自社のWebサービスやサーバーに脆弱性診断を入れることになったものの、「脆弱性診断は具体的に何を調べてくれるのか」が曖昧なまま、見積もりや社内申請を進めようとしていないでしょうか。診断の中身を把握していないと、どの範囲を・どこまで依頼すべきかの判断がつきません。
脆弱性診断で調べる項目は、診断する対象によって変わります。Webアプリケーションで調べる項目、サーバーやネットワーク機器で調べる項目、スマートフォンアプリで調べる項目はそれぞれ別物です。自社の対象がどれに当たり、どの項目が付いてくるのかが分かれば、発注範囲の当たりがつきます。
本記事では、脆弱性診断で実際にチェックする項目を、診断対象ごとに具体名で整理します。各項目が「何を調べ、悪用されると何が起きるのか」を一行で添え、OWASP Top 10 や IPA（独立行政法人情報処理推進機構）の基準との対応も示します。あわせて、自社でどの対象をどの頻度で診るべきかの考え方と、診断を依頼できるサービスも紹介します。
目次
一括ダウンロードする
脆弱性診断とは「何を調べる」ものか
脆弱性診断（セキュリティ診断）とは、公開・運用しているWebサイトやシステムに、攻撃に悪用され得る弱点（脆弱性）が残っていないかを、攻撃を受ける前に検査することです。SQLインジェクションやクロスサイト・スクリプティングといった既知の攻撃手法が通用しないか、設定や権限の扱いに不備がないかを一つずつ確認し、見つかった弱点とその対策を報告します。
何を調べるかは診断する対象で変わります。IPAが公開する「安全なウェブサイトの作り方」でも、Webアプリケーションの実装で起こりやすい脆弱性として、SQLインジェクションやクロスサイト・スクリプティングなど11項目が整理されています。以降では、この「診る項目」を診断対象ごとに具体名で見ていきます。
出典・参考資料（1件）
脆弱性診断の項目一覧【診断対象別】
ここからは、脆弱性診断で実際に確認する項目を診断対象ごとに整理します。自社の診断対象がどれに当たるかを確かめながら、必要な項目セットの当たりをつけてください。
項目が何を拠りどころにしているかは診断対象によって異なり、対象ごとの主な標準は次のとおりです。各項目には、その対象の主な標準（CWEやIPAの項番など）との対応を併記しています。OWASP Top 10 との全体の対応は、後半の「診断項目は何を根拠に決まるのか」で整理します。
| 診断対象 | Webアプリケーション | ネットワーク（プラットフォーム） | スマホアプリ | API | クラウド | ソースコード |
|---|---|---|---|---|---|---|
| 主な拠りどころ標準 | OWASP Top 10 IPA「安全なウェブサイトの作り方」 CWE | CVE・CVSS CISベンチマーク | OWASP MASVS | OWASP API Security Top 10 | CISベンチマーク | CWE |
Webアプリケーション診断の項目
Webアプリケーション診断は、ブラウザから使うアプリに、入力値の処理・認証・セッションの扱いを突いて攻撃が成立する欠陥がないかを調べます。脆弱性診断の中心となる領域で、代表的な項目は次のとおりです。
- SQLインジェクション：入力値がデータベースへの命令として実行され、情報の窃取・改ざん・消去につながる（CWE-89／IPA「安全なウェブサイトの作り方」1.1）
- クロスサイト・スクリプティング（XSS）：利用者のブラウザ上で不正なスクリプトが実行され、Cookieやセッション情報を盗まれる（CWE-79／IPA 1.5）
- クロスサイト・リクエスト・フォージェリ（CSRF）：ログイン中の利用者に、意図しない操作（退会・送金など）を実行させられる（CWE-352／IPA 1.6）
- OSコマンド・インジェクション：サーバーのOSコマンドを不正に実行され、システムを乗っ取られる（CWE-78／IPA 1.2）
- パス名パラメータの未チェック／ディレクトリ・トラバーサル：公開を想定しないファイルを読み書きされる（CWE-22／IPA 1.3）
- セッション管理の不備：セッションIDの固定・推測・盗用によって、別の利用者になりすまされる（IPA 1.4）
- アクセス制御・認可制御の不備：権限分離やアクセス制御の欠落により、他人の情報や管理機能にアクセスされる（IPA 1.11）
- HTTPヘッダ・インジェクション／メールヘッダ・インジェクション：レスポンスや送信メールのヘッダを改変される（IPA 1.7・1.8）
- クリックジャッキング：透明化した別ページ上で、利用者に意図しないクリックをさせられる（IPA 1.9）
- ファイルアップロード機能の不備：不正なファイルをアップロードされ、サーバー上で実行される
ネットワーク（プラットフォーム）診断の項目
ネットワーク診断（プラットフォーム診断）は、アプリを動かす基盤であるサーバーやネットワーク機器に、設定や公開状態の不備がないかを調べます。アプリの作り込みではなく、OS・ミドルウェア・機器の運用に起因する弱点が対象です。
- ポートスキャン・不要なサービスの公開：使っていないポートやサービスが外部に開いており、侵入の入口になる
- バナー・バージョン情報の露出：OSやミドルウェアの種類・バージョンが外部から判別でき、既知の攻撃を誘発する
- 古いOS・ミドルウェアの既知脆弱性（パッチ未適用）：すでに公表・修正されている脆弱性が、更新されないまま残っている
- SSL/TLSの設定不備：弱い暗号方式や期限切れ・不正な証明書により、通信が保護されない
- 既定の認証情報・弱いパスワード：初期ID・パスワードのまま運用され、容易にログインされる（複合機やネットワーク機器で見つかりやすい）
これらの既知脆弱性には、深刻度を評価する共通の指標としてCVSS（共通脆弱性評価システム）が用いられ、個別の脆弱性はCVE（共通脆弱性識別子）で管理されます。サーバーやクラウドの設定基準としてはCISベンチマークが広く参照されています。
出典・参考資料（2件）
この既定の認証情報の問題について、社内の機器を内部から診断している株式会社SYNCHROの北口氏は、複合機の実態を次のように話しています。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
スマホアプリ診断の項目
スマートフォンアプリは、端末内へのデータ保存・通信・OSとの連携に固有の弱点があります。モバイルアプリのセキュリティ検証標準であるOWASP MASVS（Mobile Application Security Verification Standard）の観点で、主な診断項目を挙げます。
- 端末内データの平文保存：認証情報や個人データが暗号化されずに端末へ保存され、端末の紛失・解析時に漏れる（MASVS-STORAGE）
- 通信の暗号化不備・証明書検証の欠如：通信が暗号化されない、または証明書の正当性を確認せず、盗聴・改ざんされる（MASVS-NETWORK）
- WebView（アプリ内ブラウザ）の実装不備：アプリ内で表示するコンテンツ経由でスクリプト実行やファイルアクセスを許す（MASVS-PLATFORM）
- 過剰な権限・他アプリ連携の不備：必要以上の権限取得や安全でない連携により、情報が外部へ渡る（MASVS-PLATFORM）
- ログへの機密情報出力：デバッグログなどに認証情報や個人データが残る（MASVS-STORAGE）
- 改ざん・root化／脱獄検知の欠如：アプリを解析・改造され、不正な動作や課金回避に悪用される（MASVS-RESILIENCE）
自社のスマホアプリを診断対象にする場合は、iOS／Androidそれぞれの対応や費用相場、事業者の選び方まで踏み込んで検討することになります。次の記事で診断項目と合わせて整理しています。
API診断の項目
Web APIは画面を介さずデータをやり取りするため、認可やデータの返し方に固有の弱点が生じます。OWASP API Security Top 10（2023年版）の観点で、主に確認するのは次の項目です。
- オブジェクトレベル認可の不備：IDを変えるだけで他人のデータを参照・操作できる（API1:2023 Broken Object Level Authorization）
- 認証の不備：トークンの発行・検証が甘く、なりすましを許す（API2:2023 Broken Authentication）
- プロパティレベル認可の不備・過剰なデータ露出：本来返すべきでない項目までレスポンスに含める（API3:2023 Broken Object Property Level Authorization）
- リソース消費の無制限（レート制限の欠如）：大量リクエストでサービスを停止させられる（API4:2023 Unrestricted Resource Consumption）
- 機能レベル認可の不備：一般利用者が管理者向け機能を呼び出せる（API5:2023 Broken Function Level Authorization）
ここで挙げたのは、OWASP API Security Top 10のうち認可・認証に関わる代表的な項目です。残りのセキュリティ設定の不備や不適切な在庫管理などは、Webアプリ診断やネットワーク診断と重なる観点が中心で、API固有の論点は認可の欠陥にあります。OWASP API Security Top 10に沿った診断内容とサービスの選び方は、次の記事で詳しく解説しています。
クラウド診断の項目
クラウド（IaaS／PaaS）では、設定の不備がそのまま情報公開や侵入につながります。アプリ本体ではなく、クラウド環境の構成・権限・公開範囲が診断対象です。
- ストレージの公開範囲の誤り：ストレージ（S3バケット等）が意図せず公開状態になり、データが外部から閲覧される
- IAM（権限）設計の不備・過剰な権限付与：必要以上の権限が割り当てられ、侵入時の被害が拡大する
- セキュリティグループ・ネットワーク構成の不備：不要な通信経路が開いている
- クラウド上のOS・ミドルウェアの既知脆弱性：インスタンス上のソフトウェアが更新されていない
- ログ・監視設定の不足：不正アクセスの記録が残らず、検知・追跡ができない
クラウドの設定については、前掲のCISベンチマークが主要クラウド（AWS・Azure・Google Cloud等）ごとに推奨設定を公開しており、診断の基準として参照されます。
クラウドの診断は、ここで挙げた設定の不備を点検する設定診断（CSPM）と、クラウド上で稼働するシステムそのものを対象とする脆弱性診断に分かれます。本節で挙げたクラウド診断の項目は、主に前者の設定診断に当たります。両者の対象・種類・費用の考え方は次の記事にまとめています。
ソースコード診断の項目
ソースコード診断は、アプリを動かす前のコードそのものを読み、実行時の診断（外部からの動的診断）では見つけにくい弱点を洗い出します。Webアプリ診断と重なる項目は再掲せず、ここではコードを直接見るからこそ検出できる項目を挙げます。
- バッファオーバーフロー：確保した領域を超える書き込みで、誤動作や任意コードの実行につながる（IPA「安全なウェブサイトの作り方」1.10）
- ハードコードされた機密情報：パスワードやAPIキーがコード内に直接書き込まれ、流出時に悪用される
- ログ偽造・不適切なログ出力：ログに細工され、不正の痕跡を消される／機密情報が書き出される
- 解放されていないリソース：メモリやファイルハンドルが解放されず、動作不良や停止の原因になる
ソースコード診断を単独で依頼する場合は、費用相場や依頼先の選び方がWebアプリ診断とは異なります。タイプ別の整理は次の記事で確認できます。
一括ダウンロードする
診断項目は何を根拠に決まるのか（OWASP Top 10・IPA基準との対応）
診断項目が「ひととおり網羅されている」と言えるのは、公開された国際標準・公的ガイドラインを拠りどころにしているからです。発注時や社内説明で網羅性を自分で確かめられるよう、代表的な基準と、版（バージョン）に注意すべき点を押さえておきます。
OWASP Top 10（Webアプリの国際標準）
OWASP Top 10は、Webアプリで特に重大なセキュリティリスクを10項目にまとめた国際的な指標です。最新版は2025年版で、次の10カテゴリで構成されます。
出典：OWASP Top 10:2025｜OWASP Foundation（日本語は内容に基づく訳）
- A01:2025 – Broken Access Control（アクセス制御の不備）
- A02:2025 – Security Misconfiguration（セキュリティ設定の不備）
- A03:2025 – Software Supply Chain Failures（ソフトウェアサプライチェーンの不備）
- A04:2025 – Cryptographic Failures（暗号化の失敗）
- A05:2025 – Injection（インジェクション）
- A06:2025 – Insecure Design（安全でない設計）
- A07:2025 – Authentication Failures（認証の失敗）
- A08:2025 – Software or Data Integrity Failures（ソフトウェアとデータの整合性の不備）
- A09:2025 – Security Logging and Alerting Failures（セキュリティログとアラートの不備）
- A10:2025 – Mishandling of Exceptional Conditions（例外条件の不適切な取り扱い）
注意したいのは、OWASP Top 10は版によって項目名や順序が変わる点です。たとえば2021年版でA10に独立していたSSRF（サーバーサイド・リクエスト・フォージェリ）は、2025年版ではアクセス制御の不備に統合されました。
また2021年版のA05だったセキュリティ設定の不備は2025年版でA02へ上がり、2025年版ではソフトウェアサプライチェーンの不備が新たに整理されています。診断の網羅性を基準で語るときは、どの版に基づくかを確認してください。
先に挙げたWebアプリケーション診断の項目は、このOWASP Top 10:2025のカテゴリに対応づけられます。SQLインジェクションとOSコマンド・インジェクションはA05（インジェクション）、アクセス制御・認可制御の不備はA01（アクセス制御の不備）、認証に関わる不備はA07（認証の失敗）に当たります。
見積もりの際にこの対応が示されていれば、項目が国際標準のどこを押さえているかを確かめられます。
出典・参考資料（1件）
IPAの基準（国内の拠りどころ）
国内では、IPAが公開する文書が診断項目の拠りどころになります。「安全なウェブサイトの作り方」改訂第7版は、Webアプリの実装における代表的な脆弱性としてSQLインジェクションやクロスサイト・スクリプティングなど11項目を挙げています。
もう一つの「ウェブ健康診断仕様」は、簡易的な診断で確認する診断項目を(A)〜(M)の13項目として定めた仕様です。各項目には危険度が付与されていますが、13項目すべてが「高」というわけではありません。危険度「高」とされているのは(A)SQLインジェクション・(D)OSコマンド・インジェクション・(G)パス名パラメータの未チェック／ディレクトリ・トラバーサル・(L)認可制御の不備・欠落の4項目です。
出典：ウェブ健康診断仕様｜独立行政法人情報処理推進機構（IPA）
- (A) SQL インジェクション ── 危険度「高」
- (B) クロスサイト・スクリプティング ── 危険度「中」
- (C) CSRF（クロスサイト・リクエスト・フォージェリ） ── 危険度「中」
- (D) OS コマンド・インジェクション ── 危険度「高」
- (E) ディレクトリ・リスティング ── 危険度「低〜高」
- (F) メールヘッダ・インジェクション ── 危険度「中」
- (G) パス名パラメータの未チェック／ディレクトリ・トラバーサル ── 危険度「高」
- (H) 意図しないリダイレクト ── 危険度「中」
- (I) HTTP ヘッダ・インジェクション ── 危険度「中」
- (J) 認証 ── 危険度「低〜中」
- (K) セッション管理の不備 ── 危険度「低〜高」
- (L) 認可制御の不備、欠落 ── 危険度「高」
- (M) クローラへの耐性 ── 危険度「低〜中」
ウェブ健康診断仕様は検査パターンを絞り込んだ簡易診断であり、この仕様の範囲を満たすことが、そのまま安全の保証になるわけではない点に留意してください。スマートフォンアプリはOWASP MASVS、APIはOWASP API Security Top 10（2023年版）が、それぞれ対象ごとの拠りどころになります。
自社はどの対象を・どこまで・どの頻度で診るか
診断項目を把握したら、次は自社の対象をどこまで・どの頻度で診るかを決める段階です。すべての項目を一度に最大限診断する必要はなく、公開範囲やシステムの重要度に応じて優先順位をつけるのが現実的です。
公開範囲で優先度を決める
優先度が高いのは、不特定多数がインターネットから利用する一般公開システムです。会員サイトやECサイト、公開APIのように、外部から直接アクセスできるWebアプリ・APIは、攻撃者の標的になりやすく、Webアプリケーション診断を優先します。取引先など特定の相手だけが使う限定公開システムがこれに次ぎ、社内だけで使う閉じたシステムは相対的に優先度が下がります。
一方で、社内ネットワークやサーバー・ネットワーク機器も、マルウェアの侵入や内部不正を想定すると無視できません。外部公開のWebアプリをアプリケーション診断で、社内の機器やサーバーをネットワーク診断で、というように、対象の性質に合わせて診断の種類を組み合わせます。
たとえば、会員登録やECの機能を持つ外部公開のWebサービスで、APIと社内サーバーも使っているとします。この場合は、Webアプリケーション診断とAPI診断に、サーバーやネットワーク機器のネットワーク診断を組み合わせるのが基本の構成です。スマートフォンアプリを提供していれば、そこにスマホアプリ診断が加わります。自社のシステム構成をこの対象の組み合わせに当てはめると、発注範囲の輪郭が見えてきます。
項目レベルでは、悪用されたときの影響が大きい脆弱性から押さえます。先に挙げたIPA「ウェブ健康診断仕様」で危険度「高」とされる4項目は、まず優先して診るべき筆頭候補です。限られた予算で範囲を絞る場合は、これらを含む診断を優先すると、重大な被害につながりやすい弱点から着実に手を打てます。
どの頻度で診断するか
脆弱性は日々新たに公表されるため、一度診断して終わりにはできません。新しいサービスのリリース前や、機能追加・構成変更などの大きな改修を行った後は、その都度診断するのが基本です。それに加えて、定期的な診断で経時的な変化を確認します。
従来は年1回程度の実施が一般的でしたが、攻撃手法の変化が速くなっている近年は、重要なシステムほど診断の間隔を短くする動きがあります。ツールによる自動診断を組み合わせれば、頻度を上げながら運用負荷とコストを抑えることも可能です。自社の対象の重要度と、変更の頻度に合わせて診断サイクルを設計してください。
こうした診断頻度の変化について、CoWorker株式会社の一ノ瀬氏は、攻撃側のスピード向上を背景に次のように話しています。
これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
ツール診断と手動診断の違い・費用感・依頼の仕方
脆弱性診断には、ツールによる自動診断と、専門家による手動診断の2つの方法があります。どちらを選ぶかで、検出できる項目の深さ・費用・実施の頻度が変わります。
ツール診断は、既知の脆弱性を網羅的かつ短時間で検査でき、費用を抑えて頻度を上げやすいのが利点です。一方で、設計上の権限の不備や業務ロジックを突いた攻撃など、文脈を読む必要がある脆弱性は見つけにくく、誤検知の確認も必要になります。
手動診断は、専門家が攻撃者の視点で検証するため、ツールでは拾いにくい複雑な脆弱性まで踏み込めますが、その分コストと期間がかかります。両者を組み合わせ、広く浅くはツールで、重要箇所は手動で、と使い分ける方法もあります。
費用は診断方法と対象の規模によって幅があります。ソースコードを対象とする静的診断は十数万円から、稼働中のWebアプリ・APIを対象とする動的診断は数十万円から、実際の攻撃を模すペネトレーションテストは数十万円から百万円以上まで、というのが目安です。
依頼する際は、まず診断対象（Webアプリ・サーバー・スマホアプリなど）と範囲（画面数・APIのエンドポイント数・ノード数など）を整理し、見積もりを取ったうえで、診断・報告・改善までの流れも確認しておくと安心です。具体的な料金は、後述する各サービスの資料で比較できます。
診断方法ごとの費用相場や、無料ツールを含めたサービスの選び方を一通り押さえてから発注を検討したい場合は、脆弱性診断サービスを横断的に比較した次の記事が参考になります。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
脆弱性診断を依頼できるサービス
ここからは、これまで整理してきた診断項目をカバーできるサービスを紹介します。専門家による手動診断、ツール型の継続的な自動診断、ネットワーク内部の定期診断といった、アプローチの異なるサービスを取り上げます。まずは全体像を比較表で確認してください。
| サービス名 | CoWorker 脆弱性診断サービス | Aikido Security | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| タイプ | AIと専門家による受託診断 | オールインワンのツール型SaaS | 内部ネットワークの定期診断パッケージ |
| 主な診断対象 | ソースコード Webアプリケーション API | ソースコード（SAST・SCA） クラウド設定（CSPM） 稼働中アプリ（DAST） | 社内ネットワーク内部の機器 （サーバー・ネットワーク機器・複合機・PC等） |
| 診断方式 | AIの自動解析＋専門家による最終確認 （手動のペネトレーションテストにも対応） | ツールによる自動スキャン （人手の診断は別サービス） | 専用機によるリモート診断 （ネットワーク内部から） |
| 料金目安 | ソースコードAI診断15万円〜 動的診断30万円〜 Webペネトレーションテスト60万円〜 （CoWorkerインタビューに基づく目安。最新は要問い合わせ） | 月額5万円台〜 （日本窓口AndGoの参考価格。無料プランあり） | 1台1,250円／月〜 |
| 診断頻度 | スポット〜四半期・月次の定期診断に対応 | 継続的（開発・運用に組み込み） | 月次（年12回） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた診断サービスです。診断メニューは、ソースコードを解析する静的診断、稼働中のWebアプリ・APIを対象とする動的診断、実際の攻撃を想定したペネトレーションテストの3つに分かれています。
AIが多数の検査パターンを短時間で処理することで、診断にかかる時間を抑えられる点が特徴です。
料金の目安は、ソースコードのAI診断が150,000円から、動的診断がAPIのエンドポイント数に応じて300,000円からです。Webペネトレーションテストは600,000円から、ネットワークペネトレーションテストは1,000,000円からとなります（CoWorkerへのインタビューに基づく目安で、最新の料金は要問い合わせ）。
年1回だけでなく、四半期や毎月といった定期的な診断にも対応できる体制を掲げています。
2. Aikido Security（Aikido Security／株式会社AndGo）
ソースコードの解析（SAST）から依存ライブラリの検査（SCA）、クラウド設定の診断（CSPM）、稼働中アプリの動的診断（DAST）までを1つの管理画面で扱えるツール型のSaaSが、Aikido Securityです。開発元はベルギーのAikido Security、日本での販売・サポート窓口は株式会社AndGoが担い、日本語での対応と日本円での請求に対応しています。
複数のツールに分かれがちな診断を統合し、アラートの自動トリアージで対応すべき項目を絞り込める点が強みです。検出した脆弱性の修正案をプルリクエストとして自動作成する機能もあり、見つけた後の修正まで進めやすくなっています。無料で試せるDeveloperプランがあり、有料プランは利用するエンジニア数に応じたサブスクリプション型です。
どのような開発体制に向くかについて、日本窓口を務める株式会社AndGoの原氏は次のように話しています。
基本は、自社でサービスを提供していて、内製でアプリ開発をしている企業です。特にSaaSスタートアップはフィットしやすいです。一方で大企業でも、顧客向けのサービスを自社チームで作っている場合は同じ悩みを持つので、導入の効果が出やすいです。
もう一点、導入が進みやすいのは、CTOなど技術責任者がいて、開発の現場が主となってセキュリティ論点に対する意志決定ができる組織です。逆に、内部統制が強すぎて現場が動けない場合や、SOC外注に寄りすぎて開発環境の優先度が落ちている場合は、価値が出るまでに時間がかかることがあります。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROが提供するKATABAMIは、予防・復旧・補償を一体にしたパッケージ型のサービスです。予防にあたる脆弱性診断（KATABAMI VDP）では、暗号化された専用の通信経路を使い、サーバー・ネットワーク機器・複合機・PCといった社内ネットワーク内部の機器を、リモートから月次で診断します。
従来は専門家が客先に出向いて行っていた内部ネットワークの診断を、遠隔から継続的に実施できる点が特徴で、立ち会いの工数を抑えられます。初期パスワードのまま使われている複合機や、管理者権限の設定不備といった内部の弱点を洗い出し、対策方法まで伴走して支援します。
料金は1台あたり月額1,250円からで、診断する端末数（ノード数）と頻度に応じて決まります。脆弱性診断に加えて、隔離された経路でのバックアップ（復旧）とサイバー保険（補償）を組み合わせられるのも、このサービスならではの構成です。
よくある質問（FAQ）
Q. 脆弱性診断とは何ですか？
A. 脆弱性診断とは、Webサイトやシステムに、攻撃へ悪用され得る弱点（脆弱性）が残っていないかを、攻撃を受ける前に検査することです。SQLインジェクションやクロスサイト・スクリプティングといった既知の攻撃手法が通用しないか、設定や権限の扱いに不備がないかを一つずつ確認し、見つかった弱点と対策を報告します。
実際に調べる項目は、Webアプリケーション・ネットワーク・スマホアプリといった診断対象によって変わります。
Q. 脆弱性診断とペネトレーションテストは何が違いますか？
A. 脆弱性診断とペネトレーションテストは、目的が異なります。脆弱性診断は対象に潜む弱点を網羅的に洗い出すのに対し、ペネトレーションテストは特定の攻撃目標を達成できるかを攻撃者の視点で試す検証です。
まず脆弱性診断で全体の弱点を把握し、特に重要なシステムについてはペネトレーションテストで実際の侵入可否まで確かめる、という使い分けが一般的です。両者の目的・費用・選び方をより詳しく比較したい場合は、ペネトレーションテストと脆弱性診断の違いを比較した記事もご参照ください。
Q. 脆弱性診断はどの対象から診断すべきですか？
A. 脆弱性診断は、不特定多数がインターネットからアクセスできる一般公開システム（会員サイト・ECサイト・公開APIなど）から優先するのが基本です。外部から直接狙われやすいWebアプリケーション・APIを先に診断し、次いで取引先など特定の相手だけが使う限定公開システム、社内システムの順に範囲を広げます。あわせて、サーバーやネットワーク機器はネットワーク（プラットフォーム）診断で押さえます。
Q. 脆弱性診断はどのくらいの頻度で実施すべきですか？
A. 脆弱性診断は、新しいサービスのリリース前や、機能追加・構成変更などの大きな改修の後に都度実施し、加えて定期的に行うのが基本です。脆弱性は日々新たに公表されるため、一度診断して終わりにはできません。従来は年1回程度が一般的でしたが、重要なシステムほど間隔を短くする動きがあり、ツールによる自動診断を組み合わせれば、頻度を上げても運用負荷とコストを抑えられます。
Q. 脆弱性診断の費用相場はどのくらいですか？
A. 脆弱性診断の費用は診断方法と対象の規模によって幅があり、ソースコードの静的診断は十数万円から、稼働中のWebアプリ・APIの動的診断は数十万円から、ペネトレーションテストは数十万円から百万円以上までが目安です。画面数・APIのエンドポイント数・ノード数といった診断範囲で変動するため、対象と範囲を整理したうえで複数社から見積もりを取り、比較することをおすすめします。
Q. 脆弱性診断はツール診断と手動診断のどちらを選べばよいですか？
A. 脆弱性診断は、既知の弱点を広く・低コストで高頻度に検査したいならツール診断、設計上の権限不備や業務ロジックを突く複雑な脆弱性まで踏み込みたいなら手動診断が向いています。ツール診断は短時間で網羅的に検査できる一方、文脈を読む必要がある脆弱性は見つけにくく、手動診断はその分コストと期間がかかります。広く浅い部分はツールで、重要箇所は手動で、と両者を組み合わせる方法もあります。
Q. 脆弱性診断の項目がOWASP Top 10・IPAの基準に沿っているかを確認するには？
A. 脆弱性診断の網羅性は、提案書や報告書に記載された診断項目が、OWASP Top 10やIPAの「安全なウェブサイトの作り方」「ウェブ健康診断仕様」といった公開された基準に対応づけられているかで確認できます。
見積もりの段階で、どの基準の・どの版（バージョン）に準拠しているかを尋ねると、網羅の拠りどころを客観的に確かめられます。OWASP Top 10は版によって項目名や順序が変わるため、版の明示は特に重要です。
Q. WAFを導入していれば脆弱性診断は不要ですか？
A. WAF（Web Application Firewall）を導入していても、脆弱性診断が不要になるわけではありません。WAFは攻撃の通信を検知・遮断して被害を緩和する仕組みで、アプリやサーバーに残っている脆弱性そのものを修正するものではないためです。脆弱性診断で弱点を洗い出して根本的に改修したうえで、WAFを多層防御の一つとして併用するのが望ましい形です。
Q. 脆弱性診断で脆弱性が見つかった後は何をすればよいですか？
A. 脆弱性診断で弱点が見つかった後は、報告書の深刻度（CVSSなどの評価）が高い項目から優先して改修し、修正後に再診断で対策できたことを確認するのが基本の流れです。すぐに改修できない項目は、WAFによる緩和やアクセス制限などの暫定対策を取りながら、改修計画に落とし込みます。診断・報告・改善までの流れをどこまで支援してもらえるかは、依頼前にサービスごとに確認しておくと安心です。
まとめ
脆弱性診断で調べる項目は、Webアプリケーション・ネットワーク・スマートフォンアプリ・API・クラウド・ソースコードといった診断対象ごとに異なります。まずは自社の対象がどれに当たるかを確認し、OWASP Top 10やIPAの基準と対応づけながら、必要な項目セットの当たりをつけることが、発注範囲を決める出発点になります。
自社の課題に合うサービスを選べば、限られた予算でも優先度の高い弱点から着実に対策を進められます。診断の範囲と方法（ツール診断か手動診断か）が定まったら、複数のサービスの資料を取り寄せ、診断対象・項目・料金を比べてみてください。
一括ダウンロードする
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象や診断方法、料金を横並びで比較して、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
