金は、1 IP/FQDNを対象とする脆弱性診断STARTERが月額5万円（年間60万円・診断回数無制限）、3 IP/FQDN以上のBASICが月額10万円からです。最短即日で始められる無料トライアルがあり、脆弱性診断サービスは情報セキュリティサービス基準適合サービスリストに登録されています（登録番号020-0025-20）。

4. VAddy（株式会社ビットフォレスト）

株式会社ビットフォレストのVAddy（バディ）は、開発の自動化に組み込みやすいクラウド型のWebアプリケーション脆弱性診断ツールです。WebAPIやコマンドラインツール、cronと組み合わせ、CI/CDパイプラインやリリース前、夜間に繰り返し自動スキャンを回せます。

診断対象はWebアプリケーションに加え、REST APIやJSON形式のリクエストを扱うAPIサーバー、ログインが必要なアプリケーションにも対応します。ただし多要素認証やCAPTCHAが有効な画面は、原則として自動ログインでの診断ができません。

料金は初期費用0円で、月額はProfessionalが19,800円、Enterpriseが59,800円、Advancedが99,800円（いずれも税別・全プラン3FQDN・スキャン回数無制限）です。1週間の無料トライアルがあり、1ヶ月単位から契約できます。

5. SCT SECURE クラウドスキャン（三和コムテック株式会社）

三和コムテック株式会社のSCT SECURE クラウドスキャンは、Webサイトとネットワーク機器を対象に、インターネット経由で毎日自動診断するクラウド型のサービスです。ソフトウェアの導入や機器の設置は必要ありません。

診断エンジンにはASV資格を持つものを採用し、PCI DSSが求める外部脆弱性診断（ASV診断）と同じテスト内容で検査します。カード情報を扱う事業者の要件に沿って、毎日の継続診断でスポット診断の間の期間を埋める使い方に向いています。情報セキュリティサービス基準適合サービスリストにも登録されています（登録番号019-0042-60）。

料金は年単位の契約で、3 IP/FQDNまでの標準プランは初年度が年額564,000円（ライセンス504,000円＋初期設定費用60,000円・税抜）、2年目以降は504,000円です。4 IP/FQDN以降は1つごとに追加費用がかかります。より深い診断が必要な場合は、同社の手動型「SCT SECURE セキュリティ診断」が別ラインとして用意されています。

専門家手動型のサービス

専門家が手作業で検査し、業務ロジックまで踏み込んで高い精度で診断するサービスです。重要な情報や決済を扱うサービスで、確かな診断を求める企業に適しています。

6. セキュリティ診断・ペネトレーションテスト（NRIセキュアテクノロジーズ株式会社）

野村総合研究所を単一株主とするセキュリティ専業会社、NRIセキュアテクノロジーズ株式会社が提供する診断サービスです。Webアプリケーション診断では、専門家が手作業だけで検査するプロフェッショナル方式と、手作業にツールを併用するハイブリッド方式の2つから選べます。

診断は、米国SANS Instituteのトレーニング修了者やCISSP・OSCPなどの国際資格を持つ技術者が担当します。Webアプリケーションのほか、プラットフォーム・スマホアプリ・API・クラウド・ソースコードまで対象が広く、攻撃者視点のペネトレーションテスト（800万円〜、税別）まで同じ会社に依頼できます。

Webアプリケーション診断の報告書には、推奨する対策に加えて過去の診断実績と比較した評価が添えられます。実施から1カ月以内に対策状況の確認を行う運用で、料金は多くのメニューが個別見積りです。

7. 脆弱性診断・ペネトレーションテスト（株式会社ラック）

株式会社ラックは1995年から脆弱性診断を提供しており、2000年に設けたセキュリティ監視センター「JSOC」でも知られる会社です。Webアプリケーション診断は、短期間で済むエクスプレス版から手作業を厚くしたハイブリッドまで、期間の異なる複数のメニューを用意しています。

攻撃側の知見と、JSOCやサイバー救急センターで培った防御・対応側の知見の両方を持つ点を強みに挙げています。実際の攻撃を模す情報システムペネトレーションテストは700万〜1,000万円（税抜）、脅威ベースで対応力まで評価するTLPT（脅威シナリオに基づく侵入テスト）は1,000万円程度からと公表しています。

診断や演習の後は、報告書の提出と報告会に加え、納品後1カ月のサポートが付きます。脆弱性診断・ペネトレーションテスト・TLPTを同じ会社でそろえられるため、段階を踏んで対策を深めたい場合に依頼先を切り替えやすい構成です。

8. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）

ホワイトハッカーによる手動診断を強みとする、GMOサイバーセキュリティ byイエラエ株式会社のセキュリティ診断です。Webアプリケーションをはじめスマホアプリ・クラウド・ネットワーク・ブロックチェーンなど13種類の診断・ペネトレーションテストをそろえ、専門家による手動を主体に検査します。

Webのペネトレーションテストには、攻撃シナリオで情報資産への到達可否を確かめるシナリオ型と、ソースコードなどの開発情報も含めて問題点を洗い出す調査型があります。診断はOWASP Top 10やASVSなどの国際基準に対応し、料金は診断したい画面数・API数・攻撃シナリオをもとに見積もる方式です。

手動主体の診断とは別に、外部公開資産を継続的に点検するツール型の「GMOサイバー攻撃ネットde診断 ASM」も提供します。ツールのみの自走プランは月額4万円から、専門家の運用サポートが付く伴走プランは月額12万円からで、単発の精密診断と継続的な監視を使い分けられます。

9. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

三井物産株式会社が100%出資する三井物産セキュアディレクション株式会社の脆弱性診断サービスです。2001年にWebアプリケーション診断を始めており、現在はネットワーク・スマホアプリ・ペネトレーションテスト・TLPT・IoT診断までをそろえています。

Webアプリケーション診断は、セキュリティエンジニアによる手動診断を主体に、独自の補助ツールを組み合わせて疑似攻撃を行います。2017年4月〜2024年3月の累計で診断実績は8,000件以上（Webアプリケーション診断は4,300サイト以上）にのぼり、発見した新規脆弱性をJVNへ累計200件以上報告しています。

診断後は結果報告書の提出と報告会・質疑応答に対応します。運営会社はISO/IEC 27001とISO 9001を取得しており、料金は診断範囲・対象に応じた個別見積りです。

10. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTTグループのセキュリティ専業会社、エヌ・ティ・ティ・セキュリティ・ジャパン株式会社が「セキュリティ診断・評価・調査」として提供する診断群です。Webアプリケーション・プラットフォームの脆弱性診断は、専門家が複数のツールを組み合わせて網羅的に検査します。

専門家が診断するメニューのほかに、QualysやTenableを使って顧客自身が継続的に脆弱性を把握するセルフ診断も選べます。攻撃者視点で人・プロセス・技術の耐性を評価するRedTeam/TLPTや、経済産業省の評価基準に基づくSCS評価制度アセスメントまで、同じカテゴリ内で扱います。

料金は全メニューが要お問い合わせで、診断対象の範囲や規模に応じた個別見積りです。運営会社はISMS認証（認証番号22127-ISMS-001）を取得しています。

11. Webアプリケーション診断（GMO Flatt Security株式会社）

GMO Flatt Security株式会社が提供するWebアプリケーション診断です。専門のセキュリティエンジニアが網羅的に診断し、標準プランにはソースコード診断が追加料金なしで付きます。より深く調べたい場合は、設計書やソースコードまで提供する完全なホワイトボックス診断を別メニューで選べます。

診断範囲には、OWASP Top 10やASVSで扱う典型的な脆弱性に加えて、アプリ固有の仕様に起因するビジネスロジックの脆弱性も含みます。対象はWebアプリケーションやAPIのほか、SPA・SSR・GraphQL・LLM・クラウドなど個別メニューに分かれています。経済産業省の情報セキュリティサービス基準に適合したサービスと記載しています。

料金は100万円から（税別）で、予算の範囲内で深刻度が高いと見込まれる箇所を優先して診断します。URLと認証情報の提出から最短7営業日で報告書を納品し、見積りやサンプル報告書は無料で確認できます。

12. Webアプリケーション診断サービス（Sky株式会社）

SKYSEA Client Viewなどのパッケージ製品を提供するSky株式会社が、2022年1月から提供するセキュリティ診断ソリューションの一つです。本サービスでは、セキュリティエンジニアがリモートでWebアプリケーションを診断します。

SQLインジェクションやクロスサイトスクリプティングなどを162項目をベースに横断的に調べ、検出した脆弱性をCRITICALからINFOまでの5段階に分類して報告します。危険度の高い脆弱性を見つけた際はメールで速報し、開発者向けに再現手法を含むレポートを作成します。

診断開始から最短5〜6営業日で報告する流れで、重要な箇所にはオプションでペネトレーションテストを追加できます。Webのほかスマホアプリ・IoT・クラウドまで対象をそろえており、料金は要お問い合わせです。

ハイブリッド型のサービス

ツールによる網羅と専門家による精査を組み合わせ、網羅性と精度、費用のバランスを取るサービスです。どの手法が最適か決めかねている企業の軸になります。

13. Hi AUDIT（株式会社TECHFUND）

Hi AUDITは、株式会社TECHFUNDがセキュリティ診断事業として展開するブランドです。主力はWeb3のスマートコントラクト監査ですが、WebアプリケーションやWeb API、スマートフォンアプリ、IoT機器まで診断対象に含みます。

診断は、自社開発ツールによる自動診断と専門家によるマニュアル診断を組み合わせるハイブリッド方式だと同社は説明しています。ビジネスロジックや複数の脆弱性が絡む問題は人の目で確認し、検出した弱点は攻撃シナリオと事業への影響まで整理して報告する方針です。

レポート提出後も、説明会や修正方法の相談、修正後の再確認を対応が完了するまで追加料金なしで続ける方針を掲げています。料金は公開されておらず、診断範囲に応じた個別見積もりとなるため、対象を伝えて問い合わせる形になります。

14. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker株式会社は、受託開発で培った知見をもとに脆弱性診断を手がける企業です。自社開発のAI「Red Agent」で自動解析を行い、社内のセキュリティ専門家が結果を最終確認してレポートを作成します。

診断メニューは、ソースコードを解析する静的診断、稼働中のWebアプリケーションやAPIを対象とする動的診断、実際の攻撃を想定した実践攻撃シミュレーション診断（ペネトレーションテスト）の3種類です。ソースコードや設計書の段階から確認できる点が特徴です。

同社の説明では、AIの活用により診断時間を従来の最大10分の1に短縮できるとしています。料金はソースコードの静的診断が15万円から、動的診断が30万円からで、診断対象の規模に応じて見積もる形です。

15. SQAT（株式会社ブロードバンドセキュリティ）

SQAT（エスキュート）は、2000年創業のセキュリティ専業企業である株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランドです。手動診断と独自開発の自動診断を組み合わせるハイブリッド方式で検査します。

診断対象はWebアプリケーションに加え、ネットワーク、スマートフォンアプリ、IoT、クラウド設定、ソースコード、ペネトレーションテストまで広くカバーします。延べ10,300組織・64,280システム超の診断実績（2025年6月時点）を公表しています。

短納期メニュー「SQAT with Swift Delivery」では、優先度の高い箇所に範囲を絞り、報告書を最短7営業日で提出します。同社はISMSやプライバシーマーク、PCI SSCの各種アセッサー認定を保有しており、料金は診断対象に応じた個別見積もりです。

16. Vex（株式会社ユービーセキュア）

Vexは、株式会社ユービーセキュアが2007年から開発を続けるWebアプリケーション向けの脆弱性検査ツールです。対象URLに疑似攻撃を送って応答を解析するDAST方式を基盤に、ログイン後の画面遷移を再現するシナリオ診断やAPI診断にも対応します。

同社はITRの調査をもとに、Webアプリケーション脆弱性診断・管理市場でベンダー別売上金額シェア1位（2024年度実績）と公表しています。ツールは年間ライセンス制で、小規模向けのVex Teamが年額66万円から、エンタープライズ向けが300万円からの3プラン構成です。

14日間の無料トライアルが用意され、導入前に機能を試せます。自社運用のライセンスとは別に、Vexと診断士の手動診断を組み合わせる診断代行サービスもあり、こちらは5画面程度で425,000円（税込467,500円）からの個別見積もりです。

17. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）

Cloudbric脆弱性診断は、WAF製品を提供するペンタセキュリティ株式会社が手がけるセキュリティ診断サービスです。技術者による手動診断を軸に、メニューに応じて自動スキャンツールを組み合わせ、独自に収集した脅威インテリジェンスに基づく項目で検査します。

診断メニューはWebサイト、Webアプリケーション、API、プラットフォーム、スマートフォンアプリ、ペネトレーションテストの6種類です。検出した脆弱性には、Cloudbric WAF+などを用いた対策の提案まで支援すると説明しています。

実際の診断は株式会社ranryuに委託されており、同社名義で情報セキュリティサービス基準適合サービスリスト（登録番号021-0017-20、ペネトレーションテストは対象外）に登録されています。料金は公開されておらず、要問い合わせです。

18. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）

このサービスは、NTTドコモソリューションズ株式会社（旧NTTコムウェア）がDSCBブランドで提供する脆弱性診断です。ネットワーク、サーバ構成、Webアプリケーション、スマートフォンアプリ、ペネトレーションテストの5メニューを、ツールと専門家の手動検査を併用して診断します。

名称のとおり、全メニュー合計の契約金額が税抜80万円以上であれば、支払限度額1,000万円のサイバー保険が無償で付帯します。保険のみの単体加入はできず、あくまで診断契約への付帯という位置づけです。

IPAの「ウェブ健康診断仕様」やOWASP ASVSに準拠し、ネットワーク診断とWebアプリ診断のスタンダード版では報告書提出後3か月以内に最大3回まで無償で再診断を受けられます。2025年度はネットワーク診断約670システム、Webアプリ診断約550サイトの実績を公表しています。料金は個別見積もりです。

まとめ

Webアプリケーション診断は、公開中のWebアプリやAPIに潜む脆弱性を洗い出し、情報漏えいや不正アクセスを未然に防ぐための検査です。診断手法はツール自動型・専門家手動型・ハイブリッド型に分かれ、精度と費用、期間が異なります。

依頼先を選ぶ際は、対応範囲、OWASP Top 10などの診断基準への準拠、情報セキュリティサービス基準適合サービスリストでの裏取り、実績や体制、再診断などのアフターフォローを照らし合わせると、自社に合う会社を絞り込めます。費用は対象規模や手法で開くため、同じ条件で複数社の見積もりを比べることが大切です。

まずは診断ツールで自社に合う型の見当をつけ、気になるサービスの資料を取り寄せて具体的に比較してみてください。

Webアプリケーション診断に関するよくある質問

Q. Webアプリケーション診断とは何ですか？

A. Webアプリケーション診断とは、公開中のWebサイトやWebアプリケーション、Web APIに擬似的な攻撃を行い、情報漏えいや不正アクセスにつながる脆弱性を洗い出す検査です。

ログイン機能や入力フォーム、決済処理といったアプリケーションの作り込み部分を対象に、攻撃者の視点で安全性を確認します。検出した弱点に対策を講じることで、同じ弱点を突いた攻撃の被害を未然に防げます。社内に診断の専門人材がいなくても、外部の専門会社に依頼すれば第三者の視点で点検できます。

Q. Webアプリケーション診断は、ツール診断と手動診断のどちらを選べばよいですか？

A. Webアプリケーション診断の手法選びは、まず全体を広く低コストで確認したいならツール自動型、認証や決済など業務ロジックまで高精度に調べたいなら専門家手動型が目安です。ツール自動型は費用を抑えて繰り返し診断しやすい反面、独自に作り込んだ複雑な機能では検出漏れが生じることがあります。

専門家手動型は時間と費用がかかるものの、重要な個人情報や決済を扱うサービス、取引先や監査に提出する第三者診断に向きます。迷う場合は、ツールで広く検査し重要箇所を専門家が精査するハイブリッド型を軸に検討すると、網羅性と精度・費用のバランスを取りやすくなります。

Q. Webアプリケーション診断の費用は、なぜ数十万円から数百万円まで開くのですか？

A. Webアプリケーション診断の費用が大きく開くのは、診断対象の画面数やリクエスト数、採用する手法、対象にWeb APIやスマホアプリを含むかといった条件で作業量が変わるためです。画面数が多く手動の比重が高いほど費用は上がり、少数の画面を自動ツールで診る場合は抑えられます。

同じ条件で複数社を比べられるよう、対象サイトのURLや画面数、フォーム数、Web APIの有無、報告会や再診断の希望を整理して見積もりを依頼すると判断しやすくなります。極端に安い見積もりは診断範囲が限定されている場合があるため、何をどこまで診るかをあわせて確認することが大切です。

Q. Webアプリケーション診断とペネトレーションテストは、どちらを受けるべきですか？

A. どちらを受けるべきかは目的によって異なり、自社の弱点を広く把握したい段階ではWebアプリケーション診断、重要資産への侵入リスクを具体的に確かめたい段階ではペネトレーションテストが向きます。脆弱性診断は「どこに弱点があるか」を網羅的に洗い出す検査で、ペネトレーションテストは「その弱点を連鎖させて実際に侵入できるか」を攻撃シナリオに沿って検証します。

まずは脆弱性診断で全体を点検し、顧客データベースなど重要資産を扱うサービスで侵入可否まで確かめたい場合にペネトレーションテストを追加する進め方が一般的です。多くの診断会社が両方を提供しており、同じ会社で段階的に依頼できます。

Q. Webアプリケーション診断は、どの会社に頼めばよいですか？

A. Webアプリケーション診断の依頼先は、自社の診断対象をカバーできるか、OWASP Top 10などの診断基準に準拠しているか、情報セキュリティサービス基準適合サービスリストに登録されているか、同業種での実績と再診断などのフォローがあるかを照らし合わせて絞り込みます。

各社の自己申告だけに頼らず、IPAが公開する「情報セキュリティサービス基準適合サービスリスト」で掲載の有無を確かめると、中立に信頼性を裏取りできます。自社の規模や扱う情報の重要度に近い実績を持つ会社を2〜3社に絞り、同じ条件で見積もりを取って比較するのが実務的です。

Q. Webアプリケーション診断は、どのくらいの頻度で受ければよいですか？

A. Webアプリケーション診断は、新規サービスのリリース前に加え、運用開始後は年1回以上の定期診断と、大きな機能追加・改修を行ったタイミングでの実施が目安です。公開した瞬間から攻撃の対象になり得るため、本番環境に出す前に弱点を潰しておきます。

新しいコードには新たな脆弱性が入り込む余地があるため、改修のたびの診断が望まれます。カード情報を扱うEC加盟店では、クレジットカード・セキュリティガイドラインで定期的な診断が実質的に求められている点も、頻度を決める判断材料になります。

Q. Webアプリケーション診断には、どのくらいの期間がかかりますか？

A. Webアプリケーション診断の期間は対象の規模で変わり、見積もり・申し込みを経て、診断作業に数日、報告書の作成・提出に1〜2週間程度を見込むのが一般的です。一例として、ある診断サービスでは診断作業に5日間、報告書の作成・提出に10日間という目安が示されています。

大規模なサイトやWeb APIを含む診断では、これより長くなることもあります。短納期メニューを用意し、優先度の高い箇所に絞って最短7営業日前後で報告する会社もあるため、公開期日が決まっている場合は早めに相談するとよいでしょう。

Q. Webアプリケーション診断は、インターネットに公開していない社内システムでも受けられますか？

A. Webアプリケーション診断は、外部から直接アクセスできない社内システムや検証環境でも、オンサイト診断や接続方法の調整によって受けられる場合があります。診断会社が現地で作業するオンサイト診断に対応していれば、閉じたネットワーク内のアプリケーションも対象にできます。

また、クラウド上で稼働するアプリケーションを診断する際は、事業者への事前申請が必要になるケースがあるため、対象の構成を伝えたうえで、対応可否と必要な手続きを見積もり段階で確認しておきましょう。

Webアプリケーション診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、Webアプリケーション診断サービスの最新資料を無料で一括請求できます。診断手法や診断対象、費用感を見比べて、自社に合う依頼先を効率的に選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。