自社で公開しているWebサービスや社内システムに、攻撃を受ける前の弱点がないかを確かめたい——そんなとき、いきなり高額な診断を外注するのではなく、まず費用をかけずにできることを探す方は少なくありません。その過程で行き着くのが、IPA（独立行政法人情報処理推進機構）です。IPAは国の情報セキュリティ施策を担う公的機関で、脆弱性診断に関わるツールや資料を複数公開しています。
ただ、IPAが提供するツールや資料は公式サイトの各ページに散らばっていて、「結局どれをダウンロードして使えば、自社の点検を始められるのか」が一覧では掴みにくいのが実情です。無料で使える代わりに、各ツールが何を点検できて何はできないのか、どこまで自力で確認できるのかも、まとまった形では説明されていません。
本記事では、IPAが提供する脆弱性診断系のツール・資料を用途別に整理し、それぞれで点検・学習できる対象を具体的に解説します。あわせて、無料のツールで自己点検が届く範囲と、手動診断や専門の診断サービスが必要になる範囲の線引き、そして自社の状況に応じた使い分けまでを整理します。
目次
一括ダウンロードする
IPAが提供する脆弱性診断ツール・資料の用途別早見表
はじめに、IPAが公開している脆弱性診断に関わる主なツール・資料を、点検・学習できる対象と用途で整理します。いずれも公式サイトから無料で入手でき、ツール名のリンクは配布元やIPAの公式ページです。自社が確かめたい対象（導入ソフトの更新漏れ、脆弱性情報の収集、Webサイトの作り方、管理体制など）に合わせて、どれを使えばよいかの当たりを付ける一覧としてご活用ください。
IPAのツール・資料は、既知の情報やチェックリストと自社の状態を照らし合わせる自己点検・学習が中心です。稼働中のWebアプリに疑似攻撃を送って弱点を探す能動的なスキャナは含まれません（この線引きは後半で詳しく解説します）。また、表のVulsはIPAが提供するものではなく、IPAが技術報告で活用を紹介しているオープンソースです。
| IPAが提供・活用を紹介するツール・資料 | MyJVNバージョンチェッカ for .NET | mjcheck4 | JVN iPedia | MyJVN API | icat for JSON | iLogScanner | AppGoat | Vuls | 安全なウェブサイトの作り方（ウェブ健康診断仕様） | 5分でできる！情報セキュリティ自社診断 | 脆弱性診断内製化ガイド |
|---|---|---|---|---|---|---|---|---|---|---|---|
| 種別 | ツール | ツール | データベース | API | 情報配信 | ツール | 学習ツール | OSS（IPA提供外） | 資料・チェックリスト | 資料（チェックシート） | 資料（ガイド） |
| 点検・学習できる対象 | パソコンに導入済みのソフトウェアが最新バージョンかどうか（更新漏れ）を確認 | JVN iPediaの脆弱性情報から、自社の利用製品に関するものだけを絞り込んで収集 | 国内で使われる製品の既知の脆弱性対策情報を、CVE／JVN番号で検索・参照 | JVN iPediaの情報をプログラムから取得し、脆弱性情報の収集を自動化 | 自社サイトにタグを埋め込み、IPAが発信する重要なセキュリティ情報を表示 | Webサーバのアクセスログから、攻撃と思われる痕跡を検出 | 脆弱性の仕組みと対策を実習形式で体系的に学ぶ（開発者・サイト管理者向け） | サーバで利用中のソフトウェアの既知の脆弱性（CVE）を検知・照合 | 安全なWebサイトを作るための実装・運用のチェックリストと、簡易な診断項目の仕様 | 情報セキュリティの管理体制を25項目でセルフチェック | 外部委託と内製の比較、内製に必要な体制・手順・ツール選定基準 |
| 費用 | 無料 | 無料 | 無料 | 無料 | 無料 | 無料 | 無料 | 無料 | 無料 | 無料 | 無料 |
※ JVN iPedia・MyJVN API・MyJVNバージョンチェッカ for .NET・mjcheck4は、2026年10月30日からシステムメンテナンスのため一時停止しており、2026年11月中の再開が見込まれています（2026年11月時点）。配布元のURLは変わりません。
各ツール・資料は、早見表のリンク先（配布元ページ）から入手できます。対応環境や導入手順、使い方も各ページに記載されているため、気になるものはリンクから確認してみてください。
各IPAツール・資料の役割と点検できる対象
ここからは、早見表で挙げたツール・資料を用途ごとにまとめ、それぞれが何をするもので、何を点検・学習できるのかを具体的に見ていきます。同じ「脆弱性診断」という言葉でも、ソフトの更新漏れを見るものと、Webサイトの作り方を学ぶもの、管理体制を点検するものでは役割がまったく異なります。
導入ソフトの最新性チェック（MyJVNバージョンチェッカ／mjcheck4）
MyJVNバージョンチェッカ for .NETは、パソコンに導入済みのソフトウェアが最新バージョンかどうかを確認するツールです。古いバージョンのまま使い続けている（更新漏れがある）ソフトを見つけることが目的で、Windows上で動作します。攻撃の多くは、更新すれば塞げる既知の脆弱性を突いてくるため、まず手元の端末の更新状況を確認したい場合の起点になります。
mjcheck4は、後述するJVN iPediaに登録された脆弱性情報の中から、自社が使っている製品に関するものだけを絞り込んで収集するツールです。日々公開される大量の脆弱性情報から、自組織に関係するものを効率的に集める「情報収集の支援」が役割で、システムをスキャンして弱点を見つけるものではありません。
脆弱性情報の収集・管理（JVN iPedia／MyJVN API／icat for JSON）
JVN iPediaは、日本国内で利用される製品の既知の脆弱性対策情報を収録したデータベースです。CVE（共通脆弱性識別子）番号やJVN番号で、特定の製品にどのような脆弱性が報告され、どんな対策があるかを検索・参照できます。利用中のソフトに新しい脆弱性が見つかっていないかを調べる、情報収集の基点にあたります。
MyJVN APIは、このJVN iPediaの情報をプログラムから取得するためのウェブAPIで、脆弱性情報の収集を自動化できます。icat for JSONは、自社のWebページにHTMLタグを埋め込むことで、IPAが発信する重要なセキュリティ情報をリアルタイムに表示できる情報配信サービスです。
いずれも脆弱性を診断するツールではなく、最新の脅威・対策情報を取りこぼさないための仕組みという位置づけです。
出典・参考資料（2件）
Web脆弱性の学習・自己点検（AppGoat／安全なウェブサイトの作り方／iLogScanner）
AppGoatは、脆弱性の概要や対策方法といった基礎的な知識を、実習形式で体系的に学べる学習ツールです。開発者やサイト管理者が、脆弱性を自分で見つけて修正を体験しながら学ぶためのもので、本番システムを診断するツールではありません。最新のバージョン3が提供されています。
「安全なウェブサイトの作り方」は、SQLインジェクションやクロスサイトスクリプティングなど代表的な脆弱性への実装上の対策をまとめた資料で、付録としてチェックリスト（Excel）が付きます。別冊の「ウェブ健康診断仕様」には、簡易な診断項目とその判定基準が示されています。名称に「診断」とありますが、自動で診断してくれるツールではなく、自分で確認すべき点を押さえるための資料です。
iLogScannerは、Webサーバのアクセスログから攻撃と思われる痕跡を検出するツールです。かつてのオンライン版は2019年1月に公開を終了していますが、ダウンロードして使うオフライン版（ZIP形式）は現在も提供されており、2026年6月に動作環境の記載が更新されています。すでに攻撃を受けた形跡がないかを、手元のログから確認したい場合に使えます。
出典・参考資料（3件）
利用中ソフトのCVE照合（Vuls）
Vuls（バルス）は、サーバで利用中のソフトウェアに既知の脆弱性がないかを検知するオープンソースのツールです。IPAが公開するものではありませんが、IPAのテクニカルウォッチ「脆弱性対策の効果的な進め方（ツール活用編）」で、Vulsを使った脆弱性対策の進め方が紹介されています。
インストール済みソフトの一覧と、JVN iPediaなどの脆弱性情報を突き合わせ、対応が必要な脆弱性を洗い出す用途に向きます。
管理体制の自己点検（5分でできる！情報セキュリティ自社診断）
「5分でできる！情報セキュリティ自社診断」は、IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録として提供されるチェックシートです。基本的対策・従業員としての対策・組織としての対策の3つに分かれた25項目を、実施している（4点）・一部実施（2点）・実施していない（0点）・わからない（−1点）の4段階で採点し、点数から現状の対策レベルを把握できます。
これはシステムを技術的にスキャンするものではなく、更新・バックアップ・パスワード運用といった管理体制や運用ルールを点検する内容です。たとえば1問目は「パソコンやスマートフォンなど情報機器のOSやソフトウェアは常に最新の状態にしていますか？」で、解説編では対策例としてMyJVNバージョンチェッカが挙げられています。技術的なツールを使う前の、全体像の確認に向きます。
IPAのツールを使った脆弱性対策の進め方
個々のツールの役割がわかったら、それらを対策の流れの中でどう使うかが次の論点になります。IPAのテクニカルウォッチ「脆弱性対策の効果的な進め方（ツール活用編）」では、脆弱性対策を次の流れで進める考え方が示されています。
この流れは3つの段階からなります。1つ目は、サーバのOSやミドルウェア、アプリケーションの依存ライブラリなど、自社で利用しているソフトウェアの把握です。2つ目は、そのソフトウェアに関連する脆弱性情報の収集で、JVN iPediaやMyJVNが既知の脆弱性を調べる手段になります。3つ目は、見つかった脆弱性について修正（アップデートや設定変更）を適用するかどうかを影響度から判断する段階です。
このテクニカルウォッチには、利用ソフトの一覧化からバージョン確認、脆弱性情報の確認、影響度の確認、対策の適用判断までを管理するための「ソフトウェア脆弱性関連情報管理シート」（Excel）も付属しており、自組織向けに改変して使えます。同資料は2019年の公開で、Vulsという特定ツールを軸にしていますが、対策を「把握・収集・判断」の流れで回すという考え方は現在も有効です。
より新しい内製化の考え方は、2025年公開の「脆弱性診断内製化ガイド」が整理しています。同ガイドは、外部委託と内製の比較や、内製に必要な体制・手順・診断ツールの選定基準を扱っています。
IPAのツールを使った自己点検を踏まえて、脆弱性診断そのものを社内で継続できるか（内製化）を具体的に検討したい場合は、以下の記事で診断項目ごとの内製の可否や、自動化ツール・CI/CD組み込みの勘所を解説しています。
IPAの無料ツールで自己点検が届く範囲と、届かない範囲
ここまで見てきたとおり、IPAが提供するツール・資料は無料で使える一方、それぞれ役割が限られています。自社点検を始めるうえで大切なのは、これらで「どこまで確かめられて、どこからは確かめられないのか」を理解しておくことです。
IPAの無料ツール・資料で届く範囲と、届かない範囲を整理すると次のとおりです。
IPAのツール・資料で届くのは、おおむね次の範囲です。導入済みソフトの更新漏れの確認（MyJVNバージョンチェッカ）、利用中ソフトの既知脆弱性の照合（Vuls）、アクセスログからの攻撃痕跡の確認（iLogScanner）、Webサイト構築時に押さえるべき項目の確認（安全なウェブサイトの作り方）、管理体制のセルフチェック（5分でできる自社診断）です。
一方で、これらはいずれも、稼働中のWebアプリケーションに実際に疑似攻撃を送って弱点を能動的にスキャンする、技術的な脆弱性スキャナではありません。入力フォームやAPIが実際に攻撃可能かどうか、ログインの先にある画面に不備がないか、業務ロジックに起因する認可の欠陥がないかといった点は、IPAの無料ツール・資料だけでは確かめきれません。
こうした領域は、自動の診断ツールや、専門家による手動の診断が必要になります。
この「無料の自己点検の限界」を、IPA自身も明記しています。「安全なウェブサイトの作り方」の別冊「ウェブ健康診断仕様」には、次の注意書きがあります。
「ウェブ健康診断仕様」の診断は、検査パターンを絞り込んだ診断ですので、脆弱性が検出されなかった場合でも、安全宣言には繋がりません。
出典：安全なウェブサイトの作り方｜独立行政法人 情報処理推進機構（IPA）
無料の自己点検で問題が見つからなくても、それだけで「安全だ」と言い切れるわけではありません。自社で最初の点検を回したうえで、本番環境の精密な診断が必要なら次の手段に進む、という前提で使うのが現実的です。
一括ダウンロードする
IPAの無料ツール・市販の診断ツール・外注の診断サービスの使い分け
自己点検の限界を踏まえると、脆弱性診断の手段は、大きく3つの層に分けて考えると整理しやすくなります。それぞれカバーする範囲と、かかる手間・費用が異なります。
1つ目は、IPAが提供する無料のツール・資料の層です。費用をかけずに、ソフトの更新漏れや管理体制、Webサイトの作り方といった基本を自己点検できます。最初の一歩や、継続的な情報収集・体制確認に向きます。ただし前述のとおり、稼働中のWebアプリを能動的にスキャンする診断は含まれません。
2つ目は、自社で契約して継続的に使う、市販の脆弱性診断ツール（SaaS）の層です。WebアプリケーションやAPIに自動で疑似攻撃を送り、脆弱性を検出します。アカウントを開けば自社の担当者が繰り返し診断を回せるため、リリースのたびや定期的な点検に向いており、月額数万円程度から利用できるものもあります。
3つ目は、専門の事業者に依頼する、外注の脆弱性診断サービスの層です。ツールによる自動診断に加え、専門家が手動で、ツールでは見つけにくい業務ロジックの欠陥や複雑な攻撃経路まで検査します。本番公開前や、金融・医療など高い保証が求められる場面に向きます。費用は対象の規模や診断範囲によって変わります。
2つ目の層でも、いきなり費用をかける必要はありません。市販の診断ツールの多くは無料トライアルや無料枠を用意しており、まず自社のWebアプリを実際にスキャンして試せます。OWASP ZAPのようなオープンソースの動的診断ツール（DAST）も、無料で能動的なスキャンを試す選択肢になります。
この3層は、どれか1つを選ぶものではなく、組み合わせて使うものです。IPAの無料ツールで全体像と基本を押さえ、自社で回せる範囲は市販ツールで継続的に診断し、精密な保証が必要な部分は外注診断に任せる、という使い分けが基本になります。記事後半では、自社運用型の診断ツールと外注の診断サービスの具体例を紹介します。
専門の診断サービスに移る判断の目安と選び方
IPAの無料ツールで自己点検を進めた結果、稼働中のWebアプリやAPIの精密な診断が必要だと判断したときは、外注の診断サービスを検討する段階です。外注先を信頼性で絞り込むうえで、公的な手がかりになるのが、IPAが公開する「情報セキュリティサービス基準適合サービスリスト」です。
外注を検討する目安の一例は、本番公開を控えている、個人情報や決済を扱う、無料ツールでは確認しきれない動的な挙動や認可の不備が気になる、といった場合です。
このリストは、経済産業省の「情報セキュリティサービス基準」に適合すると判定されたサービスを、情報セキュリティ監査・脆弱性診断・デジタルフォレンジック・セキュリティ監視運用・機器検証の5区分で掲載したものです。脆弱性診断サービスを外注する際、一定の基準を満たした事業者を確認する出発点として使えます（ペネトレーションテストは脆弱性診断サービスのオプションとして位置づけられています）。
ただし、このリストの位置づけには注意が必要です。掲載は「IPAのお墨付き」を意味するものではありません。IPA自身が、審査・判定への関与と保証について次のように明記しています。
出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人 情報処理推進機構（IPA）
- 各審査登録機関がその責任において実施します。この審査・判定にIPAは何ら関与しておりません。
- IPAは、登録台帳からの掲載に際してサービス基準適合性の再確認・検証等を行っておりません。
審査・判定は、特定非営利活動法人日本セキュリティ監査協会（JASA）が運営する枠組みのもと、各審査登録機関が行います。リストはあくまで「基準に適合すると判定された事業者の一覧」であり、そこから先は、診断対象（Webアプリ・API・ネットワークなど）が自社の要件に合うか、診断方法が自動か手動か、報告内容や再診断の条件がどうかを、個別に比較して選ぶことになります。
自社で使える脆弱性診断サービス・ツールの比較
ここからは、IPAの無料ツールで届かない範囲を補う手段として、自社で契約して継続的に使える診断ツールと、専門家による外注の診断サービスを紹介します。まずは、診断対象・診断方法・料金の目安を一覧で比較します。
ここで紹介するのは、Webアプリ・APIの診断を自社で継続できるツールと、専門家に依頼できる外注診断です。費用相場や選び方まで含めて脆弱性診断サービス全体を見比べたい場合は、診断方法・費用相場・選び方をまとめて解説した以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | Securify | AeyeScan | VAddy |
|---|---|---|---|---|---|
| 提供会社 | 株式会社AndGo （開発元：ベルギーのAikido Security BV） | CoWorker株式会社 | 株式会社スリーシェイク | 株式会社エーアイセキュリティラボ | 株式会社ビットフォレスト |
| 診断方法 | 自社運用型の自動診断ツール（SaaS） | 専門家による外注診断 （AI「Red Agent」解析＋専門家の最終確認） | 自社運用型の自動診断ツール（SaaS） | 自社運用型の自動診断ツール（SaaS、AI自動巡回） | 自社運用型の自動診断ツール（SaaS、CI/CD連携） |
| 診断対象 | ソースコード（SAST・SCA） クラウド設定（CSPM） Webアプリ（DAST） | ソースコード Webアプリ・API ペネトレーションテスト | Webアプリ・API（DAST） | Webアプリ・SPA API（オプション） Androidアプリ | Webアプリ APIサーバー（REST API/JSON） |
| 料金の目安 | 年額制 Basic 3,780ドル/年〜（AndGo案内、月額5万円台〜） 正式な金額は要問い合わせ | ソースコードAI診断15万円〜 動的診断30万円〜 Webペネトレーションテスト60万円〜 | 月額5万円〜 （脆弱性診断STARTER、年間60万円・1 IP/FQDN） | 個別見積もり（公式に金額掲載なし） | 初期費用0円 月額19,800円〜（Professional）〜99,800円（Advanced、税別） |
| 無料トライアル・無料枠 | 無料のDeveloperプランあり | なし | あり（最短即日） | あり（2サイト） | あり（1週間） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリケーションを1つの管理画面でまとめて検査できる、SaaS型の脆弱性診断ツールです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売窓口となり、日本語での一次対応と導入支援を担います。
特徴は、単機能のツールを継ぎ足すとアラートが分散しがちなところを、ソースコード診断（SAST・SCA）、クラウド設定診断（CSPM）、Webアプリの動的診断（DAST）などを統合し、対応すべきアラートを絞り込める点にあります。検出した脆弱性の修正案をプルリクエストとして作成する機能もあり、開発の流れにセキュリティを組み込む使い方に向きます。
無料で試せるDeveloperプランがあり、日本窓口では日本円の請求書払いにも対応します。料金は年額制で、AndGoの案内ではBasicプランが3,780ドル/年（月額換算でおおむね5万円台）からとされています（2026年11月時点、正式な金額は要問い合わせ）。
開発現場でセキュリティをどう扱うかは、近年変化してきています。この変化について、株式会社AndGoの原氏は次のように述べています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自己点検の次に、専門家による診断まで依頼したい場合の選択肢がCoWorker 脆弱性診断サービスです。CoWorker株式会社が自社開発したAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせて提供します。
診断メニューは、ソースコードを解析するソースコードAI診断、稼働中のWebアプリ・APIを対象にした動的診断、実際の攻撃を想定したペネトレーションテストの3種類です。料金は、ソースコードAI診断が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webのペネトレーションテストが60万円からと公開されています。
AIの活用で診断時間を従来の最大10分の1に短縮し、報告書を最短3営業日で納品できる点を訴求しています。攻撃側の高速化を背景に、年1回ではなく四半期や月単位での定期診断にも対応できる体制です。
出典・参考資料（1件）
脆弱性診断の頻度が見直されている背景について、CoWorker株式会社の一ノ瀬氏は次のように述べています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
3. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するSecurify（セキュリファイ）は、画面遷移の巡回・疑似攻撃の送信・応答の検証を自動で行う、クラウド型のWeb・API脆弱性診断です。ログイン後の画面やSPA（単一ページで動くWebアプリ）にも対応します。
診断の実施日時や頻度を指定できるスケジュール実行や、API経由で診断を起動する機能を備え、開発・リリースの流れに組み込んだ継続診断がしやすいのが特徴です。外部に公開している資産を把握するASM、クラウド設定を監視するCSPM、ソフトウェア部品を管理するSBOMといった周辺機能も同じサービス内で扱えます。脆弱性診断は月額5万円のSTARTERプランから利用でき、診断回数に制限はありません。
最短即日で使える無料トライアルも用意されています。
出典・参考資料（1件）
4. AeyeScan（株式会社エーアイセキュリティラボ）
AeyeScan（エーアイスキャン）は、株式会社エーアイセキュリティラボが開発・提供するクラウド型のWebアプリケーション脆弱性診断ツールです。専用サーバーの構築やソフトのインストールは不要で、ブラウザからログインして診断を始められます。
AIが利用者の操作に近い形でサイト内を自動で巡回し、診断シナリオを自動生成する点が中心的な特徴で、対象URLを登録するだけで診断の大部分を自動化できます。診断にあたっては、OWASP TOP10のほか、本記事で取り上げたIPA「安全なウェブサイトの作り方」にも準拠しており、IPAの資料で学んだ観点をそのまま自動診断につなげやすい作りです。
公式サイトでは有償契約500社以上の導入実績を掲げ、ISO/IEC 27001・ISO/IEC 27017を取得しています。2サイトまで試せる無料トライアルがあり、料金は用途やサイト数に応じた個別見積もりです。
出典・参考資料（1件）
5. VAddy（株式会社ビットフォレスト）
株式会社ビットフォレストが提供するVAddy（バディ）は、開発パイプラインへの組み込みを前提とした、クラウド型のWebアプリ・API脆弱性診断ツールです。WebAPIやコマンドラインツール、cronによる定期実行に対応し、リリース前や夜間に繰り返し自動診断を回せます。
スキャン回数は無制限で、頻繁に診断しても費用が増えない料金体系が特徴です。月額19,800円のProfessionalプランからで、初期費用は0円、1週間の無料トライアルで試せます。最上位のAdvancedプランは18項目の診断に対応し、IPA「安全なウェブサイトの作り方」のチェックリストに標準対応しています。
REST API（JSON形式のリクエストを含む）の検査にも対応するため、Webアプリに加えてAPIの継続診断を自社で回したい場合に向きます。
出典・参考資料（1件）
まとめ
IPAは、無料で使える脆弱性診断系のツール・資料を用途ごとに提供しています。導入ソフトの更新漏れを確認するMyJVNバージョンチェッカ、脆弱性情報を調べるJVN iPedia、アクセスログから攻撃痕跡を探すiLogScanner、Webサイトの作り方を学ぶ「安全なウェブサイトの作り方」、管理体制を点検する「5分でできる！情報セキュリティ自社診断」などです。
まずはこれらで、自社の基本的な状態を自己点検するところから始められます。
一方で、これらは稼働中のWebアプリを能動的にスキャンする脆弱性スキャナではなく、「検出されなくても安全とは言い切れない」簡易な点検にとどまります。実際の攻撃可能性まで確かめるには、自社で継続的に回せる市販の診断ツールや、専門家による外注の診断サービスが必要です。
外注先を探す際は、IPAの情報セキュリティサービス基準適合サービスリストを出発点にしつつ、診断対象や方法が自社の要件に合うかを個別に比較して選ぶとよいでしょう。自社に合うサービスの資料は、以下からまとめて請求できます。
一括ダウンロードする
よくある質問（FAQ）
Q. IPAの脆弱性診断ツールとは何ですか？
A. IPAの脆弱性診断ツールとは、独立行政法人情報処理推進機構（IPA）が公式サイトから無料で提供している、脆弱性対策のための自己点検・学習用のツールや資料の総称です。
導入済みソフトの更新漏れを確認するMyJVNバージョンチェッカ、脆弱性情報を調べるJVN iPedia、Webサーバのアクセスログから攻撃痕跡を探すiLogScanner、Webサイトの作り方を学ぶ「安全なウェブサイトの作り方」、管理体制を点検する「5分でできる！情報セキュリティ自社診断」などが含まれます。
いずれも既知の情報やチェックリストと自社の状態を照らし合わせる自己点検が中心で、稼働中のWebアプリに疑似攻撃を送る技術的なスキャナとは役割が異なります。
Q. IPAの無料ツールだけで脆弱性診断は足りますか？
A. IPAの無料ツールだけでは、稼働中のWebアプリケーションの実際の攻撃可能性までは確かめきれず、多くの場合は不十分です。IPAのツール・資料で届くのは、導入ソフトの更新漏れ、利用中ソフトの既知脆弱性の照合、アクセスログの攻撃痕跡、Webサイト構築時のチェック、管理体制のセルフチェックといった自己点検の範囲です。
入力フォームやAPIが実際に攻撃可能か、業務ロジックに起因する認可の欠陥がないかといった点は対象外で、こうした領域は自動の診断ツールや専門家による手動診断が必要になります。IPA自身も「安全なウェブサイトの作り方」別冊の「ウェブ健康診断仕様」で、検査パターンを絞り込んだ診断のため脆弱性が検出されなくても安全宣言には繋がらない、と明記しています。
Q. MyJVNバージョンチェッカとJVN iPediaの違いは何ですか？
A. MyJVNバージョンチェッカはパソコンに導入済みのソフトが最新バージョンかどうか（更新漏れ）を確認するツールで、JVN iPediaは国内で使われる製品の既知の脆弱性対策情報をCVE／JVN番号で検索・参照できるデータベースです。前者は手元の端末の更新状況を点検する用途、後者は利用中のソフトに新しい脆弱性が報告されていないかを調べる情報収集の用途にあたります。
両サービスは2026年10月30日からシステムメンテナンスのため一時停止しており、2026年11月中の再開が見込まれています（提供を終了したわけではありません）。
Q. IPAの脆弱性診断ツールに費用はかかりますか？
A. IPAが提供する脆弱性診断系のツール・資料は、いずれも公式サイトから無料で入手できます。ログインや課金なしでダウンロードできるものや、無料の申込制で提供されるものが中心です。一方、IPAの無料ツールで届かない範囲を補う市販の脆弱性診断ツール（SaaS）や外注の診断サービスには費用がかかり、市販ツールは月額数万円程度から、外注診断は対象の規模や診断範囲によって変わります。
Q. 脆弱性診断は内製と外注のどちらにすべきですか？
A. 脆弱性診断は内製と外注のどちらか一方を選ぶものではなく、IPAの無料ツールによる自己点検・市販の診断ツール（SaaS）による継続診断・専門事業者への外注を、目的に応じて組み合わせるのが基本です。
費用をかけずに基本を点検したい段階や継続的な情報収集はIPAの無料ツール、自社の担当者がリリースのたびに繰り返し診断したい場合は市販ツール、本番公開前や金融・医療など高い保証が求められる場面は外注診断が向きます。外部委託と内製の比較や内製に必要な体制については、IPAが2025年に公開した「脆弱性診断内製化ガイド」が整理しています。
Q. IPAのiLogScannerは今も使えますか？
A. iLogScannerは、ブラウザ上で使えたオンライン版は2019年1月に公開を終了していますが、ダウンロードして使うオフライン版（ZIP形式）は現在も提供されています。オフライン版は2026年6月に動作環境の記載が更新されており、Webサーバのアクセスログから攻撃と思われる痕跡を検出したい場合に使えます。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webアプリ・APIの脆弱性診断サービスや、自社で回せる診断ツールの最新資料を無料で一括請求できます。診断対象・診断方法・料金を比べて、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
