自社のWebアプリケーションやAPIの脆弱性診断を検討し始めると、「OWASP」という名前を何度も目にします。OWASP ZAP、OWASP Top 10、OWASP ASVS……と関連する言葉が次々に出てくる一方で、結局OWASPが脆弱性診断において何をしてくれるのかが掴みにくい、という状態は少なくありません。
OWASPが脆弱性診断にくれるものは、大きく2つに整理できます。1つは自分で診断を回せる無料ツール「OWASP ZAP」、もう1つは何を・どの基準で診断すべきかを示す「OWASP Top 10」「ASVS」「Testing Guide（WSTG）」です。この「ツール」と「基準」の2本立てが頭に入ると、個別の解説が自分ごととして読めるようになります。
本記事では、まずこの2本立てを1枚の対応表で示します。そのうえで、OWASP ZAPの概要、診断に着手する前の注意点、OWASP ZAPの使い方（インストールから証明書・プロキシ設定、スキャン、レポートまで）、診断の基準となるOWASP Top 10の最新版（2025年版）とASVS・WSTG、そして自前の診断で足りる範囲と専門業者に任せる範囲の線引きまでを、順に整理します。
目次
一括ダウンロードする
OWASPが脆弱性診断にくれるもの｜ツール（ZAP）と基準（Top10/ASVS/WSTG）
OWASP（Open Worldwide Application Security Project）は、Webアプリケーションのセキュリティに関する情報やツールを無償で公開している非営利コミュニティです。脆弱性診断の文脈でOWASPが登場するとき、その中身は「自分で回せる診断ツール」と「何を・どう診るかの基準」の2系統に分けて考えると整理できます。
以下は、OWASPが脆弱性診断にくれるものを1枚にまとめた対応表です。
| 区分 | OWASP ZAP | OWASP Top 10 | OWASP ASVS | OWASP WSTG |
|---|---|---|---|---|
| 種類 | 診断ツール（DAST） | 基準（優先リスク一覧） | 基準（検証要件） | 基準（テスト手法） |
| 脆弱性診断での役割 | 自分で回せる無料のツール。稼働中のWebアプリ・APIに擬似的なリクエストを送り、応答を調べて脆弱性を探す | Webアプリで特に起こりやすく影響の大きい脆弱性を10項目に絞ったリスト。まず押さえるべき診断項目の起点になる | Webアプリが満たすべきセキュリティ要件を体系的にまとめた検証標準。要件レベル（L1〜L3）で到達度を測る | Webアプリをどう検査するかの手順・テスト手法をまとめたガイド。「どう診るか」を補う |
| 位置づけ・最新の状態 | OWASP発のツールとして広く使われてきたが、2023年9月にOWASPを離れ、現在は独立したオープンソース「ZAP by Checkmarx」として開発が続く | 最新は2025年版（A01〜A10） | 最新は5.0.0（2025年5月30日公開） | 現行名はWeb Security Testing Guide（旧称 Testing Guide）。最新安定版は4.2 |
※各成果物の版・名称は2026年11月時点のOWASP公式ページに基づきます。
ZAPの現況は上表のとおりで、検索や現場では今も通称「OWASP ZAP」が広く使われているため、本記事でもこの通称を併記します。
この「ツール」と「基準」の対応をおさえたうえで、次の章からそれぞれを掘り下げます。
OWASPとは（脆弱性診断における位置づけ）
OWASPは、特定のベンダーに属さない国際的な非営利コミュニティで、世界中の技術者が参加してガイドライン・チェックリスト・診断ツールなどの成果物を無償で公開しています。日本国内でも「OWASP Japan」として勉強会やドキュメントの翻訳などの活動が行われており、本記事で扱うTop 10・ASVS・WSTG・ZAPも、いずれもこのコミュニティに由来する成果物です。
OWASP ZAPとは｜無料で何ができて何ができないか
ここからは、自分で手を動かせるツールであるOWASP ZAPについて解説します。
OWASP ZAP（通称。現在の正式な呼称はZAP by Checkmarx）は、Webアプリケーションの脆弱性を検査できる無料のオープンソースツールです。ライセンスはApache License 2.0で、商用・非商用を問わず無償で利用できます。公式サイトは、世界で最も広く使われているWebアプリスキャナーであり、無料かつオープンソースであると説明しています。
ZAPの基本的な仕組みは、テスターのブラウザとWebアプリケーションの間に立つプロキシ（中継役）です。ブラウザからの通信をZAPが一度受け取って中身を観察し、必要に応じて擬似的な攻撃リクエストを送って応答を調べます。
この「稼働中のアプリケーションに外部からリクエストを送り、その応答から脆弱性を見つける」検査手法を、一般にDAST（動的アプリケーションセキュリティテスト）と呼びます。ソースコードそのものを解析するSAST（静的アプリケーションセキュリティテスト）と対になる考え方で、OWASP ZAPはこのDASTを代表するツールです。
OWASP ZAPでできること
ZAPは、診断対象のサイトを自動で巡回して診断対象のページ・パラメータを洗い出し、その一つひとつに対して機械的に脆弱性の有無を確認していきます。SQLインジェクションやクロスサイトスクリプティング（XSS）、セキュリティ設定の不備など、既知のパターンに沿って検出しやすい脆弱性を広く拾える点が強みです。
無料で導入でき、自社のテスト環境に対して繰り返し診断を回せるため、開発の途中段階でのセルフチェックや、外部に診断を依頼する前の下見としても使えます。
OWASP ZAPでできないこと（自動ツールの限界）
一方で、自動スキャンだけでは見つけにくい脆弱性もあります。代表的なのは、権限・認可の設計上の不備です。たとえば、あるユーザーが本来見られないはずの他人のデータにアクセスできてしまう、といった問題があります。こうした欠陥は、その画面やデータが業務上どういう意味を持つかを理解していないと判定できず、機械的なスキャンでは拾いきれません。
同様に、業務ロジック固有の欠陥（割引や在庫処理などの手順を悪用される類い）や、複数の操作を組み合わせて初めて成立する多段階の攻撃も、人の手による診断でなければ見つけにくい領域です。ZAPは「広く・速く・無料で」拾える反面、こうした文脈依存の脆弱性には弱い、と理解しておくと、自前診断と専門業者の使い分け（後述）の判断がしやすくなります。
ここで触れた認可・権限まわりの欠陥は、とくにAPIで見落とされやすい領域です。APIならではの認可の不備（OWASP API Security Top 10）が、なぜWebアプリ向けの自動診断で拾いにくいのかは、次の記事で掘り下げています。
OWASP ZAPで診断する前に押さえる注意点
手を動かし始める前に、安全上どうしても押さえておくべき点があります。ここを飛ばすと、意図せず他者に迷惑をかけたり、法令に触れたりするおそれがあるため、先に確認しておきます。
最も重要なのは、自分が権限を持つ（自社の）対象、または明確に許可を得た範囲に限って診断することです。ZAPのアクティブスキャンは、対象に対して実際に擬似攻撃を送る検査であり、相手のシステムに負荷や影響を与える可能性があります。ZAP公式も、アクティブスキャンについて次のように明確に警告しています。
Active scanning is a real attack on those targets and can put the targets at risk, so do not use active scanning against targets you do not have permission to test.
出典：Getting Started（Active Scan）｜ZAP（zaproxy.org）
許可なく他者のシステムを診断・攻撃する行為は、態様によっては不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）をはじめとする法令に抵触しうる点にも注意が必要です。同法第三条は「何人も、不正アクセス行為をしてはならない。」と定めています。無断診断は、技術的にも法的にも避けるべき行為だと理解しておきましょう。
出典・参考資料（1件）
もう1つの基本は、本番環境でいきなり診断しないことです。アクティブスキャンはサービスに影響を与える可能性があるため、まずは隔離したテスト環境や、学習用に用意された練習用アプリで手順に慣れるのが安全です。
練習用の環境としては、OWASPが公開する「OWASP Juice Shop」がよく使われます。セキュリティ研修やデモ、ツールの試し打ちのために意図的に脆弱に作られたWebアプリで、ZAPの操作を安全に練習できます。
もう1つの定番が「DVWA（Damn Vulnerable Web Application）」です。こちらも意図的に脆弱に作られた練習用アプリですが、公式リポジトリは、インターネットに公開されたサーバーには設置しないよう（設置すると侵害されるおそれがあるため）明確に警告しています。
この警告は、練習用環境は必ず隔離した場所で動かすという原則そのものであり、本番環境で診断しないという注意とも直結します。
出典・参考資料（2件）
OWASP ZAPで脆弱性診断を実行する手順
ここからは、前章で用意した練習用環境などを対象に、ZAPで実際に診断を進める手順を解説します。画面の表記はバージョンによって多少異なりますが、大きな流れは共通です。
手順1〜3：インストールと証明書の準備
最初に、ZAPのインストールと、HTTPS通信を検査するための証明書を準備します。ZAPはブラウザとアプリの間で通信を復号して観察するため、この証明書を信頼させないとHTTPS通信の中身を確認できません。
- ZAPを公式サイト（zaproxy.org）からダウンロードしてインストールする。ZAPはJavaで動作するため、環境によっては事前にJavaの導入が必要で、ターミナルで
java -versionを実行すると導入済みか確認できる。 - ZAPを起動し、設定画面の「Dynamic SSL Certificates」の項目から、ZAPのルート証明書を書き出す。
- 書き出した証明書を、診断に使うブラウザが信頼する場所にインポートする。Firefoxは独自の証明書ストアを持つため「設定」→「プライバシーとセキュリティ」→「証明書を管理」→「認証局証明書」タブから取り込み、ChromeやEdgeはOS側のストアを参照するため、Windowsでは証明書マネージャー（
certmgr.msc）の「信頼されたルート証明機関」に取り込む。
診断が終わったら、ブラウザ/OSに取り込んだZAPのルート証明書は削除しましょう。
手順4〜5：プロキシ設定と動作モードの選択
次に、ブラウザの通信をZAPに通し、安全な動作モードを選びます。
- ブラウザのプロキシ設定で、ZAPの待ち受けアドレス（既定は
localhost:8080）を指定し、ブラウザの通信がZAPを経由するようにする。手早く始めたい場合は、ZAPが備える診断用の設定済みブラウザを起動する機能を使ってもよい。設定後、ブラウザで対象サイトを操作すると、その通信がZAPに取り込まれる。 - 動作モードを選ぶ。ZAPには安全側から順に「セーフ」「プロテクト」「標準」「アタック」の4モードがあり、はじめは診断対象をスコープに限定できる「プロテクトモード」から使うと、意図しない対象を攻撃せずに済む。
手順6：スキャンを実行する（巡回→パッシブ→アクティブ）
診断対象を洗い出してから、観察だけの安全な検査、擬似攻撃を伴う検査の順に進めます。
- スパイダー（Spider）または手動探索（Manual Explore）で診断対象を洗い出す。スパイダーはサイト内のリンクを自動でたどってURLを収集するクローラー、手動探索は自分でブラウザを操作して画面・機能をZAPに記録させる方法で、ログインが必要な画面や複雑な遷移を確実に含めたいときに使う。JavaScriptで画面を組み立てるアプリ向けには、従来のAJAXスパイダーより新しいクライアントスパイダーが公式で推奨されている。
- パッシブスキャン（Passive scan）で、巡回した各ページを観察する。通信を書き換えず観察するだけの安全な検査で、巡回に伴って自動的に実行される。
- アクティブスキャン（Active scan）で、実際に擬似攻撃を送って応答を検証する。検出力は高い反面、対象に負荷やリスクを与えるため、前章のとおり許可を得た対象にのみ実行する。
手順7：結果の確認とレポート出力
- 「Alerts（アラート）」タブで、検出された脆弱性をリスクの段階（高・中・低・情報）別に確認する。まずは高リスクのものから内容を見る。各アラートには該当URL・パラメータ、脆弱性の説明、再現につながるリクエスト・レスポンスが含まれ、原因箇所を特定しやすい。
- レポート出力機能で、結果をHTMLなどの形式に書き出す。社内で優先順位を合わせたり、修正担当へ共有したりする際の土台になる。
たとえば、入力値をそのまま画面に返す箇所では、アクティブスキャンが検索欄などのパラメータに <script>alert(1)</script> のような検査用の文字列を送ります。エスケープ（記号を文字として無害に扱う処理）されずに返る場合は「Cross Site Scripting (Reflected)」として報告されます。
入力値をSQL文に連結している箇所では、' OR '1'='1 で応答が変わるかを試し「SQL Injection」を検出します。
修正は、入力値のエスケープや、問い合わせをプレースホルダ（パラメータ化クエリ）に置き換えることが起点になります。
ZAPが示す検出結果には誤検知が含まれることもあるため、重要な判断の前には実際に再現するかを確認しましょう。
出典・参考資料（1件）
診断すべき項目の基準｜OWASP Top 10・ASVS・Testing Guide（WSTG）
ツール（ZAP）で手を動かせるようになったら、次は「何を・どの基準で診るか」です。ここではOWASPが公開する3つの基準——Top 10・ASVS・WSTG——を、役割の違いとともに整理します。
OWASP Top 10（2025年版）の全10項目
OWASP Top 10は、Webアプリケーションで特に起こりやすく、影響の大きい脆弱性を10項目に絞ったリストです。何から診断すべきか迷ったときの起点として広く参照されています。版によって項目が入れ替わるため、必ず最新版を確認することが重要で、最新はOWASP Top 10:2025（2025年版）です。以下に全10項目を、公式の原文名称とともに整理します。
| OWASP Top 10:2025 | 概要 |
|---|---|
| A01:2025 Broken Access Control（アクセス制御の不備） | 本来許可されていない操作やデータへのアクセスを防げない不備。2025年版では、以前は独立項目だったSSRF（サーバーサイドリクエストフォージェリ）がこの分類に統合された |
| A02:2025 Security Misconfiguration（セキュリティ設定のミス） | 初期設定のまま・不要な機能が有効・権限が広すぎるなど、設定に起因するリスク。2021年版の5位から2位へ順位が上昇 |
| A03:2025 Software Supply Chain Failures（ソフトウェアサプライチェーンの障害） | 2025年版の新設項目。2021年版の「脆弱で古いコンポーネント」を、依存ライブラリ・ビルド環境・配布経路まで含むサプライチェーン全体に拡張したもの |
| A04:2025 Cryptographic Failures（暗号化の失敗） | 暗号化の未実施や不適切な実装により、機密データが保護されない問題。2021年版の2位から4位へ順位が下がった |
| A05:2025 Injection（インジェクション） | SQLインジェクションやクロスサイトスクリプティング（XSS）など、入力値を通じて不正な命令を実行させられる脆弱性。2021年版の3位から5位へ順位が下がった |
| A06:2025 Insecure Design（安全が確認されない不安な設計） | 実装以前の設計段階に起因するリスク。設計の時点で脅威を想定できていない状態 |
| A07:2025 Authentication Failures（認証の失敗） | 認証の不備により、なりすましやアカウント乗っ取りを許す問題。2021年版の「識別と認証の失敗」から名称が変更された |
| A08:2025 Software or Data Integrity Failures（ソフトウェアとデータの整合性の不具合） | 改ざんされたソフトウェアやデータを検証なく取り込んでしまう問題 |
| A09:2025 Security Logging and Alerting Failures（セキュリティログとアラートの失敗） | 攻撃の記録・検知・通知が不十分で、インシデントに気づけない問題。2021年版の「セキュリティログとモニタリングの失敗」から名称が変更された |
| A10:2025 Mishandling of Exceptional Conditions（例外条件の不適切な処理） | 2025年版の新設項目。エラーや想定外の状況を適切に処理できず、情報漏えいや予期しない挙動につながる問題 |
※項目の原文名称・順位はOWASP Top 10:2025公式ページに基づきます（2026年11月時点）。
2025年版の主な変更は、OWASP公式の総括によると「2つの新カテゴリと1つの統合」です。新設されたのはA03「Software Supply Chain Failures」とA10「Mishandling of Exceptional Conditions」の2つで、統合されたのは、2021年版で独立項目だったSSRFがA01「Broken Access Control」に組み込まれた点です。
2017年版や2021年版にもとづく情報を見かけることがありますが、診断の基準にするなら最新の2025年版を確認してください。
出典・参考資料（2件）
ASVS・Testing Guide（WSTG）の使いどころ
Top 10が「まず押さえるべき優先リスクの一覧」であるのに対し、ASVSとWSTGはより踏み込んだ基準です。3つは競合するものではなく、役割が異なります。
ASVS（Application Security Verification Standard）は、Webアプリケーションが満たすべきセキュリティ要件を体系的にまとめた検証標準です。到達度を測るための検証要件レベルが3段階（L1・L2・L3）用意されており、計測基準・設計の指針・調達時の要件定義など、複数の使い方が想定されています。
最新版は5.0.0（2025年5月30日公開）で、従来どおりL1〜L3の3段階が維持されています。Top 10が「最低限押さえるべき項目」だとすれば、ASVSは「どの水準まで満たすか」を要件として示す、より網羅的な基準といえます。
WSTG（Web Security Testing Guide。旧称 Testing Guide）は、Webアプリケーションをどう検査するかというテスト手法をまとめたガイドです。Top 10が優先すべきリスクを、ASVSが満たすべき要件を示すのに対し、WSTGはどう診るかを補う位置づけになります。
最新の安定版は4.2です。自社で診断の手順を整えたいときや、診断内容の抜け漏れを点検したいときの参照先として役立ちます。
出典・参考資料（2件）
自前（ZAP）と専門業者の診断の使い分け早見表
ここまでをふまえると、ZAPによる自前の診断で足りる範囲と、専門業者や診断サービスに任せたほうがよい範囲の線引きが見えてきます。どちらが優れているという話ではなく、対象の重要度やリリースの頻度に応じて使い分けるのが現実的です。
| 比較項目 | 自前のツール診断（OWASP ZAPなど） | 専門業者・診断サービス |
|---|---|---|
| コスト | 無料〜低コストで始められる | 費用はかかるが、見積りや定額プランで予算化できる |
| スピード・頻度 | 自分の都合で何度でも回せる。開発中やリリース前のセルフチェックに向く | 依頼ベース。自動型のサービスなら定期・継続診断も可能 |
| 精度・検出範囲 | 既知パターンの脆弱性を広く機械的に検出。認可の不備・業務ロジック・多段階攻撃は拾いにくい | 手動診断では認可・業務ロジック・多段階の脆弱性まで踏み込める。自動型のサービスも網羅性を高めている |
| 向いている対象 | テスト環境、影響の小さいサイト、まず自分で状況を把握したい段階 | 本番公開前、個人情報や決済を扱う重要システム、第三者による診断の証跡が必要な場面 |
※上記は一般的な傾向の整理です。実際の対応範囲や料金は各サービスの最新情報をご確認ください。
目安としては、まずZAPを自社のテスト環境で回して状況を把握し、本番公開前や重要システムでは専門業者・診断サービスを比較・検討する、という流れが取り回しやすい進め方です。自前診断の弱点だった認可・業務ロジック・多段階の脆弱性を補いたい場合は手動診断が向いています。継続的に回し続けたい場合は自動型の診断サービスを選ぶ、というように、ZAPの限界に対応づけて選ぶと判断がぶれません。
この「ツールで広く拾い、人の目で踏み込む」という役割分担は、実際に診断を手がける現場でも重視されています。Webアプリケーションやスマートコントラクトなどの診断を提供する株式会社TECHFUND（Hi AUDIT）の生田氏は、ツールによる自動診断と専門家による手動診断を組み合わせる理由を、MCB FinTechカタログのインタビューで次のように説明しています。
ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。
一括ダウンロードする
自社に合う診断サービスを探す（比較・資料請求）
ここからは、ZAPの自前診断の次の一手として検討しやすい診断サービスを紹介します。方向性は大きく2つで、1つはブラウザから自分で回せるクラウド型のDASTサービス（ZAPの自前診断を定期・継続運用に引き上げる選択肢）、もう1つはZAPでは拾いにくい領域を補う専門家による手動診断です。まずは少数の候補を比較表で見比べたうえで、各サービスの特徴を確認してください。
ここで取り上げる5サービスにとどまらず、診断方法や費用相場、選び方の全体像から比較検討したい場合は、カテゴリの比較記事もあわせてご覧ください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | Securify | AeyeScan | VAddy |
|---|---|---|---|---|---|
| 提供会社 | Aikido Security BV（開発元） 株式会社AndGo（日本窓口） | CoWorker株式会社 | 株式会社スリーシェイク | 株式会社エーアイセキュリティラボ | 株式会社ビットフォレスト |
| 診断対象 | Webアプリ（DAST）・API ソースコード・依存ライブラリ クラウド設定（CSPM） | Webアプリ・API ソースコード・設計書 | Webアプリ・API 外部資産（ASM）・クラウド設定（CSPM） | Webアプリ・SPA API（オプション）・Androidアプリ | Webアプリ APIサーバー（REST API・JSON） |
| 診断方式 | ツールによる自動診断 （SAST・SCA・DAST・CSPMをCIに組み込み継続運用） | AI自動解析＋専門家による最終確認 （受託型。ペネトレーションテストにも対応） | ツールによる自動診断（DAST） （巡回・疑似攻撃・応答検証を自動実行、スケジュール／API実行） | ツールによる自動診断（DAST） （AIが自動巡回し診断シナリオを生成） | ツールによる自動診断（DAST） （WebAPI・CLI・cronでCI連携・継続診断） |
| OWASP関連の対応 | 公式での明示は確認できず （DAST・APIスキャンを提供） | 通常メニューは公式に明示なし （別メニューの生成AI・LLM診断はOWASP LLM Top 10〔2025年版〕準拠） | 公式での明示は確認できず （DASTサービスとして提供） | OWASP Top 10・ASVS 5.0に対応（公式トップ） APIスキャンはOWASP API Security Top 10 2023の外部検出可能項目に対応 | OWASP Top 10（2021年版）にサポートで対応付け 手動診断オプションはTOP10／ASVSベース（SHIFT提供） |
| 料金の目安 | 無料プランあり（Developer） 有償はBasic 年額3,780ドル〜（月額5万円台〜、年間契約・利用者10人まで） 正式額は要見積り | 静的診断（ソースコード）・動的診断（Web/API）・実践攻撃シミュレーション（ペネトレーション）の3メニュー構成 公式サイトに料金掲載がなく、情報源により15万〜150万円超と幅があるため要見積り | 脆弱性診断STARTER 月額5万円〜（年間60万円、1 IP/FQDN、診断回数無制限） | 個別見積り（回数無制限の定額制） 金額は公式未掲載 | 初期費用0円 月額19,800円〜99,800円（税別） 手動診断オプション40万円（SHIFT提供） |
| 無料トライアル | ●無料プラン（Developer）あり | △無料キャンペーンあり（期間・社数限定） | ●あり（最短即日） | ●あり（2サイト） | ●あり（1週間） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※無料トライアル欄の凡例：●=無料トライアルまたは無料プランあり／△=期間・社数などの条件つきで提供。料金・提供条件は2026年11月時点。
比較表の「OWASP関連の対応」で「明示は確認できず」としたサービスも、OWASPに準拠していないという意味ではありません。公式サイトで明示がないだけで、DASTとしてOWASP Top 10相当の項目を検出できることは多い点に注意してください。OWASP準拠を社内要件として重視するなら、比較表の「OWASP関連の対応」列で公式に対応を明示しているサービスを確認してください。
紹介する5つの診断サービス
以下で、各サービスの提供形態・診断対象・料金・OWASP関連の対応状況を順に見ていきます。
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリまでを1つの管理画面で検査できるオールインワンのクラウド型診断SaaSです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売窓口として日本語での導入・運用を支援しています。
稼働中のアプリを対象にするDAST、API Scanning、ソースコード解析（SAST）、依存関係チェック（SCA）、クラウド設定の点検（CSPM）などを備え、CI（開発パイプライン）に組み込んで日常的に回す使い方に向いています。無料のDeveloperプラン（2ユーザー・10リポジトリ）が用意されており、ZAPから一歩進めて自動診断を試したいときの入口にしやすいのも魅力でしょう。
日本窓口の料金はBasicプランで年額3,780ドル（月額5万円台から、年間契約・利用者10人までの参考価格）とされ、正式な金額は見積りで確認するとよいでしょう（2026年11月時点）。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発AI「Red Agent」による自動解析と、専門家による最終確認・レポート提出を組み合わせた診断サービスです。ZAPのような自動ツールでは拾いにくい領域を、人の目を介して補いたいときの受け皿になります。
公式のメニューは、ソースコードを解析する静的診断、Webアプリケーション・APIを対象とする動的診断、診断結果をもとに侵入可否と影響範囲を評価する実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで構成されています。
料金は公式サイトに掲載がなく、情報源によって額に幅があるため、実際の費用は見積りで確認するのが確実です（2026年11月時点）。金額の目安は上の比較表を参照してください。
OWASP Top 10・ASVS・Testing Guideへの準拠は通常メニューの公式ページでは明示されておらず、本記事では「OWASP準拠」と断定していません。OWASP LLM Top 10（2025年版）への準拠を公式に明示しているのは、別メニューの生成AI・LLM脆弱性診断です。
出典・参考資料（2件）
脆弱性診断をどのくらいの頻度で行うべきかという点について、CoWorkerの一ノ瀬氏は、診断の頻度を取り巻く変化をMCB FinTechカタログのインタビューで次のように語っています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
3. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するSecurify（セキュリファイ）は、クラウド型のDASTサービスです。画面遷移の巡回、疑似攻撃の送信、応答の検証を自動で実行し、Web・APIを対象に診断できます。
診断の実施日時や頻度を指定できるスケジュール実行に対応し、API経由で診断を起動してCI/CDパイプラインに組み込む運用もできます。ログイン後の画面やSPA（シングルページアプリケーション）の診断にも対応しており、ZAPの自前診断を定期・継続運用へ引き上げたいときの選択肢になります。
料金は脆弱性診断STARTERで月額5万円（年間60万円、検査対象1 IP/FQDN、診断回数無制限）からで、無料トライアルも用意されています（2026年11月時点）。公式サイトではOWASPへの明示的な言及は確認できなかったため、本記事ではDASTサービスとして紹介し、OWASP準拠とは断定していません。
出典・参考資料（1件）
4. AeyeScan（株式会社エーアイセキュリティラボ）
クラウド型のWebアプリケーション脆弱性診断ツールであるAeyeScanは、株式会社エーアイセキュリティラボが開発・提供しています。専用サーバーの構築やソフトのインストールは不要で、ブラウザからログインして診断を始められます。
AIが利用者の操作に近い形でサイト内を自動巡回して診断シナリオを生成し、画面遷移図の自動生成やレポート出力まで対応します。診断対象はWebアプリ・SPA・API（オプション）で、2026年9月にはAndroidアプリ診断にも対応しました。
OWASP関連では、公式トップでOWASP Top 10・IPA「安全なウェブサイトの作り方」・ASVS 5.0への準拠を明示しており、APIスキャンはOWASP API Security Top 10 2023のうち外部から検出可能な項目に対応するとしています。
料金は用途やサイト数に応じた個別見積りで、回数無制限の定額制、無料トライアル（2サイト）も用意されています。導入実績は公式トップで有償契約500社以上とされ、ISO/IEC 27001・ISO/IEC 27017も取得しています（2026年11月時点）。
5. VAddy（株式会社ビットフォレスト）
VAddy（バディ）は、株式会社ビットフォレストが提供するクラウド型のDASTサービスで、紹介する中ではZAPに最も近い「自分で回す自前運用型」にあたります。開発・運用はクラウド型WAF「Scutum」と同じチームが担っています。
WebAPI・コマンドラインツール・cronと連携でき、リリース前や夜間に繰り返し自動診断を回せます。スキャン回数は無制限で、初期費用は0円、月額はProfessionalの19,800円からAdvancedの99,800円まで（いずれも税別）と、料金が公開されている点も特徴です。APIサーバー（REST API・JSON形式）の検査にも対応します。
OWASP関連では、公式サポートでOWASP Top 10（2021年版）のカテゴリにVAddyの検査項目を対応付けて説明しています。有償の手動脆弱性診断オプション（株式会社SHIFT提供・40万円）は、シルバーがOWASP TOP10ベース、ゴールドがOWASP ASVSベースとされています（2026年11月時点）。
まとめ
本記事では、脆弱性診断におけるOWASPを「ツール」と「基準」の2本立てで整理しました。自分で回せる無料ツールがOWASP ZAP（現在は独立オープンソースのZAP by Checkmarx）、何を・どう診るかの基準がOWASP Top 10・ASVS・Testing Guide（WSTG）です。
まずはZAPを自社のテスト環境で回し、OWASP Top 10の最新版（2025年版）を基準に自社のWebアプリ・APIの状況を把握してみてください。そのうえで、認可や業務ロジックなど自動ツールでは拾いにくい領域や、本番公開前・重要システムの診断については、専門業者や診断サービスの比較・資料請求へ進むのが取り回しやすい流れです。
MCB FinTechカタログでは、Webアプリ・APIの脆弱性診断に対応するサービスの資料を無料で請求できます。診断方法や料金、OWASPなど準拠基準の対応範囲を各社の資料で見比べて、自社に合うサービスの検討を進めてください。
一括ダウンロードする
出典・参考資料（5件）
よくある質問（FAQ）
Q. OWASP ZAPとは何ですか？無料で商用利用もできますか？
A. OWASP ZAPは、Webアプリケーションの脆弱性を検査できるオープンソースの診断ツールで、ライセンスはApache License 2.0のため、商用・非商用を問わず無償で利用できます。
もともとOWASPの公式プロジェクトとして広まりましたが、2023年9月にOWASPを離れ、現在はCheckmarxが支援する独立したオープンソース「ZAP by Checkmarx」として開発が続いています。検索や現場では今も通称「OWASP ZAP」が広く使われています。
Q. OWASP Top 10の最新版は何年版ですか？
A. OWASP Top 10の最新版は、2025年版（OWASP Top 10:2025）です。
2025年版では、A03「Software Supply Chain Failures」とA10「Mishandling of Exceptional Conditions」が新設され、2021年版で独立項目だったSSRFがA01「Broken Access Control」に統合されました。
2017年版や2021年版にもとづく情報を見かけることがあるため、診断の基準にするときは必ず最新の2025年版を確認してください。
Q. OWASP ZAPだけで脆弱性診断は十分ですか？
A. OWASP ZAPによる自前の診断は、既知パターンの脆弱性を広く拾える一方で、認可の不備・業務ロジック・多段階の攻撃といった文脈依存の脆弱性は拾いにくく、これだけで十分とは言えません。
開発の途中段階でのセルフチェックや、外部に診断を依頼する前の下見にはZAPが適しています。一方で、本番公開前や、個人情報・決済を扱う重要システムでは、専門家による手動診断や診断サービスを組み合わせ、ZAPが苦手な領域を補うのが現実的です。
Q. 自分が管理していないサイトをOWASP ZAPで診断してもよいですか？
A. いいえ、自分が権限を持つ対象や、明確に許可を得た範囲以外をOWASP ZAPで診断してはいけません。
ZAPのアクティブスキャンは対象に実際に擬似攻撃を送る検査で、相手のシステムに負荷や影響を与える可能性があります。許可のない診断は、不正アクセス禁止法などの法令に抵触するおそれもあります。まずは隔離したテスト環境や、OWASP Juice ShopなどのTesting用に意図的に脆弱に作られた練習用アプリで、手順に慣れるのが安全です。
出典・参考資料（1件）
Q. OWASP Top 10とASVS・Testing Guide（WSTG）は何が違いますか？
A. 3つは競合するものではなく役割が異なり、Top 10は「まず押さえるべき優先リスクの一覧」、ASVSは「どの水準まで満たすかを示す検証要件（L1〜L3）」、WSTG（Web Security Testing Guide）は「どう検査するかのテスト手法」です。
何から診断すべきか迷ったときはTop 10を起点にし、要件レベルを定めて網羅的に検証したいときはASVS、診断手順の抜け漏れを点検したいときはWSTGを参照する、という使い分けになります。いずれもOWASPが公開している基準です。
Q. OWASP ZAPとBurp Suiteはどちらを使えばよいですか？
A. どちらもWebアプリケーションのDAST（動的診断）で広く使われるツールですが、OWASP ZAPは完全無料のオープンソース、Burp Suiteは機能を絞った無料版もある商用ツールという違いがあります。
費用をかけずに自分で手を動かして診断を始めたい段階ではOWASP ZAPが入りやすく、より高度な手動診断の機能や拡張を求める場合はBurp Suiteの有償版が選ばれる傾向があります。まずはZAPで自前診断の感覚をつかんだうえで、必要に応じて他のツールや専門業者の診断を検討するとよいでしょう。
脆弱性診断サービスの資料をまとめてチェック
MCB FinTechカタログでは、Webアプリ・APIの脆弱性診断に対応するサービスの最新資料を無料で一括請求できます。診断方法や料金、OWASPなど準拠基準の対応範囲を、各社の資料で見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
