DAIJOBU株式会社（本社・東京都新宿区、代表取締役・山中裕貴）は2026年10月23日、WebアプリケーションとAPIを対象にした脆弱性診断サービスの提供を開始しました。申請と承認の順序や、会員と管理者の権限差など、自動診断ツールでは拾えないビジネスロジックの弱点まで、開発元から独立した立場で確認するとしています。公開中のWebサービスやAPIを運用する企業に向けたサービスです。
業務フローと権限の資料から検証項目を設計
同社は、不正アクセスや情報漏えいの報道が相次ぎ、公開中のサービスを第三者の視点で確認したいという相談が増えていると説明しています。リリースによると、従来の脆弱性診断は自動診断ツールの結果を中心に組み立てられることが多く、他の利用者の情報へのアクセスや、承認を飛ばした処理の確定といった業務固有の弱点は、業務の流れと権限を理解したうえで手動で検証する必要があります。
同サービスでは、顧客から提供された業務フローと権限の資料をもとに検証項目を設計します。DAIJOBUはソフトウェアテストと品質保証を本業としており、仕様書と権限表を読み解いて検証項目を設計する手法を脆弱性診断に適用しました。今回のサービスは、2026年3月に提供を開始したAI駆動開発向けの品質保証サービスで行ってきた脆弱性診断を、WebアプリケーションとAPIを対象にした単体のサービスとして整備したものです。
AIとセキュリティエンジニアの役割の分け方
AIは検証案の洗い出しと実行補助に使い、何を試すか、結果をどう読むかはセキュリティエンジニアが決めます。AIが生成した検証案は、エンジニアが確認したうえで実行します。
AIにはAnthropic社のClaudeを利用し、送信したデータを学習に利用しない条件で契約しているとしています。AIの利用範囲は、着手前に顧客と合意した内容に限ります。
報告書の内容と三つの診断メニュー
報告書には、指摘ごとに再現手順、証跡、対策案を記載します。深刻度は影響の大きさと攻撃の成立条件で評価し、「高」「中」「低」の3段階で示します。深刻度「高」の問題は、発見後翌営業日までに連絡します。
これとは別に、オンラインでの報告会を1回実施し、修正の優先順位を説明します。修正後の確認は、深刻度「高」の指摘について、診断終了後1ヶ月以内であれば20件まで無償で行います。修正の実装は別途契約です。
メニューは3種類です。ビジネスロジックまで手動で検証する「しっかり診断」、自動診断ツールの実行とエンジニアによる結果の精査を中心に公開済みのサービスを短期間で確認する「ライト診断」、大規模なシステムや高いセキュリティ要件に対して対象と検証方針を個別に設計する「エンタープライズ診断」を用意しています。費用と期間は診断範囲に応じた個別見積もりで、ライト診断は30万円（税別）からです。
依頼前に整理しておきたい資料と範囲
編集部では、業務の流れと権限まで検証対象に含める診断を依頼する場合、承認の手順や利用者ごとの権限を資料として整理しておくことが、検証項目の設計に直結すると考えます。脆弱性診断ツール/サービスを比べる際も、検証の手法に加えて、報告後の再確認の条件や、修正の実装を含むかどうかを見比べておきたいところです。
出典: DAIJOBU株式会社プレスリリース（PR TIMES・2026年10月23日配信）
https://prtimes.jp/main/html/rd/p/000000043.000136673.html