システムを開発・提供する側であるIT企業では、自社サービスや受託開発した納品物の安全性を、攻撃を受ける前に確かめておきたい場面が増えています。取引先から「脆弱性診断のレポートを提出してほしい」と求められた、SaaSをリリースする前に穴がないか点検したい、といったきっかけで検討を始める担当者は少なくありません。
一方で、脆弱性診断には対象や手法が複数あり、費用も数万円から数百万円まで幅があります。自社に開発力があるIT企業ほど「ツールで自分たちが回すのか、専門家に外注するのか」という判断にも迷いがちです。
この記事では、IT企業が脆弱性診断を受けるべき場面から、診断の種類・費用相場・内製と外注の考え方・進め方・依頼先の選び方までを整理します。自社の対象に合った診断を見極め、相見積もりや社内の検討に進むための材料としてご活用ください。
目次
一括ダウンロードする
脆弱性診断とは（IT企業にとっての位置づけ）
脆弱性診断とは、Webアプリケーションやサーバー、ネットワーク機器などに、攻撃に悪用され得る弱点（脆弱性）が残っていないかを検査し、検出した弱点と対処方法を報告する取り組みです。セキュリティ診断とも呼ばれます。
システムを開発・運用するIT企業にとって、脆弱性診断は「作ったものに穴がないことを確かめ、それを自社と取引先に示すための手段」という位置づけになります。開発したWebアプリやAPIをそのまま公開すると、設計や実装に残った弱点が情報漏えいやサイト改ざんの入口になり得るため、公開前や改修後に第三者の目で点検する流れが一般的です。
検査の実装側の指針は、公的機関も資料を公開しています。独立行政法人情報処理推進機構（IPA）の「安全なウェブサイトの作り方」は、次のように位置づけられています。
ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。
出典：安全なウェブサイトの作り方｜独立行政法人情報処理推進機構（IPA）
脆弱性とは
脆弱性とは、ソフトウェアやシステムの設計・実装に残った、攻撃に悪用され得るセキュリティ上の欠陥を指します。たとえばSQLインジェクションやクロスサイトスクリプティング（XSS）のように、入力値の扱いに不備があると、データの窃取や改ざんにつながります。脆弱性診断は、こうした弱点が残っていないかを体系的に洗い出す作業です。
IT企業が脆弱性診断を受けるべき場面と必要性
ここからは、システムを開発・提供するIT企業が、どのような場面で脆弱性診断を受けるのかを整理します。自社の状況に当てはめて、診断が必要なタイミングを見極める参考にしてください。
- 受託開発した納品物の品質保証：開発したシステムを顧客に引き渡す前に診断を実施し、重大な脆弱性が残っていないことを確認してから納品する
- 取引先・顧客からの診断レポート要求：発注元や導入先のセキュリティチェックで、第三者による脆弱性診断の結果提出を求められたときに対応する
- 自社SaaS・自社サービスの定期診断：運用中のサービスに対し、機能追加やリリースのたび、または定期的に診断して弱点の作り込みを早期に発見する
- 認証・監査への対応：ISMS（ISO/IEC 27001）やSOC 2などの取得・維持、カード情報を扱う場合のPCI DSSなど、認証や監査の要件を満たすために診断を実施する
実施のタイミングと頻度は、システムの公開前・大きな改修の直後に加え、運用中も定期的に行うのが基本です。JPCERTコーディネーションセンター（JPCERT/CC）は、Webアプリケーションのセキュリティ診断について次の頻度を推奨しています。
1年に1回程度、および機能追加などの変更が行われた時
出典：Webサイトへのサイバー攻撃に備えて｜JPCERTコーディネーションセンター
個人データを扱うサービスを提供する場合は、法令上の背景もあります。個人情報保護法は、個人データの安全管理のための措置を事業者に求めています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。
出典：個人情報の保護に関する法律 第23条｜e-Gov法令検索
条文は「必要かつ適切な措置」を求めるもので、脆弱性診断そのものを名指しで義務づけているわけではありません。ただし、個人データを扱うWebサービスを開発・運用するIT企業にとって、脆弱性診断は安全管理措置を果たす有効な手段の一つに位置づけられます。
経済産業省とIPAも、経営者が取り組むべき課題として「サイバーセキュリティ経営ガイドライン」を公開しており、脆弱性への対応は経営課題としても扱われています。
出典・参考資料（1件）
脆弱性を放置するリスク
脆弱性を残したままサービスを公開・運用すると、不正アクセスによる情報漏えい、Webサイトの改ざん、マルウェア感染などの被害につながります。IT企業の場合、被害は自社だけにとどまりません。納品したシステムや提供中のSaaSで事故が起きれば、顧客の業務や顧客のさらに先にいる利用者にも影響が及び、開発・提供元としての信頼を失うことに直結します。
だからこそ、作ったものを公開する前、そして運用を続ける間、弱点が残っていないかを定期的に確かめる意味があります。
一括ダウンロードする
脆弱性診断の種類一覧（対象別の種類と使う場面）
脆弱性診断は、何を対象にするかで種類が分かれます。IT企業は自社が開発・運用する対象（Webアプリ、API、サーバー、クラウド、ソースコード）に合わせて、受けるべき診断を選びます。まずは対象ごとの違いを表で確認してください。
| 診断の種類 | Webアプリケーション診断 | API診断 | プラットフォーム診断（ネットワーク診断） | クラウド診断（CSPM） | ソースコード診断（SAST） | スマートフォンアプリ診断 |
|---|---|---|---|---|---|---|
| 主な対象 | 公開中のWebアプリ・Webサービス | REST APIなどのWeb API | サーバー・ネットワーク機器・OS・ミドルウェア | AWS・Azure・Google Cloudなどの設定 | アプリケーションのソースコード | iOS・Androidアプリ |
| 何を見るか | SQLインジェクション、XSS、認証・セッション管理の不備など | 認可の不備、入力値検証、エンドポイントごとの脆弱性 | 既知の脆弱性、不要なポート・サービス、設定不備 | 過剰な権限、公開設定の不備、推奨構成からの逸脱 | コードレベルの脆弱性、危険な実装パターン、依存ライブラリのリスク | 端末内のデータ保護、通信、サーバー側APIの脆弱性 |
| こんな時に | 自社サービスやWebシステムの納品前・リリース前・改修後 | APIを外部公開・提供するSaaSやモバイルアプリの基盤 | インフラを自社で構築・運用している場合 | クラウド上にサービスを構築・運用している場合 | 開発工程で早期に弱点を潰したい（シフトレフト）場合 | モバイルアプリを開発・提供している場合 |
※上記は一般的な診断の種類の整理です。各診断の対象範囲や手法の詳細は提供各社の情報をご確認ください。
Webアプリ診断で何を見るかは、IPAが公開する「ウェブ健康診断仕様」が公的な目安になります。
「ウェブ健康診断仕様」には、危険度の高い脆弱性など13の診断項目について、検出パターンと、それに対応した脆弱性有無の判定基準が記載されています。ただし、「ウェブ健康診断仕様」の診断は、検査パターンを絞り込んだ診断ですので、脆弱性が検出されなかった場合でも、安全宣言には繋がりません。
出典：安全なウェブサイトの作り方（別冊「ウェブ健康診断仕様」）｜独立行政法人情報処理推進機構（IPA）
Webアプリで優先的に対策すべき弱点の国際的な指針としては、OWASP（Open Worldwide Application Security Project）が公開する「OWASP Top 10」が広く参照されます。SQLインジェクションやアクセス制御の不備など、重大なリスクのカテゴリがまとめられており、診断の網羅性を測る基準として使われます。
出典・参考資料（1件）
- 参考資料：OWASP Top 10｜OWASP
脆弱性診断とペネトレーションテストの違い
脆弱性診断とよく比較されるのが、ペネトレーションテスト（侵入テスト）です。脆弱性診断が「対象に既知の弱点が残っていないかを網羅的に洗い出す」のに対し、ペネトレーションテストは「攻撃者の視点で特定の目的（重要情報の窃取など）が達成できるかを試す」点に違いがあります。
一般的には、まず脆弱性診断で広く弱点を洗い出し、重要なシステムや守るべき資産については、ペネトレーションテストでより深く確かめるという使い分けになります。
重要なシステムについて実際にペネトレーションテストの実施まで検討する場合は、診断シナリオや費用相場、依頼先の見極め方を比較した以下の記事が参考になります。
開発力のあるIT企業はどう診断を実施するか（ツール／手動・内製／外注・開発工程への組み込み）
IT企業には社内に開発者がいるため、「診断をどう回すか」に選択肢があります。ここでは、ツール診断と手動診断の違い、内製と外注の判断軸、そして開発工程に組み込む診断という3つの観点を整理します。
ツール診断と手動診断の違い・使い分け
脆弱性診断の手法は、大きくツール診断（自動スキャン）と手動診断（専門家による検査）に分かれます。ツール診断は、スキャンツールが自動で疑似攻撃を送信して弱点を検出する方式で、短期間・低コストで繰り返し実施しやすいのが特長です。一方の手動診断は、専門のエンジニアがアプリケーションのロジックや業務フローを踏まえて検査するため、ツールでは拾いにくい認可の不備や複雑な脆弱性まで踏み込めます。
ツール診断は月額数万円から利用できるものが多く、手動診断は対象や工数に応じて数十万円から数百万円まで幅があります。精度と費用はトレードオフの関係にあるため、定常的な点検はツールで回し、重要なシステムやリリース前の最終確認は手動診断やペネトレーションテストで補うという併用が実務的な結論になります。
前述のとおり、ツール診断で脆弱性が検出されなくても、それだけで安全を宣言できるわけではない点には注意が必要です。
内製すべきか、外注すべきか
社内に開発者がいるIT企業では、診断ツールを導入して自分たちで診断を回す「内製」と、専門の診断会社に依頼する「外注」のどちらを選ぶかが論点になります。判断の軸は、主に次の3点です。
- 客観性・第三者証明が要るか：取引先への提出や認証・監査対応では、開発した当事者ではない第三者による診断結果が求められることが多く、その場合は外注が適します
- 診断の頻度と対象の広さ：リリースのたびに繰り返し点検したい、複数のサービスを継続的に見たいといった場合は、ツールを内製で回すほうが費用と運用の面で現実的です
- 踏み込みの深さ：重要システムやロジックの複雑な部分は、専門家の手動診断に外注したほうが精度が高くなります
実務では、定常的な点検はツールで内製し、取引先提出や重要箇所の最終確認は外注する、という組み合わせが取られることが多くあります。まず外注で現状のリスクを把握し、そのうえで内製の体制を整えていく進め方も有効です。内製と外注の向き・不向きを整理すると、次のようになります。
どの診断項目まで内製できるのか、自動化ツールやCI/CDへの組み込みをどう進めるのかは、以下の記事で診断項目ごとに整理しています。内製と外注の線引きをより具体的に詰めたいときの参考にしてください。
開発工程に組み込める診断（API診断・ソースコード診断・継続診断）
継続的にリリースを重ねるIT企業では、完成後にまとめて診断するだけでなく、開発工程の中で早期に弱点を潰す進め方が効果的です。ソースコード診断（SAST）は、コードを書いた段階で危険な実装や依存ライブラリのリスクを検出できるため、公開後の手戻りを減らせます。これは、工程の早い段階でセキュリティ対策を行う「シフトレフト」と呼ばれる考え方です。
また、CI/CDパイプラインに診断を組み込めるツールを使えば、コードの変更やリリースのたびに自動でWebアプリ・API診断を実行し、スキャンを繰り返し回せます。API診断に対応したツールを選べば、外部公開するAPIの認可の不備なども継続的に点検できます。開発のスピードを落とさずに安全性を保ちたいIT企業にとって、こうした開発工程に組み込める診断は有力な選択肢です。
こうして診断を開発工程に組み込む動きの背景には、開発現場でのセキュリティの位置づけ自体の変化があります。脆弱性診断ツールを提供する株式会社AndGoの原氏は、この変化について次のように話します。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。
脆弱性診断の費用相場（手法別の目安と料金例）
脆弱性診断の費用は、手法（ツールか手動か）と対象の規模で大きく変わります。ここでは、公開されている料金例をもとに、手法別の費用の目安を整理します。実際の金額は対象の規模や診断の深さで変動するため、相見積もりの前提としてご確認ください。
| 費用相場 | ツール診断（SaaS型・自動） | 手動診断（Webアプリ・1アプリ） | ペネトレーションテスト |
|---|---|---|---|
| 費用の目安 | 月額2万円前後〜10万円程度 | 数十万円〜 | 数十万円〜数百万円 |
| 課金の形 | 月額／年額のサブスクリプション（回数無制限の製品が多い） | 対象・画面数・工数に応じた個別見積り | 対象・シナリオに応じた個別見積り |
| 料金例（公式情報） | VAddy 月額19,800円〜、Securify 月額5万円〜（年60万円〜）、Aikido Security 月額5万円台〜 | CoWorker 動的診断（Web／API）30万円〜・ソースコード診断15万円〜、VAddy 手動診断オプション40万円（SHIFT提供） | CoWorker Webペネトレーションテスト60万円〜、ネットワークペネトレーションテスト100万円〜 |
※料金は2026年11月時点の各社公開情報による目安です。対象規模・診断内容により変動し、最新の金額は各社へご確認ください。
ツール診断は、スキャン回数が無制限で月額課金の製品が多く、繰り返し診断する前提なら費用を抑えやすいのが特徴です。手動診断やペネトレーションテストは、専門家が対象を精査するため、対象の規模（画面数・APIのエンドポイント数など）と診断の深さで金額が決まります。ソースコードのAI診断から動的診断・ペネトレーションテストまで、必要な範囲を段階的に選べるサービスもあります。
出典・参考資料（4件）
一括ダウンロードする
脆弱性診断の進め方・期間・レポート・再診断
外注で脆弱性診断を依頼する場合の流れは、おおむね次の3ステップです。自社が発注側になるときの段取りの参考にしてください。
- 対象範囲と診断手法の決定：診断する対象（URL・画面数・APIの数など）と手法を決め、見積りを取る
- 診断の実施：ツール診断なら短期間、手動診断なら対象規模に応じて数日〜数週間かけて検査する
- レポートの確認・改善：検出された脆弱性と深刻度、推奨される対処方法がまとめられたレポートを受け取り、修正を行う
納期は手法によって幅があります。自動ツールによる診断は短期間で結果が出る一方、手動診断は対象の規模や深さに応じて期間が延びます。手動のWebアプリ診断では、診断の実施に数日〜2週間程度、その後にレポート作成の期間が加わるのが一般的な目安です。
発注からレポート受領までの期間はリリース計画に直結するため、見積り時に必ず確認しましょう。レポートには、検出した脆弱性の内容・危険度・再現手順・推奨対策が含まれます。
見積りや契約の段階では、次の点を確認しておくと、修正後の運用までスムーズに進みます。
- 修正後の再診断が料金に含まれるか、含まれる場合は回数・対象期間
- 診断結果についての質問対応の窓口と期間
- レポートの報告会や、修正方法についての相談の有無
脆弱性は修正して終わりではなく、修正によって新たな問題が生じていないかを再診断で確かめるところまでが一連の流れです。再診断の条件は会社によって異なるため、見積り段階で確認しておくことをおすすめします。
依頼先（診断会社）の選び方と相見積もりの取り方
ここからは、診断を外注する際の依頼先の選び方を整理します。次の観点を押さえると、自社の目的に合った診断会社を見極めやすくなります。
- 診断の範囲と深さ：自社の対象（Webアプリ・API・クラウド・ソースコードなど）に対応しているか、ツール診断か手動診断か、どこまで踏み込むか
- 費用と再診断：費用の内訳と、修正後の再診断・質問対応が含まれるか
- 実績とサポート：同業種・同規模での診断実績、報告後のサポート体制
- 基準への準拠：OWASP Top 10やASVSなどの国際基準、公的な基準への適合
相見積もりを取るときは、各社に同じ診断対象（URL・画面数・APIの数など）を伝えると、条件をそろえて金額と内容を比べられます。金額だけでなく、再診断の有無や報告内容の手厚さも含めて総合的に判断するのがポイントです。
情報セキュリティサービス基準・OWASP対応の確認
依頼先の信頼性を見極める公的な目印として、「情報セキュリティサービス基準適合サービスリスト」があります。これは経済産業省が策定した基準に適合するサービスをIPAが調査・公開しているもので、脆弱性診断サービスも対象区分の一つです。
リストでは、脆弱性診断サービスのほか、情報セキュリティ監査・デジタルフォレンジック・セキュリティ監視/運用・機器検証の各サービスが対象区分として整理されています。
出典・参考資料（1件）
依頼先がこのリストに掲載されているか、またOWASP Top 10やOWASP ASVS（アプリケーションセキュリティ検証標準）といった国際基準に沿って診断しているかは、診断の質を判断する手がかりになります。
出典・参考資料（1件）
IT企業向けに選べる脆弱性診断サービスの比較
ここからは、IT企業が自社の対象に合わせて選べる脆弱性診断サービスを紹介します。自社で継続的に点検したいなら開発工程に組み込める「自社で回すSaaS」を、取引先への提出など第三者の診断レポートが必要なら「専門家に任せる受託」を軸に見ると選びやすくなります。まずは、診断対象・診断方式・開発工程への組み込み・提供形態・料金の入口を一覧で比較してください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | Securify（セキュリファイ） | AeyeScan（エーアイスキャン） | VAddy（バディ） |
|---|---|---|---|---|---|
| 診断対象 | ソースコード Webアプリ API クラウド設定 | ソースコード Webアプリ API | Webアプリ API クラウド設定（CSPM） | Webアプリ SPA API（オプション） Androidアプリ | Webアプリ API（REST API） |
| 診断方式 | ツール自動 | 専門家×AI併用 | ツール自動 | ツール自動 | ツール自動 （手動診断は有償オプション） |
| 開発工程への組み込み | ●開発パイプライン組込・PR連携 | △定期診断は相談可（受託） | ●API実行でCI/CD連携・スケジュール実行 | ●CI/CD API連携・スケジュール実行 | ●CI/CD連携・cron夜間実行 |
| 提供形態 | 自社で回すSaaS | 専門家に任せる受託 | 自社で回すSaaS | 自社で回すSaaS | 自社で回すSaaS |
| 料金の入口 | 月額5万円台〜 （無料プランあり） | 15万円〜 （ソースコードAI診断） | 月額5万円〜 （年間60万円） | 要見積もり （用途・サイト数で変動／無料トライアルあり） | 月額19,800円〜 （初期費用0円） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
ここで取り上げたのは、IT企業が選びやすいサービスの一例です。特に専門家に任せる受託型の診断会社は、業種を問わず数多くあります。受託での診断やペネトレーションテストの依頼先をさらに比べたい場合は、脆弱性診断サービス全般を診断方法・費用相場・選び方まで含めて扱った以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
診断サービスの個別紹介
1. Aikido Security（開発：Aikido Security／国内窓口：株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの管理画面で検査できるSaaS型の診断ツールです。開発元はベルギーのAikido Security、日本での販売・問い合わせ窓口は株式会社AndGoが担っています。
ソースコード診断（SAST）や依存ライブラリの検査（SCA）、Webアプリの動的診断（DAST）、クラウド設定診断（CSPM）などを横断して扱えるため、開発工程に組み込んで自社で診断を回したいIT企業に向いています。アラートの自動トリアージで誤検知を減らし、Slack・Teams・Jira・AWSなどと連携できます。
無料で試せるDeveloperプランがあり、日本語窓口では日本円の請求書払いにも対応します。料金は日本窓口のBasicプランで月額5万円台からが目安です（最新額はAndGoへの確認が前提）。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社の脆弱性診断サービスは、自社開発AIによる自動解析と、社内のセキュリティ専門家による最終確認を組み合わせているのが特徴です。メニューは、ソースコードをAIが解析する「ソースコードAI診断」、稼働中のWebアプリ・APIを対象にした「動的脆弱性診断」、攻撃者視点で試す「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3つです。
ソースコードのAI診断単体から、動的診断・ペネトレーションテストまで段階的に選べるため、必要な範囲に合わせて依頼できます。料金は、ソースコード診断が15万円から、動的診断が30万円から、Webペネトレーションテストが60万円からという設定です。システム開発も手がける企業が提供しているため、開発の文脈を踏まえた診断を求めるIT企業に適しています。
脆弱性診断を取り巻く環境の変化について、CoWorker株式会社の一ノ瀬氏は、診断の頻度の観点から次のように話します。
これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
3. Securify（株式会社スリーシェイク）
画面遷移の巡回から疑似攻撃の送信、応答の検証までを自動で実行するクラウド型の脆弱性診断SaaSが、株式会社スリーシェイクのSecurifyです。外部に公開している資産を把握するASM（攻撃対象領域管理）と診断を同じサービス内で扱え、ログイン後の画面やSPAにも対応します。
診断の実施日時や頻度をスケジュール指定でき、API経由での診断実行によってCI/CDパイプラインへの組み込みも可能です。料金は脆弱性診断のSTARTERプランが月額5万円（年間60万円）からで、診断回数は無制限、無料トライアルも用意されています。継続的に自動診断を回したいIT企業に向いた選択肢です。
4. AeyeScan（株式会社エーアイセキュリティラボ）
AIが画面を自動で巡回して診断シナリオを生成するのが、株式会社エーアイセキュリティラボのAeyeScanです。専門知識がなくても自動診断を実施でき、外部診断への依存やコストを抑えられる点を中核に訴求するクラウド型のWebアプリケーション脆弱性診断ツールです。
専用サーバーの構築やソフトのインストールは不要で、ブラウザからログインして診断を始められます。ログイン後の画面やSPAの診断に対応し、オプションでAPIスキャンやCI/CDツールとのAPI連携も利用できます。脆弱性診断を自社に取り込みたいIT企業に向いています。料金は用途やサイト数に応じた個別見積りで、無料トライアルが用意されています。
5. VAddy（株式会社ビットフォレスト）
開発のパイプラインに組み込んで継続的にスキャンを回せるよう設計されたクラウド型のWebアプリケーション脆弱性診断ツールが、株式会社ビットフォレストのVAddyです。ユーザー自身が診断対象を検査する方式で、リリース前や夜間に繰り返し自動診断を実行できます。
WebAPIやコマンドライン、cronと連携して、リリース前や夜間に繰り返し自動診断を実行でき、スキャン回数は無制限です。REST APIを含むAPIサーバー単体の検査にも対応します。初期費用は0円で、月額19,800円からのProfessionalプランから利用でき、1週間の無料トライアルも用意されています。
有償オプションとして専門家による手動診断も選べます。開発のパイプラインに診断を組み込んで内製で回したいIT企業に適しています。
まとめ
システムを開発・提供するIT企業にとって、脆弱性診断は、作ったものの安全性を確かめ、それを取引先に示すための手段です。受託開発の納品前、取引先からの要求、自社SaaSの定期点検、認証・監査対応といった場面で、Webアプリ・API・クラウド・ソースコードなど、自社の対象に合わせて診断の種類を選びます。
費用は、ツール診断なら月額数万円から、手動診断やペネトレーションテストなら数十万円から数百万円が目安です。開発力のあるIT企業は、定常的な点検はツールで内製し、第三者証明が要る場面や重要箇所は外注する、という組み合わせが現実的です。開発工程に組み込める診断を活用すれば、開発のスピードを落とさずに安全性を保てます。
まずは自社の対象と目的を整理し、複数のサービスの資料を取り寄せて比較するところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断とは何ですか？
A. 脆弱性診断とは、Webアプリケーションやサーバー、ネットワークなどに、攻撃に悪用され得る弱点が残っていないかを検査し、検出した弱点と対処方法を報告する取り組みです。セキュリティ診断とも呼ばれます。システムを開発・提供するIT企業にとっては、作ったものに穴がないことを確かめ、それを自社と取引先に示すための手段という位置づけになります。
Q. IT企業は脆弱性診断をどのくらいの頻度で受けるべきですか？
A. IT企業が脆弱性診断を受ける頻度は、システムの公開前・大きな改修の直後に加え、運用中も年1回程度を目安に定期的に実施するのが基本です。JPCERT/CCもWebアプリの診断について「1年に1回程度、および機能追加などの変更が行われた時」を推奨しています。
機能追加やリリースのたびに新たな弱点が作り込まれやすいため、継続的にリリースを重ねるSaaS・自社サービスでは、開発工程に組み込んだ継続診断で補うと確実です。
Q. 取引先・顧客から脆弱性診断のレポート提出を求められたIT企業はどう対応すればよいですか？
A. この場合は、開発した当事者ではない第三者の診断会社に外注し、その診断レポートを提出するのが基本です。取引先のセキュリティチェックでは客観性が重視されるため、自社で回した内製ツールの診断結果では要件を満たせないことがあります。
求められている診断の対象（Webアプリ・APIなど）と範囲、レポートの様式や準拠すべき基準（OWASP Top 10など）を発注元に確認したうえで、相見積もりを取って依頼先を選ぶとスムーズです。
Q. 開発人材がいるIT企業でも脆弱性診断を外注する必要はありますか？
A. 開発力のあるIT企業でも、取引先への提出や認証・監査対応など「第三者による客観的な証明」が要る場面では外注が適しています。一方、リリースのたびの定常的な点検は、診断ツールを内製で回すほうが費用と運用の面で現実的です。実務では、定常点検はツールで内製し、提出用や重要箇所の最終確認は外注する、という組み合わせが多く取られます。
Q. IT企業はWebアプリケーション診断・API診断・ソースコード診断のどれを受ければよいですか？
A. 脆弱性診断は、自社が開発・運用している対象に合わせて選ぶのが基本です。公開中のWebアプリならWebアプリケーション診断、外部公開するAPIならAPI診断、開発段階でコードの弱点を早く潰したいならソースコード診断（SAST）が当たります。
これらは排他的なものではなく、たとえばAPIを提供するSaaSなら、開発工程でソースコード診断を回しつつ、リリース前にWebアプリ・API診断を実施する、という組み合わせが有効です。
Q. ISMSやSOC 2などの認証取得・維持に脆弱性診断は必須ですか？
A. ISMS（ISO/IEC 27001）やSOC 2が脆弱性診断そのものを一律に義務づけているわけではありませんが、技術的な脆弱性を管理する措置として、診断の実施や結果の提出を求められる場面は少なくありません。カード情報を扱う場合のPCI DSSのように、より具体的に診断・スキャンを要件とする基準もあります。
認証の取得・維持を目指す場合は、準拠する基準が求める範囲と頻度に合わせて診断を計画することが重要です。
Q. IT企業は脆弱性診断とペネトレーションテストのどちらを受ければよいですか？
A. まず脆弱性診断で既知の弱点を広く洗い出し、重要なシステムや守るべき資産についてはペネトレーションテストで深く確かめる、という使い分けが基本です。脆弱性診断が「弱点が残っていないかを網羅的に点検する」のに対し、ペネトレーションテストは「攻撃者の視点で特定の目的が達成できるかを試す」もので、目的が異なります。多くのIT企業は、まず脆弱性診断から始めれば足りるケースが大半です。
Q. 脆弱性診断で弱点が見つかった後、再診断まで必要ですか？
A. 脆弱性診断は、修正後の再診断まで行って一連の流れが完結します。弱点は修正して終わりではなく、修正によって新たな問題が生じていないかを確かめる必要があるためです。再診断が料金に含まれるか、含まれる場合の回数・対象期間は会社によって異なるので、見積り段階で、質問対応の窓口や報告会の有無とあわせて確認しておくと安心です。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、IT企業向けの脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象や料金、開発工程への組み込みのしやすさを比べて、自社に合うサービスを見つけられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
