自社で公開・運用しているWebサイトやWebアプリケーションに、攻撃者に突かれる弱点が残っていないか。個人情報の漏えいやサイト改ざんといった被害は、一度起きると信頼回復に多大なコストがかかります。とはいえ「どこに・何を・いくらで頼めばよいのか」の相場観がなく、対策に踏み出せない担当者は少なくありません。
Webサイトの弱点を攻撃される前に洗い出す手段が、外部の専門サービスに依頼するWebセキュリティ診断（Web脆弱性診断）です。ツールによる自動診断から専門家の手動診断まで方式はさまざまで、料金も月額数万円から1サイト百万円超まで幅があります。自社のサイト規模やリスクに見合う依頼先を選ぶには、診断でわかることと手法ごとの違いを押さえておく必要があります。
本記事では、Webセキュリティ診断で何がどこまでわかるのか、ツール診断・手動診断・ハイブリッドの違いと費用相場、自社に合う依頼先の選び方を整理したうえで、主要なWebセキュリティ診断サービスを診断手法・診断対象・料金・再診断・準拠規格の軸で比較・解説します。自社のWebサイトを守る依頼先を選ぶための検討材料としてご活用ください。
また、記事の後半には、自社に合うサービスを最短で見つけられる「30秒で終わる選定診断ツール」も用意しています。
目次
一括ダウンロードする
Webセキュリティ診断（Web脆弱性診断）とは
Webセキュリティ診断とは、Webサイトやアプリケーションに攻撃者が悪用できる脆弱性（セキュリティ上の欠陥）が残っていないかを、擬似的な攻撃や検査によって洗い出し、リスクの大きさと対策方法を報告するサービスです。Web脆弱性診断とも呼ばれ、専用ツールで自動的に検査する方式と、専門の技術者が手作業で検査する方式があります。
診断の対象は、公開中のWebサイトやWebアプリケーションの画面・入力フォーム・ログイン機能に加え、画面の裏側で動くAPIや、アプリケーションのソースコードまで広がります。攻撃を受けてから対処するのではなく、被害が発生する前に弱点をつぶすための予防的な取り組みです。
なぜWebサイト・Webアプリが攻撃対象になるのか
Webサイトやアプリケーションは、インターネットから誰でもアクセスできる「外から見える資産」です。会員情報や決済情報など価値の高いデータを扱うものが多く、攻撃者にとって侵入の入り口になりやすい対象といえます。
とりわけ、入力フォームやログイン機能の作り込みに不備があると、不正なデータを送り込まれてデータベースの情報を盗まれたり、利用者のブラウザ上で不正なスクリプトを実行されたりする恐れがあります。こうした欠陥は外見では判断できず、専門的な検査で初めて見つかるものが大半です。自社開発や外注開発を問わず、公開しているWebサービスには固有の弱点が潜んでいる可能性があります。
診断を実施すべきタイミング
Webセキュリティ診断を実施する場面は、大きく3つに整理できます。いずれも「公開前・変更時・外部からの要請時」という、リスクが新たに生じたり説明責任が発生したりするタイミングです。
- 新しいサイト・サービスのリリース前：公開してから弱点が見つかると被害に直結するため、公開前の診断で修正まで済ませておきます。
- 機能追加・改修を行ったとき、および定期的なタイミング：改修によって新たな弱点が生まれることがあり、新種の攻撃手法も次々と登場するため、年1回など定期的な診断でリスクを抑えます。
- 取引先・監査・法令対応で求められたとき：大手企業との取引開始時や、クレジットカード情報を扱う際の基準対応などで、第三者による診断結果の提出を求められる場面があります。
Webセキュリティ診断でわかること・主な検査項目
Webセキュリティ診断では、攻撃に悪用され得る脆弱性の有無と、その危険度、具体的な修正方法が報告されます。ここでは、診断で検出される代表的な脆弱性と、検査項目の基準になっている公的な指標を紹介します。
検出される代表的な脆弱性（SQLインジェクション・XSS など）
Webアプリケーションで特に問題になりやすいのが、入力値の扱いに起因する脆弱性です。代表的なものに、データベースへ不正な命令を送り込むSQLインジェクション、利用者のブラウザ上で不正なスクリプトを実行させるクロスサイトスクリプティング（XSS）があります。
このほか、本来アクセスできないデータや機能を操作できてしまうアクセス制御の不備、通信やパスワードの暗号化に関する不備、設定ミスによる情報漏えいなど、多岐にわたる観点が検査対象です。
検査項目の基準（OWASP Top 10・IPAのガイドライン）
多くの診断サービスは、国際的に参照される基準をもとに検査項目を設計しています。代表的なのが、Webアプリケーションの重大なセキュリティリスクをまとめた国際的な指標「OWASP Top 10」です。アクセス制御の不備やインジェクション（SQLインジェクション・クロスサイトスクリプティングを含む）など、優先して対処すべきリスクのカテゴリが整理されており、最新版は2025年版が公開されています。
国内では、独立行政法人情報処理推進機構（IPA）が公開する「安全なウェブサイトの作り方」が、Webアプリの脆弱性対策をまとめた公的なガイドとして広く参照されています。診断サービスを選ぶ際は、こうした公的・国際的な基準を踏まえた検査項目になっているかが、網羅性を見極める一つの手がかりになります。
出典・参考資料（2件）
Webセキュリティ診断の種類（ツール診断・手動診断・ハイブリッド・ソースコード診断）
ここからは、Webセキュリティ診断の主な方式について、それぞれの仕組みと向き不向きを解説します。大きく分けて、ツールによる自動診断、専門家による手動診断、両者を組み合わせたハイブリッド診断、ソースコードを対象とする委託型診断の4つがあり、どれを選ぶかで費用・診断の深さ・対応できる範囲が変わります。
ツール診断（自動スキャン）の仕組みとメリット・デメリット
ツール診断は、専用のスキャンツールがWebサイトを自動的に巡回し、既知の脆弱性のパターンに当てはまる箇所を検出する方式です。クラウド型（SaaS）で提供されるものが多く、画面上で対象を指定すれば短時間で診断が始まります。
メリットは、比較的低コストで、何度でも繰り返し実施しやすい点です。機能改修のたびに診断したい場合や、継続的にリスクを監視したい場合に向いています。一方で、自動ツールは決められたパターンに沿って検査するため、複雑な業務ロジックの欠陥や、画面遷移を伴う認証後の深い処理など、ツールだけでは見つけにくい脆弱性が残る点には注意が必要です。
手動診断（専門家による診断）の仕組みとメリット・デメリット
手動診断は、セキュリティの専門技術者が、攻撃者の視点でWebアプリケーションを操作しながら脆弱性を検査する方式です。ツールでは判断が難しい、業務ロジックの不備や認証・権限管理の抜け穴まで踏み込んで検査できます。
メリットは、検出の精度と深さが高く、誤検知を抑えた実態に即した報告が得られる点です。重要な情報を扱うサイトや、公開前にしっかり固めておきたいサービスに適しています。一方で、技術者の工数がかかるため費用は高めになり、診断にも一定の期間を要します。
ハイブリッド診断（ツール＋手動）の仕組みとメリット・デメリット
ハイブリッド診断は、ツールによる自動検査で網羅的に広く調べたうえで、専門家の手動検査で重要な箇所を深く確認する方式です。多くの専門ベンダーが標準的に採用しており、自動と手動の長所を組み合わせられます。
広い範囲を効率よくカバーしつつ、見逃しやすい深い欠陥も専門家が補える点がメリットです。費用はツール診断より高くなりますが、網羅性と精度のバランスを取りたい場合の有力な選択肢になります。
委託型のソースコード診断（ソースコードから検査する方式）
委託型のソースコード診断は、公開中の画面を外から検査するのではなく、アプリケーションのソースコードそのものを専門家に提供し、内部から脆弱性を洗い出す方式です。白箱診断とも呼ばれます。
稼働中のサイトを操作する診断では見つけにくい、コード内部に潜む欠陥まで検出できる一方、ソースコードを開示する必要があり、対応言語や診断の進め方は依頼先によって異なります。
4つの手法の違いと自社への選び分け
手法選びの基本は、サイトの重要度と診断の頻度です。更新が多く継続監視したいサイトや広く低コストで確認したい場合はツール診断、重要データを扱うサイトやリリース前に深く固めたい場合は手動診断・ハイブリッド診断、コード内部の欠陥まで見たい場合はソースコード診断が向きます。主な違いを以下に整理しました。
| 診断手法 | ツール診断（SaaS自動） | 手動診断（専門家） | ハイブリッド（ツール＋手動） | 委託型ソースコード診断（白箱） |
|---|---|---|---|---|
| 費用感 | 低〜中 | 高 | 中〜高 | 中〜高 |
| 検査の深さ | 標準（既知のパターン中心） | 深い（業務ロジックまで） | 広く深い | コード内部まで |
| スピード | 速い（最短即日〜数日） | 数日〜数週間 | 数日〜数週間 | 数日〜数週間 |
| 向くケース | 頻繁に更新するサイトの継続監視／広く低コストで確認したい | 重要データを扱うサイト／リリース前の作り込み | 網羅性と精度のバランスを取りたい | コードを提供して内部の欠陥まで検出したい |
多くの企業では、日常はツール診断で継続監視し、重要な改修時やリリース前に手動・ハイブリッド診断を組み合わせる使い分けが現実的です。具体的な選定の観点は、このあとの「選び方」で解説します。
Webセキュリティ診断の費用相場
Webセキュリティ診断の費用は、診断方式と対象の規模によって大きく変わります。ここでは、料金体系の違いと相場の目安を整理します。実際の金額は診断対象のページ数や機能の複雑さで変動するため、見積もりで確認するのが前提です。
診断方式ごとの費用レンジと、向いているケースは次のとおりです。
| 診断方式 | 費用レンジの目安 | 向いているケース |
|---|---|---|
| ツール診断（SaaS型） | 月額 数万〜十数万円／年間回数無制限型でも数十万円程度 | 繰り返し・定期的に診断したい。公開前後のチェックを内製したい |
| 手動診断・ハイブリッド | 1サイト 数十万円〜（規模・深さによっては100万円超） | 重要システムや複雑な画面遷移を、専門家に深く診てほしい |
| ソースコード診断（委託型） | 対象言語・コード規模に応じた個別見積り | 開発段階でコードレベルの弱点をつぶしたい |
ツール診断（SaaS型）の料金相場
クラウド型のツール診断は、月額制や年額制、1サイト単位の都度課金など、継続して使いやすい料金体系が中心です。月額制なら数万円から十数万円程度、年間の回数無制限型でも数十万円程度が目安になります。
繰り返し診断する前提なら、1回あたりのコストを抑えやすいのがツール診断の特徴です。
手動診断・ハイブリッド・ソースコード診断の料金相場
専門家が関与する手動診断・ハイブリッド診断は、1サイトあたり数十万円からが目安で、規模や深さによっては100万円を超えることもあります。画面数・機能数に応じた個別見積りが一般的です。
委託型のソースコード診断も、対象の言語やコードの規模に応じた個別見積りが中心です。各サービスの具体的な料金は、このあとの比較表で確認できます。
出典・参考資料（2件）
一括ダウンロードする
自社に合うWebセキュリティ診断サービスの選び方
ここからは、依頼先を選ぶときに確認したい4つの観点を解説します。自社のサイトの性質と、診断後にやりたいことを基準に当てはめて検討してください。
診断手法が自社のサイトに合っているか
まず、ツール診断・手動診断・ハイブリッドのどれが自社の目的に合うかを確認します。頻繁に更新するサイトを継続的に監視したいならツール診断、重要データを扱うサイトを深く検査したいなら手動・ハイブリッドが基本です。判断に迷う場合は、自動診断で広く確認し、重要な画面だけ手動で深掘りできるハイブリッド型を選ぶと、過不足を抑えやすくなります。
診断範囲の決め方と検査項目の網羅性（どこまで診断すれば十分か）
「どこまで診断すれば十分か」は、扱う情報の重要度と予算から逆算して決めます。個人情報や決済情報を扱う画面、ログイン後の機能など、被害が大きくなりやすい部分を優先的に診断範囲に含めるのが基本です。全ページを一度に診断すると費用がかさむため、重要度の高い画面から段階的に範囲を広げる考え方も有効です。
あわせて、検査項目がOWASP Top 10やIPAのガイドラインといった公的・国際的な基準を踏まえ、必要な脆弱性を網羅できているかを確認します。
診断範囲を考えるときに見落としやすいのが、画面の裏側で動くAPIです。APIには通常のWebアプリ診断では拾いにくい認可（アクセス権限）の欠陥が潜みやすく、専用のAPI脆弱性診断で確認すべき観点があります。自社がAPIを公開している場合は、診断範囲の抜け漏れを防ぐために以下の記事も確認しておくとよいでしょう。
再診断・対策フォローの有無
診断は「弱点を見つけて終わり」ではなく、見つかった脆弱性を修正し、修正が正しく効いているかを確認するまでが一区切りです。そのため、修正後の再診断に対応しているか、対応する場合は無償か有償か、期間の条件はどうかを確認しておくと安心です。報告書の内容について一定期間の問い合わせ対応が付くサービスもあり、社内に専門家がいない場合は、こうした対策フォローの手厚さが実務上の負担を大きく左右します。
準拠規格・公的基準で見る信頼性
依頼先の信頼性を客観的に確かめる手がかりとして、公的な基準や制度への適合があります。代表的なのが、経済産業省が策定した「情報セキュリティサービス基準」に適合するサービスをまとめた「情報セキュリティサービス基準適合サービスリスト」です。このリストにはWebセキュリティ診断に関わる「脆弱性診断サービス」分野が含まれており、審査登録機関の審査を経て適合が認められたサービスが登録されます。
IPAが一覧を公開していますが、適合の審査・判定自体はIPAではなく審査登録機関が行う制度です。
経済産業省が策定した「情報セキュリティサービス基準」に適合する情報セキュリティサービスの提供状況について調査を行い（中略）この審査・判定にIPAは何ら関与しておりません。
出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）
このほか、Webアプリのセキュリティ要件を体系化した国際標準「OWASP ASVS」（最新版は5.0）への準拠をうたうサービスもあります。また、クレジットカード情報を扱う事業者であれば、PCI DSSが求める外部スキャン（ASV：承認スキャンベンダーによる自動スキャン）に対応できるかも確認軸になります。
ASVスキャンはカード情報取扱い向けの自動的な外部スキャンで、手動診断の網羅性とは役割が異なる点を押さえておくとよいでしょう。
出典・参考資料（3件）
とくにクレジットカード情報を扱う事業者は、PCI DSSで四半期ごとに求められるASV（承認スキャンベンダー）による外部スキャンへの対応が検討課題になります。ASVスキャンが具体的に何を求め、手動診断とどう役割分担するのかは、以下の記事で詳しく解説しています。
ASVスキャンとは？PCI DSS要件11.3.2で四半期ごとに求められる外部脆弱性スキャンの実施ポイント
クレジットカード決済を扱う自社ECサイトを運用していると、監査法人や決済代行会社から「PCI DSSに準拠するために、四半期ごとにASVスキャンを実施してエビデンスを残してほしい」と依頼を受けることがあります。 ASVスキャンは、PCI S…
30秒でわかる、自社に合うWebセキュリティ診断サービス診断
ここまで選び方を解説してきましたが、自社がどのタイプのサービスに向いているか判断が難しいケースもあります。そのような場合でも、自社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
一括ダウンロードする
【比較表】Webセキュリティ診断サービスの比較
ここからは、主要なWebセキュリティ診断サービスを、診断手法・診断対象・料金・再診断の有無・準拠規格の軸で比較します。自社の目的に合う依頼先を絞り込む際の参考にしてください。
| サービス名 | Aikido Security | AeyeScan | Securify | VAddy | SCT SECURE クラウドスキャン | CoWorker 脆弱性診断 | Vex | GMOサイバーセキュリティ byイエラエ | Cloudbric脆弱性診断 | SQAT | サイバー保険付き脆弱性診断（NTTドコモソリューションズ） | GMO Flatt Security 脆弱性診断 | SST Webアプリケーション診断 | レイ・イージス 脆弱性診断・ペネトレーション | NTT-AT Webセキュリティ診断サービス | セキュリティ診断（NRIセキュア） | セキュリティ診断・TLPT（ラック） | 脆弱性診断サービス（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） | Webアプリケーション診断（Sky） | ペネトレーションテスト・レッドチーム演習（サイバーディフェンス研究所） | SHIFT SECURITY ソースコード診断 | セキュアブレイン ソースコード診断 | レオンテクノロジー ソースコード診断 | KSK Verification ソースコード診断 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 診断手法 | ツール（自動診断） | ツール（自動診断） | ツール（自動診断） | ツール（自動診断） | ツール（自動診断） | ハイブリッド（AI＋専門家） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | ハイブリッド（AI＋専門家） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） オーダーメイド診断 | 手動（専門家主体） | 手動（専門家主体） | 手動（専門家主体） | 手動（専門家主体） | 手動（専門家主体） | 手動（専門家主体） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | ハイブリッド（ツール＋手動） | 手動（専門家主体） |
| 診断対象 | Webアプリ ソースコード クラウド設定・コンテナ | Webアプリ・SPA API（オプション） Androidアプリ | Webアプリ・API （ASM・CSPM・SBOM） | Webアプリ API（REST） | Webアプリ ネットワーク機器 | Webアプリ・API ソースコード | Webアプリ・API SPA／Ajax | Webアプリ・スマホ クラウド・ネットワーク ペネトレ・レッドチーム | Webアプリ・API プラットフォーム・スマホ ペネトレ | Webアプリ・ネットワーク スマホ・IoT・クラウド ソースコード・ペネトレ | Webアプリ・スマホ ネットワーク・サーバ ペネトレ | Webアプリ・API SPA・GraphQL・LLM クラウド（ソースコード付帯） | Webアプリ・API （プラットフォーム・ペネトレは別メニュー） | Webアプリ・API プラットフォーム・モバイル ペネトレーション | 個人情報を扱うWebサイト （EC・会員サイト等） | Webアプリ・API プラットフォーム・クラウド ソースコード・ペネトレ ほか | Webアプリ・プラットフォーム クラウド・スマホ ペネトレ・TLPT | Webアプリ・ネットワーク スマホ・IoT／OT ペネトレ・TLPT | Webアプリ・プラットフォーム IoT・OT RedTeam／TLPT | Webアプリ （ペネトレはオプション） | Webアプリ・ネットワーク ICS・IoT機器 ペネトレ・レッドチーム | ソースコード | ソースコード | ソースコード | ソースコード |
| 料金 | 月額5万円台〜（年間契約） 無料トライアルあり | 要問い合わせ 無料トライアルあり | 月額5万円〜 無料トライアルあり | 月額19,800円〜（税別） 初期費用0円・無料トライアルあり | 要問い合わせ 無料トライアルあり | 15万円〜（ソースコード診断） 動的診断30万円〜 | ツール: 年額66万円〜 診断代行: 42.5万円〜 無料トライアルあり（14日） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 100万円〜（税別） | 基本40万円〜（税抜） 追加30万円／10リクエスト | ツール診断28万円〜 手動診断138万円〜 ペネトレ148万円〜（公式要確認） | 528,000円〜（税込） 診断範囲により個別見積り | 要問い合わせ ペネトレ800万円〜（税別） | ペネトレ700万〜1,000万円（税抜） TLPT 1,000万円程度〜 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 再診断・対策フォロー | 継続スキャン可 自動修正（プルリク）提案 | 回数無制限で継続診断可 | 回数無制限で継続診断可 | 回数無制限で継続診断可 | 毎日自動診断で継続監視 | 再診断あり （プランにより1〜2回） | 診断代行は再診断を選択可 （ツールは継続利用） | 要問い合わせ | 要問い合わせ | 診断後3か月まで再診断可 | 無償再診断あり（3か月以内） サイバー保険付帯 | 要問い合わせ | 再診断 無償（1案件1回） QAサポート無償 | 無料再診断あり （Web診断3か月／ペネトレ1年） | 無料再診断あり（条件付き） ※危険度High・一部プラン・報告会後3か月以内 報告書問い合わせ3か月無料 | 対策状況の確認あり （AI Red Teamは再診断1回無償） | 納品後1か月サポート （報告会あり） | 報告会・質疑応答対応 （再診断は要問い合わせ） | 要問い合わせ | 要問い合わせ | 診断中の速報・報告書提供 （再診断は要問い合わせ） | 要問い合わせ | フォローアップ診断あり（オプション） | 再診断・改修フォローあり | 要問い合わせ （報告会はオプション） |
| 準拠規格・第三者基準 | ISO 27001・SOC 2取得を支援 （提供元が両認証を取得） | OWASP Top10・IPA・ASVS ISO 27001／27017取得 | 情報セキュリティサービス基準適合 （SSSマーク 020-0025-20） | OWASP Top10・IPA ISMS・Pマーク取得 | PCI DSS ASV水準の診断エンジン 情報セキュリティサービス基準適合 | 公式に明示なし | OWASP Top10・PCI DSS・ASVS 経産省基準適合・ASV認定 | 情報セキュリティサービス基準適合 （019-0004-60）・ISO 27001 | 情報セキュリティサービス基準適合 （021-0017-20、委託先ranryu名義） | PCI DSS各種アセッサー認定 ISMS・Pマーク取得 | OWASP ASVS・IPA準拠 経産省基準適合 | OWASP Top10・ASVS 経産省基準適合 | 公式に明示なし | OWASP WSTG 4.2 に基づく （認証は要確認） | 公式に明示なし | ISO 27001取得 CREST認定（ペネトレ） | ISO 27001取得 （経産省基準適合は要確認） | ISO 27001・ISO 9001取得 JVNへ脆弱性報告200件超 | ISMS取得 経産省SCS評価制度に対応 | 会社としてISO 27001取得 （診断範囲は要確認） | 情報セキュリティサービス基準適合 （018-0006-60、ペネトレ） | ISO認証3種（ISMS・PIMS・QMS） （保有主体は要確認） | 公式に明示なし | 情報セキュリティサービス基準適合 ISMS・PCI DSS QSA | 会社としてISO 27001取得 （診断の準拠基準は明示なし） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト | 公式サイト | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※「要問い合わせ」の手動・ハイブリッド診断は、1サイトあたり数十万円〜（規模・深さにより100万円超）が目安です。正確な金額は診断範囲により各社の見積りでご確認ください。
Webセキュリティ診断サービスの個別紹介
ここからは、各サービスの特徴・診断対象・料金・サポート体制を、診断手法のタイプ別に紹介します。自社に合いそうな手法のグループから読み進めてください。
ツール型（SaaS自動診断）のサービス
専用ツールでWebアプリやAPIを自動的に巡回し、繰り返し診断しやすいタイプです。継続的にリスクを監視したい場合や、コストを抑えて広く確認したい場合に向いています。
1. Aikido Security（Aikido Security BV）
ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリ（DAST）を1つの管理画面でまとめて検査できるSaaS型の脆弱性診断ツールです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売・問い合わせ窓口となり、日本語での導入・運用サポートを担います。
料金はスポット課金ではなく月額（年間契約）のサブスクリプション型で、株式会社AndGoの案内では利用者10人まで・年間契約で月額5万円台から利用できます。無料のDeveloperプランも用意されており、本契約の前に試せます。
自社サービスを内製開発するSaaS事業者やスタートアップを主な対象とし、Slack・Teams・Jira・AWSなどへの通知・連携に対応します。人手によるペネトレーションテストは、AndGoが別サービスとして案内しています。
複数の単機能ツールを並行して使う場合との違いについて、提供元である株式会社AndGoの原氏は、診断の現場で聞く運用上の悩みを次のように挙げています。
当社がよくお聞きするのは、「アラートが多すぎて、何が重要か分からなくなって放置が始まる」という悩みです。Aikido Securityは、バラバラだったアラートを統一し、対応すべきアラートを絞れるようにします。結果として、消し込み工数を減少でき、セキュリティ運用を”手に負える状態”に寄せていけます。
2. AeyeScan（株式会社エーアイセキュリティラボ）
ブラウザからログインして使うクラウド型（SaaS）のWebアプリケーション脆弱性診断ツールで、株式会社エーアイセキュリティラボが開発・提供しています。AIが利用者の操作に近い形でサイト内を自動で巡回し、診断シナリオの生成や画面遷移図の作成までを自動化する点が特徴です。
診断対象はWebアプリケーションやSPAで、API（オプション）やAndroidアプリにも対応します。検査項目はOWASP Top 10、IPA「安全なウェブサイトの作り方」、ASVS 5.0といった公的・国際的なガイドラインを踏まえて設計されています。
料金は用途やサイト数に応じた個別見積もりで、1〜2サイトで試せる無料トライアルが用意されています。公式サイトでは有償契約500社以上への導入が示されており（2026年10月時点）、ISO/IEC 27001・ISO/IEC 27017を取得しています。
3. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供する、ASM（攻撃対象領域管理）と脆弱性診断を同じサービス内で扱えるクラウド型（SaaS）の診断プラットフォームです。Webアプリケーション・APIを対象に、画面遷移の巡回・疑似攻撃の送信・応答の検証を自動で実行します。
診断の実施日時や頻度をスケジュール指定できるほか、API経由での診断実行に対応し、CI/CDパイプラインへ組み込んだ継続的な診断も可能です。ログイン後の画面やSPAも診断対象に含められます。
脆弱性診断は検査対象（IP/FQDN）数に応じたプラン制で、STARTERは月額5万円（年間60万円）・診断回数の制限なし、BASICは月額10万円〜です。最短即日で使える無料トライアルも用意されています。
4. VAddy（株式会社ビットフォレスト）
開発パイプラインに組み込んで継続的に脆弱性スキャンを回せる、クラウド型のWebアプリケーション脆弱性診断ツールです。株式会社ビットフォレストが提供し、WebAPI・コマンドラインツール・cronと連携して、リリース前や夜間に自動でスキャンを実行できます。
診断方式はDAST（動的テスト）で、WebアプリケーションのほかREST API／JSON形式のAPIサーバーも検査できます。自動ログインによる認証後画面のスキャンに対応しますが、多要素認証やCAPTCHAが有効な画面は原則として対象外です。
初期費用は0円、月額19,800円（税別）からでスキャン回数は無制限です。プランはProfessional（5項目）・Enterprise（11項目）・Advanced（18項目）の3段階で、1週間の無料トライアルから試せます。
5. SCT SECURE クラウドスキャン（三和コムテック株式会社）
専用ソフトのインストールや機器設置を必要とせず、対象のWebサイトとネットワーク機器を毎日自動で診断するクラウド型のサービスです。提供元は三和コムテック株式会社で、Webサイト（Webアプリケーション層）とルーター・ファイアウォール・DNSなどのネットワーク機器（プラットフォーム層）を1つのサービスで検査できる点が特徴です。
診断エンジンには2024年2月よりOutpost24社製を採用し、PCI DSSで規定される外部脆弱性診断と同じ内容のテストを実施すると公式に説明しています。脆弱性なしと判定されたサイトには、診断日付入りの安全証明マークを配信します。
料金は公式サイトで非公開のため、資料請求での確認が前提です。1社1ドメイン限定の無料トライアル（簡易検査）が用意されています。2004年のサービス開始以降の累計で300社以上・診断1,500万回以上の実績があり（2024年2月時点）、ISO/IEC 27001の取得とIPA「情報セキュリティサービス基準適合サービスリスト」への登録（登録番号019-0042-60）があります。
ツールと専門家の手動診断を組み合わせたハイブリッド型のサービス
自動診断で広く検査したうえで、専門家が重要な箇所を手動で深く確認するタイプです。網羅性と精度のバランスを取りたい場合の有力な選択肢になります。
6. CoWorker 脆弱性診断サービス（CoWorker株式会社）
システム開発やITコンサルティングを手がけるCoWorker株式会社が、自社開発のAI「Red Agent」による自動解析と社内セキュリティ専門家の最終確認を組み合わせて提供する脆弱性診断サービスです。
診断メニューは、ソースコードや設計書をAIが解析するソースコードAI診断、稼働中のWebアプリケーション・APIを攻撃者視点で検査する動的脆弱性診断、実際の攻撃を想定した実践攻撃シミュレーション診断（ペネトレーションテスト）の3種類です。ソースコードAI診断は本番環境に影響を与えずに実施できます。
料金はソースコード診断が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webペネトレーションテストが60万円からで、診断開始から最短3営業日で報告書を納品します。
AIによる自動解析の精度をどう担保しているのかについて、CoWorker株式会社の一ノ瀬氏は、AIと専門家の役割分担を次のように説明しています。
精度については、ハルシネーションが心配だというお声もいただきますが、ハルシネーションを完全に防ぐとAIの強みが損なわれてしまいますので、そこは防ぎきることはしていません。その代わり、ハルシネーションが起きた可能性がある箇所については明確に示すようにしていて、最終的に人の目で見て正しいかどうかを承認するフローを取っています。
7. Vex（脆弱性検査ツール）（株式会社ユービーセキュア）
株式会社ユービーセキュアが2007年から開発を続ける、Webアプリケーションを主な対象とする脆弱性検査ツールです。対象URLに外部から疑似攻撃リクエストを送り、レスポンスを解析して脆弱性を検出するDAST方式を基盤とします。
ログイン後や複数ステップの画面遷移を再現するシナリオスキャン、OpenAPI／Swagger定義を読み込むAPI診断に対応し、レポートはOWASP Top 10・PCI DSS・ASVSに沿って自動生成されます。自社で運用するライセンスのほか、同社の診断士による手動診断と組み合わせた診断代行も選べます。
ツールのライセンスは年額制で、小規模向けのVex Teamが66万円から、エンタープライズ向けのVex Enterpriseが300万円からです。14日間・機能制限なしの無料トライアルがあり、診断代行は5画面程度で425,000円（税込467,500円）からの個別見積りとなります。
8. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
GMOインターネットグループのGMOサイバーセキュリティ byイエラエ株式会社が提供する、脆弱性診断からペネトレーションテストまでを扱うサービス群です。Webアプリケーション診断をはじめ、スマートフォンアプリ・クラウド・ネットワークなど対象ごとにメニューが分かれています。
Webアプリケーション診断はOWASP Top 10やASVSなどの国際的な基準に対応し、ペネトレーションテスト区分には、組織全体を対象に実際の攻撃者と同じ条件で侵入を試みるレッドチーム演習も含まれます。
経済産業省の情報セキュリティサービス基準に適合し（登録番号019-0004-60）、会社としてISO/IEC 27001などを取得しています。同社全体の累計診断数は16,000件を超えるとされ、料金は診断対象に応じた個別見積りです。
9. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
クラウド型WAFなどで知られるペンタセキュリティ株式会社が、Cloudbricブランドで提供するセキュリティ診断サービスです。技術者が手動で診断し、同社が独自に収集した脅威インテリジェンスに基づく項目で検査します。
Webサイト・Webアプリケーション・API・プラットフォーム・スマートフォンアプリ・ペネトレーションテストの6メニューがあり、API診断などでは自動ツールによるスキャンと手動診断を組み合わせます。診断後はCloudbric WAF+といった対策の提案まで支援します。
診断の実施は株式会社ranryuに委託され、同社名義で情報セキュリティサービス基準適合サービスリストに登録されています（登録番号021-0017-20、ペネトレーションテストは対象外）。料金は要問い合わせで、公式サイトからの見積りで確認します。
10. SQAT（株式会社ブロードバンドセキュリティ）
2000年創業のセキュリティ専業企業、株式会社ブロードバンドセキュリティ（BBSec）が提供する脆弱性診断ブランドがSQAT（エスキュート）です。専門家による手動診断と独自開発の自動診断を組み合わせて実施します。
Webアプリケーション診断を中心に、ネットワーク・スマートフォンアプリ・IoT・ソースコード・ペネトレーションテストまでのメニューをそろえます。報告書を最短7営業日で提出する短納期メニュー「SQAT with Swift Delivery」もあり、優先度の高い箇所に絞って短期間で診断できます。
延べ10,300組織・64,280システムを超える診断実績があり（2025年6月時点）、診断終了後3か月までは再診断に対応します。料金は診断対象の規模に応じた個別見積りです。
11. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
NTTドコモソリューションズ株式会社（旧NTTコムウェア）がDSCBブランドで提供する脆弱性診断サービスです。ネットワーク・サーバ構成・Webアプリケーション・スマートフォンアプリ・ペネトレーションテストの5メニューを、ツールと専門家の手動検査を併用して実施します（Webアプリのライト版はツール診断のみ）。
IPAの「ウェブ健康診断仕様」やOWASP ASVSに準拠し、ネットワーク診断とWebアプリ診断（スタンダード版）では報告書提出後3か月以内に最大3回まで無料で再診断を受けられます。経済産業省の情報セキュリティサービス基準にも適合しています。
特徴は、全メニュー合計の契約金額が税抜80万円以上の場合に、サイバー保険が無償で自動付帯する点です。支払限度額は診断契約日から1年間で1,000万円、保険のみの単体加入はできません。料金は診断対象をヒアリングのうえ個別見積りとなります。
12. Webアプリケーション診断（GMO Flatt Security株式会社）
GMO Flatt Security株式会社が提供する、ブラウザで利用するWebアプリケーション向けの脆弱性診断です。専門のセキュリティエンジニアが、グレーボックスまたはブラックボックス形式で診断します。
標準の診断には、ソースコードを部分的に確認するソースコード診断が追加料金なしで付きます。API・SPA・GraphQL・LLM・クラウド・Passkey認証など対象ごとに個別メニューが用意され、OWASP Top 10に加えてビジネスロジックの脆弱性まで診断範囲に含みます。
料金は100万円（税別）からで、予算内で深刻度が高いと見込まれる箇所を優先して診断します。見積りは無料で、URLと認証情報の提出から最短7営業日で報告書を納品し、サンプル報告書も無料でダウンロードできます。
13. Webアプリケーション診断（株式会社セキュアスカイ・テクノロジー）
Webアプリケーションのセキュリティに特化した株式会社セキュアスカイ・テクノロジー（SST）が提供する脆弱性診断です。自社開発の診断ツールと診断員の手動診断を併用し、認証・承認まわりなどツールで検出しにくい脆弱性は手動で確認します。
診断はリモートで実施し、Webアプリケーションに加えてAPI診断（5APIを1単位）に対応、GraphQL・WebSocketはオプションです。料金は基本料金40万円（税抜）から（10リクエストまたは5API、報告書作成込み）で、追加診断は30万円単位です。
改修後の再診断は1案件につき1回無償で、メールに加えSlackやMicrosoft Teamsで受け付けるQAサポートも無償です。診断中に危険度Medium以上の脆弱性が見つかった場合は、都度速報を提出します。
14. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）
台湾発のセキュリティベンダーを母体とする株式会社レイ・イージス・ジャパンが提供する脆弱性診断・ペネトレーションテストです。AIを搭載した探査ツールと診断エンジニアの手動診断を組み合わせ、Webアプリケーション・プラットフォーム・モバイルアプリ・APIを対象とします。
診断項目はOWASP WSTG 4.2に基づき、自動と手動を組み合わせるAIリモート脆弱性診断では最大105項目、ツール中心のAIクイック・ツール診断では最大57項目を検査します。後者もエンジニアが結果を確認して誤検知を除外します。
料金はFQDN単位の定額制で、ページ数が多いサイトでも料金が増えない設計です。Webの脆弱性診断には3カ月以内の再診断が付き、ペネトレーションテストは初回報告書作成後1年間の再診断に対応します。具体的な金額は公式サイトからの見積りで確認します。
15. Webセキュリティ診断サービス（NTTアドバンステクノロジ株式会社）
NTTアドバンステクノロジ（NTT-AT）が提供する、診断ツールと専門家の手作業確認を組み合わせて検査するサービスです。診断メニューや手法を顧客の環境に合わせて組み立てるオーダーメイド型で、個人情報を扱うECサイトや会員向けサイトなどを主な対象としています。
診断中に危険度の高い脆弱性が見つかった場合は、報告会を待たず速報で連絡します。対策後の再診断は無料ですが、危険度Highの脆弱性が対象で一部プランのみ、報告会から3か月以内という条件があります。報告書の内容については3か月間、無料で問い合わせに対応します。
料金は528,000円（税込）からで、診断範囲に応じて個別に見積もられます。
専門家による手動診断を主体とするサービス
熟練の技術者が攻撃者の視点で深く検査するタイプです。重要なデータを扱うサイトや、精度・深さを重視したい場合に適しています。
16. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
野村総合研究所（NRI）を単一株主とするセキュリティ専業会社、NRIセキュアテクノロジーズが手がけるセキュリティ診断です。Webアプリケーション診断を中心に、プラットフォーム・スマホアプリ・API・クラウド設定・ソースコードまで幅広い診断対象を一社でカバーします。
Webアプリケーション診断には、専門家の手作業だけで実施するプロフェッショナル方式と、手作業にツール診断を併用するハイブリッド方式の2つがあります。診断はSANSのトレーニング修了者やCISSP・OSCPなどの資格を持つ技術者が担当し、金融機関や東証一部上場企業を中心としたサイトでの実績を公式サイトで挙げています。
Webアプリケーション診断の料金は個別見積もりで、ペネトレーションテストは800万円〜（税別）が公式に示されています。報告書には推奨対策に加え、過去の診断実績と比較した評価（ランキング）が付き、診断実施から1ヶ月以内に対策状況の確認も行われます。
17. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
1995年から診断サービスを提供する株式会社ラックのセキュリティ診断サービス群です。公式ページでは、弱点を網羅的に洗い出す脆弱性診断と、攻撃者の視点で実際の影響を確認するペネトレーションテストを分けて説明しています。
Webアプリケーション診断は、簡易な「エクスプレス」から専門家の手動を組み合わせる「ハイブリッド」まで段階的なメニューを用意し、プラットフォーム・クラウド/SaaS設定・スマホアプリなども診断対象に含みます。診断に加え、JSOC（セキュリティ監視センター）による監視やサイバー救急センターのインシデント対応までを同じベンダーで組み合わせられる点が特徴です。
料金はWebアプリケーション診断が個別見積もり、情報システムペネトレーションテストが標準のマルウェア感染シナリオで700万〜1,000万円（税抜）です。攻撃側と防御側の両方の知見を持つ依頼先を探している場合の選択肢になります。
18. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
Webアプリケーション診断を2001年から手がける、三井物産セキュアディレクション株式会社（MBSD）の脆弱性診断サービスです。三井物産が100%出資するサイバーセキュリティ専門企業で、セキュリティエンジニアが攻撃者の視点で脆弱性を診断・評価します。
診断は専門家による手動診断を主体とし、網羅性を担保するために独自の補助ツールや商用ツールを組み合わせます。Webアプリケーション診断のほか、ネットワーク診断、スマホアプリ診断、ペネトレーションテスト、IoT診断などをそろえています。
脆弱性診断の累計実績は8,000件以上（2017年4月〜2024年3月）で、うちWebアプリケーション診断は4,300サイト以上にのぼります。JVN（脆弱性情報データベース）へ新規脆弱性を累計200件以上報告しており、公共・政府機関向けの実績も過去5年間で70件以上あります。料金は診断範囲に応じた個別見積もりです。
19. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTグループのサイバーセキュリティ専業会社、エヌ・ティ・ティ・セキュリティ・ジャパン株式会社が提供するセキュリティ診断サービスです。親会社NTTセキュリティホールディングスの100%子会社で、ISMS認証を取得しています。
「セキュリティ診断・評価・調査」は、脆弱性診断・アセスメント・RedTeam・感染端末調査の区分で構成されます。Webアプリケーション／プラットフォームの脆弱性診断では、専門家が複数のツールを組み合わせて網羅的に診断し、QualysやTenableを使って顧客自身が継続的に把握するセルフ診断も選べます。
攻撃者の視点で人・プロセス・技術の耐性を評価するRedTeam/TLPTや、経済産業省の評価基準に基づくSCS評価制度アセスメントも提供しています。料金は全メニュー非公開で、診断範囲・規模に応じた個別見積もりです。Webアプリ診断に加え、サプライチェーンの評価や攻撃耐性の検証まで一社にまとめて相談したい場合に適しています。
20. Webアプリケーション診断サービス（Sky株式会社）
IT資産管理ソフト「SKYSEA Client View」で知られるSky株式会社が、2022年に開始したセキュリティ診断ソリューションの一つです。セキュリティエンジニアがリモートで顧客のWebアプリケーションを診断します。
SQLインジェクションやクロスサイトスクリプティングなどを162項目をベースに横断的に検査し、検出した脆弱性をCRITICALからINFOまでの5段階に分類して報告します。高リスクの脆弱性を検出した際はメールで速報します。
報告書には開発者向けの再現手法と対処方法のアドバイスが記載され、最短5〜6営業日で報告します。重要なインシデントが想定される箇所には、オプションでペネトレーションテストを実施できます。
21. ペネトレーションテスト・レッドチーム演習（株式会社サイバーディフェンス研究所）
2008年に伊藤忠商事の社内セキュリティ研究組織が分社化して設立された、株式会社サイバーディフェンス研究所が提供する診断サービスです。手動を主体とするペネトレーションテストとレッドチーム演習を専門とし、「人が引き起こす脅威に対抗できるのは人だけ（Only Humans Can Counter Human-Driven Threats）」を理念に掲げています。
経験豊富なエンジニアが手作業で侵入を試み、侵入後の横展開（ドミノエフェクト）まで検証します。提供メニューはネットワークペネトレーションテスト、Webアプリケーション脆弱性診断、制御システム（ICS）ペネトレーションテスト、組み込み機器・IoT診断、レッドチーム演習に分かれ、OSCPやOSCEなどの高度資格を持つエンジニアが担当します。
ネットワークペネトレーションテストは、情報セキュリティサービス基準（JASAの審査）に適合登録されています（登録番号018-0006-60）。料金は対象の仕様・規模に応じた個別見積もりで、公開価格は提示していません。ツールに頼らない手動の技術力を重視する企業向けです。
委託型のソースコード診断（ソースコードから脆弱性を検出）
公開中の画面だけでなく、アプリケーションのソースコードそのものを専門家が検査し、内部構造に潜む脆弱性を洗い出すタイプです。稼働中のサイトを外から調べる診断では見つけにくい欠陥を補えます。
ソースコード診断は、委託型・ツール提供型といった依頼方式や料金体系がサービスごとに異なり、稼働中サイトを外から調べるWeb診断とは選び方のポイントも変わります。費用相場と依頼先の選び方をタイプ別に整理した以下の記事も参考にしてください。
ソースコード診断とは？費用相場と依頼先の選び方をタイプ別に整理
自社のWebアプリやスマホアプリを提供する立場で、上司や取引先から「ソースコード診断もやっておくべきだ」と要請を受けたり、既に実施している脆弱性診断（動的診断）だけで十分か不安を感じたりする場面が増えています。 一方で「ソースコード診断」と…
22. SHIFT SECURITY ソースコード診断（株式会社SHIFT（旧SHIFT SECURITY））
脆弱性診断を専門に手がけてきた旧SHIFT SECURITYが提供するソースコード診断で、同社は2026年9月に親会社の株式会社SHIFTへ統合されました。提供したソースコードを静的解析で検査し、コードの内部に潜む脆弱性を洗い出す委託型のサービスです。
診断は対象アプリの規模と対応言語に応じて4つのプランに分かれ、PHP・Javaを基本に、上位プランでは最大28言語に対応します。最上位プランでは静的解析に加えて、専門家による目視解析・構成解析を組み合わせます。
料金は対象アプリの規模に応じた個別見積りで、金額は公開されていません。診断の対象範囲や納期は、問い合わせで確認する形になります。
23. セキュアブレイン ソースコード診断（株式会社日立システムズ（旧セキュアブレイン））
Webサーバーの環境を用意せず、ソースコードを提供するだけで診断を受けられるのが、このソースコード診断です。旧セキュアブレインのサービスで、現在は株式会社日立システムズが「セキュアブレイン」ブランドとして提供しています。
SQLインジェクションやクロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）など9種類の観点を検査し、ツールによる自動解析の結果を専門のアナリストが手動で精査します。検出した脆弱性はファイル名・行番号単位で報告されるため、修正箇所を特定しやすくなっています。
対応言語はJava・C#・Python・PHPなど20以上に及びます。是正後に修正状況を確認するフォローアップ診断や報告会をオプションで用意し、料金はソースコードのステップ数（行数）に応じた見積り制です。
24. レオンテクノロジー ソースコード診断（株式会社レオンテクノロジー）
提供されたソースコードを診断ツールと専門スタッフの目視でチェックし、ツールが検出した脆弱性を一つずつ確認していくのが、株式会社レオンテクノロジーのソースコード診断です。ツールのみの診断で起こりやすい誤検知を抑える狙いがあります。
SQLインジェクションやクロスサイトスクリプティングといったインジェクション系に加え、認証・認可制御・セッション管理・情報漏えいなどを検査対象とし、Java・C/C++・PHP・Rubyほか各種フレームワークに対応します。開発途中のコードを部分的に診断することもできます。
報告書は診断完了後、約5営業日以内に提出され、重大な脆弱性は診断中に速報で通知されます。報告会の後には再診断と改修方法のフォローにも対応します。
25. KSK Verification ソースコード診断（株式会社KSK）
1974年設立でソフトウェアテスト事業を展開する株式会社KSKが、セキュリティ対策サービスの一つとして提供するソースコード診断です。提供されたソースコードを診断員が目視で検査し、コードに潜む脆弱性を検出します。
脆弱性の検出に加えて、非推奨APIの利用や未使用関数といったコード品質の観点まで評価します。対応言語はJava・PHPで、Spring Framework・Laravelなどのフレームワークにも対応します。
同社はWebアプリケーション診断（動的診断）も提供しており、静的診断と組み合わせて同じ窓口に依頼できます。料金は実際のステップ数や言語・期間に応じた見積り制で、危険度の高い脆弱性の速報や報告会をオプションで利用できます。
Webセキュリティ診断の進め方（申し込み〜診断〜報告書〜再診断）
依頼先を選んだあとの流れを把握しておくと、社内の準備やスケジュールを立てやすくなります。サービスによって細部は異なりますが、おおむね次のように進みます。
- 問い合わせ・見積もり：診断対象のURLや画面数、機能の内容を伝え、範囲とプラン・費用を決めます。
- 診断の実施：ツール診断なら短期間、手動・ハイブリッド診断では数週間程度をかけて検査します。
- 報告書の受領：検出された脆弱性と危険度、推奨される対策方法がまとめられます。報告会を実施するサービスもあります。
- 修正と再診断：報告をもとに脆弱性を修正し、再診断で対策が正しく効いているかを確認します。
報告書でわかること・監査や取引先説明での使い方
報告書には、見つかった脆弱性の一覧と、それぞれの危険度（リスクの大きさ）、再現手順、推奨される修正方法が記載されます。どこに・どの程度のリスクがあり、何を優先して直すべきかが整理されるため、社内での対策の意思決定に使えます。あわせて、第三者による診断を実施した証跡として、取引先への説明や監査対応、社内の稟議の根拠資料としても活用できます。
まとめ
Webセキュリティ診断は、自社のWebサイト・Webアプリの弱点を攻撃される前に洗い出すための予防策です。手軽に繰り返せるツール診断、深く検査する手動診断、両者を組み合わせたハイブリッド、そしてソースコードから検出する委託型診断があり、サイトの重要度・更新頻度・予算に応じて選び分けるのが基本です。
依頼先を選ぶ際は、診断手法が自社に合うか、診断範囲と検査項目の網羅性、再診断・対策フォローの有無、公的基準への適合といった信頼性を軸に比較するとよいでしょう。各サービスの資料を取り寄せ、診断範囲と費用の見積もりを並べて検討することをおすすめします。
また、Webサイト・Webアプリに限らず、ネットワークやサーバー、クラウドなども含めて脆弱性診断サービス全体を広く見比べたい場合は、カテゴリ全体を対象にした以下の比較記事も参考になります。
一括ダウンロードする
よくある質問（FAQ）
Q. Webセキュリティ診断とは何ですか？
A. Webセキュリティ診断とは、Webサイトやアプリケーションに攻撃者が悪用できる脆弱性が残っていないかを擬似的な攻撃や検査で洗い出し、危険度と対策方法を報告するサービスです。Web脆弱性診断とも呼ばれ、専用ツールで自動的に検査する方式と、専門の技術者が手作業で検査する方式があります。攻撃を受けてから対処するのではなく、被害が発生する前に弱点をつぶすための予防的な取り組みです。
Q. Webセキュリティ診断の料金は何で決まりますか？ページ数が多いと高くなりますか？
A. Webセキュリティ診断の料金は、診断方式（ツール診断か手動・ハイブリッドか）と、診断対象の規模・複雑さによって決まります。ツール診断は月額制・年額制やURL単位の都度課金が中心で、手動・ハイブリッド診断は診断する画面数や機能の数が増えるほど費用も上がる個別見積りが一般的です。
一方で、サイトのページ数が多くてもFQDN（ドメイン）単位の定額で料金が変わらないサービスもあるため、料金体系は依頼先ごとに確認する必要があります。
Q. Webセキュリティ診断は無料のツールだけで済ませることはできますか？
A. Webセキュリティ診断には無料・オープンソースのツールも存在しますが、無料ツールだけで十分な診断を済ませるのは難しいのが実情です。無料ツールは導入や検出結果の解釈に専門知識が求められ、検出できる脆弱性の範囲や精度に限界があります。
とりわけ業務ロジックの欠陥など、専門家の手動診断でしか見つけにくい弱点はカバーできません。重要なデータを扱うサイトや、取引先・監査に提出する診断では、有償の専門サービスを利用するのが安全です。
Q. Webセキュリティ診断は法律で義務づけられていますか？
A. Webセキュリティ診断は、すべての企業に一律で課される法的義務ではありませんが、取引や制度への対応で実質的に必要になる場面があります。たとえばクレジットカード情報を扱う事業者が対応すべきPCI DSSでは外部スキャンが求められ、大手企業との取引開始時や監査の際に、第三者による診断結果の提出を求められることもあります。
義務の有無にかかわらず、個人情報や決済情報を扱うサイトでは予防策として実施するのが一般的です。
Q. Webセキュリティ診断は会員制サイトや公開前の開発環境のサイトでも実施できますか？
A. 会員制サイトやログイン後の画面、公開前の開発・ステージング環境のWebサイトも、多くのサービスで診断できます。ログイン情報を伝えて認証後の画面を検査したり、アクセス制限のあるサイトでは診断元のIPアドレスを許可するなどの事前調整で対応します。ただし、多要素認証やCAPTCHAが有効な画面は対象外になるツールもあるため、診断したい範囲を事前に伝え、対応の可否を確認しておくとよいでしょう。
Q. Webセキュリティ診断は稼働中の本番サイトに負荷や影響を与えませんか？
A. Webセキュリティ診断は擬似的な攻撃リクエストを送るため一定の通信が発生しますが、多くのサービスは本番サイトへの影響を抑える形で実施でき、通常の運用で問題になることはほとんどありません。アクセスの少ない時間帯を選んだり、負荷の高い検査を調整したりといった配慮が一般的です。
それでも影響を避けたい場合は、本番と同じ構成の検証環境で診断する方法や、ソースコードを提供して本番環境に触れずに検査する診断方式を選ぶこともできます。
Q. Webセキュリティ診断の結果が出るまで、どれくらいの期間がかかりますか？
A. Webセキュリティ診断の所要期間は方式によって異なり、ツール診断なら最短即日〜数日、専門家による手動・ハイブリッド診断では数日〜数週間程度が目安です。手動診断でも、対象を重要な画面に絞った短納期メニューを用意し、最短3〜7営業日で報告書を提出するサービスもあります。リリース前など期限がある場合は、申し込み時に希望の納期を伝えてスケジュールを調整しましょう。
Q. セキュリティの専門知識を持つ担当者が社内にいなくても、Webセキュリティ診断を依頼できますか？
A. 社内にセキュリティの専門家がいなくても、Webセキュリティ診断は依頼できます。診断自体は依頼先の専門家が実施し、報告書には検出された脆弱性ごとに危険度と具体的な修正方法が記載されるため、対策の進め方を把握できます。
報告書の内容についてメールやチャットで質問できるQAサポートや報告会を用意しているサービスもあり、社内に専門家がいない場合は、こうした対策フォローの手厚さを選ぶ際の判断材料にするとよいでしょう。
Q. Webセキュリティ診断で脆弱性が見つかった場合、修正まで依頼先が対応してくれますか？
A. Webセキュリティ診断は弱点の指摘と修正方法の提示が基本で、実際の改修は自社や開発会社が行うのが一般的です。ただし、修正後に対策が正しく効いているかを確かめる再診断や、改修方法のアドバイス、WAFなどの対策製品の提案まで支援してくれるサービスもあります。診断しっぱなしを避けたい場合は、再診断の有無や条件、対策フォローの範囲を事前に確認しておくと安心です。
Q. Webセキュリティ診断は、どれくらいの頻度で受けるのが目安ですか？
A. Webセキュリティ診断の頻度に明確な決まりはありませんが、年1回程度の定期診断に加えて、機能追加・改修時や新しいサービスのリリース前に実施するのが目安です。改修によって新たな弱点が生まれることがあり、新種の攻撃手法も次々と登場するためです。更新が多いサイトでは、継続的に回せるツール診断で日常的に監視し、重要な改修時やリリース前に手動・ハイブリッド診断を組み合わせる使い分けが現実的です。
Webセキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webサイト・Webアプリの脆弱性診断サービスの最新資料を無料で一括請求できます。診断手法や料金、再診断の有無を見比べて、自社に合う依頼先を効率的に選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
