自社で開発・運用しているアプリケーションのソースコードに、脆弱性が残っていないか不安を感じていませんか。リリース前の安全性確認や、取引先・コンプライアンスからのセキュリティ要求に応えるために、ソースコードの脆弱性診断を検討する企業が増えています。
ソースコードの脆弱性を調べる手段は、大きく2つに分かれます。SAST（静的アプリケーションセキュリティテスト）ツールを導入して自社で診断する方法と、専門家によるソースコード診断サービスに依頼する方法です。どちらが自社に合うかは、対応言語・診断の精度・費用・開発体制によって変わります。
本記事では、主要なSASTツールとソースコード診断サービスを横断的に比較し、自社でツールを回すか専門家に依頼するかという手段の選択から、対応言語・誤検知への向き合い方・費用相場までを整理しました。開発責任者や情報システム・セキュリティ担当者が、自社に合った診断手段とサービスを選ぶための材料としてご活用ください。
また、自社の開発体制・予算・対象言語に合わせて最適な診断手段を見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
ソースコード脆弱性診断とは｜ツール（SAST）と専門家診断で何が分かるか
ソースコード脆弱性診断とは、アプリケーションのソースコードを解析し、セキュリティ上の問題をコーディングレベルで洗い出す取り組みです。プログラムを実行せずに中身を読み解くため、静的アプリケーションセキュリティテスト（SAST：Static Application Security Testing）とも呼ばれます。
OWASP（Webアプリケーションのセキュリティ向上を目的とする国際的な非営利団体）は、SASTを次のように定義しています。ソースコードまたはコンパイル済みコードを解析してセキュリティ上の欠陥を見つけ、開発者のIDE（統合開発環境）に組み込んで開発中に問題を検出できる点が特徴です。
Source code analysis tools, also known as Static Application Security Testing (SAST) Tools, can help analyze source code or compiled versions of code to help find security flaws.
出典：Source Code Analysis Tools｜OWASP Foundation
診断の進め方は、SASTツールで機械的にスキャンする方法と、専門家が静的解析の結果を手動で精査する方法があります。自社でツールを回せば継続的に・低コストで回せる一方、検出結果には誤検知（実際には問題でない箇所を問題と報告すること）が多く含まれます。専門家に依頼すると、手動精査で誤検知を除いた報告書と改善提案が得られます。この手段の違いは次章で詳しく比較します。
ソースコード脆弱性診断を行うメリット・必要性
ソースコード脆弱性診断には、主に次の3つの意義があります。
- インシデントの予防：攻撃に悪用され得る欠陥をリリース前に取り除き、情報漏えいやサービス停止を未然に防ぎます。
- 開発段階での早期発見によるコスト削減：問題を開発工程の早い段階で見つけるほど、修正にかかる手戻りは小さく済みます。SASTはコードを書いている段階から回せるため、後工程で発覚する事故を減らせます。
- コンプライアンス・取引先要求への対応：OWASP Top 10やCWEへの準拠を、取引先や監査から求められる場面が増えています。診断の実施と報告書は、その説明責任を果たす根拠になります。
国内では、IPA（独立行政法人情報処理推進機構）が「安全なウェブサイトの作り方」で、SQLインジェクションやクロスサイト・スクリプティングなど11種類の脆弱性を取り上げ、実装段階での対策を促しています。ソースコード診断は、こうした公的指針が示す弱点がコードに残っていないかを確かめる手段として位置づけられます。
出典・参考資料（1件）
- 参考資料：安全なウェブサイトの作り方｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/vuln/websecurity/about.html）
診断で見つかる主な脆弱性（OWASP Top 10 の例）
ソースコード診断で見つかる脆弱性の代表的な分類が、OWASPが公開する「OWASP Top 10」です。Webアプリケーションで特に重大とされるリスクを10項目にまとめたもので、2025年11月に最新版が発表されました。現行版は次の10カテゴリです。
A01:2025 – アクセス制御の不備 (Broken Access Control)
出典：OWASP Top 10:2025｜OWASP Foundation
A02:2025 – セキュリティ設定の不備 (Security Misconfiguration)
A03:2025 – ソフトウェアサプライチェーンの不備 (Software Supply Chain Failures)
A04:2025 – 暗号化の不備 (Cryptographic Failures)
A05:2025 – インジェクション (Injection)
A06:2025 – 安全性を欠いた設計 (Insecure Design)
A07:2025 – 認証の不備 (Authentication Failures)
A08:2025 – ソフトウェアまたはデータの完全性の不備 (Software or Data Integrity Failures)
A09:2025 – セキュリティログとアラートの不備 (Security Logging and Alerting Failures)
A10:2025 – 例外的な状況への不適切な対応 (Mishandling of Exceptional Conditions)
このうち、A05インジェクション（SQLインジェクションなど）に代表されるコード起因の欠陥は、SASTが比較的得意とする領域です。一方で、アクセス制御や暗号の運用の不備、設定ミスなどは、コードを読むだけでは判断しきれない場合があります。何がコードから分かり、何が分かりにくいかは、手段選びにも関わる重要な前提です。
弱点タイプをより細かく体系化した辞書としては、MITREが運営するCWE（Common Weakness Enumeration：共通脆弱性タイプ一覧）があり、多くの診断サービスがOWASP Top 10とCWEの両方を基準に採用しています。
出典・参考資料（2件）
- 出典：OWASP Top 10:2025｜OWASP Foundation（https://top10.owasp.org/2025/ja/）
- 出典：About CWE｜MITRE（https://cwe.mitre.org/about/index.html）
自社でSASTツールを回す／専門家に診断を依頼する｜2つの手段の違いと向き不向き
ここからは、ソースコード脆弱性診断の2つの手段を比較します。読者が最初に迷うのは「自社でSASTツールを導入して回すか、専門家のソースコード診断サービスに依頼するか」という選択です。どちらも目的は同じでも、運用の重さ・精度・費用の性質が異なります。
自社でSASTツールを回す（静的解析・CI/CD組み込み・誤検知は自社で切り分け）
SASTツールを自社で導入すると、コードを書いている段階から繰り返し診断を回せます。OWASPもSASTの強みとして、スケールしやすく（多数のソフトウェアに対して、ナイトリービルドやCI＝継続的インテグレーションの中で繰り返し実行できる）、問題のあるコードをファイル名・行番号・該当コード片まで示して開発者を助ける点を挙げています。
IDEやCI/CDパイプラインに組み込めば、脆弱性の作り込みをその場で検知でき、後工程での手戻りを抑えられます。
一方で、SASTツールには明確な限界もあります。OWASPは、現在のSASTツールが検出できるのはアプリケーションのセキュリティ欠陥の一部にとどまると指摘しています。加えて誤検知（false positive）が多く、検出した問題が本当に悪用可能な脆弱性かを「証明」するのも難しいとされます。
Current SAST tools are limited. They can automatically identify only a relatively small percentage of application security flaws. High numbers of false positives. Difficult to ‘prove’ that an identified security issue is an actual vulnerability.
出典：Source Code Analysis Tools｜OWASP Foundation
自社でツールを回す場合、大量の検出結果から「本当に直すべき脆弱性」を切り分ける作業は自社が担います。社内にセキュリティの知見があり、継続的に運用できる体制があるほど、ツールの自社運用は効果を発揮します。
出典・参考資料（1件）
- 出典：Source Code Analysis Tools｜OWASP Foundation（https://community.owasp.org/Source_Code_Analysis_Tools）
開発ワークフローに組み込む統合型（SAST＋SCA）という選択肢
自社でツールを回す形の一つに、SASTに加えて依存ライブラリの検査（SCA：Software Composition Analysis）やシークレット（APIキーなどの秘密情報）検出をまとめた統合型のプラットフォームがあります。自社コードの欠陥だけでなく、利用しているオープンソースライブラリの既知の脆弱性まで一画面で扱えるため、開発ワークフロー全体でリスクを見渡したいチームに向きます。
こうした統合型のプラットフォームも、「自社でツールを回す」運用の一形態として本記事では扱います。
専門家にソースコード診断を依頼する（手動精査で誤検知を除いた報告書・改善提案）
専門家によるソースコード診断サービスは、コードを預けると、静的解析ツールの結果を診断員が手動で精査し、誤検知を除いたうえで脆弱性の一覧・リスク度・改善提案をまとめた報告書を返すのが一般的です。社内に専門知見がなくても、精度の高い結果と改善の方向性が得られる点が利点です。
先にOWASPが挙げたSASTの弱み（誤検知の多さ、実脆弱性かの判断の難しさ）は、裏を返せば手動精査の価値そのものです。多くの診断サービスが「自動ツール＋専門家の手動レビュー」のハイブリッドを掲げ、誤検知を除いて「直すべき箇所」だけを示すことを強みにしています。
スポット（単発）で依頼できるため、リリース前の総点検や、改修した機能だけの診断といった使い方にも向きます。継続的に自社で回すというより、節目ごとに専門家の目を入れたい場合に適した手段です。
ソースコード脆弱性診断ツール・サービスの選び方
ここからは、手段を決めた後に自社に合う1つを絞り込むための評価軸を解説します。OWASPはSASTツールの選定基準として、対応言語・OWASP Top 10への対応・誤検知/検出漏れの精度・IDEプラグインの有無・CI/CDへの組み込み・ライセンス費用を挙げています。これらは診断サービスを選ぶ際にも共通して効く観点です。
費用については費用相場で詳しく扱うため、ここでは言語・精度・運用のしやすさの3点に絞って整理します。OWASP Top 10・CWEへの対応は、比較表と各サービスの個別紹介で各社の明示を確認できます。
対応言語・フレームワークは自社スタックをカバーするか
OWASPは選定の前提条件として「自社のプログラミング言語に対応していること」を最初に挙げています。SASTは言語ごとに解析エンジンが異なるため、対応していない言語のコードは診断できません。
自社の開発言語（Java・PHP・Pythonなど）とフレームワークが、ツールやサービスの対応範囲に含まれるかを最初に確認しましょう。COBOLやPL/SQLといった業務系のレガシー言語を含む場合は、対応をうたう製品・サービスが限られるため特に注意が必要です。
診断方式と精度（自動のみか、手動精査があるか）
手段を決めた後は、候補の中で診断の精度をどう見分けるかが論点になります。精度そのものを数値で横並び比較するのは難しいため、代わりに、手動精査の工程が明示されているか・検出対象とする脆弱性の範囲（OWASP Top 10・CWEなど）・誤検知への対応方針を確認しましょう。
本記事の比較表では、診断サービスの「診断方式」列で、自動のみか・自動＋専門家の手動精査か・手動主体かを見比べられます。自動ツールだけを使う場合は誤検知の切り分けを自社で担うため、報告書を経営層や取引先に提出する必要がある、あるいは社内に専任の担当がいない場合は、手動精査の工程が明示されたサービスを選ぶと負担を抑えられます。
比較表で対応言語が「公式に明記なし」となっているサービスは、自社の言語に対応するかを見積り・問い合わせの際に確認すると確実です。
CI/CD・IDE連携と診断後のサポート体制（運用への乗せやすさ）
自社でツールを回すなら、IDEプラグインやCI/CDパイプラインへの組み込みに対応しているかが、継続運用の鍵になります。コミットやプルリクエストのたびに自動で診断が走る形にできれば、脆弱性の作り込みをその場で止められます。
専門家に依頼する場合は、報告書の分かりやすさ・修正提案の有無・再診断や報告会への対応といった、診断後のサポート体制を確認しましょう。見つけるだけでなく「どう直すか」まで支援があるかで、診断の実効性は大きく変わります。
30秒で終わる選定診断ツール
自社の開発体制・予算・対象言語を選ぶと、合う診断手段とサービスの候補が分かります。専門家への依頼は無料では行えないため、「まずは無料で始めたい」場合は自社で使えるツールが候補になります。手段選びに迷ったら、まずこちらをお試しください。
一括ダウンロードする
【比較表】ソースコード脆弱性診断ツール・サービス比較
主要なソースコード脆弱性診断の手段を、2つのタイプ別に比較します。それぞれ、対応言語・診断方式（手動精査の有無）・提供形態・料金目安などの観点で横並びにしました。
自社で使うSAST（静的解析）ツール（開発統合型を含む）
| サービス名 | Aikido Security | SonarQube | Snyk Code | Checkmarx | Veracode | GitHub CodeQL | Semgrep | Coverity | OpenText Fortify | GitLab SAST |
|---|---|---|---|---|---|---|---|---|---|---|
| 提供形態 | SaaS（オンプレスキャンも選択可） | SaaS／オンプレ両対応 | SaaS（Local Engine構成も可） | SaaS／オンプレ両対応 | クラウド基盤 （Platform／Pipeline Scan） | GitHub統合（CLI提供） | SaaS （CI実行時コードは自社環境内） | オンプレ（エアギャップ可）／SaaS | オンプレ／SaaS／プライベートホスト等 | SaaS／セルフマネージド／Dedicated |
| 対応言語 | 公式に明記なし | 30言語以上 （無償版は22言語） | 16区分 | 29言語 （COBOL・RPG等の従来型も） | 100以上 （言語・フレームワーク） | 12区分 （C/C++・Java・Python等） | 30言語以上 （言語別に解析深度が異なる） | 22言語 （C/C++中心・Rust・Go等も） | 44以上 | 主要言語に対応 （C・Java・Python・PHP等） |
| CI/CD・IDE連携 | ●IDE拡張・PR自動作成 | ●CI/CD・IDE対応 | ●IDE・PR・CLI対応 | ●IDE・CI/CD対応 | ●IDE・CI/CD対応 | ●GitHub Actions・CLI | ●CI・IDE対応 | ●IDE・CI/CD対応 | ●IDE・CI/CD対応 | ●GitLab CI/CDに統合 |
| 無料・OSS枠 | ●無料Developerプラン | ●無償Community版（OSS） | ●無料プラン（OSS版なし） | ×（無料枠なし・デモ依頼） | ×（無料枠なし・デモ申込） | ●OSS・公開リポジトリは無料 | ●OSS版CLI（LGPL-2.1） | △OSS向けCoverity Scanは無償 | ×（無料枠なし） | ●Freeティアで基本スキャン |
| 料金目安 | 年額3,780ドル〜 （1〜10ユーザー・日本窓口） | 無料〜 （商用版は要問い合わせ） | 月25ドル／開発者〜 （Teamプラン・最大10開発者） | 要問い合わせ （個別見積り） | 要問い合わせ （個別見積り） | 月30ドル／コミッター〜 （非公開リポジトリ） | 無償〜 （Teams:月30ドル／contributor） | 要問い合わせ （個別見積り） | 要問い合わせ （個別見積り） | 無料〜 （Premium月29ドル／ユーザー、Ultimate要問い合わせ） |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
※2026年11月時点の各社公式情報に基づく。料金・対応言語は変更される場合があります。
専門家に依頼するソースコード診断サービス
| サービス名 | CoWorker 脆弱性診断 | NRIセキュア | SQAT（BBSec） | SHIFT SECURITY | セキュアブレイン | レオンテクノロジー | KSK Verification | GMO Flatt Security | IFT ソースコード診断 |
|---|---|---|---|---|---|---|---|---|---|
| 診断方式 | AI自動解析＋専門家確認 | 手動主体（ハイブリッド） | ハイブリッド（手動＋自動） | 静的解析 （Platinumは目視解析） | 自動解析＋専門家精査 | ツール＋目視（ハイブリッド） | 診断員による目視診断 | 手動主体 （ホワイトボックス診断） | 自動ツール＋専門家レビュー |
| 対応言語 | 公式に明記なし | 公式に明記なし | 公式に明記なし | 最大28言語 （Silver22／Gold28） | 20以上 （Java・C#・Python・PHP等） | Java・C/C++・PHP・Ruby等 | Java・PHP等 （Spring・Laravel対応） | 公式に明記なし | 約20種類 （COBOL・PL/SQL等の業務系含む） |
| 料金目安 | 15万円〜 （ソースコードAI診断） | 要問い合わせ （個別見積り） | 要問い合わせ （行数に応じた見積り） | 要問い合わせ （規模に応じた見積り） | 要問い合わせ （ステップ数に応じた見積り） | 要問い合わせ （規模に応じた見積り） | 要問い合わせ （実ステップ数等で見積り） | 要問い合わせ （個別見積り） | 要問い合わせ （コード量・言語・納期で見積り） |
| 納期 | 最短3営業日 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ | 報告書は約5営業日以内 | 要問い合わせ | 要問い合わせ | 2〜3週間 （急ぎは1週間以内） |
| 再診断・報告会 | 上位プランで再診断対応 | 要問い合わせ | 診断後3か月まで再診断可 | 要問い合わせ | フォローアップ診断・報告会（オプション） | 報告会後の再診断・改修フォロー | 速報・報告会（オプション） | 要問い合わせ | 再診断・報告会（オプション）対応 |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト |
※2026年11月時点の各社公式情報に基づく。料金・対応言語は変更される場合があります。
ソースコード脆弱性診断ツール・サービスの個別紹介
ここからは、比較表で取り上げた各ツール・サービスの特徴を、手段のタイプ別に紹介します。
自社で使うSAST（静的解析）ツール
自社の開発プロセスに組み込んで継続的に回せる、SAST（静的解析）ツールと統合型プラットフォームです。
1. Aikido Security（Aikido Security BV・日本窓口 株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの管理画面で検査するSaaSです。ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが販売と導入サポートの窓口を担います。
SAST（静的解析）に加え、SCA（依存ライブラリの検査）・CSPM（クラウド設定診断）・DAST（動的診断）を一つにまとめ、アラートの自動トリアージで誤検知を抑えます。脆弱性の修正案をプルリクエストとして自動作成する機能や、Slack・Teams・Jiraとの連携も備えます。
診断で見つけた脆弱性を実際の修正につなげる難しさについて、開発元の日本窓口を担う株式会社AndGoの原氏は次のように話します。
診断ツールは、脆弱性の場所と直し方を示して終わり、になりがちです。そこで当社としては、直すところまで進めやすい体験が重要だと思っています。Aikido Securityには、オートフィックスとして修正案のドラフトを作ってプルリクエストまで投げられる機能があります。レビューして進める形にできるので、「じゃあ直すか」の速度が上がります。
料金は月額のサブスクリプション型で、無料のDeveloperプランから試せます。日本窓口経由では1〜10ユーザーの年間契約で年額3,780ドル（日本円の請求書払いに対応）から利用できます。スキャンのたびにリポジトリを一時的なコンテナ環境へ複製し、検査後に環境ごと削除する設計です。
2. SonarQube（SonarSource SA）
無償のCommunity版から商用エディションまで幅を持つ、静的解析（SAST）ツールです。提供元はスイスのSonarSource SA（ブランド名Sonar）で、自社サーバーに立てて使うServer版とクラウド型のCloud版があります。
30以上の言語に対応し、バグ・脆弱性・セキュリティホットスポットをプルリクエストごとに検出します。品質ゲート（Quality Gate）を満たさないコードのマージを止める運用ができ、GitHubやGitLabなどのCI/CDに組み込めます。
無償のCommunity Buildがあり、自社サーバーに立ててSASTを無料で始められます。依存ライブラリの検査（SCA）やテイント解析など一部のセキュリティ機能は上位の有償エディションやアドオンが必要で、Server版の商用エディションは要問い合わせです。
3. Snyk Code（Snyk Limited）
IDEとプルリクエスト上でソースコードの脆弱性をスキャンし、優先順位付けと自動修正まで行う、開発者向けのSAST製品です。提供元はSnyk Limitedで、SCA・コンテナ・IaC・DASTなど同社の他製品と同じプラットフォームで扱えます。
対応言語はJava・JavaScript・Python・Goなど16区分で、提供形態はSaaSのほか、コードを外部にアップロードしないLocal Engine構成も選べます。修正案を自動生成するSnyk Agent Fixを、IDE・プルリクエスト上でワンクリック適用できます。
料金はFreeプラン（月100テスト・5プロジェクト）から始められ、Teamプランは1開発者あたり月25ドル（最大10開発者、月1,000テスト）です。それ以上の規模はクレジット制のEnterprise（要見積り）となります。
4. Checkmarx（Checkmarx Ltd.）
イスラエルのCheckmarx Ltd.が開発するアプリケーションセキュリティプラットフォーム「Checkmarx One」です。SASTを中核に、SCA・IaC Security・API Security・Secrets Detectionなどを1つのプラットフォームにまとめています。
SASTの対応言語は公式ドキュメントで29言語（Android (Java) を含む一覧は30項目）にのぼり、COBOL・RPG・PL/SQL・VB6といった従来型の言語も含みます。クラウド版（Checkmarx One）に加え、オンプレミスのSASTも選べます。
料金は非公開で、利用モジュール・提供形態・開発者数に応じた個別見積りとなり、セルフサービスの無料トライアルはなくデモ依頼が入口です。日本にはカントリーマネージャーを置く支社がありますが、日本語サポートや国内代理店の詳細は公式では確認できません。
5. Veracode（Veracode, Inc.）
米国Veracode, Inc.が2006年から手がけるアプリケーションセキュリティプラットフォームの静的解析（SAST）機能です。ソース・バイナリ・両者の併用でスキャンでき、ソースコードが手元にないサードパーティ製コードも対象にできます。
公式ページでは100以上の言語・フレームワークに対応するとしています。IDE・CI/CD・SCMリポジトリからスキャンを開始でき、ビルドを止める閾値を設定できるPipeline Scanも備えます。
料金は非公開で、比較検討には営業への問い合わせが必要です。本体はSOC 2 Type IIとFedRAMP Moderateの認可を公式に示しており、外部に報告書やコンプライアンス対応を示す必要がある組織での利用を想定した構成です。
6. GitHub CodeQL（GitHub, Inc.）
コードをデータベースのように扱い、クエリで脆弱性やそのバリアントを探す静的解析エンジンです。提供元はGitHub, Inc.（Microsoftグループ）で、GitHub上ではcode scanningとして実行されます。
対応言語はC/C++・C#・Go・Java・JavaScript・Python・Ruby・Rust・Swiftなどに、GitHub ActionsのワークフローYAMLを加えた12区分です。独自のクエリを書いて自組織固有の脆弱性パターンを検索でき、Copilot Autofixによる修正案の提示にも対応します（人手レビューが前提）。
OSS（OSIライセンス）や公開リポジトリは無料で利用でき、非公開リポジトリでの利用にはGitHub Code Security（1アクティブコミッターあたり月30ドル）が必要です。GitHub以外のリポジトリやCIでCodeQL CLIを商用利用する場合は、ライセンス上GitHubへの問い合わせが必要です。
7. Semgrep（Semgrep, Inc.）
無償のオープンソース版（Community Edition、LGPL-2.1）と、商用のSemgrep Code・AppSec Platformで構成されるSASTです。提供元はSemgrep, Inc.で、パターンマッチとデータフロー解析を組み合わせたルールを自作できる点が設計の中心にあります。
商用のSemgrep Codeは、言語ごとにデータフロー解析の深さ（ファイル横断・関数間）が公式に区分されています。CIで実行する場合はソースコードが自社環境内にとどまり、検出結果をAppSec Platformで受け取る形で運用します。
OSS版のCLIはライセンス費用なしで利用でき、商用版はFreeプラン（最大10 contributors・10リポジトリ）から始められます。TeamsプランはSAST（Code）が1 contributorあたり月30ドルで、Enterpriseはボリューム価格の問い合わせとなります。
8. Coverity（Black Duck Software, Inc.）
C/C++を中心とした組み込み・セーフティクリティカル向けの解析を主な用途とする、静的解析（SAST）ツールです。提供元はBlack Duck Software, Inc.で、セキュリティ脆弱性とコード品質の欠陥を検出します。
MISRA・AUTOSAR C++14・CERT、ISO 26262（ASIL D）やDO-178C（Level A）といった機能安全規格への適格性資料（Q-Kit）を提供し、規格別のPDFコンプライアンスレポートを出力できます。対応言語は公式で22言語とされ、Rust・Go・Kotlin・Swiftなども含みます。
完全エアギャップのオンプレミス運用が可能で、同じ解析エンジンのSaaS版（Polaris fAST Static）も選べます。料金は個別見積りで、国内では株式会社マクニカが販売代理店を務めます。
9. OpenText Fortify（Open Text Corporation）
Open Text Corporationが提供するSAST製品群で、中核のFortify Static Code Analyzer（OpenText SAST）が解析エンジンを担います。Fortify SoftwareからMicro Focus、OpenTextへと提供元が移ってきた製品です。
オンプレミスでの自社運用のほか、SaaS型のFortify on Demand、プライベートホスト、オフクラウドと複数の提供形態から選べます。公式製品ページでは44以上の言語に対応するとしています（FAQでは33以上との記載もあります）。
GitHub・GitLab・Jenkins・Azure DevOpsなどのCI/CDや主要IDEと連携でき、AIによる修正支援（Fortify Remediation Aviator）も備えます。料金は非公開で、無料トライアルの案内はなく問い合わせが入口となります。国内ではアシストが販売を手がけています。
10. GitLab SAST（GitLab Inc.）
GitLabのDevSecOpsプラットフォームに含まれる、アプリケーションセキュリティ機能の一つです。独立した製品ではなく、GitLab CI/CDパイプライン内で静的解析ジョブとして実行し、Free／Premium／Ultimateの各ティアの中で提供されます。
Free・Premiumでは基本スキャンとJSONレポートの出力が中心で、マージリクエスト内での検出結果の表示や脆弱性管理、ファイル横断・関数横断のテイント解析（Advanced SAST）はUltimateが必要です。SemgrepエンジンベースのアナライザとGitLab管理ルールで解析します。
対応言語はC・C++・Java・Python・JavaScriptなどで、SaaS・セルフマネージド・Dedicatedに対応し、セルフマネージドではオフライン運用もできます。料金はFreeが無料、Premiumが1ユーザーあたり月29ドル（年額請求）、Ultimateは営業見積りです。
ここで取り上げたSASTツールだけを、無料OSSから商用、委託診断まで横断してさらに詳しく比べたい場合は、SASTツールに特化した比較記事があります。対応言語・CI/CD連携・料金を軸に製品を絞り込みたい、自社でツールを回す前提の方に向く内容です。
専門家に依頼するソースコード診断サービス
コードを預けると専門家が手動精査まで行い、誤検知を除いた報告書と改善提案を返す、依頼型のソースコード診断サービスです。
11. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社が自社開発したAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせて実施する診断サービスです。ソースコードAI診断は、本番環境に影響を与えずにコードや設計書を解析し、脆弱性を洗い出します。
料金は診断メニュー別に分かれており、ソースコードAI診断は15万円から提示されています（2026年11月時点、同社公表）。動的診断やペネトレーションテストまで、診断対象に応じて段階的に選べる構成です。
AIによる自動解析のあとに専門家が結果を精査して報告書を作成する流れで、プレスリリースでは診断開始から最短3営業日での報告書納品が示されています。
AI診断の精度について、同社セールスマネージャーの一ノ瀬氏は、ハルシネーション（AIがもっともらしい誤りを出力すること）への向き合い方を次のように説明します。
精度については、ハルシネーションが心配だというお声もいただきますが、ハルシネーションを完全に防ぐとAIの強みが損なわれてしまいますので、そこは防ぎきることはしていません。その代わり、ハルシネーションが起きた可能性がある箇所については明確に示すようにしていて、最終的に人の目で見て正しいかどうかを承認するフローを取っています。人よりも早く、精度良く、間違いを減らせるというのが、Red Agentの強みだと考えています。
12. セキュリティ診断（ソースコード診断）（NRIセキュアテクノロジーズ株式会社）
野村総合研究所グループでセキュリティを専業とするNRIセキュアテクノロジーズ株式会社が、設計・開発支援メニューの一つとして提供するソースコード診断です。Webアプリケーションやプラットフォームなど幅広い診断と同じ窓口で依頼できます。
同社の診断は、SANS Instituteの専門トレーニング修了者やCISSP・OSCPなどの資格保有者による手動主体の方式を中核に据えています。ペネトレーションテストやレッドチームオペレーションまで一貫して対応できる点も特徴です。
ソースコード診断の費用は公式サイトに金額の記載がなく、診断範囲に応じた個別見積りとなります。全社でISO/IEC 27001（ISMS）を取得しています。
13. SQAT（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティが展開する脆弱性診断ブランド「SQAT（エスキュート）」のソースコード診断で、メニュー名は「SQAT® Core」です。手動診断と独自開発の自動診断を組み合わせるハイブリッド方式を採用しています。
ソースコード診断とWebアプリケーション脆弱性診断を組み合わせた「SQAT® GlassBox」もあり、内部を検証するホワイトボックステストと外部からの挙動を検証するブラックボックステストを併用します。料金は対象ソースコードの行数に応じた個別見積りです。
延べ10,300組織・64,280システム超への診断実績（2025年6月現在）があり、診断終了後3か月までの再診断に対応します。
14. SHIFT SECURITY ソースコード診断（株式会社SHIFT）
株式会社SHIFT（旧SHIFT SECURITY）が提供する、静的解析でソースコードの脆弱性を検出し対策を提案するサービスです。診断規模や対象言語に応じて、Bronze・Silver・Gold・Platinumの4プランが用意されています。
対応言語はプランにより広がり、Silverで22言語、Goldで28言語に対応します。Platinumでは静的解析に加えて、専門家による目視解析・構成解析が含まれます。
脆弱性診断事業全体では金融分野で1.5万件以上、業務システムで1,200件以上の診断実績があり、200名以上の診断員が在籍します。料金は公式非公開で、診断対象の規模に応じた見積りです。
15. セキュアブレイン ソースコード診断（株式会社日立システムズ）
セキュリティ診断サービスの一メニューとして、株式会社日立システムズ（旧セキュアブレイン）が手がけるソースコード診断です。ソースコードを静的に解析するため、Webサーバーの環境を用意する必要がなく、コードを提供するだけで診断できます。
ツールによる自動解析の結果を専門家が手動で精査してノイズを除き、脆弱性の所在をファイル名・行番号単位で報告します。SQLインジェクションやクロスサイト・スクリプティングなど9種類の項目を検出対象とします。
Java・C#・Python・PHPなど20以上の言語に対応します。料金はソースコードのステップ数（行数）に応じた個別見積りで、詳細は問い合わせが必要です。
16. レオンテクノロジー ソースコード診断（株式会社レオンテクノロジー）
診断ツールと専門家の目視チェックを併用し、ツールが検出した脆弱性を一つずつ確認していくハイブリッド方式のソースコード診断です。株式会社レオンテクノロジーが提供し、診断士は自社社員のみで対応します。
Java・C/C++・PHP・Rubyなどの言語やフレームワークに対応し、開発工程の途中でも部分的に診断を依頼できます。診断完了後は約5営業日以内に報告書を提出し、重大な脆弱性は診断中に速報で通知します。
報告会後の再診断や改修方法のフォローにも対応します。会社としてISMS（ISO/IEC 27001）やPCI DSS審査機関（QSA）の認定を取得しています。
17. KSK Verification ソースコード診断（株式会社KSK）
株式会社KSKのソフトウェアテスト事業が提供するソースコード診断で、診断員がソースコードを目視で確認して脆弱性を検出します。Java・PHPなどの言語や、Spring Framework・Laravelといったフレームワークに対応します。
脆弱性だけでなく、非推奨APIの利用や未使用関数などコード品質に関わる観点も評価します。危険度の高い脆弱性を即時報告する速報や、報告会をオプションで利用できます。
同じ窓口でWebアプリケーション診断（動的診断）も依頼でき、静的・動的の両面から検証できます。料金は実ステップ数・言語・期間をもとにした見積り制（金額非公開）です。
18. GMO Flatt Security 脆弱性診断（GMO Flatt Security株式会社）
GMO Flatt Security株式会社が提供する、専門家による手動診断とソースコードを用いたホワイトボックス診断を軸にした診断サービスです。認可制御の不備など、コードの内部ロジックに関わる脆弱性の検出に重点を置いています。
標準のWebアプリケーション診断でも、条件を満たす場合は部分的なソースコード診断を追加料金なしで併用する運用をとっています（2023年7月以降）。Single Page Application向けには、ソースコード・仕様書・設計書を調査する完全ホワイトボックス形式のSPA診断も用意されています。
GMOインターネットグループの一員で、経済産業省「情報セキュリティサービス基準」に登録されています（登録番号019-0045-60）。料金は診断対象の規模などに応じた個別見積りです。
19. ソースコード診断（株式会社アイ・エフ・ティ）
静的解析を基本に、自動化ツールと専門家の手動レビューを組み合わせる受託型のソースコード診断です。株式会社アイ・エフ・ティ（IFT）が提供し、診断基準はOWASP Top 10とCWEに準拠、OSSライブラリはCVEデータベースと照合します。
脆弱性に加えてバグやコーディング規約違反も検出対象とし、手動レビューで誤検知を取り除いた報告書を提供します。COBOLやPL/SQLといった業務系を含む約20種類の言語に対応する点が特徴です。
診断前にNDA（秘密保持契約）を締結し、診断後はソースコードを削除する運用です。標準納期は2〜3週間（急ぎは1週間以内）で、料金はコード量・言語・診断範囲・納期に応じた個別見積りです。
ソースコード脆弱性診断の費用相場
ソースコード脆弱性診断の費用は、手段によって価格の決まり方が大きく異なります。業界共通の「相場額」は公開されていないため、ここでは費用が何で変わるかと、公表されているサービスの価格例を整理します。
自社で使うSASTツールの場合、OWASPが指摘するとおり、ライセンス費用はユーザー数・組織・アプリケーション数・コード行数などによって変動します。無料・OSSのツールなら導入費用はかかりませんが、運用と結果の切り分けに自社の工数がかかります。商用ツールは多くが要問い合わせで、利用規模に応じた見積りとなります。
本記事で取り上げたツール・サービスのうち、料金を公表している例は次のとおりです（いずれも2026年11月時点の各社公表値。ドル建ての料金は為替により円換算額が変動します）。
| サービス | 公表料金（2026年11月時点の各社公表値） |
|---|---|
| Aikido Security | 日本窓口で年額3,780ドル〜（1〜10ユーザー・年間契約） |
| Snyk Code（Team） | 月額25ドル／開発者〜 |
| GitHub CodeQL（code scanning） | 非公開リポジトリは月額30ドル／アクティブコミッター |
| Semgrep（Teams） | 月額30ドル／contributor〜 |
| GitLab（Premium・SAST含む） | 月額29ドル／ユーザー〜 |
| CoWorker 脆弱性診断サービス | ソースコード診断15万円〜（依頼型で料金を公表する数少ない例） |
専門家に依頼するソースコード診断サービスの費用は、コード量（行数）・対応言語・診断範囲・納期で決まるため、個別見積りが基本です。公開しているサービスの例として、CoWorker 脆弱性診断サービスはソースコード診断を15万円から提示しています（2026年11月時点、同社公表）。
このように、公表価格があるサービスとないサービスがあるため、複数のサービスから見積りを取り、同じ診断範囲で比較することが費用感をつかむ近道です。
出典・参考資料（1件）
- 出典：Source Code Analysis Tools（Important Selection Criteria: License cost）｜OWASP Foundation（https://community.owasp.org/Source_Code_Analysis_Tools）
無料・OSSのSASTツールでどこまでできる？足りないこと
まずは費用をかけずに始めたい場合、無料・OSS（オープンソースソフトウェア）のSASTツールという選択肢があります。商用ツールの無償Community版や、言語・フレームワークごとの静的解析ツールなど、無料で使えるSASTツールが数多く存在します。CI/CDに組み込んで継続的に回す使い方もでき、「まず自社コードの状態を把握する」入口として有効です。
言語やフレームワークに特化したOSSの静的解析ツールも揃っています。たとえばPythonはBandit、Ruby on RailsはBrakeman、GoはGosec、JavaはSpotBugs（セキュリティ向けプラグインFind Security Bugs）、Node.js／JavaScriptはNodeJsScanなどが代表例です。前述のSemgrepのように、1つのルールエンジンで複数言語を横断できるツールもあります。自社の主要言語に対応するツールから試すと、無料で始めつつ導入の見通しを立てやすくなります。
一方で、無料・OSSツールにも前述のSASTの限界がそのまま当てはまります。OWASPが挙げるとおり、設定ミスはコードに現れないため検出しにくく、認証・アクセス制御・暗号の不適切な利用といった脆弱性は自動検出が難しい領域です。誤検知の切り分けやルールのメンテナンスは自社で担う必要があり、結果を正しく読み解くにはセキュリティの知見も求められます。
そのため、無料・OSSツールで日常的に粗く拾いつつ、リリース前や重要な改修時には商用ツールの精度や専門家の手動精査を組み合わせる、という使い分けが現実的です。無料で始めて、自社の体制や求める精度に応じて商用・依頼へ切り替える判断軸を持っておくとよいでしょう。
ソースコード診断（SAST）とDAST・ペネトレーションテストの違い
脆弱性を調べる手法には、ソースコード診断（SAST）以外にDAST（動的診断）やペネトレーションテストがあります。それぞれ見る対象と目的が異なるため、使い分けの前提として違いを押さえておきます。
SASTがソースコードという「内側」を実行せずに解析するのに対し、DAST（Dynamic Application Security Testing）は稼働中のアプリケーションを通常は「外側」からスキャンし、クロスサイト・スクリプティングやSQLインジェクション、サーバー設定の不備などを探します。
OWASPはDASTツール（脆弱性スキャナ）を、Webアプリケーションを通常は外側から自動でスキャンして脆弱性を探すツールと説明しています。コードを渡さずに実環境の挙動を確かめられる点がSASTとの大きな違いです。
ペネトレーションテストは、NIST（米国国立標準技術研究所）の定義では、評価者が実際の攻撃を模倣して、アプリケーション・システム・ネットワークのセキュリティ機能を回避する方法を見つけようとするセキュリティテストです。網羅的に脆弱性を洗い出すSAST/DASTに対し、ペネトレーションテストは「実際に突破できる経路があるか」を攻撃者視点で検証する点が異なります。
ソースコードの作り込みの欠陥を広く洗い出したいならSAST、公開後の実環境の弱点を確かめたいならDASTやペネトレーションテスト、というのが基本的な使い分けです。
出典・参考資料（2件）
- 出典：Vulnerability Scanning Tools｜OWASP Foundation（https://community.owasp.org/Vulnerability_Scanning_Tools）
- 出典：penetration testing（Glossary / SP 800-115）｜NIST（https://csrc.nist.gov/glossary/term/penetration_testing）
ソースコード診断（SAST）は、ここで挙げたDASTやペネトレーションテストも含む脆弱性診断の一手法です。Web・インフラまで含めて脆弱性診断サービス全般を俯瞰し、自社に必要な診断手法から選びたい場合は、診断方法・費用相場・選び方を横断的にまとめた以下の記事が出発点になります。
まとめ
ソースコード脆弱性診断は、自社でSASTツールを回すか、専門家のソースコード診断サービスに依頼するかという手段の選択から始まります。継続的に・低コストで回したいなら自社ツール、誤検知を除いた精度の高い報告書がほしいなら専門家依頼が基本の向き不向きです。そのうえで、対応言語・診断方式（手動精査の有無）・CI/CD連携や診断後のサポートといった観点で、自社に合う1つを絞り込みます。
まずは無料・OSSツールで自社コードの状態を把握し、リリース前や重要な改修時には商用ツールや専門家の手動精査を組み合わせる使い分けも有効です。複数のサービスの資料を取り寄せ、対応言語・診断方式・費用を同じ条件で比べることが、失敗しない選定の近道です。
一括ダウンロードする
よくある質問（FAQ）
Q. ソースコード脆弱性診断（SAST）とは何ですか？
ソースコード脆弱性診断（SAST）とは、アプリケーションを実行せずにソースコードを解析し、セキュリティ上の欠陥をコーディングレベルで洗い出す手法です。プログラムを動かさずに中身を読み解くため静的解析とも呼ばれます。進め方には、SASTツールで機械的にスキャンする方法と、専門家が解析結果を手動で精査する方法があります。
Q. ソースコード脆弱性診断は、自社でSASTツールを回すのと専門家に依頼するのではどちらを選ぶべきですか？
ソースコード脆弱性診断の手段は、継続的に低コストで回したいなら自社でSASTツールを導入し、誤検知を除いた精度の高い報告書がほしいなら専門家の診断サービスに依頼するのが基本の向き不向きです。社内にセキュリティの知見と継続的に運用できる体制があるほど自社ツールが活きます。専門知見がない、あるいは報告書を経営層や取引先に提出する必要がある場合は、手動精査のあるサービスが向きます。
Q. ソースコード脆弱性診断の費用はいくらくらいかかりますか？
ソースコード脆弱性診断の費用は、業界共通の相場額が公開されておらず、利用規模や診断範囲に応じた個別見積りが基本です。自社で使うSASTツールはユーザー数・組織規模・コード行数などでライセンス費が変わり、無料・OSSツールなら導入費はかかりません。専門家の診断サービスはコード量・対応言語・診断範囲・納期で決まります。
公表例として、CoWorker 脆弱性診断サービスはソースコードAI診断を15万円から提示しています（2026年11月時点、同社公表）。複数のサービスから同じ診断範囲で見積りを取り、横並びで比べるのが費用感をつかむ近道です。
Q. 無料・OSSのSASTツールだけで十分なセキュリティ対策になりますか？
無料・OSSのSASTツールは、自社コードの状態を把握する入口としては有効ですが、それだけで万全とは言い切れません。無償のCommunity版やOSSツールはCI/CDに組み込んで継続的に回せます。
一方で、設定ミスはコードに現れにくく、認証・アクセス制御・暗号の不適切な利用といった脆弱性は自動検出が難しいうえ、誤検知の切り分けやルールの保守は自社で担う必要があります。リリース前や重要な改修時には、商用ツールの精度や専門家の手動精査を組み合わせる使い分けが現実的です。
Q. ソースコード脆弱性診断は自社の開発言語（COBOLなど）に対応していますか？
ソースコード脆弱性診断が自社の言語に対応するかは、ツール・サービスごとに対応言語が異なるため、導入前に自社の開発スタックが対応範囲に含まれるかを必ず確認します。SASTは言語ごとに解析エンジンが異なり、対応していない言語のコードは診断できません。特にCOBOLやPL/SQLといった業務系のレガシー言語は、対応をうたう製品・サービスが限られるため注意が必要です。
Q. ソースコード脆弱性診断では誤検知は避けられますか？
ソースコード脆弱性診断の誤検知は、自動ツールだけでは一定量避けられず、専門家の手動精査を挟むことで「本当に直すべき箇所」に絞り込めます。OWASPもSASTツールは誤検知（false positive）が多いと指摘しています。自社でツールを回す場合は大量の検出結果の切り分けを自社が担い、手動精査のある診断サービスに依頼すれば、その切り分けの負担を外部に移せます。
Q. ソースコード脆弱性診断はどのタイミングで実施するのが理想ですか？
ソースコード脆弱性診断は、リリース前の総点検や機能改修の節目など、コードが本番環境に出る前のタイミングで実施するのが理想です。問題を開発工程の早い段階で見つけるほど、修正の手戻りは小さく済みます。自社でSASTツールを導入すれば、コードを書いている段階からCI/CDやIDE上で継続的に診断を回せます。
Q. ソースコード脆弱性診断はどのくらいの頻度で行うべきですか？
ソースコード脆弱性診断の頻度は、コードを変更するたびが理想で、少なくとも大きな改修やリリースの節目ごとに実施するのが目安です。自社でSASTツールをCI/CDパイプラインに組み込めば、コミットやプルリクエストのたびに自動で診断が走る形にでき、脆弱性の作り込みをその場で止められます。単発で確かめたい場合は、専門家のスポット診断を節目ごとに利用する方法もあります。
Q. 専門家に依頼する場合、診断の期間はどのくらいかかりますか？
専門家に依頼するソースコード診断の期間は、コード量や診断範囲によって数営業日から数週間程度と幅があります。本記事で取り上げたサービスでも、報告書の納品まで最短3営業日とするものから、標準で2〜3週間を要するものまでさまざまです。自社でSASTツールを回す場合は、スキャン自体はその都度短時間で完了します。急ぎの場合は、短納期対応の可否を事前に確認するとよいでしょう。
Q. ソースコードを外部に渡す際、機密性は守られますか？
ソースコードを外部の診断に出す際の機密性は、多くの診断サービスがNDA（秘密保持契約）の締結や診断後のソースコード削除といった運用で保護しています。どうしてもコードを外部に預けたくない場合は、コードを外部にアップロードしないローカル実行や、完全エアギャップのオンプレミス運用、CI内でコードが自社環境にとどまる構成に対応したツールを選ぶ方法もあります。
Q. 利用しているOSSライブラリの脆弱性も診断できますか？
利用しているOSSライブラリやフレームワークの脆弱性は、SAST単体ではなく、SCA（依存ライブラリの検査）を備えた統合型ツールや、CVEデータベースと照合する診断サービスで対象にできます。自社が書いたコードを調べるSASTと、取り込んだ外部ライブラリの既知の脆弱性を調べるSCAは守備範囲が異なります。
統合型のツールは両方を一画面で扱え、依頼型でもOSSライブラリの照合に対応するサービスがあります。
Q. 発見された脆弱性の修正まで対応してもらえますか？
脆弱性の修正対応は、「報告書での改善提案」までのサービスと、「再診断・報告会・修正方法のフォロー」まで含むサービスに分かれるため、診断後のサポート範囲を事前に確認することが重要です。見つけるだけでなく「どう直すか」まで支援があるかで、診断の実効性は大きく変わります。自社で使うツールにも、修正案を自動生成してプルリクエストやIDE上でワンクリック適用できる機能を備えたものがあります。
Q. 診断レポートにはどのような内容が含まれますか？
ソースコード診断のレポートには、検出した脆弱性の一覧・リスク度（深刻度）・該当するファイル名や行番号・改善提案が含まれるのが一般的です。手動精査のあるサービスでは、誤検知を除いたうえで優先的に直すべき箇所が示されるため、経営層や取引先への説明根拠としても使えます。報告書の分かりやすさや修正提案の有無は、サービスを選ぶ際の重要な比較ポイントです。
ソースコード脆弱性診断ツール・サービスの料金・資料を一括チェック
MCB FinTechカタログでは、ソースコード脆弱性診断ツール・診断サービスの最新資料を無料で一括請求できます。対応言語・診断方式・料金を同じ条件で比べて、自社に合う手段を選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
