クレジットカード情報を扱う事業者には、PCI DSS（Payment Card Industry Data Security Standard）への準拠と維持が求められます。2024年6月に公開された現行版のPCI DSS v4.0.1では、公開されたWebアプリケーションの脆弱性への対策が、開発段階だけでなく運用段階でも継続的に求められるようになりました。
ところが実務では、「Webアプリケーション診断」がPCI DSSのどの要件に対応するのかが分かりにくく、手配の判断に迷いがちです。公開Webアプリの評価を求める要件6系なのか、侵入テストを求める要件11系なのか、ASVスキャンや内部スキャンとどう違うのか——解説記事やベンダーの説明でも要件番号の付け方が分かれており、自社が何を受ければよいか確定しづらいのが実情です。
本記事では、PCI DSS v4.0.1で公開Webアプリケーションに関して求められる診断を、診断の種類・対応する要件番号・実施頻度・実施者の対応表として整理します。あわせて、ASVスキャン・内部脆弱性スキャン・ペネトレーションテストとの違い、自社のスコープ（SAQタイプ・決済方式）で必要な診断の見極め方、v4.0以降で変わった点、費用の目安までを解説します。
記事後半では、Webアプリケーション・APIの脆弱性診断を手配できるサービスも紹介します。自社の診断手配リストを固めるための材料としてご活用ください。
目次
一括ダウンロードする
【早見表】PCI DSSで求められるWebアプリ関連の診断・対応要件・頻度
まず、PCI DSS v4.0.1でカード会員データ環境（CDE）に関して求められる主な診断・スキャンを、診断の種類・対応する要件番号・実施頻度・主な実施者で整理します。
公開Webアプリケーションに直接関わるのは、公開Webアプリを保護する要件6.4.2（Web Application Firewall〈WAF〉等。2025年3月31日に旧6.4.1から移行）と、対象にWebアプリを含むペネトレーションテスト（要件11.4）です。
| 公開Webアプリケーションの保護（WAF等） | 外部脆弱性スキャン（ASVスキャン） | 内部脆弱性スキャン | ペネトレーションテスト（内部・外部） | 無線アクセスポイントの検知 | |
|---|---|---|---|---|---|
| 対応するPCI DSS要件 | 要件6.4.2（2025年3月31日に必須化。旧6.4.1から移行） | 要件11.3.2（重大な変更後は11.3.2.1） | 要件11.3.1（認証スキャンは11.3.1.2） | 要件11.4（内部11.4.2／外部11.4.3） | 要件11.2.1 |
| 実施頻度 | Webベース攻撃を継続的に検知・防止（常時稼働） | 少なくとも3か月ごと（四半期） | 少なくとも3か月ごと＋重大な変更後 | 少なくとも12か月ごと＋重大な変更後 | 少なくとも3か月ごと（四半期） |
| 主な実施者 | 自社またはベンダー（WAF等の導入・運用） | PCI SSC認定ASV（Approved Scanning Vendor） | 社内の有資格者または診断会社 | 組織から独立した資格者（社内実施も可） | 自社または診断会社 |
※要件番号・実施頻度はPCI DSS v4.0.1（2024年6月公開）に基づく。6.4.2・11.3.1.2・12.3.1などの要件は2025年3月31日に必須化済み（現行で適用）。自社に必要な範囲はSAQタイプ・スコープにより異なります。
出典・参考資料（1件）
Webアプリケーション診断はPCI DSSのどの要件に当たるか
結論から整理すると、公開されたWebアプリケーションの保護は、現行のPCI DSS v4.0.1では要件6.4.2に対応します。v4.0.1では2025年3月31日に多くの要件が必須化され、公開Webアプリに関する要件もこの日に6.4.1から6.4.2へ移行しました。
2025年3月31日より前の要件6.4.1は、公開Webアプリに対し、手動または自動の脆弱性評価を少なくとも12か月ごと（および重大な変更後）に行うか、Webベースの攻撃を検知・防止する自動化された技術的ソリューションを配置するか、のいずれかを認めていました。
現行の要件6.4.2では、この「手動または自動の脆弱性評価」という選択肢がなくなり、Webベースの攻撃を継続的に検知・防止する自動化された技術的ソリューション（WAFが代表的な手段）を配置することが必須です。
PCI Security Standards Councilは、これらの要件が2025年3月31日に必須化されたことを公表しています。
では「Webアプリケーション診断」はPCI DSSのどこで必要になるのでしょうか。攻撃を防ぐWAF（要件6.4.2）とは別に、アプリに潜む脆弱性を能動的に見つけて修正する診断は、ペネトレーションテスト（要件11.4、対象にWebアプリを含む）として求められます。WAFを導入しても、アプリ自体に残る脆弱性は診断で見つけて修正しない限り解消されないためです。
出典・参考資料（2件）
また、対象にAPIを含めて診断するサービスも多くありますが、PCI DSSの要件6.4.2（旧6.4.1）の文言は「公開Webアプリケーション（public-facing web applications）」を対象としており、API専用の要件番号が別に設けられているわけではありません。
公開APIは実務上この公開Webアプリケーションの枠組みで扱われ、侵入可能性はペネトレーションテスト（要件11.4）でも評価されます。
APIを診断対象に含める場合は、画面を巡回するWebアプリケーション診断では検出しにくい認可の欠陥（権限の確認漏れやオブジェクトレベルの認可不備など、OWASP API Security Top 10で整理される問題）が論点になります。API固有の観点と診断サービスの選び方は、以下の記事で詳しく解説しています。
要件6.2.4（セキュアコーディング）や旧番号との違い
混同しやすいのが、要件6.2.4との違いです。要件6.2.4は、自社開発・受託開発（bespoke/custom）のソフトウェアを開発する際に、インジェクションなど一般的な攻撃を防止・緩和するセキュアコーディング技法をエンジニアに適用させる要件です。
6.2.4は開発段階のコーディングに関する要件であり、公開後のアプリを保護・評価する6.4.2（旧6.4.1）とは対象も目的も異なります。Webアプリケーション診断（公開アプリの脆弱性評価）を6.2.4と結びつけるのは誤りです。
また、PCI DSS v3.2.1の時代に使われていた旧番号（公開Webアプリに関する要件6.6や、無線APの要件11.1など）は、v4.0でそれぞれ6.4.1（現在は6.4.2）、11.2.1へと番号が変わっています。情報源によっては旧番号のまま記載されている場合もあるため、要件番号はv4.0.1の体系で確認することが大切です。
出典・参考資料（1件）
Webアプリ診断・ASVスキャン・内部スキャン・ペネトレーションテストの違い
ここからは、PCI DSSで登場する主な診断・スキャンを、対象・手法・対応要件・頻度の観点で整理します。名前が似ていても目的と実施者が異なるため、それぞれの役割を押さえると自社の手配リストを組みやすくなります。
公開Webアプリケーションの保護・脆弱性評価（要件6.4.2）
公開Webアプリケーションを攻撃から守る現行の要件は6.4.2で、Webベースの攻撃を継続的に検知・防止する自動技術ソリューション（WAF等）の配置が必須です（2025年3月31日に旧6.4.1から移行）。
WAFは攻撃を防ぎますが、アプリ自体の脆弱性を見つけて修正するには、手動診断や自動ツール診断（DAST。画面を巡回して疑似攻撃を送り応答を検証）が有効です。これらの診断はペネトレーションテスト（要件11.4）の対象にもなり、WAFで攻撃を防ぎながら、アプリに残る脆弱性を早期に発見して修正につなげられます。
外部脆弱性スキャン（ASVスキャン・要件11.3.2）
インターネットに公開されたシステムを外部から診断するスキャンです。要件11.3.2では、少なくとも3か月ごと（四半期）に、PCI SSCが認定したASV（Approved Scanning Vendor）が実施することが求められます。重大な変更の後にも外部スキャンを実施する要件（11.3.2.1）があります。実施者がPCI SSC認定ベンダーに限られる点が、他のスキャンと大きく異なります。
ASVスキャンと通常の脆弱性診断の違い
ASVスキャンは「PCI SSC認定ベンダーが所定の合格基準に沿って実施する外部スキャン」という、実施者と基準が定められた診断です。一方、通常の脆弱性診断（Webアプリケーション診断や手動のペネトレーション）は、対象範囲や深さを自社の要件に合わせて柔軟に設計できます。両者は目的が異なり、片方がもう一方を代替するものではありません。
ASVスキャンだけではPCI DSS対応は完了しない
四半期ごとのASVスキャン（11.3.2）を受けていても、それだけでPCI DSSのテスト要件を満たすわけではありません。公開Webアプリの保護（6.4.2）、内部脆弱性スキャン（11.3.1）、ペネトレーションテスト（11.4）など、スコープに応じて複数の診断が関係します。どの診断が必要かは、自社のスコープ・SAQタイプ・カード会員データ環境の構成によって変わります。
外部ASVスキャン（要件11.3.2）そのものについて、四半期ごとの実施手順や認定ベンダーの選び方など、さらに詳しく知りたい場合は以下の記事で解説しています。
内部脆弱性スキャン（要件11.3.1・認証スキャン11.3.1.2）
ファイアウォール内部のネットワークやサーバーを対象に実施するスキャンです。要件11.3.1では、少なくとも3か月ごと＋重大な変更後に実施し、高リスク・クリティカルな脆弱性を解消して再スキャンで確認することが求められます。
v4.0の新しい要件11.3.1.2では、適切な権限を持つアカウントでログインして深く検査する「認証スキャン」の実施が求められます。認証スキャンの番号は内部スキャン配下の11.3.1.2で、外部ASVの11.3.2とは別である点に注意が必要です。
ペネトレーションテスト（要件11.4）
検出された脆弱性が実際に悪用され、侵入が成立するかを検証するテストです。要件11.4では、内部ペネトレーションテスト（11.4.2）と外部ペネトレーションテスト（11.4.3）を、それぞれ少なくとも12か月ごと＋重大な変更後に実施することが求められます。
対象にはWebアプリケーションも含まれますが、これは「侵入可能性の実証」が目的であり、公開Webアプリを保護する要件6.4.2とは別の要件です。両者とも対象にWebアプリを含むため混同されがちですが、役割で切り分けると整理できます。
自社のスコープで必要な診断を見極める
必要な診断の範囲は、カード会員データ環境（CDE）の広さと、自社が加盟店かサービスプロバイダーか、そして該当するSAQ（自己問診票）タイプによって変わります。出発点になるのは、決済ページをどう実装しているか——自社環境がカード情報にどれだけ関与するか——です。
たとえば、決済時に決済代行事業者のページへ遷移する方式、自社サイト上にiFrameで決済フォームを表示する方式、APIで決済処理を連携する方式では、自社環境がカード情報に関与する度合いが異なります。
関与が小さいほどCDEは狭まり、求められる診断の範囲も変わります。下表は決済実装とスコープの関係を整理したものです（該当SAQタイプと必要な診断の確定は、自社のカード情報の取り扱いをもとにQSA〈Qualified Security Assessor。PCI SSCが認定する評価機関〉・決済代行事業者へ確認してください）。
| 決済代行事業者のページへリダイレクト遷移 | 自社サイトにiFrameで決済フォームを表示 | API連携で決済処理を行う／自社でカード情報を処理・保存・伝送 | |
|---|---|---|---|
| 自社環境のカード情報への関与 | 小さい（カード情報は自社を通過しない） | 限定的（画面の提供に関与） | 大きい |
| CDE・スコープの傾向 | 狭い。想定されるSAQは軽量なタイプ | 中程度。決済画面の管理が論点になる | 広い。Webアプリ診断・各種スキャン・ペネトレが広く関係 |
※スコープの傾向は一般的な整理です。実際に該当するSAQタイプと必要な診断は、自社サイト・決済画面・API連携・管理画面・ログ・委託先との責任分界点を確認したうえで、QSAや決済代行事業者と個別に判断してください。
「SAQを提出するからスキャンは不要」と一律に判断できない点にも注意が必要です。SAQはカード情報の取り扱い方法によってタイプが分かれ、求められる確認事項が異なります。まずは自社がどのSAQタイプに該当するかを把握し、公開Webアプリの保護（WAF）・ASVスキャン・内部スキャン・ペネトレーションテストのうち、どれが必要になるかを整理することが、手配リストを固める近道です。
代表的なSAQタイプと、診断範囲の傾向の目安は次のとおりです。自社がどのタイプに該当するか、必要な診断の最終確定は、カード情報の取り扱いをもとにQSA・決済代行事業者に確認してください。
| SAQ A | SAQ A-EP | SAQ D | |
|---|---|---|---|
| 主な該当事業者 | 決済処理を完全に外部へ委託し、カード情報が自社環境を通過しない加盟店（リダイレクト型など） | 決済ページの一部を自社が制御する加盟店（自社サイト上で決済に関与する実装） | 自社でカード情報を処理・保存・伝送する加盟店／サービスプロバイダー |
| 診断範囲の傾向 | 最小限。公開Webアプリの保護（6.4.2）やASVスキャン（11.3.2）の対象範囲は限定的 | 公開Webアプリの保護（6.4.2）・外部ASVスキャン（11.3.2）などが関係しやすい | 6.4.2・ASV（11.3.2）・内部スキャン（11.3.1）・ペネトレ（11.4）など広く関係 |
※SAQタイプと診断範囲の対応は一般的な傾向です。該当タイプと必要な診断の確定はQSA・決済代行事業者にご確認ください。
そもそもPCI DSSの対象となる事業者や12の要件、SAQの位置づけといった全体像から整理したい場合は、以下の記事をあわせてご覧ください。
PCI DSS v4.0 / v4.0.1で変わった診断要件
現行のPCI DSS v4.0.1では、診断・テストに関わる要件がいくつか変わりました。多くの新規要件は「将来日付要件」としてベストプラクティス扱いだったものが、2025年3月31日以降に必須化されています。Webアプリケーション診断の手配に関わる主な変更点は次のとおりです。
- 要件6.4.2（2025年3月31日以降必須）: 公開Webアプリの前段に、Webベースの攻撃を継続的に検知・防止する自動化された技術的ソリューション（WAF等）を配置することが必須化。従来6.4.1で認められていた手動レビューの選択肢に代わる恒久要件。
- 要件11.3.1.2（新規）: 内部脆弱性スキャンを、権限を持つアカウントでログインして検査する「認証スキャン」で実施。
- 要件12.3.1（新規）: 頻度を事業体が決める活動について、ターゲットリスク分析を行い、その頻度が妥当である根拠を文書化する。ただし内部スキャン・外部ASVスキャン（四半期）やペネトレーションテスト（年1回）のように頻度が要件で固定されているものは、この文書化の対象ではありません。
これらは2025年3月31日以降に必須となった要件です。v3.2.1から移行したばかり、あるいは旧版の情報で運用している場合は、最新のv4.0.1の要件番号・内容で手配内容を見直すことをおすすめします。
出典・参考資料（2件）
v4.0 / v4.0.1での変更は、ここで挙げた診断関連の要件にとどまりません。新要件の全体像とそれぞれの対応期限（v3.2.1からの差分）をまとめて確認したい場合は、以下の記事が参考になります。
PCI DSS v4.0の変更点と対応期限｜v3.2.1からの新要件を要件番号つきで解説
クレジットカード情報を扱う事業者に求められるセキュリティ基準「PCI DSS」が、2022年にバージョン3.2.1から4.0へと大きく改定されました。取引先や決済代行会社から「v4.0への対応が必要」と告げられ、まず何が変わって・いつまでに…
一括ダウンロードする
Webアプリケーション診断の費用の目安
Webアプリケーション診断の費用は、診断対象のページ数や機能の複雑さ、診断手法（自動ツールか手動か）、再診断の有無によって変わります。おおまかな傾向として、自動ツール型のクラウド診断は月額数万円程度から継続的に利用でき、専門家による手動の受託診断は対象の規模や深さに応じて数十万円から、大規模なものでは百万円を超えることもあります。
自動ツール型は継続的・定期的な診断に向き、手動診断は複雑なロジックや重要な画面を深く検証したい場合に適しています。WAF（要件6.4.2）で攻撃を防ぎつつ、脆弱性そのものを見つけて修正する診断はペネトレーションテスト（要件11.4）や継続的なセキュリティ維持の観点で重要です。各サービスの具体的な料金は、次のサービス紹介と比較表で確認できます。
Webアプリケーション・APIを診断できるサービス
ここからは、PCI DSSのペネトレーションテスト（要件11.4）や、WAF（要件6.4.2）導入後も必要な脆弱性の発見・修正のために、Webアプリケーション・APIの脆弱性診断を手配できるサービスを紹介します。自動ツール型と手動診断型のほか、外部スキャン（ASV）の文脈で使えるサービスも取り上げます。まずは主なサービスの比較表です。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | Securify（セキュリファイ） | SCT SECURE クラウドスキャン | SQAT（脆弱性診断サービス） |
|---|---|---|---|---|---|
| 診断手法 | 自動ツール（SaaS・セルフ実行型） | AI自動診断＋専門家レビュー | 自動ツール（DAST・クラウド型） | 自動ツール（クラウド型・毎日自動スキャン） | ハイブリッド（手動＋独自自動診断） |
| 主な診断対象 | Webアプリ・API ソースコード・クラウド設定・コンテナ | Webアプリ・API ソースコード・ペネトレ・生成AI/LLM | Webアプリ・API （ASM・CSPM・SBOMも提供） | Webサイト・ネットワーク機器 （IP/FQDN単位） | Webアプリ・ネットワーク・ソースコード ペネトレ・スマホ・IoT等 |
| PCI DSS文脈での位置づけ | Webアプリ・APIの脆弱性診断に活用可（ペネトレ11.4・継続的な脆弱性管理） （ASV資格の記載なし） | 公式にPCI DSS・ASV・QSAの記載なし | Webアプリ・APIの脆弱性診断に活用可（ペネトレ11.4・継続的な脆弱性管理） （ASV資格の記載なし） | ASV診断と同じテスト内容・ASV資格エンジンを使用 （外部スキャン／要件11.3.2の文脈） | 提供元BBSecがPCI SSC認定QSA等を保有 ペネトレ11.4等に対応 |
| 料金の目安 | 年額3,780ドル〜（円建て請求） （Basicプラン。月額5万円台〜の参考価格） | 15万円〜（ソースコードAI診断） 動的診断を含むプラン50万円〜 | 月額5万円〜（STARTERプラン） | 初年度564,000円〜 （3IP/FQDNまで、税抜） | 要問い合わせ（個別見積り） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
Aikido Security
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリケーションを1つの管理画面で検査するSaaSです（開発元はベルギーのAikido Security BV、日本での販売窓口は株式会社AndGo）。
稼働中のWebアプリやAPIに対する動的診断（DAST・API Scanning）を自動スキャンで実行でき、ペネトレーションテスト（要件11.4）やWAF導入後の継続的な脆弱性管理に活用できます。
専門家がレポートを納品する受託型の診断ではなく、自社でツールを運用して継続的にスキャンするセルフ実行型である点が特徴です。アラートの自動トリアージで誤検知を抑え、Slack・Teams・Jira等と連携します。
料金はAndGo経由でBasicプランが年額3,780ドル（月額5万円台から、年間契約・利用者10人までの参考価格。請求は日本円）、Proプランが年額7,560ドルで、Customは要問い合わせです（2026年11月時点）。
CoWorker 脆弱性診断サービス
CoWorker株式会社が提供する脆弱性診断サービスで、Webアプリケーション・APIの動的診断、Webペネトレーションテスト、ソースコード診断、生成AI・LLMの脆弱性診断までを手がけます。ペネトレーションテスト（要件11.4）やWebアプリ・APIの脆弱性の発見・修正のために手配できる診断メニューがそろっています。
提供元の案内では、ソースコードのAI診断を15万円から、動的診断を含むプランを50万円から、ペネトレーションテストを含む攻撃シミュレーションを150万円から案内しているほか、生成AI・LLM向けの診断も提供しています（2026年11月時点。公式サイトでは期間限定の無料キャンペーンも実施中）。
公式サイト・提供元の案内ページにはPCI DSS準拠やASV・QSAに関する記載は見当たらないため、PCI DSSのASVスキャン（要件11.3.2）そのものの実施可否は、申し込み前に確認することをおすすめします。
PCI DSS v4.0.1が公開Webアプリの脆弱性評価を継続的に求めるようになった背景には、攻撃側の変化もあります。診断をどの頻度で実施すべきかについて、CoWorker株式会社の一ノ瀬氏は、独自インタビューで次のように話します。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
Securify（セキュリファイ）
クラウド型の脆弱性診断サービスで、提供元は株式会社スリーシェイクです。画面遷移の巡回（クロール）から疑似攻撃の送信、応答の検証までを自動で実行し、ログイン後の画面やSPA（シングルページアプリケーション）、REST APIにも対応します。ペネトレーションテスト（要件11.4）を支える診断や、リリース前・運用中の継続的な脆弱性診断に向いています。
診断の実施日時・頻度を指定できるスケジュール実行や、API経由での診断実行によるCI/CDパイプラインへの組み込みにも対応します。料金はWebアプリケーション診断のSTARTERプランが月額5万円（検査対象1IP/FQDN、診断回数の制限なし）、BASICプランが月額10万円からで、無料トライアルも用意されています（2026年10月時点）。
SCT SECURE クラウドスキャン
SCT SECURE クラウドスキャンは、三和コムテック株式会社によるクラウド型の自動脆弱性診断サービスです。Webサイトとネットワーク機器を対象に、インターネット経由で毎日自動診断を行い、ソフトウェアのインストールやハードウェアの設置は不要です。
公式サイトは、PCI DSSが規定する外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使用していると明記しており、外部スキャン（要件11.3.2）の文脈で検討しやすいサービスです。
料金は標準費用（3IP/FQDNまで）が初年度564,000円（ライセンス504,000円＋初期設定60,000円、いずれも税抜）、2年目以降はライセンス費用504,000円からで、診断対象のIP/FQDN数に応じて追加できます（2026年10月時点）。経済産業省の情報セキュリティサービス基準適合リストにも登録されています。
SQAT（脆弱性診断サービス）
SQATは、株式会社ブロードバンドセキュリティ（BBSec）が展開する脆弱性診断サービスの総称です。手動診断と独自開発の自動診断を組み合わせたハイブリッド方式で、Webアプリケーション脆弱性診断（SQAT for Web）、ネットワーク脆弱性診断、ペネトレーションテスト、ソースコード診断などをそろえます。
ペネトレーションテスト（要件11.4）やWebアプリの脆弱性診断に対応できます。
BBSecは2000年創業のセキュリティ専業企業で、脆弱性診断に加えてクレジットカード情報漏えいのフォレンジック調査も手がけるなど、カード情報を扱う事業者の文脈に明るい点が特徴です。短納期で優先箇所を診断するメニューも用意されています。
ここで紹介したのはWebアプリケーション・APIの診断に対応するサービスですが、ネットワークやクラウドなども含めた脆弱性診断サービス全体を、診断方法・費用相場・選び方から比較検討したい場合は、以下の記事で詳しく解説しています。
まとめ
PCI DSSで公開Webアプリケーションを保護する現行要件は6.4.2（WAF等の自動技術ソリューション。2025年3月31日に旧6.4.1から移行し、現在は必須）です。アプリの脆弱性を見つける診断は、ペネトレーションテスト（要件11.4・年1回）やWAF導入後の継続的な脆弱性管理として実施します。
これらに加えて、外部ASVスキャン（要件11.3.2・四半期）、内部脆弱性スキャン（要件11.3.1・認証スキャンは11.3.1.2）が、スコープに応じて関係します。
自社に必要な診断を確定するには、まず決済ページの実装方式とSAQタイプからスコープを把握し、要件番号ごとに診断・頻度・実施者を手配リストに落とし込むことが有効です。
要件番号はv4.0.1の体系で確認し、2025年3月31日に必須化された要件（6.4.2・11.3.1.2・12.3.1など）に対応できているか確認しましょう。Webアプリケーション・APIの診断を手配できるサービスを比較し、自社の対象範囲と頻度に合った選択肢を検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. PCI DSSにおけるWebアプリケーション診断とは何ですか？
A. PCI DSSにおけるWebアプリケーション診断とは、インターネットに公開されたWebアプリケーションの脆弱性を評価し、修正につなげる活動です。手動診断や自動ツール（DAST）でSQLインジェクションやクロスサイトスクリプティングなどの脆弱性を検出します。
公開Webアプリの保護そのものは現行の要件6.4.2（WAF等）が担い、脆弱性を能動的に見つける診断はペネトレーションテスト（要件11.4）や継続的な脆弱性管理として実施します。
開発段階のセキュアコーディング（要件6.2.4）や、侵入可能性を検証するペネトレーションテスト（要件11.4）とは目的が異なる別の活動です。
Q. PCI DSSのASVスキャンとは何ですか？通常の脆弱性診断とどう違いますか？
A. ASVスキャンとは、PCI SSCが認定したASV（Approved Scanning Vendor）が実施する外部脆弱性スキャンで、要件11.3.2により少なくとも3か月ごと（四半期）に行うことが求められます。実施者が認定ベンダーに限られ、所定の合格基準に沿って行う点が、対象範囲や深さを柔軟に設計できる通常のWebアプリケーション診断との違いです。
両者は目的が異なり、互いを代替するものではありません。
Q. PCI DSS対応はASVスキャンだけ実施すればよいですか？
A. いいえ、ASVスキャン（要件11.3.2）だけではPCI DSSのテスト要件は満たせません。スコープに応じて、公開Webアプリの保護（要件6.4.2）、内部脆弱性スキャン（要件11.3.1）、ペネトレーションテスト（要件11.4）などが関係します。どの診断が必要になるかは、自社のスコープ・SAQタイプ・カード会員データ環境（CDE）の構成によって変わります。
Q. SAQ（自己問診票）を提出する場合でも脆弱性スキャンやWebアプリ診断は必要ですか？
A. 「SAQを提出するからスキャンや診断は不要」と一律には判断できません。SAQはカード情報の取り扱い方法によってタイプ（A／A-EP／Dなど）が分かれ、求められる確認事項や診断の範囲が異なります。まず自社が該当するSAQタイプを把握し、ASVスキャンや公開Webアプリの脆弱性評価などのうち何が必要かを整理することが重要です。
Q. 決済代行サービスを利用している場合、PCI DSSの診断対象はどこまでですか？
A. 診断対象は、利用する決済代行の方式（リダイレクト遷移・iFrame・API連携）によってカード情報が自社環境を通過するかどうかで変わります。カード情報が自社を通過しないリダイレクト方式ほどスコープは狭まり、API連携などで自社がカード情報に関与するほど広がります。自社サイト・決済画面・API連携・管理画面・ログ・委託先との責任分界点を確認し、CDEに影響する範囲を整理してください。
Q. PCI DSSのWebアプリケーション診断やスキャンは社内でも実施できますか？
A. Webアプリケーションの脆弱性診断や内部脆弱性スキャン（要件11.3.1）は社内の有資格者でも実施できますが、外部ASVスキャン（要件11.3.2）はPCI SSC認定のASVが実施する必要があります。ペネトレーションテスト（要件11.4）は組織から独立した資格者が行えば社内実施も認められます。外部ASVスキャンだけは実施者が限定される点に注意してください。
Q. 無料の診断ツールだけでPCI DSSのWebアプリ診断要件を満たせますか？
A. 無料の診断ツールだけでは、PCI DSSが求める診断を十分に満たせないことが一般的です。無料ツールは検出できる脆弱性の範囲や精度に限界があり、ログイン後の画面や複雑なロジックの検証には向きません。
外部ASVスキャン（要件11.3.2）は認定ベンダーによる実施が必要で、無料ツールでは代替できません。Webアプリの脆弱性診断に自動ツールを使う場合も、対象範囲と精度が要件に見合うかを確認する必要があります。
Q. PCI DSSのWebアプリケーション診断の費用はどのくらいですか？
A. 費用は診断対象のページ数・機能の複雑さ・診断手法（自動ツールか手動か）・再診断の有無によって変動します。おおまかには、自動ツール型のクラウド診断が月額数万円程度から、専門家による手動の受託診断が対象の規模に応じて数十万円から、大規模なものでは百万円を超えることもあります。継続的な診断は自動ツール型、重要画面の深い検証は手動診断が向いています。
Q. 診断で脆弱性が見つかった場合はどう対応すればよいですか？
A. 報告書の深刻度（CVSSなどの脆弱性評価指標）と再現手順・推奨対策を確認し、事業への影響をふまえて優先順位を決め、修正後に再スキャン・再診断で解消を確認します。PCI DSSでは高リスク・クリティカルな脆弱性の解消と再確認が求められ、対応履歴と再診断結果は審査・アクワイアラー提出の証跡として保管します。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webアプリケーション・APIの脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象や手法（自動・手動）、料金、PCI DSS対応の範囲などを比較して、自社の手配に必要な情報をすばやく把握できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
