自社で運用するWebサービスや社内システム、ネットワーク機器に、攻撃につながる弱点が残っていないかを把握したい。そう考えて脆弱性スキャンという手段にたどり着く担当者が増えています。背景には、サイバー攻撃の高度化に加え、取引先やクレジットカードの業界基準から定期的な点検を求められる場面が広がっていることがあります。
一方で、いざ調べ始めると「脆弱性スキャンは、専門家に依頼する脆弱性診断と何が違うのか」「自動のツールで十分なのか、それとも人の手による診断が必要なのか」という疑問にぶつかります。言葉が似ているぶん、どこまでを自動で賄えるのかが分かりにくい領域です。
本記事では、脆弱性スキャンとは何かという定義から、脆弱性診断・ペネトレーションテストとの違い、スキャンできる対象と種類、仕組み、そして自社に合うツールやサービスの選び方までを、公的機関や標準化団体の情報をもとに整理します。自動スキャンでどこまで分かり、どこから専門家の診断が必要になるのかを見極め、具体的な製品・サービスの比較検討に進むための土台としてご活用ください。
目次
一括ダウンロードする
脆弱性スキャンとは？何を自動で洗い出すのか
脆弱性スキャンとは、システムやネットワークに対してツールを使い、すでに知られている弱点（脆弱性）が残っていないかを自動で照合して洗い出す点検のことです。アメリカの標準化機関であるNIST（米国国立標準技術研究所）は、脆弱性スキャンを「機器とその属性、および関連する脆弱性を特定する手法」と定義しています。
人が一つずつ確認するのではなく、脆弱性の情報を集めたデータベースと突き合わせて、該当する弱点を機械的に見つけ出すのが基本的な考え方です。
ここでいう脆弱性とは、攻撃に悪用され得るシステム・手順・内部統制・実装上の弱点を指します。たとえば、古いまま放置されたソフトウェアの既知の欠陥や、設定の不備、公開してはいけない情報が外部から見える状態などが該当します。脆弱性スキャンは、こうした弱点のうち「すでに世の中に知られているもの」を、対象を広くカバーしながら繰り返し確認することに向いています。
出典・参考資料（2件）
「すでに知られている弱点」の拠りどころになっているのが、CVEとCVSSという2つの共通の仕組みです。CVE（共通脆弱性識別子）は、公開された個々の脆弱性に世界共通の識別番号を付けて管理する仕組みで、スキャンツールはこのCVEを参照して「どの弱点に該当するか」を判定します。CVSS（共通脆弱性評価システム）は、見つかった脆弱性の深刻度を同じ物差しで点数化するための評価手法です。
情報処理推進機構（IPA）はCVSSを次のように説明しています。
CVSS は、情報システムの脆弱性に対するオープンで汎用的な評価手法であり、ベンダーに依存しない共通の評価方法を提供しています。CVSSを用いると、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになります。
出典：共通脆弱性評価システムCVSS概説｜情報処理推進機構（IPA）
このように脆弱性スキャンは、CVEで識別される既知の弱点を探し、CVSSのような指標で深刻度を評価して、対応の優先順位を付けるところまでを自動で支援する点検だと捉えると分かりやすくなります。
脆弱性スキャンと脆弱性診断・ペネトレーションテストの違い
脆弱性スキャンを調べるとき、多くの担当者がつまずくのが「専門家に依頼する脆弱性診断や、ペネトレーションテストと何が違うのか」という点です。3つはいずれも弱点を見つけるための手段ですが、実施方法と、どこまで深く見るかが異なります。まずは全体像を表で押さえます。
| 手法 | 脆弱性スキャン | 脆弱性診断（手動） | ペネトレーションテスト |
|---|---|---|---|
| 実施方法 | ツールによる自動診断 | 専門家がツールと手作業を組み合わせて診断 | 専門家が攻撃者の視点で実際に侵入を試す |
| 網羅性と深さ | 既知の弱点を広く・浅く網羅 | 対象を絞って深く検証 | 特定の目標への到達可否を深く検証 |
| 実施頻度 | 日次〜四半期など、繰り返し実施しやすい | リリース前や年数回などスポット | 年1回など限定的 |
| 費用の目安 | ツールの利用料でくり返し使える | 1案件ごとの費用（スキャンより高め） | 対象を絞った個別見積もり（高め） |
| 向いている場面 | 広く定期的に弱点を洗い出し、変化を早く把握したい | 重要なシステムを一度しっかり精査したい | 攻撃者に突破されないかを実地で確かめたい |
脆弱性スキャンの特徴は、ツールで自動的に、対象を広く、繰り返し点検できることにあります。既知の弱点の有無を網羅的に確認するのが得意で、頻度を上げて継続的に実施しやすい反面、見つけた弱点を本当に悪用できるかまでは踏み込みません。
これに対して、専門家が手作業を交えて行う脆弱性診断は、対象を絞って深く検証します。ペネトレーションテストは、さらに踏み込んで、攻撃者になったつもりで実際に侵入を試み、特定の目標に到達できるかを確かめる手法です。NISTのガイド「SP 800-115」も、自動で既知の弱点を広く検出する脆弱性スキャンと、攻撃者視点で検証するペネトレーションテストを別の手法として整理しています。
費用や実施頻度の目安は対象の規模や依頼先によって幅があるため、上の表は一般的な傾向として捉えてください。たとえば小規模なWebサービスであれば、日常は自動スキャンを中心に据え、重要なリリースの前に手動の脆弱性診断を組み合わせる、といった進め方が一例です。
このうち、専門家に依頼する脆弱性診断とペネトレーションテストは、目的が近く見えてどちらを選ぶべきか迷いやすいところです。両者の目的・費用・実施頻度の違いと、自社はどちらを選べばよいかは、次の記事で詳しく整理しています。
脆弱性スキャンの対象と種類（何をスキャンできるのか）
ひとくちに脆弱性スキャンといっても、点検する対象によって使うツールや見つかる弱点が変わります。自社の環境のどこを守りたいのかによって選ぶものが変わるため、代表的な対象の種類から整理します。
スキャン対象別の種類
- ネットワークスキャン：サーバーやルーター、ファイアウォールなど、ネットワークにつながった機器を対象に、開いているポートや古いソフトウェアの既知の弱点を調べます。
- Webアプリケーションスキャン：公開中のWebサイトやWebアプリを対象に、入力フォームなどを通じて攻撃につながる弱点がないかを確認します。
- ホスト・サーバースキャン：個々のサーバーやPCに入り、OSやインストールされたソフトウェアのバージョン、設定の不備を点検します。
- クラウド設定スキャン：クラウド環境の設定（CSPM：クラウドセキュリティ態勢管理）を対象に、公開範囲や権限の設定ミスを洗い出します。
- コンテナスキャン：コンテナのイメージに含まれるソフトウェアの既知の脆弱性を、配布や実行の前に確認します。
- ソースコードスキャン：プログラムのソースコードを解析して弱点を見つける静的解析（SAST）と、利用している外部ライブラリの既知の脆弱性を調べる解析（SCA）があります。
自社がWebサービスを公開しているならWebアプリケーションスキャン、クラウド上にシステムを構築しているならクラウド設定スキャン、というように、守りたい対象から逆算して種類を選ぶのが出発点になります。
認証スキャンと非認証スキャン、内部と外部
同じ対象でも、どの立場からスキャンするかで見える弱点が変わります。ログイン情報を使わずに外部から点検する非認証スキャンは、インターネット越しの攻撃者と近い視点で弱点を確認します。一方、ログイン情報を使ってシステムの内側まで点検する認証スキャンは、権限を持ったうえで初めて見える設定や、ログイン後の画面に残る弱点まで踏み込めます。
また、社外のインターネットから行う外部スキャンと、社内ネットワークの内側から行う内部スキャンでは、守る面が異なります。Webサイトのように外部スキャンが実際の攻撃面と近いものもあれば、社内システムのように内部スキャンでしか見えない弱点もあるため、自社の守りたい面に合わせて組み合わせます。
スキャンの進め方には、通信を監視して弱点を推測するパッシブ型と、実際にリクエストを送って確かめるアクティブ型があります。確実に弱点を検出したい場合はアクティブ型が向きますが、稼働中のシステムへの負荷を避けたい場合はパッシブ型を選ぶ、というように対象の状況で使い分けます。
スキャンで見つかる代表的な脆弱性
Webアプリケーションを対象にしたスキャンで見つかる弱点の代表例としては、OWASP（Open Worldwide Application Security Project）が公開している「OWASP Top 10」が参考になります。これはWebアプリケーションで起きやすいセキュリティリスクを重大なものから整理した一覧で、点検項目を整理する際の拠りどころとして使われています。
最新の2025年版では、アクセス制御の不備（Broken Access Control）が最上位に挙げられ、設定の誤り（Security Misconfiguration）、外部の部品を介したリスク（Software Supply Chain Failures）、インジェクション（Injection）などが並びます。
脆弱性スキャンの仕組み（実施の流れ）
脆弱性スキャンがツールの内部で何をしているのかを、一連の流れとして見ていきます。製品によって呼び方は異なりますが、おおむね次の順序で進みます。
まず、点検する対象を把握する工程から始まります。どのサーバー・機器・アプリが存在し、どのソフトウェアがどのバージョンで動いているかを洗い出します。次に、把握した情報を既知の脆弱性のデータベースと照合し、該当する弱点がないかを確認します。ここでCVEで識別される弱点と突き合わせ、見つかった脆弱性にはCVSSなどの指標で深刻度の評価が付きます。
近年は、深刻度を示すCVSSに加えて、その弱点が実際に悪用される確率を推定するEPSS（悪用予測スコアリングシステム）のような指標も、優先順位付けに使われるようになっています。
評価が付いたら、結果をレポートにまとめ、対応すべき弱点の優先順位を示します。そのうえで、担当者が設定変更やソフトウェアの更新といった修正を行い、修正後にもう一度スキャンして弱点が解消されたかを確認します。この「見つける→直す→再び確かめる」を回していくことが、脆弱性スキャンを機能させる基本的な流れです。
なぜ脆弱性スキャンが必要なのか（制度とインシデントの実態）
脆弱性スキャンの必要性は、担当者の不安だけでなく、攻撃の実態や制度上の要請からも裏づけられます。IPAが毎年公表する「情報セキュリティ10大脅威 2026」では、組織向けの脅威の4位に「システムの脆弱性を悪用した攻撃」が挙げられています。これは2016年の初選出から6年連続・9回目の選出で、脆弱性を突いた攻撃が継続的な脅威であり続けていることを示しています。
出典・参考資料（1件）
個人データを扱う事業者にとっては、法令の面からも対応が求められます。個人情報の保護に関する法律（個人情報保護法）は、安全管理措置として次のように定めています。
（安全管理措置）第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
出典：個人情報の保護に関する法律 第二十三条｜e-Gov法令検索
条文そのものは「必要かつ適切な措置を講じる」という一般的な義務で、脆弱性スキャンを名指しで求めているわけではありません。その具体的な中身は、個人情報保護委員会のガイドラインが示しています。通則編のガイドラインは、技術的安全管理措置の手法の例示として、外部からの不正アクセス等を防ぐ仕組みの導入・運用を挙げ、そこに「情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む」と明記しています。
（3）外部からの不正アクセス等の防止 個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。
（手法の例示）情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む。）
出典：個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会
このように、個人データを扱う事業者にとって脆弱性への対策は、安全管理措置の一環として位置づけられます。脆弱性スキャンは、その対策を継続的に実施する具体的な手段のひとつになります。
加えて、クレジットカード情報を扱う事業者には、業界基準から定期的なスキャンが求められます。国際的なセキュリティ基準であるPCI DSSは、要件11.3.2で、認定スキャンベンダー（ASV）による外部脆弱性スキャンを少なくとも3か月に1回実施し、合格した記録を残すことを求めています。公式ガイドは、より高い頻度での実施も推奨しています。
この要件が適用されるのはカード会員データを扱う事業者のインターネットに面したシステムであり、すべての事業者に四半期ごとのスキャンが義務づけられるわけではありませんが、自社がカード情報を扱う場合は確認が必要です。
このASV（認定スキャンベンダー）による四半期ごとの外部スキャンについて、要件11.3.2での位置づけや具体的な実施ポイント、合格記録の残し方、ASV認定業者の探し方は、次の記事で確認できます。
脆弱性スキャンのツール・サービスの選び方
脆弱性スキャンのツールやサービスは数多くあり、提供形態も無料ツールから商用のクラウドサービス、専門家による診断までさまざまです。ここでは、特定の製品に寄らずに自社に合うものを見極めるための判断軸を整理します。
自社に合うかを見極める判断軸
まず確認したいのは、スキャンできる対象が自社の環境に合っているかです。守りたいものがWebアプリなのか、ネットワーク機器なのか、クラウド設定やソースコードなのかによって、適したツールは変わります。対象が合っていなければ、どれだけ高機能でも必要な弱点を見つけられません。
次に、検出の精度、とくに誤検知の少なさが運用の負担を左右します。実際には問題のない箇所を弱点として報告する誤検知が多いと、担当者が結果の確認に追われ、本当に危険な弱点への対応が遅れます。検出した弱点に深刻度や悪用されやすさで優先順位を付けてくれるかも、限られた人員で対応するうえで重要です。
加えて、専門知識がなくても運用できる分かりやすさや、導入時・運用中のサポート体制も確認します。社内に専任の担当者がいない場合は、設定から結果の読み解き方まで支援してくれるかどうかが、継続して使えるかを分けます。これらの軸を、自社の体制と守りたい対象に照らして確認していくのが、過不足のない選び方につながります。
無料ツール（OSS）と商用サービスの違い
脆弱性スキャンには、OpenVASなどの無料で使えるオープンソースのツールもあります。費用をかけずに試せる点は魅力ですが、対象範囲や検出の精度、日本語でのサポートの有無に差があり、設定や結果の読み解きに専門知識が必要になりがちです。
まず自社で手を動かして理解したい段階では無料ツールが向く一方、継続的な運用や、誤検知の少なさ・サポートを重視する場合は、商用のクラウドサービスや、専門家に任せる診断サービスのほうが運用の負担を抑えられます。自社の体制に合わせて、どこまでを自前で行い、どこからを外部に委ねるかを見極めるとよいでしょう。この記事の後半で紹介する商用のスキャンSaaSや診断サービスは、外部に委ねる場合の選択肢になります。
一括ダウンロードする
脆弱性スキャンを効果的に運用するポイント
脆弱性スキャンは、一度実施して終わりにすると効果が続きません。ツールを選んだあとに、実務で回し続けるための勘所を押さえます。
ひとつは、誤検知の切り分けと対応の優先順位付けです。スキャン結果には、実際には問題のない検出や、自社の環境では悪用されにくい弱点も含まれます。深刻度や悪用されやすさ、対象システムの重要度を踏まえて、どの弱点から直すかを判断する運用が欠かせません。すべてを一度に直そうとすると、かえって重要な対応が後回しになります。
もうひとつは、継続的に実施する仕組みづくりと頻度の設計です。ソフトウェアの更新やシステムの変更があれば、新しい弱点が生まれる可能性があります。定期的にスキャンを繰り返し、修正後に再スキャンして解消を確かめることで、弱点が放置されるのを防げます。
前述のとおり、カード情報を扱う事業者であれば少なくとも3か月に1回という基準が目安になりますが、それ以外の事業者も、システムの変更時や一定の間隔でスキャンを回す運用を自社の基準として定めておくことが望まれます。
自動スキャンだけで足りる？手動の脆弱性診断が必要になる場面
ここまで見てきたとおり、脆弱性スキャンは既知の弱点を広く・継続的に洗い出すことに強みがあります。一方で、自動のスキャンだけでは見つけにくい弱点もあります。
脆弱性スキャンは、基本的に「すでに知られている弱点」をデータベースと照合して見つける仕組みです。そのため、自動スキャンでは見逃されやすい弱点もあります。システム固有の処理の流れに潜む欠陥（ロジックの不備）や、本来アクセスできないはずのデータに別の利用者の権限で到達できてしまう認可の不備、まだ世の中に知られていない未知の脆弱性などです。
こうした弱点は、専門家が実際の挙動を確かめながら検証する手動の脆弱性診断や、攻撃者の視点で侵入を試みるペネトレーションテストが向いています。
そこで実務では、日常的な点検は自動スキャンで広くカバーし、重要なシステムやリリースの節目には専門家による診断を組み合わせる、という使い分けが現実的です。
自社に合う脆弱性スキャン・診断サービスの選択肢
ここからは、自動スキャンのツールと、専門家による診断サービスの両面から、代表的なサービスを紹介します。それぞれ得意とする対象や提供の形が異なるため、自社が守りたい対象と体制に照らして見比べてください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断 | KATABAMI | AeyeScan | SCT SECURE クラウドスキャン | Vex |
|---|---|---|---|---|---|---|
| 提供形態・診断方式 | 自動スキャンツール（クラウド型SaaS） | 診断サービス（AI自動解析＋専門家の最終確認） | 予防・復旧・補償の統合パッケージ（内部ネットワークの月次診断） | 自動スキャンツール（クラウド型SaaS） | 自動スキャンサービス（クラウド型・毎日自動） | ツール（DAST自動診断）＋診断代行 |
| 主なスキャン対象 | ソースコード／ライブラリ／クラウド設定／コンテナ／Webアプリ | Webアプリ／API／ソースコード | 社内ネットワーク機器／サーバー／複合機／PC等（内部） | Webアプリ／SPA／API／Androidアプリ | Webサイト／ネットワーク機器 | Webアプリ／API／SPA（代行はサーバー・スマホアプリ等も） |
| 料金目安 | 年額3,780ドル〜 （Basicプラン・国内窓口AndGo） | ソースコードAI診断15万円／動的診断プラン50万円〜 （カタログ掲載情報） | 1台1,250円／月〜 （初期費用は要問い合わせ） | 個別見積もり （用途・サイト数に応じる） | 初年度564,000円〜 （3IP/FQDNまで・税抜） | 年額66万円〜 （Vex Team・ライセンス） |
| 無料トライアル | ●無料のDeveloperプランあり | 記載なし | △無料相談あり（トライアルは記載なし） | ●2サイトで試用可 | △簡易検査キャンペーンのみ（機能トライアルではない） | ●14日間・機能制限なし |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※2026年11月時点の各社公式情報・掲載情報にもとづきます。最新の料金・条件は各社にご確認ください。
1. Aikido Security（Aikido Security BV・国内窓口 株式会社AndGo）
Aikido Securityは、ソースコード、外部ライブラリ、クラウド設定、コンテナ、稼働中のWebアプリまでを1つの管理画面でまとめて検査できる、オールインワン型の自動スキャンSaaSです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが窓口となり、日本円の請求書払いにも対応しています。
ソースコードの静的解析や外部ライブラリの脆弱性チェック、クラウド設定の点検、Webアプリの動的スキャンなど、本来は別々のツールで行う点検を横断して扱えるのが特徴です。無料で試せるDeveloperプランが用意されており、導入前に使い勝手を確認できます。国内窓口のAndGoが案内するBasicプランは年額3,780ドルからで、検出結果はSlackやJiraなど既存のツールへ通知できます。
開発と運用の現場で、脆弱性の点検をまとめて自動化したい企業に向いています。
開発現場でセキュリティをいつ点検するかという位置づけの変化について、国内窓口を務める株式会社AndGoの原氏は次のように述べています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社が提供する脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせている点が特徴です。自動スキャンの速さと、専門家の目による確認の両方を1つのサービスで受けられるため、前述した「自動だけでは見つけにくい弱点」を人の手で補いたい場合に向いています。
診断メニューは、ソースコードをAIが解析する診断、稼働中のWebアプリやAPIを対象にした動的診断、さらに攻撃を想定した実践的な検証まで用意されています。料金は、MCB FinTechカタログの掲載情報によると、ソースコードのAI診断が150,000円、Webアプリ・APIの動的診断を含むプランが500,000円からで、上位プランでは再診断の回数や対象範囲が広がります。
プレスリリースでは、診断開始から最短3営業日での報告書納品を掲げています。最新の料金や適用条件は、問い合わせのうえ確認することをおすすめします。
AIによる自動解析で生じ得る誤り（ハルシネーション）をどのように扱い、専門家の確認につなげているかについて、CoWorker株式会社の一ノ瀬氏は次のように説明します。
精度については、ハルシネーションが心配だというお声もいただきますが、ハルシネーションを完全に防ぐとAIの強みが損なわれてしまいますので、そこは防ぎきることはしていません。その代わり、ハルシネーションが起きた可能性がある箇所については明確に示すようにしていて、最終的に人の目で見て正しいかどうかを承認するフローを取っています。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMIは、脆弱性診断だけを行う単独のツールではなく、予防・復旧・補償を組み合わせたパッケージ型のサービスです。株式会社SYNCHROが提供し、脆弱性診断（予防）に加えて、隔離された経路でのデータバックアップ（復旧）と、サイバー保険の自動付帯（補償）までを1つにまとめています。
診断の特徴は、社内ネットワークの内側から機器を点検する点にあります。外部からのスキャンでは見つけにくい、メールやUSB経由で持ち込まれる内部起点の脅威まで対象にし、検出した弱点と対策案を原則として月に1回のペースで報告します。対策の実装そのものは利用企業側で進めるのが原則で、希望すれば別料金で委託もできます。
料金は1台あたり月額1,250円からで、公式サイトは設置10分・最短2週間での利用開始を掲げており、専任のセキュリティ担当者がいない中小企業でも導入を検討しやすい設計です。
社内ネットワークの内側を点検する診断が、従来はどのような運用だったのかについて、株式会社SYNCHROの北口氏は次のように話します。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。一方で、新しい脆弱性は日々生まれており、生成AIの登場でそのスピードもさらに上がっています。
4. AeyeScan（株式会社エーアイセキュリティラボ）
株式会社エーアイセキュリティラボが開発・提供するAeyeScanは、クラウド型のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールは不要で、ブラウザから対象URLを登録すればスキャンを開始できます。
AIが利用者の操作に近い形でサイト内を巡回し、診断のテストシナリオを自動で生成する点が特徴で、ログイン後の画面やSPA（単一ページで画面を切り替えるWebアプリ）、APIまで対象にできます。2026年9月にはAndroidアプリの診断機能も追加されました。専門知識がなくても自動で診断を実施でき、外部への診断依頼に頼りきらずに内製で回したい企業に向いています。
料金は用途やサイト数に応じた個別見積もりで、まず2サイトまで試せる無料トライアルも用意されています。公式サイトによると、有償契約は500社以上に導入されています（2026年10月時点）。
出典・参考資料（1件）
5. SCT SECURE クラウドスキャン（三和コムテック株式会社）
三和コムテック株式会社が提供するSCT SECURE クラウドスキャンは、Webサイトとネットワーク機器を対象に、インターネット経由で毎日自動的に診断するクラウド型のサービスです。最新の脆弱性情報に基づいて弱点を検出し、機器の設置やソフトのインストールは不要です。
公式サイト自身が、深く検証する手動診断を「人間ドック」、本サービスを「定期健康診断」にたとえており、スポットの手動診断の間を毎日の自動診断で埋める位置づけを明確にしています。PCI DSSが定めるASV診断と同じテスト内容を採用している点も、カード情報を扱う事業者には確認したいポイントです。
料金は、3つのIP/FQDNまでを対象とする標準で初年度564,000円（税抜、初期設定費用込み）、2年目以降は504,000円からで、対象を増やす場合は追加料金がかかります。2004年からの提供実績があります。
出典・参考資料（1件）
6. Vex（株式会社ユービーセキュア）
Vexは、株式会社ユービーセキュア（NRIセキュアグループ）が開発する、Webアプリケーションを主な対象とした国産の脆弱性検査ツールです。対象URLに疑似的な攻撃リクエストを送り、応答を解析して弱点を確認するDAST（動的アプリケーションセキュリティテスト）方式を採用しています。
自動のクローリングやシナリオスキャン、API診断に対応し、レポートはOWASP Top 10やPCI DSS、ASVS（アプリケーションセキュリティの検証基準）に沿った形式で出力できます。ツールを自社で運用するライセンス提供だけでなく、同社がツールと診断士の手作業を組み合わせて行う診断代行サービスも手がけており、自動と手動の両面から選べるのが特徴です。
ツールのライセンスは、小規模なサイト向けのVex Teamが年額66万円からで、14日間の無料トライアルも用意されています。公式サイトは、ITRの調査（2024年度のWebアプリケーション脆弱性診断・管理市場、ベンダー別売上金額シェア）をもとに国内シェア1位と表記しています。
出典・参考資料（2件）
ここで取り上げたサービス以外にも、専門家による手動診断を中心とした脆弱性診断サービスは数多くあります。診断方法（手動・ツール自動・ハイブリッド）や診断範囲、費用相場、診断後のサポートから自社に合う一社を選びたい場合は、主要サービスを横断して比較した次の記事が参考になります。
まとめ
脆弱性スキャンは、ツールを使って既知の弱点を自動で、広く、繰り返し洗い出す点検です。専門家が対象を絞って深く見る脆弱性診断や、攻撃者の視点で侵入を試すペネトレーションテストとは役割が異なり、日常的な点検を自動スキャンで広くカバーし、重要なシステムには手動診断を組み合わせる使い分けが基本になります。
自社に合うものを選ぶときは、スキャンできる対象が自社の環境に合っているか、誤検知が少なく優先順位を付けられるか、運用しやすくサポートが受けられるかを軸に見極めます。まず無料ツールで試すのか、商用のクラウドサービスを使うのか、専門家の診断に任せるのかは、自社の体制と守りたい対象から判断してください。各サービスの対応範囲や料金は、資料を取り寄せて具体的に比較するのが確実です。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性スキャンとは何ですか？
A. 脆弱性スキャンとは、ツールを使ってシステムやネットワークに残る既知の弱点（脆弱性）を自動で洗い出す点検です。CVE（共通脆弱性識別子）で管理される既知の脆弱性のデータベースと対象を照合し、該当する弱点を機械的に見つけ出します。人が一つずつ確認するのではなく、対象を広くカバーしながら繰り返し点検できるのが特徴です。
Q. 脆弱性スキャンと脆弱性診断・ペネトレーションテストの違いは何ですか？
A. 脆弱性スキャンがツールで既知の弱点を広く・浅く自動で洗い出すのに対し、脆弱性診断は専門家が対象を絞って深く検証し、ペネトレーションテストは攻撃者の視点で実際に侵入を試みる点が異なります。脆弱性スキャンは頻度を上げて継続的に実施しやすい反面、見つけた弱点を本当に悪用できるかまでは踏み込みません。
重要なシステムを深く精査したい場合や、攻撃者に突破されないかを実地で確かめたい場合は、手動の脆弱性診断やペネトレーションテストが向いています。
Q. 脆弱性スキャンは自動スキャンだけで足りますか？
A. 脆弱性スキャンは自動だけでは不十分な場合があり、重要なシステムには手動の脆弱性診断を組み合わせるのが現実的です。自動スキャンは既知の弱点をデータベースと照合して見つける仕組みのため、そのシステム固有のロジックの不備や認可の不備、まだ世の中に知られていない未知の脆弱性は見逃されることがあります。
日常的な点検は自動スキャンで広くカバーし、リリースの節目や重要なシステムには専門家による診断を使い分けると、取りこぼしを抑えられます。
Q. 無料の脆弱性スキャンツールはありますか？
A. OpenVASなど、無料で使えるオープンソースの脆弱性スキャンツールは存在します。ただし、対象範囲や検出の精度、日本語でのサポートの有無に差があり、設定や結果の読み解きに専門知識が必要になりがちです。まず自社で手を動かして理解したい段階には向きますが、継続的な運用や、誤検知の少なさ・サポートを重視する場合は、商用のクラウドサービスや専門家による診断サービスのほうが運用の負担を抑えられます。
Q. 脆弱性スキャンはどのくらいの頻度で実施すればよいですか？
A. 一律の決まりはありませんが、定期的に繰り返し実施し、システムの変更時や修正後にも再スキャンするのが基本です。クレジットカード情報を扱う事業者の場合、PCI DSSが認定スキャンベンダー（ASV）による外部脆弱性スキャンを少なくとも3か月に1回実施するよう求めており、ひとつの目安になります。
それ以外の事業者も、ソフトウェアの更新やシステム変更で新たな弱点が生まれるため、一定の間隔と変更のタイミングでスキャンを回す運用を、自社の基準として定めておくことが望まれます。
Q. 脆弱性スキャンはどのようなプロセスで進めますか？
A. 脆弱性スキャンは、点検対象の把握 → 既知の脆弱性との照合 → 深刻度の評価と優先順位付け → レポート → 修正 → 再スキャン、という流れで進みます。まずどの機器やソフトウェアが存在するかを洗い出し、CVEで識別される既知の弱点と照合して、CVSSなどの指標で深刻度を評価します。
結果をレポートにまとめて対応の優先順位を示し、修正したうえで再スキャンして解消を確かめる、という循環で運用するのが基本です。
Q. 脆弱性スキャンのツールはどう選べばよいですか？
A. スキャンできる対象が自社の環境に合っているか、誤検知が少なく優先順位を付けられるか、専門知識がなくても運用できサポートが受けられるか、の3点が主な判断軸です。守りたい対象がWebアプリ・ネットワーク機器・クラウド設定・ソースコードのどれかによって適したツールが変わるため、まず対象の適合から確認します。
社内に専任のセキュリティ担当者がいない場合は、設定から結果の読み解きまで支援してくれるかどうかが、継続して使えるかを分けます。
脆弱性スキャン・診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性スキャン・診断サービスの最新資料を無料で一括請求できます。対応するスキャンの対象や診断方式、料金、サポート体制を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
