自社で提供するSaaS（Webサービス）の脆弱性診断は、具体的なきっかけで検討が始まることが多いものです。たとえば、取引先のセキュリティチェックシートで診断の実施状況を問われたとき、あるいは大型リリースを控えてセキュリティ対策が追いついているか不安になったときです。
通常のWebサイトの脆弱性診断は知っていても、「SaaSだと何が違うのか」「自社のSaaSに合う診断はどれで、いくらかかるのか」は、調べてもなかなか具体的な答えにたどり着けません。特に、クラウド上で手軽に回せる自動ツール型と、専門会社に依頼する手動診断とで、対象範囲や費用がどう違うのかは、サービスごとのページを見比べないと掴みにくいのが実情です。
この記事では、自社で提供するSaaSの脆弱性診断について整理します。使える具体的な手段と費用の目安、SaaS特有に診てもらうべき対象、自動ツールと手動診断の使い分け、受けるべきタイミング、取引先への説明への活かし方までを扱います。2〜3の候補にまで絞り込み、資料請求や見積もり依頼へ進むための判断材料としてご活用ください。
目次
一括ダウンロードする
そもそもどちらの「SaaSの脆弱性診断」か
「SaaSの脆弱性診断」という言葉は、立場の違う2つの意味で使われています。検索結果にも両方のサービスが混在しているため、まず自分が必要としているのはどちらなのかを確認しておくと、以降の比較がぶれません。
- 自社が提供するSaaSの脆弱性診断: 自分たちが開発・運用しているWebサービス（SaaSプロダクト）に、攻撃につながる弱点がないかを調べるものです。Webアプリケーション本体やAPI、ソースコード、クラウド設定などが診断対象になります。この記事が主に扱うのはこちらです。
- 業務で使うSaaSの設定診断: Microsoft 365やSalesforceなど、自社が利用しているSaaSの設定に不備がないかを点検するものです。近年はSSPM（SaaS Security Posture Management）とも呼ばれ、情報漏えいにつながる設定ミスを洗い出します。診断対象が「他社が提供するSaaSの使い方」である点で、前者とは目的が異なります。
取引先からの要求や自社プロダクトのリリースを背景に診断を探しているなら、必要なのは前者（自社が提供するSaaSの診断）です。本記事はこれを前提に、手段・費用・診断対象を解説します。
一方、自社が業務で利用するSaaS（Microsoft 365やSalesforceなど）の設定不備を点検したい場合は、後者のSSPMが該当します。対象となる製品の選び方やCSPM・CASBとの違いは、以下の記事で整理しています。
SSPMとは？SaaSの設定不備を見つける製品18選を比較｜CSPM・CASBとの違いと選び方を解説
Microsoft 365 の共有設定、Salesforce の権限、Slack の外部連携アプリ。SaaS が増えるたびに管理画面がひとつ増え、設定が今どうなっているかを確かめるには、そのすべてを順番に開いていくしかありません。退職者のア…
SaaSの脆弱性診断に使える手段と費用
ここからは、自社SaaSの脆弱性診断に使える具体的な手段を見ていきます。大きく分けると、クラウド上で自動的にスキャンを回す「クラウド型の自動診断ツール」と、専門会社のエンジニアが手を動かして調べる「手動診断（受託型）」の2つがあります。それぞれ対象範囲と費用の考え方が異なるため、まず代表的なサービスを横並びで確認しましょう。
| サービス名 | CoWorker 脆弱性診断サービス | Aikido Security | WebSite Scouter（さくらインターネット株式会社） | VAddy（株式会社ビットフォレスト） | AeyeScan（株式会社エーアイセキュリティラボ） |
|---|---|---|---|---|---|
| 提供形態 | AI解析＋専門家 の受託診断 | クラウド自動 （継続） | クラウド自動 （スポット） | クラウド自動 （継続） | クラウド自動 |
| 主な診断対象 | Webアプリ・API ソースコード | Webアプリ・API ソースコード・クラウド設定 | Webアプリ | Webアプリ・API | Webアプリ |
| 料金の目安 | ソースコード診断15万円〜 Webアプリ・API診断30万円〜 ペネトレーションテスト60万円〜 | 月額5万円台〜 （サブスクリプション） | 診断1回121,000円〜 （税込・1URL単位） | 月額19,800円〜99,800円 （税別） | 要お問い合わせ |
| 特徴 | AI解析と専門家の最終確認。 範囲を定めて深く診たい場合に | 複数の検査を1画面に統合。 開発フローに組み込み継続運用 | URL単位で申し込むスポット診断。 経済産業省の情報セキュリティサービス基準に適合 | 開発サイクルに組み込める 継続型の自動診断 | AIが自動巡回してスキャンする Webアプリ診断ツール |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式サイト | 公式サイト | 製品ページ |
※2026年11月時点の各社公開情報による。税込・税別の表記は各社の公表のまま（WebSite Scouter は税込、VAddy は税別など）であり、横並び比較の際はご注意ください。金額は利用規模・診断範囲によって変動します。
以下では、継続的に回せるクラウド自動ツールと、専門家の手動診断から、それぞれの具体例を紹介します。表の他のサービスも、提供形態と特徴から自社の運用に合うものを比べてみてください。自動で継続的に回したいのか、専門家に範囲を定めて深く診てほしいのかによって、適した手段は変わります。
CoWorker 脆弱性診断サービス（CoWorker株式会社）
専門家が手を動かして診断する受託型のサービスで、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせているのが特徴です。診断メニューは、ソースコードをAIが解析する静的診断、稼働中のWebアプリケーションやAPIに実際にアクセスして調べる動的診断、攻撃を想定して侵入可否を検証するペネトレーションテストの3種類がそろいます。
料金は診断メニュー別に公表されており、ソースコード診断が15万円から、APIのエンドポイント数に応じた動的診断が30万円から、Webペネトレーションテストが60万円からという設定です。報告書は最短3営業日で納品されるとしており、リリース前の確認から定期的な診断まで、範囲を定めて深く診てほしいケースに向いています。
Aikido Security（株式会社AndGo）
ソースコード、依存ライブラリ、クラウド設定、コンテナ、稼働中のWebアプリケーションを、1つの管理画面でまとめて検査できるクラウド型のツールです。ソースコード解析（SAST・SCA）、クラウド設定診断（CSPM）、WebアプリケーションのDAST、API Scanningなどに対応します。
ばらばらに出がちなアラートを統一して対応すべきものを絞り込める点が強みです。検出した問題の修正案をプルリクエストとして自動作成する機能もあり、開発フローに診断を組み込みやすい設計です。
料金はスポットの「1回いくら」ではなく、利用者数などに応じた月額・年額のサブスクリプション型です。日本語窓口の株式会社AndGoの案内では、月額5万円台から利用でき、日本円での請求書払いにも対応するとしています。無料で試せるプランも用意されており、自社でサービスを内製する開発チームが継続的に診断を回す用途に向いています。
ここで取り上げたのは、SaaSの診断に使える手段の一例です。SaaSに限らず脆弱性診断サービス全般を、診断方法・費用相場・選び方の観点で広く見比べて導入を検討したい場合は、以下の記事をあわせてご覧ください。
一括ダウンロードする
SaaSで特別に診るべき対象【チェックリスト】
SaaSの脆弱性診断では、一般的なWebサイトの診断に加えて、SaaSならではのリスクを対象に含めることが重要です。診断を依頼するときの対象範囲を定める材料として、次の4点を確認してください。
- テナント分離: 複数の顧客のデータを1つのシステムで預かるSaaSでは、ある顧客が別の顧客のデータに手が届いてしまう状態が最大のリスクです。これは本質的にはアクセス制御の不備であり、OWASPがWebアプリケーションの最も重大なリスクとして挙げる「A01:2025 – Broken Access Control（アクセス制御の不備）」に当たります。IDを差し替えて他人のデータを閲覧・編集できてしまう不備が典型です。
- 認証・認可・権限管理: ログインの仕組み（認証）と、ログイン後に何を操作してよいか（認可）の両方を診ます。OWASPでも「A07:2025 – Authentication Failures（認証の不備）」が上位に挙げられており、権限を超えた操作ができないかの検証が欠かせません。
- API・Webhook・外部サービス連携: SaaSは画面だけでなくAPIを通じても操作されます。APIに特化したOWASPの整理では、オブジェクト単位の認可の不備「API1:2023 – Broken Object Level Authorization（BOLA）」が筆頭に挙げられ、これはテナント越境に直結します。外部サービスとの連携部分（SSRFや、把握できていないAPIの存在）もあわせて対象にします。
- クラウド設定・権限管理（IaC）: AWSなどのクラウド側の設定ミスは、外部から侵入される入り口になります。OWASPの「A02:2025 – Security Misconfiguration（設定の不備）」は2025年版で上位に位置づけられ、国（総務省）も対策ガイドブックを公表するほど一般的な問題です。インフラをコードで管理するIaCの設定も対象に含めます。
テナント分離がなぜアクセス制御の問題なのかは、OWASPのアクセス制御に関する定義が端的に示しています。
Access control enforces policy such that users cannot act outside of their intended permissions. Failures typically lead to unauthorized information disclosure, modification or destruction of all data, or performing a business function outside the user’s limits.
（補助訳）アクセス制御は、利用者が意図された権限の外で行動できないようにポリシーを強制するものである。その不備は通常、認可されていない情報の開示、全データの改ざんや破壊、あるいは利用者の権限を超える業務機能の実行につながる。
出典：A01:2025 – Broken Access Control｜OWASP Top 10:2025
自社のSaaSでは、ある顧客（テナント）が他の顧客のレコードに到達できないよう、レコードの所有権をシステム側で確実に強制できているか——これがSaaSで特に重点的に診るべきポイントになります。
出典・参考資料（3件）
SaaS型（クラウド自動）ツールと専門家の手動診断の使い分け
SaaS型の自動ツールと専門家による手動診断は、どちらが優れているというより、得意な領域が異なります。自社の状況に合わせて使い分ける、あるいは組み合わせるのが現実的です。
SaaS型の自動ツール（DAST・SASTなど）は、既知のパターンに沿った脆弱性を、速く・繰り返し検査するのが得意です。ソースコードの書き方の問題、既知のライブラリの脆弱性、クラウドの設定ミスといった、機械的に照合できる領域を広くカバーします。開発のたびに回せるため、リリース前の確認や継続的な監視に向いています。
開発のたびに診断を回すという考え方は、セキュリティを開発工程そのものに組み込む動きとも重なります。Aikido Securityの日本窓口を務める株式会社AndGoは、開発現場でのセキュリティの扱いがどう変わってきたかを次のように述べています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
一方で、テナント分離や認可のロジックの不備は、自動ツールだけでは見つけにくい領域です。先ほど触れたBOLA（オブジェクト単位の認可の不備）は、OWASPの定義でも「コードレベルで実装・検証されるアクセス制御の仕組み」とされ、アプリ固有の「誰がどのデータに権限を持つか」という意図に依存します。
汎用の自動スキャナはアプリの意図された権限を把握していないため、こうしたアクセス制御の論理的な不備や、複雑なビジネスロジックの穴は、人の文脈理解をともなう手動診断が必要になりやすい領域です。
出典・参考資料（1件）
- 出典：API1:2023 – Broken Object Level Authorization｜OWASP API Security Top 10 2023（解説）
このBOLAをはじめとするAPI特有の認可欠陥を具体的にどう診るのか、通常のWebアプリ診断では何を拾えないのかは、API診断に絞って掘り下げた以下の記事で解説しています。
目安としては、広く継続的に診るならクラウド自動ツール、リリース前やテナント分離・認可など重要度の高い部分を深く診るなら専門家の手動診断、という使い分けになります。自動ツールで常時カバーしつつ、節目で手動診断を入れる組み合わせも有効です。
SaaS脆弱性診断の費用相場【タイプ別レンジ表】
先ほどの比較表では個別サービスの金額を見ましたが、費用は「何で金額が決まるか」という課金モデルによっても変わります。ここでは、サービス名ではなく課金の考え方ごとに相場のレンジを整理します。金額はいずれも変動するため、検討時には各社の最新情報を確認してください。
| 診断タイプ | クラウド自動ツール（継続） | クラウド自動ツール（スポット診断） | 専門家による手動診断（受託） |
|---|---|---|---|
| 課金の考え方 | 月額・年額のサブスクリプション。 利用者数やリポジトリ数などで利用規模と金額が決まる | 診断対象のURL（FQDN）単位・診断回数単位で課金 | 診断対象の範囲・工数に応じた個別見積り |
| 相場レンジ | 月額2万円前後〜10万円程度 | 1回12万円程度〜 | ソースコード診断15万円〜／ Webアプリ・API診断30万円〜 |
※2026年11月時点の各社公開情報による。金額は税別・税込の表記が各社で異なり、利用規模・診断範囲によって変動します。
継続的に自動で回すツール型は月額のサブスクリプション、スポットで対象を定めて診るツールはURL・回数単位、専門家の手動診断は範囲に応じた個別見積り、という課金の違いがあります。自社が「広く継続的に回したい」のか「特定の範囲を1回しっかり診たい」のかで、見るべき費用の軸が変わります。
SaaSの脆弱性診断を受けるタイミング
脆弱性診断は一度受けて終わりではなく、変化のタイミングで繰り返すのが基本です。SaaSは機能追加やインフラ変更が頻繁なため、次のような節目で診断を検討します。
- 新規サービスや新機能のリリース前
- 大規模な機能追加・仕様変更のあと
- 認証・権限管理・API連携の仕組みを変更したとき
- クラウド構成やインフラ設定を変更したとき
- 取引先から診断結果や第三者評価を求められたとき
- 定期的なセキュリティ確認として（年1回・四半期ごとなど）
攻撃の手口は日々変化するため、リリース直後に一度だけ診て終わりにすると、その後の変更で生まれた弱点を見逃しかねません。重要な変更のたびに手動診断を入れつつ、日常的には自動ツールで継続的に監視する、という二段構えが現実的です。
この「定期的に診断する」必要性は、攻撃する側の変化とも関わります。脆弱性診断を提供するCoWorker株式会社への取材では、攻撃者のAI活用と診断の頻度の関係について次のような見方が示されました。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
診断結果を取引先のセキュリティチェックシート・ISMAP対応に使う
脆弱性診断を受ける目的は、弱点をふさぐことだけではありません。「診断を受けている」という事実と、その報告書・改善履歴は、取引先への説明材料として大きな武器になります。
取引先から送られてくるセキュリティチェックシートには、脆弱性診断の実施状況を問う項目がよく含まれます。診断の実施時期・対象範囲・結果の概要・改善状況を整理しておけば、こうした問い合わせに具体的に回答でき、取引の継続や新規獲得で有利に働きます。営業やカスタマーサクセスが顧客に示す資料としても活用できます。
官公庁との取引を視野に入れる場合は、ISMAP（政府情報システムのためのセキュリティ評価制度）も関わってきます。これは、国がクラウドサービスを調達する際に、基準を満たしたサービスをあらかじめ評価・登録しておく制度です。
出典・参考資料（2件）
注意したいのは、脆弱性診断を受けること自体が「ISMAP対応」になるわけではない点です。ISMAP登録は多数のセキュリティ対策を満たす広範な監査を要し、脆弱性診断はそのなかで求められる対策の一要素という位置づけです。
機密性の低い情報を扱うSaaS向けには、負担を抑えたISMAP for Low-Impact Use（ISMAP-LIU）という枠組みも用意されています。政府調達を狙うなら登録を見据え、その前提として脆弱性診断の体制を整えておく、と捉えると実態に合います。
一括ダウンロードする
まとめ
自社が提供するSaaSの脆弱性診断には、クラウド上で継続的に回すクラウド自動ツールと、専門家が範囲を定めて深く診る手動診断の2つの手段があります。費用は課金モデルによって幅があり、継続的に使う自動ツールは月額制、専門家の手動診断は診断範囲に応じた見積りが基本です。具体的な金額の目安は、前半の比較表と費用相場の表を参照してください。
SaaSでは、テナント分離・認可・API・クラウド設定といった対象を特に重点的に診る必要があり、テナント分離や認可の不備は手動診断が得意とする領域です。日常は自動ツールで広く継続的に、節目では手動診断で深く、という使い分けが現実的でしょう。まずは2〜3の候補にしぼり、資料や見積もりを取り寄せて、自社の診断対象と予算に合う手段を見極めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. SaaSの脆弱性診断とは何ですか？
A. SaaSの脆弱性診断とは、自社が開発・運用するSaaS（Webサービス）に、攻撃につながる弱点がないかを調べる検査です。WebアプリケーションやAPI、ソースコード、クラウド設定などが対象になります。
同じ「SaaSの脆弱性診断」という言葉でも、自社が業務で利用するSaaS（Microsoft 365やSalesforceなど）の設定を点検するSSPMとは目的が異なります。本記事が扱うのは前者（自社が提供するSaaSの診断）です。
Q. SaaSの脆弱性診断の費用はどれくらいかかりますか？
A. SaaSの脆弱性診断の費用は、課金モデルによって幅があり、クラウド型の自動ツールなら月額2万円前後から、スポットのツール診断なら1回12万円程度から、専門家の手動診断ならソースコード診断15万円・Webアプリケーション診断30万円・ペネトレーションテスト60万円程度からが目安です。
継続的に広く回すなら月額のサブスクリプション、特定の範囲を深く診るなら範囲に応じた個別見積り、と自社の目的によって見るべき費用の軸が変わります。金額は変動するため、検討時には各社の最新情報を確認してください。
Q. 自社SaaSの脆弱性診断は、自動ツールだけで十分ですか？
A. 自動ツールだけでは不十分な領域があり、特にテナント分離や認可ロジックの不備は手動診断が必要になりやすいです。自動ツールは既知のパターンに沿った弱点やクラウドの設定ミスを、速く繰り返し検査するのが得意です。
一方で、「誰がどのデータに権限を持つか」というアプリ固有の意図に依存するアクセス制御の穴は見つけにくいためです。日常は自動ツールで広く継続的に、節目では手動診断で深く、という組み合わせが現実的です。
Q. SaaSの脆弱性診断にはどれくらいの期間がかかりますか？
A. SaaSの脆弱性診断にかかる期間は、手段と対象範囲によって異なり、自動ツールのスキャンは数分〜数時間、専門家の手動診断は実施から報告書の納品まで数営業日〜数週間が目安です。対象のURL数やAPIのエンドポイント数、診断の深さによって変わります。リリース前など期限がある場合は、スケジュールに余裕をもって早めに見積もりと日程を押さえておくと安心です。
Q. 無料の脆弱性診断ツールだけで、自社SaaSの診断は足りますか？
A. 無料ツールは弱点の一次的な洗い出しには役立ちますが、それだけで自社SaaSの診断を完結させるのは難しいです。無料のオープンソースツールは既知パターンの検出はできるものの、検出結果の精査や誤検知の切り分けに専門知識が必要です。
テナント分離・認可といったSaaS特有の論理的な不備はカバーしきれず、取引先への説明に使える報告書も得にくいため、本格的な診断は有償のツールや手動診断と組み合わせるのが現実的です。
Q. ログインが必要な会員向け機能やステージング環境も診断できますか？
A. ログイン後の会員向け機能やステージング環境も、多くの診断ツール・診断会社で対象にできます。テスト用のアカウント（認証情報）を預けることでログイン後の画面やAPIも診断でき、むしろ権限管理やテナント分離はログイン後でないと検証できないため、SaaSでは重要な対象です。本番環境への影響を避けたい場合は、本番と同等のステージング環境を用意して診断する方法もよく採られます。
Q. SaaSの脆弱性診断は、サービスを稼働したまま受けられますか？
A. SaaSの脆弱性診断は、多くの場合サービスを稼働したまま受けられます。ただし診断中は一定のアクセスが発生するため、負荷や影響の有無は事前に診断提供者と確認しておくのが安全です。
大量のリクエストを送る診断では一時的に負荷がかかることがあるため、アクセスの少ない時間帯を選ぶ、ステージング環境で実施する、といった配慮がとられます。申し込み時に対象環境や実施時間帯をすり合わせておくとよいでしょう。
Q. クラウド型の自動診断ツールは、専門知識がなくても使えますか？
A. SaaS型の自動診断ツールは、操作自体は専門知識がなくても始められるよう設計されたものが多いですが、検出結果の解釈や優先順位づけには一定のセキュリティ知識が必要です。URLを登録すれば自動で巡回・スキャンするツールが主流で、開発フローへの組み込みも容易です。
一方で、検出された項目がどの程度危険か、誤検知ではないかの判断には知見が要るため、社内に判断できる人がいない場合は、専門家の手動診断やサポートの手厚いサービスを選ぶと安心です。
Q. 脆弱性診断の結果は、取引先への説明資料として使えますか？
A. 脆弱性診断の結果（報告書）は、取引先への説明資料として有効に使えます。取引先のセキュリティチェックシートには診断の実施状況を問う項目がよく含まれ、診断の実施時期・対象範囲・結果の概要・改善状況を整理しておけば具体的に回答できます。「診断を受けている」という事実そのものが取引の継続や新規獲得で信頼材料になり、営業やカスタマーサクセスが顧客に示す資料としても活用できます。
SaaSの脆弱性診断サービスの資料を一括チェック
MCB FinTechカタログでは、SaaSの脆弱性診断に対応したサービスの資料を無料で一括請求できます。クラウド型の自動ツールか専門家の手動診断か、診断対象や料金を各社の資料で見比べて、自社に合う診断手段を効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
