自社で運用しているコーポレートサイトやECサイト、会員制のWebサービスが、ある日改ざんされたり、保管していた個人情報が流出したりしたら——。そんな不安を抱えつつも、セキュリティの専任担当を置けず、何から手を付ければよいか分からないという声は少なくありません。
Webサイトの脆弱性対策は、専門用語の多さから身構えてしまいがちです。しかし実際には、自社の担当者が今日から着手できる基本対策と、外部の専門家に任せたほうがよい対策とに分けて考えると、進め方の見通しが立ちます。大切なのは、難しい攻撃手法の分類を覚えることではなく、「何を・どの順番で・誰がやるか」の見取り図を持つことです。
本記事では、Webサイトに多い脆弱性と放置した場合の被害を押さえたうえで、取るべき対策を優先度つきで整理し、自社でできる対策と外部診断の線引き、診断を外注する場合の種類・費用相場・選び方までを一通り解説します。対策を自社で無理なく回し、取引先や経営層にも説明できる状態をつくるための判断材料としてご活用ください。
一括ダウンロードする
目次
一括ダウンロードする
Webサイトの脆弱性対策の全体像｜何から・どの順番でやるか
最初に、Webサイトの脆弱性対策の全体像をつかんでおきましょう。対策は数が多く見えますが、「自社の担当者が着手できる基本対策」から始め、「多層的なガード」を重ね、最後に「第三者による脆弱性診断」で作り込みの弱点を洗い出す、という流れで整理すると進めやすくなります。
以下は、主な対策を「何を防ぐか」「自社でできるか・外注か」「着手の目安」とあわせて一覧にしたものです。すべてを同時に進める必要はなく、上から着手していくことで、費用をかけずにできる範囲を先に固められます。
| CMS・プラグイン・サーバの更新（セキュリティパッチ適用） | 常時SSL化（通信の暗号化） | アクセス制御・多層防御（管理画面保護・二段階認証・IP制限） | WAF（Webアプリケーションファイアウォール）の導入 | 第三者による脆弱性診断 | |
|---|---|---|---|---|---|
| 防げる主なリスク | 公開済みの既知の脆弱性を突く攻撃 | 通信の盗聴・改ざん | 不正ログイン・管理画面の乗っ取り | アプリの脆弱性を突く攻撃の影響を低減 | 自社では気づけない作り込みの弱点 |
| 自社でできる／外注 | 自社でできる | 自社でできる | 自社でできる | 自社でできる（製品により外部支援） | 外注（専門業者） |
| 着手の目安 | まず最初に・継続的に | 早い段階で | 早い段階で | 基本対策の次に | 基本対策のあと・定期的に |
この順番は、法律や公的機関が「この順で対策せよ」と定めたものではなく、費用と手間の少ない対策から固めるという実務上の筋道です。脆弱性対策の公的な拠り所であるIPA（情報処理推進機構）「安全なウェブサイトの作り方」でも、脆弱性に付けられた番号は優先順位ではないと明記されています。
資料の構成上、脆弱性の深刻度や攻撃による影響、届出状況を考慮して項番を割り当てていますが、これは対策の優先順位を示すものではありません。優先順位は運営するウェブサイトの状況に合わせてご検討ください。
出典：安全なウェブサイトの作り方 改訂第7版｜独立行政法人情報処理推進機構（IPA）
このように、対策の優先度は自社サイトの作り方や扱う情報によって変わります。本記事の順番は一般的な出発点として参考にしつつ、自社に当てはめて考えるための土台と捉えてください。
出典・参考資料（1件）
Webサイトに多い脆弱性の種類と放置した場合の被害
ここからは、なぜ対策が必要なのかを腹落ちさせるために、Webサイトに多い脆弱性の代表例と、放置した場合に起こりうる被害を見ていきます。脆弱性の名称はIPA「安全なウェブサイトの作り方」の公式名称にそろえています。同資料は、SQLインジェクションやクロスサイト・スクリプティングなど11種類の脆弱性を取り上げています。
ここではまず押さえておきたい代表例として、被害がイメージしやすい3つを取り上げます。ここで挙げきれない脆弱性も、後述の脆弱性診断を使えば網羅的に洗い出せます。
SQLインジェクション
SQLインジェクションは、データベースと連携したWebアプリケーションの入力処理の不備を突く攻撃です。IPAは次のように説明しています。
データベースと連携したウェブアプリケーションの多くは、利用者からの入力情報を基にSQL文（データベースへの命令文）を組み立てています。ここで、SQL文の組み立て方法に問題がある場合、攻撃によってデータベースの不正利用をまねく可能性があります。このような問題を「SQLインジェクションの脆弱性」と呼び、問題を悪用した攻撃を、「SQLインジェクション攻撃」と呼びます。
出典：安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション｜独立行政法人情報処理推進機構（IPA）
この脆弱性が悪用されると、データベースに蓄積された非公開情報の閲覧による個人情報の漏えい、情報の改ざんや消去、認証回避による不正ログインなどが起こりうるとされています。会員情報や取引データを扱うサイトでは、特に影響の大きい脆弱性です。
クロスサイト・スクリプティング（XSS）
クロスサイト・スクリプティングは、Webページの出力処理の不備を突いて、ページに不正なスクリプトを埋め込む攻撃です。IPAの説明で重要なのは、被害が及ぶ先がサイト自体ではなく、そのページを閲覧している利用者だという点です。
ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。この問題を「クロスサイト・スクリプティングの脆弱性」と呼び、この問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と呼びます。クロスサイト・スクリプティング攻撃の影響は、ウェブサイト自体に対してではなく、そのウェブサイトのページを閲覧している利用者に及びます。
出典：安全なウェブサイトの作り方 改訂第7版 1.5 クロスサイト・スクリプティング｜独立行政法人情報処理推進機構（IPA）
偽の入力フォームの表示やクッキーの盗み出しを通じて、閲覧者のなりすましや情報の詐取につながるおそれがあります。自社だけでなく、サイトを訪れた顧客に被害が及ぶ点が、この脆弱性を軽視できない理由です。
OSコマンド・インジェクション
OSコマンド・インジェクションは、外部からの攻撃によってWebサーバのOSコマンドを不正に実行されてしまう問題です。悪用されると、サーバ内ファイルの閲覧・改ざん・削除による重要情報の漏えいや、不正なプログラムの実行によるウイルス感染・バックドアの設置、他システムへの攻撃の踏み台としての悪用などが起こりうるとIPAは示しています。サーバそのものを乗っ取られかねない点で深刻な脆弱性です。
出典・参考資料（1件）
放置すると漏えい時の報告義務が生じることもある
脆弱性を放置した結果として個人情報が漏えいした場合、企業には法的な対応義務が生じることがあります。個人情報保護法は、一定の重大な漏えい等が生じたときの報告義務を次のように定めています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
出典：個人情報の保護に関する法律 第26条（漏えい等の報告等）｜e-Gov法令検索
この報告義務は令和4年（2022年）4月1日に施行されました。報告の対象となるのは、不正アクセスなど不正の目的によるおそれがある漏えいや、本人の数が1,000人を超える漏えいなど、施行規則で定める事態です。報告は、事態を知った後に速やかに行う速報と、原則30日以内（不正の目的による場合は60日以内）の確報に分かれ、あわせて本人への通知も必要とされています。
自社が報告義務の対象になるかは扱う情報や事態によって変わるため、詳細は個人情報保護委員会の案内や条文で確認することをおすすめします。いずれにせよ、脆弱性の放置は金銭的・信用上の損失だけでなく、こうした法的対応の負担にもつながりうる点を押さえておきましょう。
出典・参考資料（3件）
自社でできる対策｜更新・常時SSL化・多層防御・WAF
ここからは、専任の担当者がいなくても自社で着手できる対策を、何をして何を防ぐのかという観点で見ていきます。費用や手間が比較的小さく、効果の土台になるものばかりです。
CMS・プラグイン・サーバの更新（セキュリティパッチ適用）
最初に取り組みたいのが、WordPressなどのCMS本体・プラグイン・テーマ・サーバソフトウェアを最新の状態に保つことです。公開済みの脆弱性は、修正プログラム（セキュリティパッチ）が配布された時点で攻撃手法も広く知られるため、更新が遅れたサイトから狙われやすくなります。
自動更新の設定、使っていないプラグインの削除、更新情報を定期的に確認する運用ルールの3点を押さえるだけでも、既知の脆弱性を突かれるリスクを下げられます。特にCMSを利用している場合、プラグインの放置が侵入口になりやすいため、導入しているプラグインの棚卸しから始めるのが現実的です。
たとえばWordPressなら、管理画面のプラグインやテーマの一覧で自動更新を有効にし、本体の更新も管理画面から確認する、といったところから今日着手できます。
常時SSL化（通信の暗号化）
常時SSL化とは、サイト全体をHTTPSで配信し、ブラウザとサーバ間の通信を常に暗号化しておくことを指します。暗号化の仕組みであるTLS（SSL/TLS）について、内閣府は次のように説明しています。
「TLS（Transport Layer Security）」とは、ウェブサイトとそれを閲覧するユーザーの間の通信を暗号化することで、第三者による通信の盗聴や改ざんを防ぐための仕組みです。
出典：TLS（Transport Layer Security）の取扱いについて｜内閣府
問い合わせフォームやログイン画面で入力される情報が暗号化されないままだと、通信経路上で盗み見られる危険があります。無料で利用できるサーバ証明書も普及しており、レンタルサーバやCDNの設定で導入できるケースが増えています。閲覧者に安心感を与えるうえでも、早い段階で対応しておきたい対策です。
出典・参考資料（1件）
アクセス制御・多層防御（IP制限・管理画面保護・二段階認証）
攻撃の侵入口になりやすい管理画面やログイン機能を守ることも、自社でできる重要な対策です。単一の防御に頼らず、複数の対策を重ねる多層防御の考え方で備えると、ひとつが突破されても被害の拡大を防ぎやすくなります。
具体的には、管理画面へのアクセスを特定のIPアドレスに限定する、推測されにくいログインURLに変更する、二段階認証を有効にする、一定回数以上のログイン失敗でロックするといった対策が挙げられます。いずれもCMSの設定やプラグイン、サーバの設定で対応できる範囲が多く、追加コストをかけずに始められます。
WAF（Webアプリケーションファイアウォール）
WAFは、Webアプリケーションへの通信を検査し、攻撃とみなした通信を遮断する仕組みです。ここで誤解しやすいのが、WAFの位置づけです。IPAはWAFを次のように定義しています。
WAFは、ウェブアプリケーションの脆弱性を悪用した攻撃などからウェブアプリケーションを保護するソフトウェア、またはハードウェアです。WAFは脆弱性を修正するといったウェブアプリケーションの実装面での根本的な対策ではなく、攻撃による影響を低減する対策です。
出典：Web Application Firewall（WAF）読本 改訂第2版 2.1 WAFとは｜独立行政法人情報処理推進機構（IPA）
このようにWAFは、脆弱性そのものを直すものではなく、攻撃の影響を抑える保険的な役割を担います。更新やコードの修正といった根本対策を置き換えるものではないため、基本対策を固めたうえで、影響を和らげる備えとして組み合わせるのが適切です。近年はクラウド型のWAFも増え、専用機器を持たずに導入できる選択肢が広がっています。
無料でできる自己点検・チェックの手段
費用をかけずに現状を点検したい場合、IPAが公開している無料の仕様やツールが手がかりになります。ひとつはIPA「ウェブ健康診断仕様」で、Webサイトの自己点検に用いる診断項目をまとめたものです。自社サイトで最低限確認すべき観点を把握する拠り所になります。
もうひとつは、IPAが提供する「iLogScanner」です。これはWebサーバのアクセスログなどからSQLインジェクションやクロスサイト・スクリプティングといった攻撃の兆候を検出するツールで、すでに攻撃を受けていないかを確認する用途に向きます。ただし2014年の公開で動作環境が古い点には留意が必要です。
一方、IPAの「MyJVN」はパソコンにインストールされたソフトウェアのバージョンを確認するツールで、自社サイトの脆弱性を検査するものではありません。加えて本稿の執筆時点では一時停止中のため、Webサイトの点検手段としては数えないほうが安全です。これら無料の手段は現状把握に役立ちますが、カバーできる範囲には限りがあるため、本格的な洗い出しは後述の脆弱性診断で補うことになります。
出典・参考資料（2件）
一括ダウンロードする
自社でできる対策と専門業者に頼むべき対策の線引き
ここまで見てきた基本対策は、手順を決めて回せば担当者が運用でカバーできる範囲です。一方で、自社の対策だけでは見つけにくい弱点もあります。ここでは、どこから専門業者に頼るのが現実的かを、外注すべき領域と判断の軸から整理します。
外注すべき中心にあるのは、自社サイト固有の作り込みに潜む脆弱性です。アプリケーションの処理の流れや入力値の扱いに起因する弱点は、作った側では気づきにくく、攻撃者の目線で網羅的に検査しなければ表に出てきません。手順を回せば維持できる基本対策と違い、ここは専門的な知識と第三者の視点が欠かせない領域で、専門業者による脆弱性診断の出番になります。
どちらで担うかを見分けるときは、その作業に高い専門性が要るか、継続的に手を入れ続ける必要があるか、第三者の客観的な評価が求められるか、を物差しにすると整理できます。手順化して社内で回せるものは自社に残し、専門性と客観性が効くものは外に出す——この線引きなら、限られた人員でも体制が無理なく回ります。
とりわけ個人情報や決済情報を扱うサイト、リリースや大きな改修の直後は、外部の診断を取り入れる意義が大きくなります。
外注する場合｜脆弱性診断の種類・費用相場・選び方
外部に頼むべき対策の中心となるのが、Webアプリケーションの脆弱性診断です。ここからは、診断の種類・費用の相場観・サービスの選び方について、外注検討の当たりをつけるための情報を解説します。
脆弱性診断の種類（ツール診断・手動診断、診断対象）
脆弱性診断は、診断の手法と対象の2つの軸で整理すると分かりやすくなります。手法の軸では、ツールによる自動診断と、専門家による手動診断があります。
ツール診断は、多数の検査項目を短期間で効率よくチェックでき、費用も抑えやすい一方、画面の裏側にあるビジネスロジックの不備や、複数の弱点が組み合わさって生じる問題は取りこぼしやすい領域です。手動診断は、専門家が攻撃者の視点で検証するため、こうした込み入った脆弱性まで踏み込めますが、その分の費用と期間がかかります。両者を組み合わせたハイブリッドの診断を提供する事業者も増えています。
対象の軸では、公開中のWebアプリケーションを対象とする診断のほか、サーバOSやミドルウェアを対象とするプラットフォーム診断、外部システムと連携するAPIを対象とする診断などがあります。さらに、実際の攻撃を想定して侵入可否と影響範囲まで検証するペネトレーションテストもあります。自社のサイトの構成と、どこまで検証したいかに応じて、必要な診断の範囲を見極めることが出発点になります。
脆弱性診断の費用相場
脆弱性診断の費用は「要問い合わせ」とされることが多く、相場感がつかみにくい領域です。つかみにくい一因は、料金体系の考え方がサービスによって大きく異なることにあります。
料金体系は大きく分けると、成果報酬型・サブスクリプション型・受託型の3つがあります。成果報酬型は脆弱性が見つかった場合にのみ重大度・件数に応じて課金し、サブスクリプション型はツールによる継続診断を定額で使い、受託型は診断の対象（ソースコード／稼働中のWebアプリ・API／ペネトレーションテストなど）ごとに費用が積み上がります。
同じ「脆弱性診断」でも、どの考え方で値付けされているかによって見積りの読み方が変わるため、金額の大小だけでは比較になりません。
相場観としては、対象を絞ったソースコード診断なら十数万円台から、稼働中のWebアプリ・APIの診断で数十万円台が目安です。攻撃を想定したペネトレーションテストになると数十万〜百万円超と、診断の深さと対象の広さに応じて上がっていきます。サブスクリプション型ではツール診断を月額数万円台から継続利用できる案内もあり、成果報酬型では重大度の高い指摘ほど1件あたりの単価が上がります。
各サービスの具体的な金額は、次の比較表と個別紹介で整理していますので、自社が必要とする診断範囲と照らして確認してください。いずれも対象範囲や規模によって変動するため、最終的な金額は見積りで確認することが前提です。
※本記事に記載した金額は、2026年11月時点で各社が公開・案内している情報に基づきます。
出典・参考資料（4件）
診断サービスの選び方
診断サービスを選ぶときは、価格の安さだけでなく、次の観点を自社の状況に当てはめて比較すると判断しやすくなります。
ひとつ目は、診断手法と対象範囲が自社の目的に合うかです。自社サイトがWebアプリ中心なのか、APIやサーバまで含めて見てほしいのか、ツール診断で十分なのか手動診断まで必要なのかによって、選ぶべきサービスは変わります。自社の構成を整理したうえで、カバー範囲を確認しましょう。
ふたつ目は、報告書の分かりやすさと、見つかった後の支援です。脆弱性を列挙して終わりではなく、どのリスクから直すべきかの優先度や、具体的な修正方法まで示してくれるか、再診断に対応しているかを確認します。専任の担当者がいない企業ほど、修正まで伴走してくれるサービスの価値が高くなります。
なぜこの観点が重要になるのか。診断する側も、脆弱性を数えて伝えるだけでは利用企業が次の一手を決めにくいという課題を挙げています。Hi AUDITを手がける株式会社TECHFUNDは、報告の仕方について次のように述べています。
脆弱性の報告だけでは、企業側からすると、何から対応すればいいのか分かりません。「この問題を悪用されると、他ユーザーの情報を取得される可能性がある」「この脆弱性は認証を突破して管理者権限を取得される可能性がある」といった形で、攻撃シナリオと事業インパクトまで整理して説明することを重視しています。
みっつ目は、継続して依頼しやすいかです。攻撃の手口は変化し続けるため、一度の診断で終わらせず、定期的に実施できる料金体系や運用のしやすさも選定の軸になります。これらの観点で複数のサービスを並べて比べると、自社に合う外注先が絞り込めます。
【比較表】主な脆弱性診断サービスの比較
ここでは、主な脆弱性診断サービスを、提供形態・主な診断対象・費用の目安・特徴で横断的に比較します。自社の目的に近いサービスを見つける手がかりとしてご覧ください。
| サービス名 | Aikido Security | Hi AUDIT | CoWorker 脆弱性診断サービス |
|---|---|---|---|
| 診断の提供形態 | ツールによる自動スキャン （SaaS型・継続診断） | ツール自動診断＋専門家の マニュアル診断（受託・ハイブリッド） | 自社開発AI「Red Agent」＋ 社内専門家の最終確認（受託） |
| 主な診断対象 | ソースコード・依存ライブラリ クラウド設定・稼働中Webアプリ（動的診断） | スマートコントラクト（主力） Webアプリ・モバイル・IoT等 | ソースコード・稼働中Webアプリ API・ペネトレーションテスト |
| 費用の目安 | 月額5万円台〜 （年額3,780ドル〜・利用者10人まで の参考価格、無料プランあり） ※AndGo取扱ページ | 成果報酬型（要問い合わせ） High 750,000円／Medium 225,000円 Low 45,000円／Note 15,000円 ※カタログ掲載情報（自己申告） | 静的（ソースコード）15万円〜 動的（Web/API）30万円〜 Webペネトレーションテスト60万円〜 ネットワークペネトレーションテスト100万円〜 ※カタログ掲載のインタビュー情報 |
| 特徴 | コード〜クラウド〜アプリを1画面で継続検査。内製の開発チーム向け | 攻撃された場合の事業影響まで整理。修正完了まで追加料金なしで伴走 | AIで従来比最大10分の1の診断時間。診断内容ごとに費用の目安を提示 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
脆弱性診断サービスの個別紹介
比較表で取り上げたサービスについて、それぞれの特徴や向いている企業像を個別に紹介します。提供形態や得意領域が異なるため、自社の状況に照らしながら読み進めてください。
大まかな目安として、社内に継続的な開発チームを持たず運用が中心の一般的なコーポレートサイトやECサイトであれば、依頼すれば専門家が診断してくれる受託型のWeb診断が取り入れやすい型です。
一方、自社でアプリを内製して開発を続けるチームなら開発プロセスに組み込めるツール型のSaaS、ブロックチェーンやスマートコントラクトを扱うなら、その領域に強い専門監査、というように、自社の状況に近い「型」から見ると絞り込みやすくなります。以下では提供形態の異なる3サービスを順に紹介します。
1. Aikido Security（Aikido Security BV／株式会社AndGo）
ソースコードやライブラリ、クラウド設定、稼働中のWebアプリ（動的診断）までを1つの管理画面で検査できる、SaaS型の脆弱性診断ツールです。開発元はベルギーのAikido Security BVで、国内では株式会社AndGoが日本語での窓口を担い、日本円の請求書払いにも対応します。
人が診断して報告書を納める受託型ではなく、ツールによる自動スキャンを継続的に回す契約形態です。そのため自社でアプリを内製する開発チームに向いており、運用だけを担うサイト運営者には必ずしも最適とは限りません。無料で使えるDeveloperプランがあり、導入前に使い勝手を確かめられます。
料金は、日本窓口の案内で月額5万円台から（年額3,780ドルから、利用者10人までの参考価格）とされています。一方、開発元の公式サイトには別の料金体系の表記があり、契約経路によって条件が異なるため、正式な金額は問い合わせでの確認が前提です。
2. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが「Hi AUDIT」のブランドで手がけるセキュリティ診断です。ブロックチェーンのスマートコントラクト監査を主力としつつ、Webアプリケーションやモバイルアプリ、IoT機器などへも対応領域を広げています。
ツールによる自動診断と専門家によるマニュアル診断を組み合わせ、脆弱性を指摘して終わりにせず、攻撃された場合に何が起きるかという事業への影響まで整理して伝える点を重視するとしています。同社の案内では、レポート提出後の説明会や修正相談、修正後の再確認も追加料金なしで対応するとされています。
料金は、カタログ掲載情報によれば、脆弱性が見つかった場合にのみ重大度と件数に応じて課金する成果報酬型を採ります。開発のたびに月額の自動診断を回し、最後に個別監査を加える組み合わせの提案が中心です。
3. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社が自社開発したAI「Red Agent」による自動解析に、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。ソースコードを対象とする静的診断から、稼働中のWebアプリ・API、ペネトレーションテストまでをメニューとして用意しています。
約29万通りの検査パターンと1万件以上のWebテストケースを高速で処理することで、同社は従来の手法と比べて診断時間を最大10分の1まで短縮できるとしています。AIが洗い出した結果を人が承認する流れをとり、専門家が注力すべき箇所に時間を割ける体制を敷いています。
料金は、ソースコードを対象とする静的診断が15万円から、稼働中のWebアプリ・APIを対象とする動的診断が30万円から、Webのペネトレーションテストが60万円から、ネットワークのペネトレーションテストが100万円からと案内されています。診断内容ごとに費用の目安が示されているため、見積り前に対象範囲と予算の当たりをつけやすい点が特徴です。
本記事では主要な3つの脆弱性診断サービスを取り上げましたが、提供形態や診断対象、料金体系は事業者ごとにさらに幅があります。以下の記事では、より多くの脆弱性診断サービスを診断方法・費用相場・選び方の観点で比較し、無料で使える診断ツールも含めて整理しています。外注先を本格的に比較検討する際の一覧としてご活用ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
対策を継続するための運用ポイント
最後に、脆弱性対策を一度きりで終わらせず、続けていくための運用の視点を整理します。対策は作った瞬間が最も安全で、時間の経過とともに新たな脆弱性が見つかったり、攻撃の手口が変わったりしていくためです。
基本となるのは、更新の継続と定期的な点検を業務のサイクルに組み込むことです。CMSやプラグインの更新を月次で確認する、管理画面のアクセス権を定期的に見直す、といった小さな運用を習慣にするだけでも、既知の脆弱性を抱え続けるリスクを抑えられます。担当者が替わっても回るよう、手順を文書化しておくと安心です。
こうした予防に加えて、万一サイトを改ざんされてしまった場合に早く気づく仕組みを備えておくと、被害の拡大を抑えやすくなります。改ざんを常時監視する検知ツールの種類や料金の違いは、以下の記事で比較しています。
Web改ざん検知ツール比較14選｜外部監視型と内部監視型の違い・月額料金・自動復旧
自社サイトが書き換えられていないかを、いま確認できる仕組みはあるでしょうか。Webサイトの改ざんは見た目が派手に変わるとは限らず、管理者が普段どおりページを開いても気づけない形が少なくありません。検索結果に警告が表示されたり、外部から指摘さ…
そのうえで、外部の脆弱性診断は年1回だけでなく、リリースや大きな改修のタイミング、あるいは四半期や月単位での定期実施を検討する余地があります。攻撃側のスピードが上がる中で、診断の頻度を上げたいというニーズは高まっており、ツールによる自動診断を定期的に回し、要所で専門家の手動診断を加える組み合わせも現実的です。自社の体制と予算に合わせて、無理なく続けられる運用を設計していきましょう。
この「年1回では足りない」という変化は、診断の現場でも実際に起きています。脆弱性診断を手がけるCoWorker株式会社は、依頼する企業側の変化を次のように説明しています。
これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
まとめ
本記事では、Webサイトの脆弱性対策を「何から・どの順番で・誰がやるか」の見取り図から整理し、主な脆弱性と被害、自社でできる基本対策、外注すべき脆弱性診断の種類・費用相場・選び方までを解説しました。
まずは更新・設定・多層防御といった自社でできる対策で土台を固め、自社では気づけない作り込みの弱点は第三者の脆弱性診断で洗い出す——この順序で進めれば、専任の担当者がいなくても現実的に対策を回せます。そして、一度で終わらせず定期的に点検し続けることが、変化する脅威に備える鍵となります。
外注先となる脆弱性診断サービスは、提供形態も費用体系もさまざまです。複数のサービスを中立に比較しながら、自社の目的と規模に合う一社を見極めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. Webサイトの脆弱性対策とは何ですか？
A. Webサイトの脆弱性対策とは、攻撃に悪用されうるWebサイトの弱点（脆弱性）をふさぎ、改ざんや情報漏えいといった被害を未然に防ぐための一連の取り組みです。
CMS・プラグイン・サーバの更新、アクセス制御や常時SSL化、WAFの導入といった自社でできる基本対策と、第三者による脆弱性診断を組み合わせ、「何を・どの順番で・誰がやるか」を整理して進めるのが基本です。難しい攻撃手法の分類を覚えることよりも、対策の見取り図を持つことが出発点になります。
Q. SQLインジェクションやクロスサイト・スクリプティング（XSS）とはどのような脆弱性ですか？
A. SQLインジェクションはデータベースを不正に操作される脆弱性で、個人情報の漏えいや改ざんを招きます。クロスサイト・スクリプティング（XSS）はページに不正なスクリプトを埋め込まれる脆弱性で、ページを閲覧した利用者がなりすましや情報詐取の被害を受けます。
いずれもIPA「安全なウェブサイトの作り方」が代表例として挙げる、入力処理や出力処理の不備に起因する脆弱性です。XSSは被害が及ぶ先がサイト自体ではなく閲覧者である点が特徴で、会員情報や取引データを扱うサイトでは特に影響が大きくなります。
Q. Webサイトの脆弱性対策で、費用をかけずにできることはありますか？
A. CMS・プラグイン・サーバの更新、管理画面のアクセス制御や二段階認証、常時SSL化といった基本対策の多くは、追加費用をかけずに自社で着手できます。
現状の点検には、IPAが無料で公開する「ウェブ健康診断仕様」や、攻撃の兆候を検出する「iLogScanner」も手がかりになります。ただし無料の手段でカバーできる範囲には限りがあるため、本格的な弱点の洗い出しは有償の脆弱性診断で補うことになります。
Q. Webサイトの脆弱性対策は自社でやるべきですか、外注すべきですか？
A. 更新・設定・運用ルールのように「決めたことを回す」対策は自社で、自社サイト固有の作り込みに潜む弱点を見つける脆弱性診断は専門業者に外注するのが現実的です。
判断の目安は、作業の専門性・継続性・客観性の3点です。自社の運用で回せるものは自社で、専門的な検査と客観的な評価が求められるものは外注と切り分けると、専任の担当者がいなくても無理のない体制を組めます。特に個人情報や決済情報を扱うサイト、リリースや大きな改修の直後は、外部診断を取り入れる意義が大きくなります。
Q. Webサイトの脆弱性診断はどのくらいの頻度で実施すべきですか？
A. 年1回を基本としつつ、新規リリースや大きな改修のタイミングでも実施するのが望ましいとされます。
攻撃の手口は変化し続けるため、一度実施して終わりにしない運用が肝心です。目安としては、本番リリースや機能追加など「作りが変わった」節目では必ず診断し、それ以外も予算に応じて四半期や月単位での実施を検討します。コストと手間を抑えたい場合は、普段はツールによる自動診断でこまめに様子を見て、節目の深い検証だけ専門家に任せるといった濃淡の付け方も有効です。
Q. Webサイトの脆弱性診断の費用相場はどのくらいですか？
A. 診断の対象と手法によって幅があり、料金を公開しているサービスでは、ソースコードの静的診断が15万円から、稼働中のWebアプリ・APIの動的診断が30万円から、Webのペネトレーションテストが60万円からが一つの目安です。
このほか、ツールによる継続診断をサブスクリプションで提供するサービスでは月額5万円台からの案内もあり、脆弱性が見つかった場合にのみ重大度・件数に応じて課金する成果報酬型もあります。料金体系はサービスごとに考え方が大きく異なり、対象範囲や規模によっても変動して「要問い合わせ」とされることも多いため、あくまで目安として捉え、必要な診断範囲とセットで見積りを取ることをおすすめします。
出典・参考資料（3件）
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webサイトの脆弱性診断サービスの最新資料を無料で一括請求できます。診断の対象範囲や費用、ツール診断と手動診断の違いなどを一度に比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
