GCPの脆弱性診断とは？標準機能・OSS・外部サービスの違いと選び方を解説

Google Cloud（GCP）上で本番サービスを運用していると、設定ミスや既知の脆弱性が気づかないうちに放置されていないか、一度棚卸ししておきたくなる場面があります。公開状態のままのストレージ、開きっぱなしのポート、必要以上に強い権限の付与といった穴は、そのまま攻撃の入口になり得ます。

一方で、GCPの脆弱性を調べる手段には、自分で調べる方法も外部に委託する方法も複数あり、どれを選べばよいか迷いやすい領域でもあります。

本記事では、GCPの脆弱性診断で取りうる手段をGCP標準機能（Security Command Center）・OSSツール・外部の診断サービスの3つに整理します。それぞれで何が分かるのか、費用はどのくらいか、どんなケースに向くのかを解説します。

無料で自力でできる範囲と、外部委託が必要になる場面の見極めまで整理するので、自社に合った診断の進め方を選ぶ手がかりとしてご活用ください。

GCPの脆弱性診断には何がある？標準機能・OSS・外部サービスの全体像

GCPの脆弱性を洗い出す手段は、大きく3つに分けられます。GCPに組み込まれた標準機能で調べる方法、無料のOSSツールを自分で動かす方法、そして外部の診断サービスに委託する方法です。まずはそれぞれで「何が分かるのか・費用はどのくらいか・どんなケースに向くのか」を一覧で整理します。

※上記は各手段の一般的な傾向です。外部診断の費用は一例で、実際に対応する範囲や費用は、利用するツール・委託先・環境によって異なります。

この3つは排他的なものではなく、「標準機能で常時監視しつつ、年に一度は外部の専門診断を受ける」といった組み合わせも一般的です。以下では、それぞれの中身を順に見ていきます。

GCPでよく見つかる設定ミス・脆弱性（自社環境と照らすチェックリスト）

手段を選ぶ前に、GCP環境で実際に検出されやすい設定ミスを押さえておくと、自社の状況をイメージしやすくなります。代表的なものには、公開状態のCloud Storageバケット、無制限に開いたSSHポート、必要以上に強い権限の付与、2段階認証の未設定、組織管理外アカウントの利用などがあります。

これらの多くは、Security Command Center（後述）に含まれる設定診断機能「Security Health Analytics」が検出項目として持っており、国際的な設定基準であるCISベンチマーク（CIS Google Cloud Foundations Benchmark）の各項目に対応づけられています。

Security Command Centerには無料のStandardティアと有料のPremiumティアがあり（詳細は後述します）、検出できる項目はティアによって変わります。主な設定ミスと、その検出項目・対応するCIS基準・無料ティアで検出できるかを整理すると、次のとおりです。

※検出項目名・対応基準はGoogle Cloud公式ドキュメント（2026年11月時点）による。

公開バケット・SSHポート開放・MFA未設定・組織管理外アカウントの4項目は、無料のStandardティアでも検出できます。一方、所有者（Owner）・編集者（Editor）・閲覧者（Viewer）といった基本ロールを広く付与している「過剰なIAM権限」は、有料のPremiumティアでのみ検出され、対応基準もCISではなくNIST 800-53などに紐づく点に注意が必要です。

出典・参考資料（1件）

• 参考資料：Security Health Analytics の脆弱性検出項目｜Google Cloud（https://cloud.google.com/security-command-center/docs/concepts-vulnerabilities-findings、2026年11月時点）

GCPを自力で脆弱性診断する（GCP標準機能・OSS）

ここからは、無料から低コストで自力診断する2つの道を見ていきます。GCPに組み込まれた標準機能（Security Command Center）と、無料のOSSツールです。いずれも、外部に委託する前に自社でどこまで把握できるかを知るうえで出発点になります。

Security Command Center（SCC）——無料／有料で見える範囲

Security Command Center（SCC）は、GCP環境の設定ミス・脆弱性・脅威を一元的に検出・監視する、GCP標準のセキュリティ管理機能です。公開バケットや過剰権限といった設定ミスの検出から、ログを分析した脅威検知まで扱えますが、どこまで見えるかは利用するティア（プラン）によって分かれます。

SCCにはStandard・Premium・Enterpriseの3ティアがあり、課金対象はPremiumとEnterpriseのみで、Standardティアは無料で利用できます。

無料のStandardは「GCPの基本的な設定・コンプライアンス状態の管理」を担い、有料のPremiumはそれに加えて高度な設定管理・攻撃経路の可視化・脅威検出・コンプライアンス監視まで対象になります。無料と有料の違いを整理すると、次のとおりです。

※料金・ティアの内容はGoogle Cloud公式ドキュメント（2026年11月時点）による。料金は変動するため、導入前に公式ページで最新の情報を確認してください。

まず無料のStandardで自社環境をスキャンし、設定ミスの多くはその範囲で把握する、という使い方が出発点になります。より高度な脅威検出や攻撃経路の分析が必要になった段階でPremiumを検討する、という順序が現実的です。

Standardは追加費用なしで、組織レベルで有効化して利用できます。まずは有効化し、自社環境の検出結果を確認するところから始められます。

設定ミスの検出に加えて、SCCにはWeb Security ScannerというWebアプリ向けのスキャン機能もあります。公開エンドポイントを定期的にクロールする自動（マネージド）スキャンはPremiumで利用でき、クロスサイトスクリプティングなどの基本的な脆弱性を検出します。

ただし認証後の画面や作り込みの深い脆弱性まで確認したい場合は、外部のWebアプリ診断・ペネトレーションテストのほうが向きます。SCCの守備範囲は「設定ミスの監視＋基本的なWebスキャン」までと捉えておくと、どこから先を外部診断に任せるかを判断しやすくなります。

マルチクラウド対応のEnterpriseティアは2027年5月21日に提供終了が予定されており、以降はPremiumへ自動的に移行するとされています。SCCの有料利用を検討する際は、Premiumを中心に見ておくとよいでしょう。

出典・参考資料（2件）

• 参考資料：Security Command Center の料金｜Google Cloud（https://cloud.google.com/security-command-center/pricing、2026年11月時点）
• 参考資料：Security Command Center のサービスティア｜Google Cloud（https://cloud.google.com/security-command-center/docs/service-tiers、2026年11月時点）

OSSツール（Prowler・Scout Suite など）

標準機能に加えて、無料のオープンソースツールでGCPの設定を自分で監査する道もあります。代表的なのがProwlerとScout Suiteです。

Prowlerは、GCPを公式サポートするクラウドセキュリティ診断ツールです。GCP向けに110種類のチェックを備え、CISやNISTなど複数のフレームワークに対応します。ライセンスはApache License 2.0で、商用利用を含め無料で使えます。

Scout SuiteもGCPに対応するマルチクラウドの監査ツールで、ライセンスはGPL-2.0です。どちらもツール自体は無料ですが、実行環境の用意や結果の読み解きは自社で行う前提になります。

設定ミスを検出できる範囲は、無料のSecurity Command Center（Standard）と重なる部分が多くあります。OSSツールならではの利点は、複数のクラウドを同じ基準で横断チェックできることや、CI/CDのパイプラインに組み込んで変更のたびに自動で点検できることです。

SCCの無料枠で足りるなら無理に併用する必要はなく、マルチクラウドや継続的な自動チェックを自前で組みたい場合に効いてきます。

手を動かせるエンジニアがいて、継続的なパイプラインに組み込みたい、あるいは費用をかけずに踏み込んで調べたい、といった場合に適した選択肢です。一方で、検出結果の判断や改善対応はすべて自社の責任で進めることになります。

出典・参考資料（2件）

• 参考資料：Prowler 公式リポジトリ｜GitHub（https://github.com/prowler-cloud/prowler、2026年11月時点）
• 参考資料：Scout Suite 公式リポジトリ｜GitHub（https://github.com/nccgroup/ScoutSuite、2026年11月時点）

外部の設定診断・脆弱性診断サービスに委託する（費用相場・成果物・選び方）

自力での診断に加えて、専門の診断会社に委託する選択肢もあります。社内に専門人員がいない場合や、第三者の客観的な評価・提出用のレポートが必要な場合に向きます。ここでは、外部診断で何を診てもらえるのか、費用相場と成果物、選び方の順に整理します。

外部診断で何を診てくれるか

外部診断は、診断の対象によっていくつかのメニューに分かれます。GCPの文脈では、主に次の3種類が中心です。

• クラウド設定診断：IAM（アクセス権限の管理）・ストレージ・ネットワークなどGCPの設定が、CISベンチマークなどの基準に照らして安全かを点検します。
• Webアプリケーション・API診断：GCP上で動くWebアプリやAPIに、SQLインジェクションやクロスサイトスクリプティングなどの脆弱性がないかを診断します。
• ペネトレーションテスト（侵入テスト）：実際に攻撃者の視点で侵入を試み、どこまで被害が及ぶかを検証します。

設定診断は「設定の不備」を、Webアプリ診断は「アプリの作り込みの脆弱性」を、ペネトレーションテストは「実際に悪用できるか」を確かめるもので、見ている対象が異なります。自社で何を確かめたいかによって、必要なメニューを選ぶとよいでしょう。

GCPに限らずクラウド全般で、脆弱性診断の対象・種類・費用の考え方や、設定診断（CSPM）と脆弱性診断の違いを体系的に押さえておきたい場合は、以下の記事で整理しています。

費用相場・期間・成果物

費用は診断の種類と対象の規模で変わります。参考として、CoWorker 脆弱性診断サービスでは、ソースコードを読み取る静的診断が15万円前後から、Webアプリケーションのペネトレーションテストが60万円前後からが目安として公表されています（診断メニューごとの詳しい料金は後述のサービス紹介を参照）。

継続的な外部スキャンを前提にするサービスでは、年額契約が中心です。たとえばSCT SECURE クラウドスキャンは、3つのIP／FQDNまでを対象に年額564,000円（初年度・税抜）という料金体系で、毎日自動で外部診断を実施します。成果物は、検出された脆弱性と優先度をまとめたレポートが基本で、改善方針の指導まで含むサービスもあります。

金額は委託先・対象範囲・診断の深さによって上下するため、実際の費用は見積もりで確認するのが前提です。ここで挙げた数字は、相場感をつかむための目安として捉えてください。

外部診断サービスの選び方

外部診断サービスを選ぶときは、まず診断方式が自社のニーズに合うかを確認しましょう。常時の監視が目的なら毎日自動でスキャンする継続型、年に一度の精密な点検が目的なら専門家による手動診断、というように、継続監視か単発の精密診断かで向くサービスが分かれます。

次に、GCPを含む対応クラウドと診断対象の範囲を確認しておきましょう。クラウドの設定だけを診るのか、Webアプリやネットワークまで含むのかで、カバーできる穴が変わります。PCI DSSなど特定の基準への準拠が必要な場合は、その要件に対応したエンジンや資格を持つかもあわせて確かめておくと安心です。

最後に、成果物の実用性も重要です。検出項目を並べるだけでなく、優先度や改善方針まで示されると、診断後の対応に移りやすくなります。サンプルレポートを公開しているサービスなら、事前に読みやすさを確かめられます。

GCPにペネトレーションテストをしてよい？事前手続きと現行ルール

自力でも外部委託でも、GCP環境に対して疑似攻撃型のペネトレーションテストを行う場合、「クラウド事業者への事前申請は必要なのか」という疑問が出てきます。かつては事前申請が必要とする解説もありましたが、Google Cloudの現行の公式見解では、事前の連絡や承認は不要とされています。

ただし条件があります。Google Cloudの公式FAQでは、ペネトレーションテストを行う場合でも事前連絡は不要とされています。

その一方で、利用規約と許容利用ポリシー（Acceptable Use Policy）を守り、テストの影響を自社のプロジェクトの範囲に限定することが条件です。また、脆弱性を発見した場合はVulnerability Reward Programを通じて報告することが求められています。

If you plan to evaluate the security of your Cloud Platform infrastructure with penetration testing, you are not required to contact us. You will have to abide by the Cloud Platform Acceptable Use Policy and Terms of Service, and ensure that your tests only affect your projects (and not other customers’ applications). If a vulnerability is found, please report it via the Vulnerability Reward Program.

出典：Cloud Security FAQ（Penetration testing）｜Google Cloud（https://support.google.com/cloud/answer/6262505、2026年11月時点）

許容利用ポリシーでは、他の顧客のサービス利用や基盤設備への不正アクセス・妨害が禁止されています。他の利用者に影響を与えるような過度な負荷をかける診断は、この趣旨に反するため避ける必要があります。外部の診断会社に委託する場合も、診断の対象は自社のプロジェクトであり、同じルールが適用されます。クラウド事業者のポリシーは変わることがあるため、実施前には必ず最新の公式情報を確認してください。

出典・参考資料（2件）

• 出典：Cloud Security FAQ（Penetration testing）｜Google Cloud（https://support.google.com/cloud/answer/6262505、2026年11月時点）
• 参考資料：Acceptable Use Policy｜Google Cloud（https://cloud.google.com/terms/aup、2026年11月時点）

AWS環境についても、自己診断と外部ベンダー診断の使い分けや費用、事前申請の要否を同様に整理した解説があります。AWSもあわせて運用している場合は、こちらも参考になります。

自社で実施（SCC・OSS）か外部委託か——判断の目安

ここからは、自社の状況に当てはめて、どの手段から始めるかを整理します。判断の軸は、継続監視か単発の精密診断か、そして社内のリソースがどれだけあるか、の2点です。

日常的に設定ミスを監視したいなら、まず無料のSecurity Command Center（Standard）を有効化するのが出発点になります。費用をかけずに踏み込んで調べたい、継続的な点検を仕組み化したい場合は、ProwlerなどのOSSツールを併用する道があります。いずれも、手を動かせる担当者が社内にいることが前提です。

一方で、社内に専門人員がいない、第三者による客観的な評価が必要、取引先や監査に提出できる成果物が要る、といった場合は、外部の診断サービスへの委託が向きます。Webアプリの作り込みの脆弱性や、実際に悪用できるかを確かめるペネトレーションテストは、専門の診断会社の領域です。自力の監視で土台を押さえつつ、重要な局面では外部の精密診断を組み合わせる、という使い分けが現実的な落としどころになります。

GCPの脆弱性診断を依頼できるサービス

外部委託を検討する場合に候補となる、GCP環境の診断に対応したサービスを紹介します。クラウド設定（CSPM）からWebアプリ・ネットワークの診断まで、カバーする範囲と提供形態はサービスごとに異なります。

提供形態は大きく2つに分かれます。GCPの設定を自動で継続診断するツール型のサービス（自力のSCCやOSSでの設定診断を、有料のサービスで肩代わり・強化する位置づけ）と、専門家がWebアプリやネットワークを診断する受託型です。自社の運用に合うものを選べます。

ここで挙げた3サービスに限らず、脆弱性診断サービス全般の診断方法・費用相場・選び方を一度に比較検討したい場合は、以下のまとめ記事が参考になります。外部委託を本格的に検討される方は、あわせてご覧ください。

1. Aikido Security（株式会社AndGo）

Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの管理画面で検査できる、オールインワンの脆弱性診断SaaSです。株式会社AndGoが日本国内の窓口として取り扱っています。

クラウド設定診断（CSPM）はAWS・Azure・GCPに対応しており、GCPの設定ミスを継続的に検査できます。人が診断してレポートを納品する受託型ではなく、自動スキャンを使うツール型の契約である点が特徴です。

無料で試せるDeveloperプランがあり、有料のBasicプランは年額3,780ドル（1ドル150円換算で約57万円、1〜10ユーザー）から用意されています。開発と運用の現場で設定の穴を自動で見つけ続けたい場合に適した選択肢です。

開発の現場でセキュリティをどう扱うかの位置づけの変化について、日本窓口である株式会社AndGoの原氏は次のように話します。

2. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker株式会社が提供するこのサービスは、自社開発のAIによる自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断です。メニューは、ソースコードを読み取るAI診断、Web・APIを対象とした動的脆弱性診断、実際に攻撃を試みる実践攻撃シミュレーション診断（ペネトレーションテスト）の3つに分かれます。

料金は、静的なソースコード診断が15万円から、動的診断（Web・API）が対象のエンドポイント数に応じて30万円からとなっています。ペネトレーションテストは、Webアプリケーションが60万円から、ネットワークが100万円からと明示されています。

クラウドにデータを出したくない場合に、自社環境内でAIを動かす閉域構成も用意されています。GCP上で動くWebアプリやAPIを、費用の目安を把握したうえで委託したい場合に向きます。

外部に委託する診断をどのくらいの頻度で受けるべきかについて、CoWorker株式会社の一ノ瀬氏は、攻撃側の変化を踏まえて次のように話します。

3. SCT SECURE クラウドスキャン（三和コムテック株式会社）

三和コムテック株式会社が提供するSCT SECURE クラウドスキャンは、Webサイトやネットワーク機器をインターネット経由で毎日自動診断する、クラウド型の脆弱性スキャンサービスです。GCP上で公開しているWebサイトやサーバーを、外部から継続的に監視したい場合の選択肢になります。ソフトウェアのインストールや機器の設置は不要で、IP／FQDN単位で対象を登録します。

PCI DSSが定める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使う点が特徴です。料金は、3つのIP／FQDNまでを対象に初年度が年額564,000円（税抜）、2年目以降は504,000円（税抜）という年額制です。手動の精密診断ほどの深さはないと公式も位置づけていますが、スポットの診断と診断の間を埋める「継続的な外部スキャン」として活用できます。

まとめ

GCPの脆弱性診断には、標準機能のSecurity Command Center、無料のOSSツール、外部の診断サービスという3つの手段があります。まずは無料のSecurity Command Center（Standard）やOSSツールで自社環境の設定ミスを把握し、Webアプリの脆弱性や実際の悪用可能性まで確かめたい場面では、外部の専門診断を組み合わせるのが現実的な進め方です。

自社のリソースと、継続監視か単発の精密診断かという目的に照らして、必要な手段を選んでください。外部委託を検討する場合は、GCPに対応した診断サービスの資料を取り寄せ、対応範囲や費用、成果物を比べてみるとよいでしょう。

よくある質問（FAQ）

Q. GCPの脆弱性診断とは何ですか？

A. GCPの脆弱性診断とは、Google Cloud（GCP）環境の設定ミスや既知の脆弱性を、攻撃を受ける前に洗い出して対処するための点検です。公開状態のストレージや開きっぱなしのポート、必要以上に強い権限の付与といった穴を、GCP標準機能（Security Command Center）・無料のOSSツール・外部の診断サービスのいずれかで調べます。

Q. GCPの脆弱性診断は無料でどこまでできますか？

A. GCPの脆弱性診断は、無料のSecurity Command Center（Standardティア）とオープンソースのOSSツールで、設定ミスの多くを自力で洗い出すところまでできます。公開バケット・SSHポートの開放・MFA未設定・組織管理外アカウントといった項目は、無料のStandardでも検出できます。

一方、過剰なIAM権限の検出や高度な脅威検出は有料のPremium、Webアプリの作り込みの脆弱性や実際に悪用できるかの検証は外部の専門診断の領域になります。

Q. GCPの脆弱性診断を外部に委託する費用相場はどのくらいですか？

A. GCPの脆弱性診断を外部に委託する費用は診断の種類と対象規模で変わり、ソースコード診断が15万円前後から、Webアプリのペネトレーションテストが60万円前後からが一つの目安です（CoWorker 脆弱性診断サービスの公表料金による）。

継続的に外部スキャンするサービスは年額制が中心で、SCT SECURE クラウドスキャンは3つのIP／FQDNまでを対象に年額564,000円（初年度・税抜）です。金額は委託先・対象範囲・診断の深さで上下するため、実際の費用は見積もりで確認してください。

Q. GCPの脆弱性診断はどのくらいの頻度で行うべきですか？

A. GCPの脆弱性診断は、設定ミスの監視は常時（継続的）に、外部の専門診断は年に一度や大きな構成変更のタイミングで、という組み合わせが現実的です。Security Command CenterやOSSツール、継続型の外部スキャンで日常的に設定ミスを監視しつつ、Webアプリの脆弱性や実際の悪用可能性を確かめる精密診断を節目で受ける、という使い分けが目安になります。

Q. GCPの外部脆弱性診断サービスはどう選べばよいですか？

A. GCPの外部脆弱性診断サービスは、「継続監視か単発の精密診断か」という診断方式、GCPを含む対応クラウドと診断対象の範囲、成果物の実用性の3点で選ぶのが基本です。常時の監視が目的なら毎日自動でスキャンする継続型、年に一度の精密点検が目的なら専門家による手動診断が向きます。PCI DSSなど特定の基準への準拠が必要な場合は、その要件に対応したエンジンや資格を持つかもあわせて確認します。

Q. GCPにペネトレーションテストをするのにGoogleへの事前申請は必要ですか？

A. GCPへのペネトレーションテストは、Google Cloudの現行の公式見解では事前の連絡や承認は不要とされています。ただし、利用規約と許容利用ポリシー（Acceptable Use Policy）を守り、テストの影響を自社のプロジェクトの範囲に限定すること、脆弱性を発見した場合はVulnerability Reward Programを通じて報告することが条件です。

外部の診断会社に委託する場合も同じルールが適用されます。クラウド事業者のポリシーは変わることがあるため、実施前には必ず最新の公式情報を確認してください。

Q. Security Command CenterだけでGCPの脆弱性診断は十分ですか？

A. Security Command Centerで足りるかは目的によりますが、設定ミスの監視には有効な一方、Webアプリの作り込みの脆弱性や実際に悪用できるかの検証は対象外です。SCCはGCPの設定・コンプライアンス状態の監視を担うため、SQLインジェクションなどのアプリ脆弱性やペネトレーションテストまで確かめたい場合は、OSSツールや外部の専門診断を組み合わせる必要があります。

GCPの脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、GCPに対応した設定診断・脆弱性診断サービスの最新資料を無料で一括請求できます。診断の対応範囲や費用、成果物を比べて、自社に合うサービスを検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。