自社で運用するWebサービスや社内システムの脆弱性診断を実施・外注するとき、「どの基準に沿って診断すればよいのか」「監査や取引先に説明できる公的なよりどころは何か」で迷う場面は少なくありません。
脆弱性診断に関わるガイドラインは、政府機関・業界団体・標準化団体から複数公開されており、それぞれ対象や目的が異なります。本記事では、主要なガイドラインを発行元・対象・用途とともに一覧で整理し、自社の立場に合わせてどれを参照すべきかを示します。
あわせて、各ガイドラインが診断の種類や実施範囲、頻度として何を定めているか、基準を満たす診断ベンダーをどう選ぶかまでを解説します。依頼仕様書の作成や外注先の選定に使える検討材料として活用してください。
目次
一括ダウンロードする
脆弱性診断のガイドラインとは
脆弱性診断のガイドラインとは、Webアプリケーションやサーバーなどに潜むセキュリティ上の弱点を洗い出す診断について、何を・どこまで・どのように実施すべきかの基準や手引きを示した文書です。公的機関・業界団体・標準化団体がそれぞれの目的で公開しています。
法律のように遵守を義務づけるものではありませんが、診断の範囲や品質をそろえるよりどころになります。自社で診断を内製する場合も、外部のセキュリティベンダーへ委託する場合も、どのガイドラインを基準にするかを決めておくと、診断の抜け漏れを防ぎ、依頼仕様書や社内・取引先への説明の根拠として使えます。
まずは、どのガイドラインが存在し、それぞれ誰向けに何を定めているかを押さえましょう。
脆弱性診断の主要ガイドライン一覧（政府系・業界別・技術基準）
脆弱性診断に関わる主要なガイドラインを、発行主体の性格ごとに「政府機関が示す基準」「業界・分野別の基準」「診断の技術・手順を定めた基準」の3つに分けて整理します。ここでは脆弱性診断の実施・設計に直接関わる基準に絞って取り上げます。
それぞれ対象や目的が異なるため、まず全体像をつかんだうえで、次の章で自社がどれを参照すべきかを確認してください。
政府機関が示すガイドライン
| 政府機関が示すガイドライン | 政府情報システムにおける脆弱性診断導入ガイドライン（DS-221） | 工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン |
|---|---|---|
| 発行主体 | デジタル庁 | 経済産業省 |
| 主な対象・用途 | 政府情報システムの脆弱性診断の導入基準。プラットフォーム／Webアプリ／スマホアプリ診断の実施範囲・要件、ベンダー選定、CVSS評価などを定義 | 工場・制御システム（OT）のセキュリティ対策。製造業の現場システムを対象 |
| 版・改定日 | 2024年1月31日改定（初版2022年6月30日） | Ver 1.0（2022年11月16日） |
※各ガイドラインの正式名称・版は発行元の公式情報（2026年11月時点）に基づきます。
政府機関のガイドラインの中心にあるのが、デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン」です。2024年1月の改定でWeb API診断に関する記載の追加などが行われており、脆弱性診断の実務的な基準として、民間でも参照されることの多い文書です。ただし、このガイドライン自体は適用対象を次のように定めています。
本書は、政府情報システムにおいて広く導入されている以下の 3 種類の脆弱性診断を適用対象とする。（プラットフォーム脆弱性診断／Web アプリケーション脆弱性診断／スマートフォンアプリケーション脆弱性診断）
なお、本書は脆弱性診断の導入に対する理解を深めるための参考文書であり、適用の遵守を求めるものではない。
出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁
このように、適用対象はあくまで政府情報システムであり、参考文書（Informative）として公開されているものです。民間企業が内容を参照・活用することは妨げられませんが、「民間向けの基準」として策定されたわけではない点は押さえておきましょう。民間のWebサービス事業者が診断項目のよりどころにできるのは、次に挙げる技術基準です。
業界・分野別のガイドライン
特定の業界や分野に向けて、守るべき対象や診断の観点を定めたガイドラインもあります。自社の業種や扱う情報に応じて、該当するものを確認しましょう。
| 業界・分野別のガイドライン | ECサイト構築・運用セキュリティガイドライン | 制御システムのセキュリティリスク分析ガイド | 自工会／部工会・サイバーセキュリティガイドライン | PCI DSS（v4.0） |
|---|---|---|---|---|
| 発行主体 | 情報処理推進機構（IPA） | 情報処理推進機構（IPA） | 日本自動車工業会（JAMA）／日本自動車部品工業会（JAPIA） | PCI Security Standards Council |
| 主な対象・用途 | ECサイトのWebアプリ脆弱性対策・運用時のセキュリティ確保 | 電力・ガスなど制御システムを対象としたリスクの体系的な分析・対策の優先順位づけ | 自動車メーカー・部品メーカーのサプライチェーンにおけるセキュリティ対策 | クレジットカード情報を取り扱う事業者のセキュリティ基準。外部脆弱性スキャンの実施などを要求 |
| 版・改定日 | 2023年3月公開（版数の表記なし） | 第2版 | V2.3（2025年9月1日公開） | v4.0（2022年） |
ECサイトを運営する、クレジットカード情報を扱う、工場や車載システムを手がけるといった場合は、業界・分野別のガイドラインが自社の要件に直結します。特にカード情報を扱う事業者にとって、PCI DSSは準拠が取引条件になることもあるため、優先度の高い基準です。
診断の技術・手順を定めた基準
どのような手順・項目で診断するかという技術面の基準もあります。民間のWebサービス事業者が診断の内容を具体的に検討する際の、実質的なよりどころになる基準群です。
| 診断の技術・手順を定めた基準 | Webアプリケーション脆弱性診断ガイドライン | 安全なウェブサイトの作り方 | 情報セキュリティ早期警戒パートナーシップガイドライン | OWASP（Top 10／WSTG／MASVS など） |
|---|---|---|---|---|
| 発行主体 | JNSA／ISOG-J × OWASP Japan（脆弱性診断士スキルマッププロジェクト） | 情報処理推進機構（IPA） | 情報処理推進機構（IPA）／JPCERTコーディネーションセンター | OWASP（Open Worldwide Application Security Project） |
| 主な対象・用途 | Webアプリ脆弱性診断で最低限必要な診断項目・手順を標準化 | 代表的なWebアプリ脆弱性を防ぐための実装（セキュア開発）の解説。別冊にウェブ健康診断仕様 | 脆弱性情報の届出・取り扱い・公表の調整に関する枠組み（診断手順そのものではなく関連する制度） | Webアプリ脆弱性の代表カテゴリ・テスト手法・モバイルアプリ検証の国際的な標準 |
| 版・改定日 | 第1.2.4版（2023年11月） | 改訂第7版（2021年） | 2026年版（2026年10月1日公開） | 各文書で更新 |
この中で、Webサービスを提供する民間企業にとって直接的に参考になるのが、JNSA（日本ネットワークセキュリティ協会）のISOG-JとOWASP Japanの共同ワーキンググループが策定した「Webアプリケーション脆弱性診断ガイドライン」です。現在の最新版は第1.2.4版（2023年11月）です。
このガイドラインは、Webアプリ脆弱性診断で最低限必要な診断項目と手順を標準化し、一定レベルの手動診断を可能にすることを目的としています。OWASP Top 10 を踏まえて策定されており、診断を担う技術者の資格「脆弱性診断士（Webアプリケーション）」のスキル体系とも連動しています。本体のガイドラインに加え、診断士向けのスキルマップとシラバスも公開されています。
民間のWebサービス事業者は、診断項目・手順の体系はこのWebアプリケーション脆弱性診断ガイドラインを、診断の種類・範囲や実施要件の設計はデジタル庁のガイドラインを参照する、という役割分担で両者を使い分けるのが実務的です。次章以降では、種類・実施範囲・頻度の具体像が詳しく示されているデジタル庁のガイドラインを主な例として解説します。
出典・参考資料（2件）
自社はどのガイドラインに準拠すべきか
ここからは、自社の立場に合わせてどのガイドラインを参照すべきかを整理します。複数のガイドラインは排他的なものではなく、立場に応じて中心に据えるものと、補助的に参照するものが変わります。
| 立場別に参照すべきガイドライン | 民間のWebサービス事業者 | 政府機関・地方自治体や、その調達に関わる事業者 | ECサイト運営・クレジットカード情報を扱う事業者 | 製造業・制御システム／車載システムを扱う事業者 |
|---|---|---|---|---|
| 中心に据える基準 | Webアプリケーション脆弱性診断ガイドライン（JNSA／ISOG-J×OWASP） | 政府情報システムにおける脆弱性診断導入ガイドライン（デジタル庁） | PCI DSS、ECサイト構築・運用セキュリティガイドライン（IPA） | 工場システムのサイバー・フィジカル・セキュリティ対策ガイドライン（経済産業省）、自工会／部工会ガイドライン |
| あわせて参照したい基準 | 安全なウェブサイトの作り方（IPA）、デジタル庁ガイドラインの診断種別・実施範囲の考え方 | 情報セキュリティサービス基準適合サービスリスト（ベンダー選定） | Webアプリケーション脆弱性診断ガイドライン | 制御システムのセキュリティリスク分析ガイド（IPA） |
民間のWebサービス事業者であれば、まずWebアプリケーション脆弱性診断ガイドラインを診断項目・手順のよりどころにし、診断の種類や実施範囲の考え方はデジタル庁のガイドラインを参考にする組み合わせが現実的です。デジタル庁のガイドラインは政府情報システム向けですが、診断種別や必須・推奨・任意の線引きが具体的なため、民間でも診断範囲を設計する際の参考になります。
一括ダウンロードする
診断の種類と必須・推奨・任意の線引き
参照するガイドラインが決まったら、次はそのガイドラインが定める診断の中身を確認します。ここでは、診断種別と実施範囲を具体的に定めているデジタル庁のガイドラインを例に、診断の種類と、どこまでを必須・推奨・任意とするかの線引きを見ていきます。
診断種別（プラットフォーム／Webアプリ／スマートフォンアプリ診断）
デジタル庁のガイドラインは、脆弱性診断を次の3種類に整理しています。また、Webアプリ診断には、Web APIに対する診断（API診断などの名称で提供されることがあります）も同じものとして含まれます。
| 脆弱性診断の種別と対象 | プラットフォーム診断 | Webアプリ診断 | スマートフォンアプリ診断 |
|---|---|---|---|
| 主な診断対象 | サーバOS・ミドルウェア、ファイアウォール、ロードバランサ、リバースプロキシ、仮想化インフラ、VPNなど | Webアプリケーション、Web API、アプリミドルウェア | Android・iOS/iPadOS 端末上で動作するスマートフォンアプリ |
自社がWebサービスを提供しているなら、中心になるのはWebアプリ診断です。APIを公開している場合もこの区分に含まれます。サーバーやネットワーク機器まで含めて確認したい場合はプラットフォーム診断を、スマホアプリを配信している場合はスマートフォンアプリ診断を組み合わせるとよいでしょう。
APIを公開している場合、Webアプリ診断に含まれるとはいえ、画面を持つWebアプリの診断だけでは拾いにくい認可の欠陥（OWASP API Security Top 10）などAPI特有の観点があります。API部分をどこまで診断すべきか、診断項目やサービスの選び方を詳しく知りたい場合は次の記事で確認できます。
必須・推奨・任意の線引き
デジタル庁のガイドラインは、各診断で何をどこまで対象とするかを、必須・推奨・任意の区分で示しています。依頼仕様書を作る際は、この区分をそのまま診断範囲の指定に落とし込めます。
次の表は、構築時診断（システムの構築時や、機能の追加・変更があった際に行う診断）における実施範囲の区分です。もう一方の定期診断との違いは、後述の「診断の推奨頻度・タイミング」で解説します。
| 構築時診断の実施範囲（必須・推奨・任意） | プラットフォーム診断 | Webアプリ診断 | スマートフォンアプリ診断 |
|---|---|---|---|
| 診断対象の基本範囲 | 追加・構成変更が生じた全ての外部公開IPアドレス（必須） | 新規追加・変更が生じた全ての外部公開インタフェース（動的画面やAPI等）（必須） | アプリストアに公開する全てのAndroid・iOS/iPadOS向けアプリ（必須） |
| 実施環境 | 本番環境。同等であれば検証環境も可（必須） | 本番環境を前提（必須） | 本番用を前提（必須） |
| IPS・WAFの扱い | 脆弱性を隠蔽するおそれがあるため無効化して診断（推奨） | 無効化して診断（推奨） | — |
| 限定・内部範囲 | グローバルIPを持たない装置への診断（任意） | アクセス制限下の内部機能＝管理者向け画面等（任意）／他システムとの外接箇所（推奨） | — |
※区分（必須・推奨・任意）はデジタル庁ガイドライン3.2の原文表記に基づきます。
Webアプリ診断を例にとると、外部に公開しているインタフェースの診断は必須である一方、IPS・WAF（侵入防止システム・Webアプリケーションファイアウォール）を無効化したうえでの診断は推奨、管理者向け画面など内部機能の診断は任意と位置づけられています。原文では次のように定められています。
出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）3.2｜デジタル庁
- 新規追加や変更の生じた全ての外部公開インタフェース（動的画面や API 等）を診断の対象とする。（必須）
- 他のシステムと連携する場合は、その外接箇所も診断の対象とする（推奨）
- IPS や WAF は脆弱性の存在を隠蔽するおそれがあるため、無効化した上で診断を行う（推奨）
- ネットワーク層での十分なアクセス制限等が施された内部機能（管理者向け画面等）の診断は必要に応じて実施とする（任意）
診断の推奨頻度・タイミング
脆弱性診断は一度実施すれば終わりではありません。システムの変更や新たな攻撃手法の出現に合わせて繰り返し実施する必要があります。ここでは、いつ・どのくらいの頻度で診断すべきかを、ガイドラインの定めに沿って整理します。
構築時診断と定期診断
デジタル庁のガイドラインは、実施タイミングを大きく「構築時診断」と「定期診断」の2つに分けています。
出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）3章｜デジタル庁
- 構築時診断 各システムの構築時に行う診断で、脆弱性対策の実施内容の確認やセキュリティ品質の確保を目的として実施するものを示す。
- 定期診断 各機関で定期的に実施する診断で、各システムの脆弱性対策が適切に実施されていることの点検や監査を目的として実施するものを示す。
構築時診断は、システムの構築時や、外部から入力されたデータの処理・動的な画面生成・認証や暗号化などの実装に追加や変更があった場合に実施します。定期診断は、システムに変更がなくても攻撃手法の変化に備えて計画的に行うものです。両者はどちらかで代替できるものではなく、目的に応じて組み合わせることが想定されています。
ガイドライン別の頻度の考え方
定期診断の具体的な頻度は、ガイドラインによって示し方が異なります。主なものを整理すると次のとおりです。
| 診断頻度・タイミングの考え方 | デジタル庁ガイドライン | JPCERTコーディネーションセンター | PCI DSS（v4.0） |
|---|---|---|---|
| 頻度・タイミングの定め | 定期診断の回数は数値で定めず、各機関の自己点検・監査計画に準ずる。構築時診断は機能追加・変更時に実施。改修した脆弱性への再診断は報告書納品から最低1か月以内に1回以上実施できるようにする（必須） | Webサイトの定期的な点検・診断を継続して行うよう呼びかけ。具体的な回数は明示していない | 外部脆弱性スキャンを少なくとも3か月に1回、認定スキャンベンダー（ASV）が実施（要件11.3.2）。重大な変更後にも再スキャンを要求 |
デジタル庁のガイドラインは、定期診断の対象システムについて「各機関の自己点検や監査計画に準ずるものとし、本書では選定の基準を設けないものとする」としており、年1回のような一律の回数は定めていません。一方で、改修後の再診断は「報告書の納品から最低 1 カ月以内の期間、1 回以上の実施ができるようにすること」を必須としています。
このように、診断の回数まで数値で明記しているガイドラインは限られ、多くは「変更時」と「定期的な実施」を求めるにとどまります。回数が明確なのはクレジットカード情報を扱う事業者向けのPCI DSSで、外部ASVスキャンを少なくとも3か月に1回求めている点が、頻度を決める実務的な基準になります。
このPCI DSSが求める外部スキャンは、認定スキャンベンダー（ASV）が実施する点に特徴があります。四半期ごとのASVスキャンを具体的に誰がどう実施し、何を満たせば要件をクリアできるのかは、次の記事で要件（11.3.2）と実務のポイントを確認できます。
一般的には、新規公開の前、機能の追加・改修時、重大な脆弱性情報が公表されたとき、そして年次・四半期などの定期的なタイミングで診断するのが基本の考え方です。自社が準拠すべき基準と扱う情報の重要度に応じて、診断の頻度とタイミングを計画に落とし込みましょう。
なぜ繰り返しの診断が欠かせないのか。攻撃手法の変化を間近で見ている診断の現場からも、同じ趣旨の指摘があります。
これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
出典・参考資料（2件）
ガイドラインを基準にした診断ベンダーの選び方
脆弱性診断を外部に委託する場合、ガイドラインはベンダー選定の基準としても使えます。デジタル庁のガイドラインは、十分な経験と能力を持つベンダーを選ぶための確認観点を具体的に挙げています。
情報セキュリティサービス基準への適合を確認する
デジタル庁のガイドラインは、共通の実施要件として「経済産業省の『情報セキュリティサービスに関する審査登録機関基準』における『脆弱性診断サービス』の認定を取得したセキュリティベンダーであること」を必須としています。
実務では、経済産業省の基準への適合状況を情報処理推進機構（IPA）が公表する「情報セキュリティサービス基準適合サービスリスト」で、委託先が脆弱性診断サービスの区分に掲載されているかを確認できます。選定時の確認観点は、原文で次のように示されています。
高度化するサイバー攻撃の脅威を未然に防ぐためには、十分な経験と能力を有したセキュリティベンダーの選定を要することから、選定に際しては経済産業省の定義する「情報セキュリティサービスに関する審査登録機関基準」を満たすことの確認に加えて、脆弱性を検出する能力を測るため、ペネトレーションテストの国際資格の保有状況や CTF（Capture The Flag）等のセキュリティコンテストにおける上位入賞実績、国内外の脆弱性届出制度や開発者等への報告及び調整実績を問い合わせること等が有効である。
出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）2.3｜デジタル庁
出典・参考資料（1件）
診断にあたる技術者の力量を確認する
認定の有無に加えて、実際に診断にあたる技術者の力量も確認したい観点です。デジタル庁のガイドラインは、推奨要件として一定の資格・実績を満たす技術者が1名以上参画することを挙げています。
具体的には、OSCP・OSWA・GWAPT・GPEN・GMOBまたはその上位資格の保有、CTFなどのセキュリティコンテストでの上位入賞実績、脆弱性届出制度への報告・調整実績のいずれかです。これらは主に国際的な資格・実績です。
国内の資格としては、JNSA・ISOG-JとOWASP Japanの共同プロジェクトが定める「脆弱性診断士」があります。前述のWebアプリケーション脆弱性診断ガイドラインと同じプロジェクトが整備しているもので、診断を担う技術者のスキル体系を示しています。委託先を選ぶ際は、こうした有資格者が診断に関与するかを問い合わせると、技術力を見極める手がかりになります。
検出した脆弱性の深刻度をCVSSで評価しているか
診断で検出した脆弱性は、深刻度を評価して対応の優先順位をつける必要があります。デジタル庁のガイドラインは、世界的に活用されている指標としてCVSS（Common Vulnerability Scoring System）を挙げ、スコアと深刻度を次のように対応づけています。ベンダーが報告書でCVSSによる評価とその根拠を示すかどうかも、確認しておきたい観点です。
| CVSSのスコアと深刻度 | 9.0〜10.0 | 7.0〜8.9 | 4.0〜6.9 | 0.1〜3.9 | 0.0 |
|---|---|---|---|---|---|
| 深刻度 | 緊急（Critical） | 重要（High） | 警告（Medium） | 注意（Low） | なし（None） |
ただしガイドラインは、CVSSの基本評価基準は脆弱性そのものの技術的な深刻度を示すものであり、それ単体で対応の優先度を決めるべきものではないとも述べています。自社システムでの影響度と合わせて判断することが前提です。
ガイドラインだけでは十分でない領域
ガイドラインに沿って診断範囲や頻度を定めることは重要ですが、それだけで安全が確保できるわけではありません。デジタル庁のガイドラインも、ツールによる自動診断の限界に触れ、手動による診断との併用が欠かせないとしています。
診断サービスの選定においては、ツールによる自動的な診断のみでは不十分であり、専門家による手動による診断との併用が不可欠である。
出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）2.3｜デジタル庁
ガイドラインは、ツールを用いる場合でも診断対象の見落としや誤検出が含まれないように手動で精査することを必須としています。自動スキャンで効率よく広く検査し、重要な部分は専門家が手動で精査するという組み合わせが基本です。
また、攻撃手法は時間とともに変化するため、一度きりの診断ではなく、変更時と定期の診断を継続する運用が欠かせません。どの診断サービスを選ぶかは、こうした自動と手動の使い分け、継続的な運用のしやすさまで含めて検討するとよいでしょう。
自動診断だけでは何を取りこぼすのか。実際に診断を手がける現場では、次のように説明されています。
ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。
基準を満たす脆弱性診断サービスの選択肢
ここまで整理したガイドラインを踏まえて、実際に診断を外注・導入する際の選択肢を紹介します。脆弱性診断サービスには、専門家が診断して報告書を納める受託型と、ツールを使って継続的に検査する運用型があり、自社の体制や目的に合わせて選びます。
ガイドラインが求める「自動診断と手動精査の併用」は、受託型なら専門家による手動精査で、ツール型なら自動スキャンを継続運用しつつ重要箇所を人手の診断（ペネトレーションテスト等）で補う形で満たせます。どちらの形が自社の開発・運用体制に合うかという視点で見ると選びやすくなります。
| サービス名 | CoWorker 脆弱性診断サービス | Aikido Security |
|---|---|---|
| 提供形態 | 受託型 （AI解析＋専門家が診断・報告） | ツール型SaaS （自動スキャンを自社で運用） |
| 主な診断対象 | Webアプリ・API ソースコード・設計書 | ソースコード・依存ライブラリ クラウド設定・コンテナ Webアプリ・API |
| 手動精査の有無 | ●（AI解析後に専門家が最終確認） | △（自動スキャンが中心。人手診断は別サービス） |
| 契約・利用形態 | 都度依頼 （スポット〜定期診断） | サブスクリプション （月額／年額。無料プランあり） |
| 料金（参考） | 150,000円〜 （ソースコードAI診断から） | 年額3,780ドル〜 （月額5万円台〜。無料プランあり） |
| 日本語サポート | ● | ●（製品は英語。窓口のAndGoが日本語対応） |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた受託型の診断サービスです。
診断メニューは、ソースコードや設計書をAIが解析する「ソースコードAI診断」、稼働中のWebアプリ・APIを対象とする「動的脆弱性診断」、実際の攻撃を想定した「実践攻撃シミュレーション診断（ペネトレーションテスト）」の3つで構成されています。
ソースコードAI診断は本番環境に影響を与えずに実施でき、料金は150,000円から段階的に用意されています。AIによる自動解析で診断の工数を抑えつつ、検出結果は専門家が確認する流れを取っているため、ガイドラインが求める「自動診断と手動精査の併用」に沿った体制を組みやすい点が特徴です。
ソースコードから動的診断、ペネトレーションテストまで必要に応じて選べるため、Webサービスの開発・運用フェーズに合わせて診断範囲を調整できます。
2. Aikido Security（Aikido Security BV／日本窓口：株式会社AndGo）
Aikido Securityは、ソースコードや依存ライブラリ、クラウド設定、コンテナ、稼働中のWebアプリを1つの管理画面でまとめて検査するSaaS型の診断ツールです。ソースコード解析（SAST・SCA）、クラウド設定の点検（CSPM）、Webアプリの動的スキャン（DAST）、API Scanningなどに対応し、開発工程の中で継続的に脆弱性を検査する使い方を想定しています。
報告書はPDFやCSVに出力でき、ISO 27001やSOC 2の取得・維持に向けた監査用レポートの作成にも役立ちます。検出したアラートの自動トリアージで対応すべき項目を絞り込めるほか、修正案のドラフトをプルリクエストとして作成する機能も備えています。
料金はサブスクリプション型で、Basicプランが年額3,780ドル（月額5万円台から）、上位のProプランが年額7,560ドルという参考価格が示されており、無料で試せるDeveloperプランも用意されています。
製品本体とサポートは英語が基本ですが、日本では販売窓口の株式会社AndGoが日本語での一次対応や導入の伴走を担います。ツールによる継続的な検査を内製の開発チームで回したい事業者に向いた選択肢です。
ここで取り上げたのは選択肢の一部です。受託型からツール型まで、より多くの脆弱性診断サービスを診断方法・費用相場・対応範囲で横断的に比較して外注先を絞りたい場合は、次の比較記事が参考になります。
まとめ
脆弱性診断のガイドラインは、政府機関・業界団体・標準化団体から複数公開されており、立場によって中心に据えるべき基準が変わります。民間のWebサービス事業者は、JNSA・ISOG-JとOWASP Japanの「Webアプリケーション脆弱性診断ガイドライン」を診断項目のよりどころにしつつ、診断種別や必須・推奨・任意の線引き、ベンダー選定の観点はデジタル庁のガイドラインを参考にできます。
クレジットカード情報を扱う場合はPCI DSS、ECサイトや制御システムなどは分野別のガイドラインが直結します。診断を外注する際は、経済産業省の情報セキュリティサービス基準への適合、診断にあたる技術者の力量、CVSSによる深刻度評価の提示を確認し、自動診断と手動精査を併用できる体制かを見極めることが重要です。
自社の立場に合うガイドラインを特定したら、その基準を満たす診断サービスの資料を取り寄せて、具体的な比較検討に進みましょう。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断ガイドラインとは何ですか？
A. 脆弱性診断ガイドラインとは、Webアプリやサーバーなどの脆弱性を洗い出す診断について、何を・どこまで・どのように実施すべきかを示した基準や手引きです。デジタル庁・情報処理推進機構（IPA）・JNSA／ISOG-Jなどの公的機関・業界団体・標準化団体が、それぞれの目的で公開しています。
法律のような遵守義務はありませんが、診断の範囲や品質をそろえ、依頼仕様書や社内・取引先への説明の根拠として活用できます。
Q. 民間企業もデジタル庁の脆弱性診断導入ガイドラインに従うべきですか？
A. デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン」は適用対象を政府情報システムとする参考文書で、民間企業に遵守義務はありませんが、診断種別や必須・推奨・任意の線引きが具体的なため、民間でも診断範囲を設計する際の参考にできます。
民間のWebサービス事業者が診断項目のよりどころとする中心は、JNSA・ISOG-JとOWASP Japanの共同プロジェクトが策定した「Webアプリケーション脆弱性診断ガイドライン」です。
Q. 脆弱性診断はどのくらいの頻度で実施すべきですか？
A. 脆弱性診断は、システムの構築時や機能の追加・改修時に行う「構築時診断」と、変更がなくても計画的に行う「定期診断」を組み合わせて継続的に実施するのが基本です。
デジタル庁のガイドラインは定期診断の回数を一律に定めず各機関の監査計画に委ねていますが、クレジットカード情報を扱う事業者はPCI DSS v4.0が外部スキャンを少なくとも3か月に1回求めています。このほか、新規公開の前や重大な脆弱性情報が公表されたときにも都度実施します。
Q. 脆弱性診断はガイドラインに準拠すれば十分ですか？
A. ガイドラインへの準拠だけでは十分といえず、ツールによる自動診断と専門家による手動精査の併用、そして変更時・定期の継続的な運用が欠かせません。デジタル庁のガイドライン自体も、自動的な診断のみでは不十分で手動診断との併用が不可欠だとしています。診断サービスを選ぶ際は、自動と手動の使い分けや継続的な運用のしやすさまで含めて検討しましょう。
Q. 脆弱性診断を外注する際、ガイドラインを基準にどこを確認すればよいですか？
A. 外注先は、経済産業省の情報セキュリティサービス基準（脆弱性診断サービス）への適合、診断にあたる技術者の力量、CVSSによる深刻度評価の提示の3点を確認するとよいでしょう。
経済産業省の基準への適合状況は、情報処理推進機構（IPA）が公表する「情報セキュリティサービス基準適合サービスリスト」で、委託先が脆弱性診断サービスの区分に掲載されているかを確認できます。技術者の力量は、国際資格の保有や「脆弱性診断士」などの有資格者が診断に関与するかが手がかりになります。
出典・参考資料（1件）
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webアプリ・API診断やツール型の脆弱性診断サービスの最新資料を無料で一括請求できます。診断範囲・料金・対応する診断の種類を比べて、自社の基準に合う外注先を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
