脆弱性の手動診断とは？ツール診断との違い・見つかる脆弱性・費用相場をわかりやすく解説

脆弱性診断を検討するなかで、「ツールで自動的にスキャンする診断」と「専門のエンジニアが手作業で調べる診断」の違いに迷っていませんか。自動化ツールが普及し、攻撃側もAIを使って手口を増やすなか、短い周期で手軽に実施できるツール診断の存在感は高まっています。一方で、金融・決済や会員制サービスのように重要なデータを扱うシステムでは、ツールだけでは見つけにくい弱点が残ります。

手動診断は具体的に何を調べるもので、ツール診断と何が違うのでしょうか。どんな脆弱性が手動でなければ見つかりにくく、費用や期間はどのくらいかかるのか。そして、自社の場合は手動まで必要なのか、ツールで足りるのか——判断するための材料を一つずつ整理します。

本記事では、脆弱性の手動診断の中身・ツール診断との違い・手動でないと見つかりにくい脆弱性・費用相場・使い分けをわかりやすく解説します。読み終えたときに、自社に手動診断が要るか・どこに絞るかを自分の言葉で判断でき、手動診断を含む診断サービスを探し始められる状態を目指します。

脆弱性の手動診断とは？

脆弱性の手動診断とは、セキュリティの専門エンジニアが対象のWebアプリケーションやシステムを実際に操作し、仕様や業務の流れを踏まえて弱点がないかを一つひとつ検証する診断です。あらかじめ用意したパターンを機械的に当てていくツール診断に対し、手動診断は「この画面でこの操作をすると、本来見えないはずのデータが見えてしまわないか」といった、アプリ固有の文脈に踏み込んだ確認を人の目で行います。

脆弱性診断には、ソフトウェアで自動的にスキャンするツール（自動）診断と、専門家が手作業で検証する手動診断があり、両者を組み合わせるハイブリッド診断も一般的です。本記事ではこのうち手動診断に絞って解説します。

手動診断は、専門家が時間をかけてシステムを検証するため、ツール診断とは費用や精度の面で性質が異なります。あるセキュリティ企業は、手動診断の特徴を次のように説明しています。

セキュリティ専門家がシステムを一つひとつ丁寧に検証するため、診断の精度が高い一方で費用はツール診断と比べてやや高額になる傾向があります。

出典：手動診断の特徴や強みとは？費用についても詳しく解説！｜サイバーセキュリティクラウド（https://www.cscloud.co.jp/vulnerability-audit/knowledge/manual-vulnerability-assessment）

手動診断とツール（自動）診断の違い

ここからは、手動診断とツール診断の違いを、得意な領域・誤検知・網羅性と速さ・費用・所要期間・向いているケースの観点で整理します。両者は優劣ではなく、役割が異なるため組み合わせて使うことが前提になります。

所要期間や費用、向いているケースの目安は、脆弱性診断を提供するベンダーが公開する手法別の対比にもとづいています。

出典・参考資料（1件）

• 参考資料：脆弱性診断のやり方は？手動・ツール診断の使い分けと進め方｜バルテス（https://security.valtes.co.jp/blog/vulnerability_assessment_manner）

手動診断・ツール診断それぞれのメリット・デメリット

手動診断のメリットは、ツールでは判断が難しいアプリ固有の弱点まで踏み込める点にあります。専門家が実際に操作し、検出した事象が本当に悪用できるかまで確かめるため、誤検知が少なく、報告された内容をそのまま改修の判断材料にしやすいという利点もあります。

一方で、専門家の工数がかかるぶん費用は高くなりやすく、診断にも数日から数週間の時間を要します。加えて、どこまで弱点を見つけられるかは担当する診断員のスキルや経験に左右されやすく、同じ対象でも依頼先によって結果に差が出やすい点にも注意が必要です。

ツール診断のメリットは、広い範囲を短時間かつ低コストで繰り返し確認できる点です。リリースのたびや定期的なチェックに向きますが、既知のパターンにもとづく機械的な検査のため、アプリ固有の文脈に絡む弱点は取りこぼしやすく、誤検知の精査にも手間がかかります。両者の性質を踏まえ、どこを手動で深掘りし、どこをツールで広く押さえるかを設計することが現実的です。

手動診断でないと見つかりにくい脆弱性とは

手動診断に費用をかける理由は、自動スキャンでは見つけにくい種類の脆弱性があるためです。OWASP（Webアプリのセキュリティに関する国際的なコミュニティ）が公開するテストガイドは、汎用の自動ツールの限界について次のように述べています。

These tools are still generic. They are built for applications in general, not for your custom code and business rules. They can find many common problems, but they often lack the application-specific context needed to detect deeper flaws. The most serious issues are frequently intertwined with business logic and custom design, which is where the techniques in this guide matter most.（自動ツールは依然として汎用的で、特定の独自コードや業務ルールではなく一般的なアプリ向けに作られている。多くの一般的な問題は見つけられるが、より深い欠陥の検知に必要なアプリ固有の文脈を欠きやすい。最も深刻な問題はビジネスロジックや独自設計に絡むことが多く、そこでこそ本ガイドの手法が重要になる）

出典：Web Security Testing Guide, Foreword「The Role of Automated Tools」｜OWASP Foundation（https://owasp.org/www-project-web-security-testing-guide/latest/）

要点は、汎用の自動ツールは「アプリ全般」に向けて作られており、各システムの独自コードや業務ルールの文脈を持たないため、深刻な脆弱性ほど検知しにくいということです。深刻な問題はビジネスロジックや独自設計に絡むことが多く、そこは人の判断が必要になります。手動診断でないと見つかりにくい代表的な弱点を、具体的に見ていきます。

認可の不備・権限昇格

ログイン済みの利用者が、本来は見えないはずの他人のデータを閲覧・操作できてしまう弱点です。たとえば画面のパラメータに含まれる利用者IDや注文番号を書き換えると他人の情報が表示される、一般ユーザーのまま管理者相当の操作ができてしまう、といった形で現れます。OWASPは、こうしたアクセス制御の不備を次のように説明しています。

Access control enforces policy such that users cannot act outside of their intended permissions. Failures typically lead to unauthorized information disclosure, modification, or destruction of all data or performing a business function outside the user’s limits.（アクセス制御は、利用者が本来の権限を超えて行動できないよう方針を強制するもので、その不備は権限外の情報漏えい・改ざん・破壊や、業務機能の不正な実行につながる）

出典：OWASP Top 10:2021 A01 Broken Access Control｜OWASP Foundation（https://owasp.org/Top10/2021/A01_2021-Broken_Access_Control/）

日本語の一次情報として、IPA（独立行政法人 情報処理推進機構）の「安全なウェブサイトの作り方」も、同じ種類の弱点を具体的に説明しています。

そのような外部から与えられる利用者 ID をキーにしてデータベースを操作する実装になっていると、ログイン中の利用者ならば他の利用者になりすまして操作できてしまうという脆弱性となります。これは、認可制御が実装されていないために生じる脆弱性です。

出典：安全なウェブサイトの作り方 改訂第7版 1.11.2 認可制御の欠落｜独立行政法人 情報処理推進機構（IPA）（https://www.ipa.go.jp/security/vuln/websecurity/about.html）

この種の不備は、正しいログインを経た「正常な権限内のアクセス」と見分けがつきにくく、どの利用者がどのデータにアクセスしてよいかという業務上のルールを理解していないと判定できません。そのため自動スキャンでは見落とされやすく、人が仕様を踏まえて確かめる必要があります。

認証・セッション管理の不備

ログイン状態を保持するセッションIDの扱いに関わる弱点です。セッションIDがURLに露出している、ログアウトや一定時間の放置後にセッションが正しく無効化されない、といった不備があると、他人のセッションを乗っ取られる恐れがあります。OWASPはTop 10のなかで、識別と認証の不備として次の例を挙げています。

Exposes session identifier in the URL. / Does not correctly invalidate Session IDs. User sessions or authentication tokens … aren’t properly invalidated during logout or a period of inactivity.（セッションIDをURLに露出させる／ログアウト時や無操作時にセッションIDを正しく無効化しない）

出典：OWASP Top 10:2021 A07 Identification and Authentication Failures｜OWASP Foundation（https://owasp.org/Top10/2021/A07_2021-Identification_and_Authentication_Failures/）

セッションの無効化が正しく働くか、ログアウト後に古いトークンが使えないかといった確認は、実際に操作して状態の変化を追う必要があり、人の手で検証することで初めて判断できる場面が多くなります。

ビジネスロジック・多段階処理の欠陥

そのサービス固有の業務ルールや処理の流れに潜む弱点です。たとえば、申込・審査・決済と進む多段階の手続きで、途中の工程を飛ばして最終処理だけを実行できてしまうケースが典型です。ほかにも、注文数量に負の値を入力すると請求額がマイナスに計算される、割引コードを重ねて適用して不当に値引きする、キャンセル後に返金処理だけが二重に走る、といった形でも現れます。

OWASPのテストガイドでも、ビジネスロジックのテストは独立した検証領域として体系化されており、処理の流れを迂回する「Circumvention of Work Flows」などが項目として整理されています。

これらは入力値の形式が不正なわけではなく、一つひとつの操作は仕様どおりに「正しく」動くため、既知パターンの機械的なスキャンでは異常と判定できません。サービスが本来想定している業務の流れを理解したうえで、意図的に順序を崩したり条件を操作したりして初めて露見するため、手動診断の中心的な対象になります。

出典・参考資料（1件）

• 参考資料：Web Security Testing Guide, 4.10 Business Logic Testing｜OWASP Foundation（https://owasp.org/www-project-web-security-testing-guide/latest/）

手動診断の費用・期間の相場

ここからは、手動診断・ツール診断・ハイブリッドの費用と期間の目安を見ていきます。金額は各ベンダーが自社サイトで公開している値で、中立な統計ではありません。相場観をつかむために、複数社が公開している数字を出所とともに並べて紹介します。

主なベンダーが公開している費用の目安を、手法・規模別に並べると次のとおりです。

手法でみると、ツール診断・簡易診断は小規模で10〜50万円程度と比較的低コストです。手動診断やハイブリッド診断になるほど専門家の工数ぶん高くなり、全体で50〜300万円程度（うち100ページ以上の中規模で100〜250万円程度）に達します。規模（画面数・API数）が増えるほど費用も上がり、さくらインターネットのように「API数」と「画面数」をもとに個別に見積もるベンダーが多いのが実情です。

検査対象を広げるほど費用は上限なく高くなり得ます。VAddyを提供するBitforestは、画面遷移が非常に多いシステムで全機能を手動検査すると1,000万円以上かかった事例を紹介しています（2018年の記事のため参考値）。どこまでを診断対象にするかが、費用を大きく左右します。

期間の目安は、ツール診断が数時間〜数日で完了するのに対し、手動診断は対象範囲や複雑さに応じて数日〜数週間かかるのが一般的です。対象の規模に強く依存するため、一律の定価が示されにくく、個別見積もりになりやすい点が手動診断の特徴です。

出典・参考資料（4件）

• 出典：手動診断の特徴や強みとは？費用についても詳しく解説！｜サイバーセキュリティクラウド（https://www.cscloud.co.jp/vulnerability-audit/knowledge/manual-vulnerability-assessment）
• 出典：脆弱性診断のやり方は？手動・ツール診断の使い分けと進め方｜バルテス（https://security.valtes.co.jp/blog/vulnerability_assessment_manner）
• 出典：脆弱性診断手法の違いと使い分け｜VAddy（Bitforest）（https://vaddy.net/ja/WP/VAddy_WP_201810_01.html）
• 出典：手動診断シリーズ Webアプリケーション診断サービス｜さくらインターネット（https://cybersec.sakura.ad.jp/product/web-app/）

自社に手動診断が必要か？ツールで足りるかの見分け方

手動診断はすべてのシステムに必須というわけではありません。扱うデータやシステムの作りによっては、ツール診断で十分なこともあります。自社の状況に当てはめて判断するための観点を整理します。

手動診断を検討したほうがよいケース

決済・送金やクレジットカード情報を扱う、個人情報や医療・金融などの機微なデータを保持する、会員のランクや権限によって見えてよい情報が細かく分かれる——こうした性質を持つシステムが対象です。いずれも認可の不備やビジネスロジックの欠陥が実害に直結しやすく、手動診断の対象として検討する価値が高まります。

独自開発の割合が大きく、業務フローが複雑なシステムも、既知パターンのツールでは文脈を拾いきれないため、重要箇所を手動で深掘りする意義があります。

ツール診断中心でも対応しやすいケース

一方で、一般的な構成で機微なデータの取り扱いが限定的なサイトや、既知の脆弱性を広く定期的に確認したい場合は、ツール診断を中心に据える選択も現実的です。頻繁に更新するサービスで、リリースのたびに手早くチェックしたい場合も、低コストで繰り返せるツール診断が向きます。ツールで全体を広く押さえつつ、重要な機能を追加・変更したタイミングでその範囲だけ手動で深掘りする、という組み合わせも有効です。

判断に迷う場合は、「その画面やデータが悪用されたときに、どの程度の被害につながるか」を基準に、被害が大きい機能から手動診断の対象に優先的に組み込んでいくと、限られた予算を配分しやすくなります。

手動×ツールのハイブリッド診断の使い分けと進め方

手動とツールは二者択一ではなく、組み合わせて使うのが実務の基本です。OWASPのテストガイドも、広く洗い出すツールと、深さと判断を担う手動の両方を組み合わせることを、バランスの取れた対策として示しています。ツールで広く既知の弱点を洗い出し、重要な機能や独自ロジックの部分を手動で深掘りする、という役割分担が現実的です。

出典・参考資料（1件）

• 参考資料：Web Security Testing Guide, Foreword「The Role of Automated Tools」｜OWASP Foundation（https://owasp.org/www-project-web-security-testing-guide/latest/）

こうしたツールと手動の役割分担は、実際に診断を手がける事業者も重視している点です。株式会社TECHFUNDは、両者をどう使い分けているかを次のように説明しています。

診断の進め方（範囲設定・実施・報告書と再診断）

一般的な脆弱性診断は、おおむね次の流れで進みます。はじめに、どの画面・API・機能を、どの深さで診断するかという対象範囲と目的を決める工程があり、ここで費用と期間がほぼ決まります。

続いて、ツールによるスキャンと専門家による手動検証が実施されます。最後に報告書で、検出された脆弱性の内容と影響、改修の優先順位を確認し、修正後に再診断を受けるという流れです。

再診断については、対象や期間に条件を設けているサービスもあります。たとえばさくらインターネットは、よくある質問のなかで「『診断を実施した対象』かつ『診断完了から3ヶ月以内』であれば再診断可能」と案内しています。修正の確認まで含めて計画できるかどうかは、後述する選定の観点にも関わります。

出典・参考資料（2件）

• 参考資料：脆弱性診断のやり方は？手動・ツール診断の使い分けと進め方｜バルテス（https://security.valtes.co.jp/blog/vulnerability_assessment_manner）
• 参考資料：手動診断シリーズ Webアプリケーション診断サービス｜さくらインターネット（https://cybersec.sakura.ad.jp/product/web-app/）

診断範囲の決め方や、自社で実施する場合と業者に依頼する場合の選び分け、費用の目安まで含めた脆弱性診断全体の進め方は、以下の記事で手順を追って解説しています。手動診断に限らず診断をどう計画すればよいか整理したい方は、あわせてご覧ください。

診断サービス選定で確認したい観点

手動診断を含むサービスを選ぶときは、価格の安さだけでなく、次の観点を確認すると、自社に合った依頼先を見極めやすくなります。

• 見積もりの透明性：画面数・API数・診断範囲など、費用が何で決まるかが明示されているか。手動診断は範囲依存で金額が動くため、内訳の説明があるほど比較しやすくなります。
• 報告書の質と改修支援：検出した脆弱性の影響や攻撃シナリオ、改修の優先順位まで説明されるか。報告だけで終わらず、修正方法の相談に応じてもらえるかも重要です。
• 再診断の有無と条件：修正後に再度確認してもらえるか、その対象・期間・回数に条件があるかを確認します。
• 手動とツールの組み合わせ方：どの範囲をツールで広く、どこを手動で深く診断するのか、診断の設計を説明してもらえるかを確認します。
• 自社のシステム・業界への理解：扱うデータや業務の性質を踏まえて、守るべき箇所に合わせた診断を設計してもらえるかを確認します。
• 第三者基準・診断体制の裏づけ：手動診断は診断員のスキルで結果が変わるため、体制や信頼性の裏づけがあるかを確認します。経済産業省の「情報セキュリティサービス基準」に適合した事業者をIPA（情報処理推進機構）がまとめた「情報セキュリティサービス基準適合サービスリスト」への掲載は、信頼性を測る一つの手がかりです。診断員の資格や診断手法の標準準拠も、第三者から見た裏づけとして確認するとよいでしょう。

出典・参考資料（1件）

• 参考資料：情報セキュリティサービス基準適合サービスリスト｜IPA 情報処理推進機構（https://www.ipa.go.jp/security/service_list.html）

手動診断を含む脆弱性診断サービス

ここでは、手動診断（専門家による検証や、攻撃者の視点で侵入を試すペネトレーションテスト）を含むサービスを2つ紹介します。いずれもツールによる自動解析と専門家の手作業を組み合わせており、自社のシステムに合わせた診断を相談できます。

まずは各サービスの診断手法と対象、費用の目安を一覧で確認してください。

ここで取り上げたのは手動診断を含むサービスですが、ツール診断やハイブリッドも含めて脆弱性診断サービス全体を見比べたい場合は、カテゴリ全体のまとめ記事が参考になります。診断方法・費用相場・選び方を整理し、無料で使えるツールも含めて幅広く比較しています。

1. Hi AUDIT（株式会社TECHFUND）

Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。もともとWeb3領域のスマートコントラクト監査を主力としてきた経緯があり、その知見をWebサービスやアプリケーション、IoT機器・医療機器といったハードウェアの診断にも広げています。ツールによる自動診断と、専門家によるマニュアル診断を組み合わせるハイブリッド診断を特徴としています。

報告の際には、検出した脆弱性を悪用されると何が起きるのか、攻撃シナリオと事業への影響まで整理して伝える方針を掲げています。レポート提出後も、説明会・質問への回答・修正方法の相談・修正後の再確認を、対応が完了するまで追加料金なしで行うとしています。

料金は、プロジェクトの状況や求めるセキュリティレベルに応じた個別見積もりで、公式サイトに定価の記載はありません。開発のたびに自動診断を回し、最後に個別のマニュアル監査を行う組み合わせを推奨しています。Webアプリの手動診断を含む幅広い領域に対応する一方、実績の厚みはスマートコントラクト監査側にあるため、依頼時には自社の対象システムでの診断範囲を確認するとよいでしょう。

2. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker株式会社の脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた診断です。

診断メニューは、ソースコードを読み取って弱点を洗い出す静的診断、稼働中のWebアプリケーションやAPIにアクセスして解析する動的診断、実際のシステムに仮想的な攻撃を仕掛ける実践攻撃シミュレーション診断（ペネトレーションテスト）の3つを用意しています。

AIによる自動解析で診断スピードを高めつつ、精度に関わる最終判断は人の目で承認するフローを取る点が特徴です。これにより、従来は年1回やリリース直後だけだった診断を、四半期や月単位で定期的に実施しやすくすることを狙っています。クラウドにデータを出せない場合に備え、自社でチューニングしたAIを顧客の環境内で動かす閉域構成も用意しています。

公式サイトにはプラン別の価格表がなく、時期によって無料診断などのキャンペーンが案内されることもあります。MCB FinTechカタログの掲載情報では、ソースコードAI診断が150,000円、ソースコードと動的診断を組み合わせたプラン（Lite）が500,000円からなど、メニュー別の価格が示されています。

静的診断から段階的に選べるため、まずは対象を絞って試したい場合にも相談しやすいサービスです。

まとめ

手動診断は、専門家が仕様や業務フローを踏まえて検証することで、認可の不備・権限昇格・ビジネスロジックの欠陥など、自動スキャンでは見つけにくい弱点を洗い出せる診断です。ツール診断は広い範囲を短時間・低コストで確認できる強みがあり、両者は役割が異なります。

重要なデータや独自仕様の多いシステムは手動診断を検討し、既知の脆弱性を広く定期的に押さえたい部分はツール診断を使う——というように、守るべき箇所に合わせて使い分けることが現実的です。

費用は対象の範囲で大きく動くため、見積もりの内訳や再診断の条件、報告書の質まで確認したうえで、自社に合った依頼先を選ぶとよいでしょう。手動診断を含む診断サービスの資料を比較して、具体的な検討を進めてみてください。

よくある質問（FAQ）

Q. 脆弱性の手動診断とは何ですか？

A. 脆弱性の手動診断とは、セキュリティの専門エンジニアが対象のWebアプリケーションやシステムを実際に操作し、仕様や業務の流れを踏まえて弱点を一つひとつ検証する診断です。あらかじめ用意した検査パターンを機械的に当てるツール（自動）診断に対し、手動診断はアプリ固有の文脈に踏み込んだ確認を人の目で行うため、誤検知が少なく精度が高い一方、専門家の工数がかかるぶん費用は高くなる傾向があります。

Q. 手動診断とツール（自動）診断は何が違いますか？

A. 手動診断とツール診断の違いは、手動診断が専門家の判断でアプリ固有の弱点を深く検証するのに対し、ツール診断は既知の脆弱性パターンを機械的に広く・速く・低コストでスキャンする点にあります。手動診断は認可の不備やビジネスロジックの欠陥など文脈に絡む弱点に強く、所要期間は数日〜数週間かかります。

ツール診断は数時間〜数日で広い範囲を確認できますが、機械判定のため誤検知の精査が必要で、アプリ固有の弱点は取りこぼしやすくなります。両者は優劣ではなく役割が異なります。

Q. 手動診断でないと見つかりにくい脆弱性にはどんなものがありますか？

A. 手動診断でないと見つかりにくい代表的な弱点は、認可の不備・権限昇格、認証やセッション管理の不備、ビジネスロジック（業務の流れ）の欠陥です。これらは入力値の形式が不正なわけではなく、一つひとつの操作は仕様どおりに動くため、既知パターンの機械的なスキャンでは異常と判定できません。

どの利用者がどのデータにアクセスしてよいかという業務上のルールを理解したうえで、人が実際に操作し、意図的に順序を崩したり条件を操作したりして初めて露見するため、手動診断の中心的な対象になります。

Q. 手動診断とツール診断は両方必要ですか？

A. 多くのシステムでは、ツールで広く既知の弱点を洗い出し、重要な機能や独自ロジックの部分を手動で深掘りするハイブリッド（併用）が現実的です。手動とツールは二者択一ではなく、どこを手動で深く・どこをツールで広く押さえるかを設計するのが実務の基本です。

既知の脆弱性を定期的に広く確認したい部分はツールで繰り返し、重要な機能を追加・変更したタイミングでその範囲だけ手動で深掘りする、という組み合わせも有効です。

Q. どんなシステムに手動診断が必要ですか？

A. 手動診断の検討が特に必要なのは、決済・送金やクレジットカード情報、個人情報など機微なデータを扱うシステムや、会員の権限によって見えてよい情報が細かく分かれるシステムです。独自開発の割合が大きく、業務フローが複雑なシステムも該当します。こうしたシステムは認可の不備やビジネスロジックの欠陥が実害に直結しやすいためです。

逆に、一般的な構成で機微なデータの取り扱いが限定的なサイトや、既知の脆弱性を広く定期的に確認したい場合は、ツール診断を中心に据える選択も現実的です。

Q. 手動診断の費用はどのくらいかかりますか？

A. 手動診断の費用は対象の範囲で大きく動きますが、各ベンダーの公開情報では小規模なWebアプリケーションで数十万円程度、中〜大規模なシステムでは100万円以上が目安とされています。あるベンダーは手動診断・ハイブリッド診断を50〜300万円程度（中規模100ページ以上で100〜250万円程度）としています。

画面遷移が非常に多いシステムを全機能手動で検査して1,000万円以上かかった事例も紹介されています。検査対象が広くなるほど費用も増えるため、どこまでを対象にするかが費用を左右します（金額は各ベンダーの公開値であり、中立な統計ではありません）。

Q. 手動診断にはどのくらいの期間がかかりますか？

A. 手動診断の所要期間は、対象範囲や複雑さに応じて、おおむね数日〜数週間が一般的です。数時間〜数日で完了するツール診断よりも時間がかかります。見積もりは画面数やAPI数をもとに算出されることが多く、対象の規模に強く依存するため、一律の定価が示されにくく個別見積もりになりやすい点が特徴です。

Q. 手動診断でも、修正後の再診断は受けられますか？

A. 再診断の可否や条件はサービスによって異なり、対象や期間に条件を設けている場合があります。たとえば「診断を実施した対象かつ診断完了から3ヶ月以内であれば再診断可能」と案内するベンダーもあります。検出された脆弱性を修正したあとに正しく直ったかを確認するまで計画に含めたい場合は、再診断の対象・期間・回数の条件を依頼前に確認しておくとよいでしょう。

Q. どの範囲を手動診断すればよいか分からない場合はどうすればよいですか？

A. 診断範囲が決められない場合は、「その画面やデータが悪用されたときに、どの程度の被害につながるか」を基準に、被害が大きい機能から優先的に手動診断の対象に組み込むのが現実的です。診断の対象範囲と目的を決める工程で費用と期間がほぼ決まるため、限られた予算を配分しやすくなります。予算に応じて診断範囲を提案してもらえるサービスもあるため、迷う場合は依頼先に相談するのもよいでしょう。

脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、手動診断を含む脆弱性診断サービスの最新資料を無料で一括請求できます。診断手法や対象範囲、費用の目安を並べて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。