脆弱性診断サービスの選び方｜比較すべき7つの判断軸【2026年版】

脆弱性診断を依頼しようと数社を比較し始めると、多くの担当者が同じ壁にぶつかります。

どの会社のサイトを見ても、書いてあることがほとんど同じに見える。

「OWASP Top 10に準拠」「経験豊富な技術者が対応」「詳細な報告書を提出」——どこも似た言葉が並び、違いは価格くらいしか分からない。そして価格を比べると、なぜか3倍近い差がついている。

これは各社の説明が不親切だからではありません。脆弱性診断は成果物を事前に見られないサービス であり、しかも品質の差が「見つからなかった脆弱性」という形で現れるため、発注前に比較しづらい構造があるためです。

この記事では、発注前に確認できる7つの判断軸を挙げ、それぞれ「何を聞けばよいか」まで整理します。最後に、そのまま社内の比較検討やRFPに使えるチェックリストも用意しました。

判断軸① 第三者基準に適合しているか（最も客観的な足切り基準）

比較の出発点として最も確実なのが、経済産業省が策定した「情報セキュリティサービス基準」への適合状況です。

この基準は何か

経済産業省が情報セキュリティサービスの品質を確保するために策定した基準で、これに適合したサービスはIPA（独立行政法人情報処理推進機構）が公開する「情報セキュリティサービス基準適合サービスリスト」に掲載されます。

適合の判定は事業者の自己申告ではなく、審査登録機関である日本セキュリティ監査協会（JASA）による適合性審査を経て行われます。 リストは次の5つのサービス区分に分かれています。

1. 情報セキュリティ監査サービス

2. 脆弱性診断サービス ← 本記事の対象

3. デジタルフォレンジックサービス

4. セキュリティ監視・運用サービス

5. 機械検査サービス

発注者にとっての意味

このリストに掲載されているということは、技術者の実務経験・スキル要件、品質管理体制、情報の取り扱い、再委託の管理といった項目が第三者に確認されていることを意味します。

「経験豊富な技術者が在籍」という自社説明とは、検証可能性がまったく違います。IPAのサイトで誰でも社名とサービス名を検索できるため、提案書に書かれた内容を発注者側で裏取りできる数少ない情報です。

ただし、これだけで決めてはいけない

公平を期すために書くと、このリストへの掲載は「最低限の基準を満たしている」ことの確認であり、診断品質の優劣を保証するものではありません。また、優れた技術力を持ちながら申請していない企業も存在します。

したがって使い方としては、候補を絞り込む出発点、あるいは社内稟議で「なぜこの会社を選んだか」を説明する根拠として使うのが現実的です。特に、監査対応や取引先への報告が必要な場合、第三者基準への適合は説明コストを大きく下げます。

確認する質問

• 「御社の脆弱性診断サービスは、IPAの情報セキュリティサービス基準適合サービスリストに登録されていますか。登録番号を教えてください」

判断軸② どこまでの深さを診断するのか

第2の軸は、診断の「深さ」です。同じ「Webアプリケーション脆弱性診断」でも、検証する範囲は会社によって大きく異なります。

診断範囲は、大きく3つの層に分けて考えると整理しやすくなります。

多くの診断サービスは第1層を中心に構成されています。第2層・第3層に踏み込むかどうかで、工数も価格も大きく変わります。

「OWASP Top 10準拠」という表記だけでは、深さは分からない

診断会社のサイトを見比べていると、「OWASP Top 10に準拠」という表記を頻繁に目にします。OWASP（オワスプ）はWebセキュリティの国際的な非営利団体で、その名を冠した「Top 10」は業界で最もよく引用される文書です。ただし比較の際に注意したいのが、この表記だけでは診断の深さが分からないという点です。

OWASP Top 10は、Webアプリケーションにおける重大なリスクを10のカテゴリにまとめた啓発を目的とした文書であり、検証項目の一覧ではありません。「Top 10に準拠」と書かれていても、それが「10カテゴリを網羅的に検証した」ことを意味するとは限らないのです。

より具体的な物差しとして、同じOWASPが公開しているASVS（Application Security Verification Standard）があります。こちらは検証要件を階層的に定義したもので、「ASVSのどのレベルを、どの程度カバーしたか」という形で診断範囲を説明できます。

確認する質問

• 「診断項目に、アクセス制御（権限昇格・IDOR）やビジネスロジックの検証は含まれますか」

• 「診断項目数と、その根拠にしている基準（ASVS等）を教えてください」

判断軸③ 検出結果が「実証」されているか

この記事で最もお伝えしたい観点がこれです。 比較検討で見落とされやすく、しかも納品後の工数に最も響きます。

「検出した」と「攻撃が成立する」は別物

診断ツールは、レスポンスの特徴やパターンから「脆弱性の疑いがある」と判定します。しかしこの判定には、実際には問題がないものを脆弱性として報告する「誤検知（false positive）」が一定量含まれます。

ここで発注者側に何が起きるかを考えてみてください。報告書に100件の指摘が並んでいるとします。開発チームはこの100件について、

1. 本当に脆弱性なのかを判断し

2. 誤検知でないものを修正し

3. 修正の優先順位を決める

という作業を行うことになります。このうち1の判断には専門知識が必要です。社内にセキュリティ技術者がいない場合、開発チームが「よく分からないが指摘されたので直す」と過剰に対応するか、逆に「たぶん誤検知だろう」と放置するか、どちらかに傾きがちです。前者は開発リソースの浪費、後者は重大な見落としにつながります。

確認すべきこと

したがって確認したいのは、「その脆弱性が実際に成立することを、診断会社が確認したうえで報告しているか」です。

会社によって呼び方は異なりますが、次のような形で提供されます。

• 検出結果に対して技術者が手動で再現確認を行う

• 実際に再現できたものに「実証済み」といった印をつけて報告する

• 再現手順（PoC）を報告書に記載する

報告書に「再現手順」が載っているかどうかは、発注前のサンプル確認でも判断しやすいポイントです。

確認する質問

• 「報告される脆弱性は、実際に再現確認をしたうえで報告されますか」

• 「誤検知はどのように除外していますか。除外した件数と理由は共有されますか」

• 「報告書に再現手順は記載されますか」

判断軸④ 最終的に誰が確認しているのか

自動化が進んだ結果、近年はAIを活用した診断サービスも増えています。効率化そのものは歓迎すべきことですが、比較の際には「どこまでが自動で、どこから人が見ているのか」を確認しておくと安心です。

具体的には次の点です。

• 最終的な報告内容を人間の技術者が確認しているか

• 確認する技術者の資格・実務経験はどうか

• AIを使っている場合、どの工程で使い、その出力を誰が検証しているか

技術者の資格については、国家資格である情報処理安全確保支援士（登録セキスペ）、国際資格のCISSP、実技系のOSCPなどが判断材料になります。特に情報処理安全確保支援士はIPAが登録者を管理する国家資格で、登録が有効な期間のみ名乗ることができます。

確認する質問

• 「診断結果は最終的に技術者が確認していますか。その方の資格・経験を教えてください」

• 「AIや自動化ツールは、どの工程で使っていますか」

判断軸⑤ 報告書が「誰向け」に書かれているか

報告書は診断の成果物そのものです。そして報告書の読み手は、技術者だけではありません。

多くの企業で、脆弱性診断の結果は次の2つの用途に使われます。

1. 開発チームが修正するため — 技術的に具体的で、再現手順と修正方法が分かること

2. 経営層・上位者に説明するため — なぜ予算を割いて対応すべきかが伝わること

このうち2が意外と難しく、「危険度：高の脆弱性が3件」と言われても、経営判断の材料にはなりにくいという問題があります。「それで、対応しないと何が起きるのか」に答えられないためです。

近年は、この課題に対応した報告書を提供する会社も出てきています。例えば、

• 個別の脆弱性ではなく、攻撃者がどう連鎖させて侵入するかをシナリオで示す

• 想定される事業影響を金額のレンジで示す

• 修正の優先順位と工数の目安を提示する

といったアプローチです。予算確保や社内説明に苦労している場合、この観点は比較軸として有効です。

確認する質問

• 「報告書のサンプルを見せていただけますか（構成だけでも）」

• 「経営層向けのサマリーは含まれますか」

判断軸⑥ 診断後の支援はどこまでか

診断は「脆弱性を見つけて終わり」ではありません。見つかった後に直せて、直ったことを確認できて、はじめて意味があります。

確認しておきたいのは次の4点です。

特に再診断の費用は見落とされやすいポイントです。無償の会社もあれば、初回と同額の会社もあります。修正後の確認まで含めた総額で比較しないと、後から想定外の出費になります。

判断軸⑦ 料金体系が「読める」か

最後に料金です。金額の多寡そのものより、料金の決まり方が事前に理解できるかを見てください。

料金体系は大きく2種類あります。

• カウント制 — ページ数、HTTPリクエスト数、パラメータ数などを数えて課金

• 定額制 — 対象の複雑さを区分し、区分ごとの定額で課金

カウント制は対象が小規模で範囲が確定している場合に有利ですが、診断対象を数え終わるまで金額が確定しないという性質があります。定額制は早い段階で予算の見通しが立ちますが、小規模案件では割高になることもあります。

どちらが良いということではなく、自社の状況（予算確保の時期、対象の複雑さ、定期実施の予定）に合う方を選ぶのが正解です。

詳しくは費用の記事で解説しています。

関連記事：Webアプリケーション脆弱性診断の費用相場【2026年版】— 見積もりが会社によって3倍変わる理由

https://www.ranryu-secure-solution.com/column/vulnerability-assessment-cost

比較で陥りやすい3つの落とし穴

落とし穴1：診断項目数の多さで選んでしまう

「診断項目300項目」と「診断項目93項目」があったとき、前者が優れているように見えます。しかし項目の数え方に統一ルールはありません。1つの検証を細かく分割すれば項目数はいくらでも増やせます。

比較すべきは項目数ではなく、どの領域を検証するか（第1層だけか、認可・ビジネスロジックまで含むか）、そして何を基準にしているかです。

落とし穴2：安さだけで選び、社内工数で相殺される

前述のとおり（判断軸③）、実証されていない検出結果を渡されると、「本当に脆弱性なのか、誤検知なのか」を1件ずつ判断する作業が社内に発生します。診断費用が数十万円安くても、開発チームがこの精査作業に数週間取られれば、実質的なコストは逆転します。「報告書を受け取ってから、社内で何日かかるか」まで含めて考える必要があります。

落とし穴3：相見積もりの前提が揃っていない

各社に別々の情報を渡すと、比較不能な見積書が集まります。同じ情報（対象範囲・権限の数・決済や個人情報の有無・技術構成・診断の目的）をすべての会社に渡すことで、はじめて金額と内容を並べて比較できます。

そのまま使える比較チェックリスト

社内検討やRFPにご活用ください。

【基本情報】

• IPA情報セキュリティサービス基準適合サービスリストへの登録の有無・登録番号

• 診断実績（業種・規模）

• 情報の取り扱い（NDA、診断データの保管期間・破棄方法）

【診断内容】

• 診断項目の根拠となる基準（OWASP ASVS等）とカバー範囲

• アクセス制御（認可）の検証が含まれるか

• ビジネスロジックの検証が含まれるか

• SPA（React/Vue等）・APIへの対応可否と追加費用の有無

• ツール診断と手動診断の割合

【品質】

• 検出結果の再現確認（実証）を行っているか

• 誤検知の除外方法

• 最終確認を行う技術者の資格・経験

• AIを使用している場合、その工程と検証方法

【成果物】

• 報告書のサンプル（構成）の提示可否

• 再現手順の記載有無

• 経営層向けサマリーの有無

• 修正方法の具体性

【アフター】

• 質問対応の期間と手段

• 再診断の可否と費用

• 対外的な証跡（実施証明等）の提供有無

【費用・納期】

• 料金体系（カウント制／定額制）

• 見積もりに含まれない項目（報告会・再診断・時間外対応など）

• 範囲が変更になった場合の取り扱い

• 納期と、その起点となる日

よくあるご質問

Q. 診断会社は何社くらい比較すべきですか？

A. 3社程度が現実的です。それ以上になると、比較資料の作成と各社とのやり取りだけで担当者の工数を圧迫します。IPAの適合サービスリストなどで候補を絞ってから、3社に同じ条件で依頼するのが効率的です。

Q. 大手と中小、どちらに頼むべきですか？

A. 規模より、自社の対象システムに合った診断ができるかで判断してください。大手は実績と体制の安定性で優位ですが、案件が大きくなりがちで小回りが利かない場合があります。中小・専門会社は柔軟性や価格面で優位なことがあります。いずれの場合も、判断軸①〜⑦で確認すれば比較は可能です。

Q. 診断結果を取引先に提出する必要があります。何を確認すべきですか？

A. 報告書がそのまま提出できる形式か、そして「修正した」ことを示す資料（再診断報告書等）が出せるかを確認してください。提出先によっては、診断会社が第三者基準に適合していること自体が要件になる場合もあります。

Q. 初めての診断です。いきなり高額なものを選ぶべきでしょうか？

A. その必要はありません。まず自動スキャン中心の安価なプランで現状を把握し、結果を見て深い診断の要否を判断する進め方が一般的です。ただし決済機能や個人情報を扱うシステムの場合は、最初から認可・ビジネスロジックまで含む診断を検討することをおすすめします。この領域の不備は被害が大きくなりやすいためです。

Q. 診断会社を毎回変えるべきですか、同じところに継続依頼すべきですか？

A. 一長一短です。継続すると対象システムへの理解が深まり、前回からの差分を追えるという利点があります。一方、別の会社に依頼すると異なる視点での検証が期待できます。基本は継続し、数年に一度セカンドオピニオンを入れるという運用が、コストと効果のバランスが取りやすい方法です。

まとめ

脆弱性診断サービスの比較が難しいのは、成果物を事前に見られず、品質の差が見えにくいためです。しかし、発注前に確認できる材料は確実に存在します。

本記事で挙げた7つの判断軸を整理すると、次のようになります。

1. 第三者基準への適合 — IPA適合サービスリストで客観的に確認できる

2. 診断の深さ — 認可・ビジネスロジックまで見るか

3. 実証の有無 — 「検出した」ではなく「攻撃が成立することを確認した」か

4. 最終確認する人 — 誰が、どんな資格で確認しているか

5. 報告書の読み手 — 開発者向けだけか、経営層にも伝わるか

6. 診断後の支援 — 修正・質問対応・再診断・証跡

7. 料金体系 — 決まり方が事前に理解できるか

このうち特に見落とされやすいのが3の「実証の有無」です。ここが曖昧なまま発注すると、納品後に社内工数として跳ね返ってきます。

価格だけの比較から一歩踏み込んで、この7点を各社に同じように尋ねてみてください。回答の具体性そのものが、その会社の診断品質を映す指標にもなります。

ご相談を承っています

診断会社の選定でお困りの場合、お問い合わせフォームよりご相談ください。上記チェックリストの各項目について、当社の場合はどうかを個別にご回答します。他社様との比較検討中である旨をお書きいただいても構いません。

診断対象が固まっていない段階でのご相談も承っています。

※ご相談はサイト上部の「お問い合わせ」よりお気軽にどうぞ。

この記事の監修

竹花 樹 — 株式会社ranryu ／ 情報処理安全確保支援士（登録セキスペ）　登録番号 019507

本資格の登録情報は、IPAが運営する情報処理安全確保支援士検索サービスにてどなたでもご確認いただけます。

株式会社ranryuは、経済産業省が策定した「情報セキュリティサービス基準」に適合し、独立行政法人情報処理推進機構（IPA）が公開する「情報セキュリティサービス基準適合サービスリスト」の脆弱性診断サービスに登録されています（登録番号 021-0017-20）。

参考にした公開情報（2026年8月時点）

IPA 情報セキュリティサービス基準適合サービスリスト　https://www.ipa.go.jp/security/service_list.html

情報セキュリティサービス基準審査登録制度（JASA）　https://sss-erc.org/

IPA 情報処理安全確保支援士（登録セキスペ）　https://www.ipa.go.jp/jinzai/riss/index.html

OWASP ASVS（Application Security Verification Standard）　https://owasp.org/www-project-application-security-verification-standard/