脆弱性診断ツール比較12選 (全33選)｜無料/有料に分けて解説【澤 円 氏監修 / 2026年最新版】

自社で利用しているアプリケーションやシステムのセキュリティ対策状況は把握できているでしょうか？もしWebアプリケーションに何らかの情報セキュリティ上の欠陥、いわゆる「脆弱性」が存在し、それに対する十分な対策が為されていないとしたら危険です。脆弱性診断ツールを利用して自社のセキュリティ状況を把握し、適切な対策を行うようにしましょう。

1. 脆弱性診断ツールとは？

脆弱性診断ツールとは、サイバー攻撃を受けやすいWebシステムに対してスキャンや模擬攻撃などを行い、そのシステムにセキュリティ上の欠陥がないかを診断することのできるサービスです。時代の変化に合わせて、脆弱性診断ツールの必要性が高まっている現状があります。セキュリティレベルを高めて、安全にサービスを提供できる環境を構築しましょう。構築段階では、人手によるペンテストと補完し合いながら、計画→実施→是正→再診断の継続運用で効果を高めます。政府実践基準でもPDCAの徹底が示され、民間にも応用可能です。「デジタル庁の更新情報と関連資料」で位置づけが明確化されています。

1. 脆弱性診断ツールの定義と目的

WebやAPI、プラットフォーム（OS・ミドルウェア・ネットワーク）に潜むリスクを可視化し、重要度に基づく是正を促進することが目的です。自動スキャン（DAST/ネットワーク診断等）で広く当たり、手動診断で業務固有の欠陥や論理的欠陥を深掘りします。経営レベルでは、診断結果を投資判断や供給先管理に接続していくことが求められます。サプライチェーン全体を含めた対策は「経営ガイドライン」でも強調されています。

詳しくは「サイバーセキュリティ経営ガイドラインと支援ツール（METI/経済産業省）」をご覧ください。

2. なぜ脆弱性診断ツールが必要なのか？

情報セキュリティの基本要素としては、機密性・完全性・可用性の3要素が挙げられます。これら3要素を確保するために利用するべきツールが脆弱性診断ツールです。利用するメリットは、「サイト改ざん・情報漏洩・なりすましなどの危険性をあらかじめ排除できる」「セキュリティ対策の一元化により無駄なコストをかけずに効率的に対策ができる」「セキュリティ向上による顧客からの信頼獲得」の大きく3つに分けられます。よって、脆弱性診断ツールの導入を検討する際には、以下の事象が導入目的として想定されるでしょう。

• 現在提供している既存のWebサービスのセキュリティレベルを調べたい
• 新たに開発したアプリケーションの脆弱性を確認したい
• サービスの拡張に伴ってセキュリティレベルを上げたい

3. 脆弱性の分類

デジタル庁ガイドラインは、システムに存在し得る脆弱性の母集団を U とし、そのうち私たちが発生を予期できる集合を A（発生の想定される脆弱性）、さらに要件や設計で明示的に対処している部分を と定義しています。B は A の部分集合であり、理想は B を広げていくことですが、暗黙知や固有要件に起因するものは完全には明文化できません。また A の外側（A̅）＝「想定外の脆弱性」も常に残ります。加えて、攻撃手法の高度化や構成の複雑化により、U は時間とともに増大する前提が明示されています。
したがって、既知パターンを広く拾う自動スキャン（A を広げる）＋要件・認可などの論理欠陥を深掘る手動診断（B を拡張）＋是正後の再診断を組み合わせ、想定外の芽（A̅）を継続的に圧縮していく運用が求められます。

類型と用途について

以下は代表的な類型と向き・代表例です。まずは自社の体制・頻度・対象を軸に当てはめて検討してください。

表は位置づけの目安です。継続運用（定期・自動）と節目での人手診断を併用すると、網羅性と精度のバランスが取りやすくなります。

4. 脆弱性診断の運用サイクルと継続診断

診断は単発では効果が限定的です。計画→実施→是正→再診断のサイクルを回し、改修後に差分確認まで含めて完了とします。デジタル庁は「政府情報システム向けの脆弱性診断導入ガイドライン（DS-221）」を整備・更新しており、民間でもPDCA設計の参照モデルとして活用できます。特にリリース前後・大規模改修・依存ライブラリ更新時のトリガー設定が要点です。

5. 経営視点とサプライチェーン

経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者の3原則と重要10項目を提示し、サプライチェーンを含む全体最適を要求します。診断レポートは、取締役会・監査・取引先説明の根拠資料として整備し、投資の優先順位付けや委託先管理に活用します。ツール起点の点検に偏らず、体制・人材・手順まで含めた運用で、説明責任と継続改善を両立させましょう。

参考の一次情報

• 経営の役割、3原則、サプライチェーン対応について > サイバーセキュリティ経営ガイドライン Ver3.0
• 診断のPDCAや導入手順の参照ポイントについて > デジタル社会推進標準ガイドライン（DS-221）

2. 脆弱性診断ツールの3つの種類とその特徴

提供形態は「サービス」「クラウド型」「ソフトウェア型」の3類型です。体制・規模・リスクに応じて使い分けると導入判断が速くなります。継続診断のPDCAは公的ガイドラインでも推奨されています。

下表は各類型の特長と向いている組織、代表的な製品例です。初出のみ製品名に公式情報へのリンクを付けています。

1. 脆弱性診断サービス（ハイブリッド）

脆弱性診断サービスとは、経験豊富なセキュリティ専門の技術者に依頼して、脆弱性を検査してもらう形のものです。ツールによる自動診断と技術者による手動診断を組み合わせて診断を行うため、多少時間を要しますが高精度の脆弱性診断が期待できるでしょう。サービス内容によっては検査に加え、今後の具体的な対策案をアドバイスしてくれるものもあります。

コストと時間はかかりますが、個人情報を多く取り扱うECサイトやSNS、または大規模なサービスのリリース前などのタイミングに利用することをおすすめします。

2.クラウド型脆弱性診断ツール

クラウド型脆弱性診断ツールとは、Web上から手軽に診断ができるクラウドタイプのツールです。利用手順はシンプルで、クラウドサービス上でアカウントを作成し、脆弱性を診断したいWebサービスのリンクやサーバ情報を登録して検査対象を選択するだけで利用できます。診断結果などはレポートとして表示されるので、それらを参照して脆弱性が検出された箇所を自分で修正する仕組みです。

クラウド型の脆弱性診断ツールはWebブラウザ上で気軽に安価（無料）で利用でき、開発者などが自身で診断を行える点が魅力といえます。

3.ソフトウェア型脆弱性診断ツール

ソフトウェア型脆弱性診断ツールとは、個々のコンソールにインストールして自動検知ツールなどから脆弱性診断を行うツールのことです。手動で行うと膨大な時間や手間がかかる作業を自動で行うことができますが、手動に比べると柔軟性には欠けるので細かな診断を行うのは難しいといえます。

基本的に誰でも使えるオープンソースなのでサポートなどはありません。自社にセキュリティエンジニアが在籍しているような環境で、コストをなるべくかけずに内製化などを考えている方におすすめです。

4. 公的指針との整合で運用を最適化

ツールの導入だけでなく、計画→実施→是正→再診断のサイクルを前提に体制化することが重要です。政府の「デジタル社会推進標準ガイドライン（DS-221）」は継続的改善の考え方を示し、経営層には「サイバーセキュリティ経営ガイドライン Ver3.0」の実践が求められます。選定時は自社のPDCAに乗る提供形態かを確認しましょう。

高リスク領域はハイブリッド、開発の反復はクラウド型、検証の深掘りやオフライン要件はソフトウェア型、と切り分けると選定が迅速になります。

経営の役割、サプライチェーン対応について > サイバーセキュリティ経営ガイドライン Ver3.0

4. おすすめの脆弱性診断ツール8選（有料版）

本節では、読者の導入判断を早めるために「提供形態」「強み」「向いている組織・体制」を端的に整理します。初出の各製品には根拠情報を併記し、誇張を避けた実情ベースでまとめています。

1.「Web Doctor」（NRA）

運用負荷を抑えて継続運用したいサイト運営チームに向きます。クラウド型の自動Web脆弱性スキャンで、レポート整備や運用サポートの説明が明快です。料金プランも用意されており、申込から実査・報告までの流れが整理されています。

2.「マモレル」（マルチベンダー監視＋診断）

セキュリティ専任が少ない中小～中堅で「まず守る・見える」を素早く実現したいケースに適します。多層監視・脆弱性検査・運用代行を包含するパッケージで、導入しやすさと支援窓口の分かりやすさが特長です。製品ページ・比較サイト双方で提供内容が整理されています。

3.「RayAegis Japan」（高度診断エンジン提供）

難易度が高いWebアプリ・APIの診断精度を重視するプロダクト開発組織向け。大手SI・セキュリティ企業のメニューにも採択されるなど、日本市場での採用実績が見られます。

4. 「Nessus」（ネットワーク／プラットフォーム系の定番）

脆弱性スキャン分野で世界的な採用実績があり、テンプレートとプラグイン更新の速さが強みです。ベンダーは世界4万社超の顧客基盤を公表し、Nessusは「最も広く導入されている」評価ツールと位置付けられています。

5. 「Burp Suite」（Professional／Enterprise）

Webアプリ／API診断の現場定番。手動テストを強力に支援しつつ、自動化の組み込みも可能です。公式が「1万6,000以上の組織に採用」と明記しており、コミュニティの知見・拡張も充実しています。

6. 「AeyeScan」（国産クラウド型）

内製チームでの継続スキャンに強い国産SaaS。市場調査レポートに基づく「国内シェアNo.1」獲得の発表があり、運用面・日本語サポートの使い勝手が評価されています。

7. 「ImmuniWeb」（統合プラットフォーム）

Web／API／モバイル／クラウド露出のASMまで一体で扱える運用効率が特長。1,000社超への導入を公式が公表しており、グローバル拠点やマルチスコープ運用に向きます。

8. 「GMOサイバーセキュリティ byイエラエ」（手動診断）

ホワイトハッカーによる手動診断の国内大手。難度の高い手動診断、0day発掘などの実績公開があり、金融・大型サービスの総合テスト前に強みを発揮します。

選定のコツ

下表は「どう選ぶか」を短時間で把握できるよう、提供形態と強み、向いている組織を要約したものです。価格はプラン・対象規模で変動が大きいため、見積ベースを基本とします。

• • • 継続スキャンが主目的なら、国産SaaSの「AeyeScan」や手離れの良い「Web Doctor」を軸に比較します。
    • インフラ全体の可視化と既知脆弱性の追随性を重視するなら「Nessus」をハブに据えると、プラグイン更新の速さが運用負荷を下げます。
    • 手動の深掘りが必要な段階では「Burp Suite」で再現性を高めつつ、最終局面は「GMOサイバーセキュリティ byイエラエ」のような手動診断を組み合わせると堅実です。APIやモバイル、外部露出の統合運用を目指すなら「ImmuniWeb」のようにASMを含む製品でまとめると、レポートやSLAの一本化に寄与します。

各社の「シェア」「導入社数」等は公表時点・調査範囲で変動します。導入前には、直近の公開情報・トライアルやPoCで再確認し、要件（対象範囲・報告形式・再診断可否・サポートSLA）を明文化して比較してください。

5. 脆弱性診断ツールの無料版・有料版のサービスの違い

無料は試用・限定範囲・自己判断が前提です。一方で有料はサポート、誤検知抑制、レポート整形や再診断まで含め運用効率を高めやすいです。導入体制と報告先（経営・監査）を踏まえて選ぶことが重要です。

1. 無料版・有料版のシーン別活用法

ここまでで無料版脆弱性診断ツールの中には、ユーザーを不用意にあおり、欺罔行為を行って高額の製品を購入させるといった悪質なものも少なからず存在することを説明しました。しかし、すべてが上記のような悪質なものばかりではなく、実績があり利用者も多数存在しているフリーツールも存在します。

そこで本項目では、無料版・有料版のそれぞれに適した利用シーンを解説しますので、皆さんの想定している利用シーンに適したものはどちらなのか参考にしてみてください。

「無料版」活用シーン

無料版の脆弱性診断ツールの活用シーンとしては、以下が挙げられます。

• • 1. 取り扱っている個人情報が比較的少ない場合
    2. すでにローンチされたサービスで新しく追加した機能のみを診断するなど診断範囲が狭い場合

「有料版」活用シーン

有料版の脆弱性診断ツールの活用シーンとしては以下が挙げられます。

• • 1. 取り扱っている個人情報が比較的多い場合
    2. 重要度の高い大規模なサービスのローンチ前のセキュリティ診断時

精度が高くセキュリティ面でも信頼度の高い脆弱性診断ツールを求めている場合は、有料版の利用をお勧めします。

また有料版製品では、無料版に対してサポート体制が厚く専門的な知識を有していなくても包括的にセキュリティ対策を行えます。そのためコストをかけてでも確実にセキュリティ対策を行いたい方や初心者の方が利用する場合には、有料の脆弱性診断ツールの導入が確実です。

以上のように、診断にかけるサービスの規模や取り扱っている情報の量などによって使い分けていただくことで、より効果的な脆弱性診断が期待できます。

2. 使い分けの判断軸（一覧表）

まずは自社の体制と報告先を決め、次に診断の粒度と頻度を決めると選定が早まります。下表は読み取りポイント付きの比較です。

無料（OSS）は「自己完結できるか」、有料は「レポートの再利用性と再診断運用」を見ます。

表の「例」は各公式情報に基づきます。

3. 公的留意点（ツール偏重にしない運用体制）

無料・有料いずれでも、方針・手順・教育・委託先管理を含む体制整備とセットにすることが推奨です。経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者の3原則やサプライチェーンを含む対策徹底を求めており、診断結果の是正・再診断までをPDCAに組み込むことを明確に示しています。 無料は“自己完結できる限定診断”、有料は“レポート・再診断まで含む運用最適化”。経営・監査の報告先に耐えるかを判断軸に選ぶと失敗が少ないです。

経営の役割、3原則、サプライチェーン対応について > サイバーセキュリティ経営ガイドライン Ver3.0

4. 無料版の中には偽の脆弱性診断ツールがあることにも注意！

脆弱性診断を行うには相応の費用が発生するため、無料のツールを利用しコストをかけずに、社内のセキュリティ対策を行えることは無料版の大きなメリットとして挙げられます。しかし、近年ではシステムの高度化が進んでいるため、無料版では専門的な知識を有している人でないと万全なセキュリティ対策を行えない可能性があります。

また、無料版の診断ツールを利用する上での注意点として、「ツール利用後に有料の商品の購入を求められる」といったケースが存在します。具体的には、無料と謳って偽の脆弱性診断を行い、診断を行うと実際はシステム上に問題はなくとも「脆弱性が検出されました。非常に危険な状態です！」などと表示し、高額なセキュリティ製品の購入へ誘導するといったものです。

このように無料版の中には、欺罔行為を行い、金銭を騙し取ろうとするものも少なからず存在するので、その点に関しては慎重に製品選択を行う必要があります。

その他詳しい事例については「安心相談窓口だより：IPA 独立行政法人 情報処理推進機構」をご覧ください。

以下はIPA（情報処理推進機構）が公表している偽セキュリティソフトの一覧です。
下記のソフトは危険ですのでインストールしないようにしてください。

• • • AVASoft Professional Antivirus
    • System Repair
    • System Progressive Protection
    • Live Security Platinum
    • Smart Fortress
    • RegClean Pro

代表取締役／株式会社圓窓　元日本マイクロソフト業務執行役員澤 円

サイバーセキュリティ対策においてリスクを高めてしまうのは「コストだと思ってケチる」という考え方です。自社の資産を守るための大事な投資領域であると認識することが何より大事です。

6.  無料で利用できる脆弱性診断ツール3選

無料ツールは導入のハードルが低く、学習や評価に最適です。ただし商用可否や機能制限、運用に必要な知識を確認してから選ぶことが重要です。

1. 「OWASP ZAP」
2. 「Nessus Essentials」
3. 「Open VAS」

1. 「OWASP ZAP」

「OWASP ZAP」はWebアプリ向けの動的診断（DAST）の定番で、GUI操作でのクイックスキャンから、スパイダリング、アクティブスキャン、パッシブスキャン、強制ブラウジング、ファズ、スクリプト拡張まで対応します。自動と手動の併用がしやすく、スキャンポリシーでルール調整も可能です。

2. 「Nessus Essentials」（個人用途）

「Nessus Essentials」はTenableが提供する学習・個人評価向けエディションです。テンプレートに沿って脆弱性スキャンを始めやすく、対象は最大16IPまでに制限されています。商用利用や大規模環境には上位版が必要です。

3. 「OpenVAS」（Greenbone Community）

「OpenVAS」はネットワーク、OS、ミドルウェアの広範スキャンに強いオープンソース系の選択肢です。サービス検出、既知脆弱性照合、認証済みスキャンなどに対応し、コミュニティ版でも実運用レベルのカバレッジが得られますが、セットアップや運用には一定の知識が要ります。

「脆弱性診断ツール/サービス」の製品比較表

※税込と表記されている場合を除き、全て税抜価格を記載しています

「脆弱性診断ツール/サービス」の製品比較表（読み上げ用）

製品名	注目ポイント	料金プラン	無料トライアル	最低利用期間	基本的な機能	サービス資料	ソフト種別	推奨環境	サポート
CloudFastener	なし	初期費用: 300,000円（備考: オンボーディング作業の費用で、1回のみかかります。利用企業のクラウド環境の把握やアラート通知先の確認、CloudFastenerとの接続作業が含まれます。） ／ 基本利用料: 1,000,000円〜/月額（備考: 毎月定額でかかる基本利用料です。別途定める基本コンピューティングリソース分が含まれ、これを超えた場合は超過分が加算されます。） ／ オプション: 要相談（備考: 超過コンピューティングリソースの追加、アラート是正作業、コンサルティングは個別見積りです。IRDFオプション（AWS環境のみ）は別途問い合わせが必要です。）	なし	制限なし	なし	なし	クラウド型ソフト	なし	チャット
マモレル	守りは鉄壁　世界基準	初期費用: 要相談 ／ 利用料金: 要相談	あり	制限なし	Webアプリケーション診断、クラウド診断、サーバ設定、デスクトップアプリ診断、プラットフォーム診断	なし	なし	なし	電話、メール
クラウドパトロール	クラウドのリスク、まとめて可視化	初期費用: 無償 ／ 月額利用料: 50,000円	あり	1年間	クラウド診断	なし	クラウド型ソフト	PCブラウザ	電話、メール
BLUE Sphere	Webの守りと、万一の保険	初期費用: 10万円 ／ 利用料金: 45,000円/月額（備考: ※3カ月のアウトバウンドデータ量が0.5TBまで）	あり	制限なし	なし	なし	クラウド型ソフト	PCブラウザ、スマートフォンブラウザ	電話、メール
セキュリティ診断サービス（株式会社トインクス）	大事な操作、置くだけで見守り	初期費用: 要相談 ／ 利用料金: 要相談	なし	制限なし	Webアプリケーション診断、クラウド診断、デスクトップアプリ診断、プラットフォーム診断	なし	クラウド型ソフト	PCブラウザ	メール
DIT Security	丸投げしない、プロの目	初期費用: 要相談 ／ 利用料金: 要相談	あり	制限なし	Webアプリケーション診断、クラウド診断、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、プラットフォーム診断	なし	クラウド型ソフト	PCブラウザ	電話
IssueHunt バグバウンティ	世界の目で、見つける「穴」	初期費用: 無料 ／ 月額費用: 無料～ ／ 手数料: ホワイトハッカーへの報奨金の20％（備考: 成果報酬型でご提供しております。）	なし	制限なし	Webアプリケーション診断、アプリケーションエラーの開示、サーバ設定、プラットフォーム診断	なし	なし	PCブラウザ	メール
セキュリティ診断サービス（株式会社NTTビジネスソリューションズ）	プロの目配り、堅実な診断	初期費用: 要相談 ／ 利用料金: 要相談	なし	制限なし	SQLインジェクション、Webアプリケーション診断、オープンリダイレクタ、クロスサイトスクリプティング、ヘッダインジェクション	なし	なし	なし	電話、メール
セキュリティ診断サービス（NECソリューションイノベータ株式会社）	見つけて、直すまでご支援	初期費用: 要相談 ／ 利用料金: 要相談（備考: 予算に応じてLight・Standard・Advancedの３つのコースがあります。）	なし	制限なし	SQLインジェクション、Webアプリケーション診断、オープンリダイレクタ、クロスサイトスクリプティング、プラットフォーム診断、ヘッダインジェクション	なし	なし	なし	メール
AeyeScan	「誰でも、すぐ」のAI診断	One Shotプラン: お見積り（備考: まずは１サイト診断したい方） ／ Businessプラン: お見積り（備考: 診断を内製化したい方）	なし	15日	SQLインジェクション、Webアプリケーション診断、クロスサイトスクリプティング、ヘッダインジェクション	なし	クラウド型ソフト	PCブラウザ	メール
セキュリティ診断サービス（株式会社Flatt Security）	診断と「学ぶ」セキュリティ	初期費用: 要相談 ／ 利用料金: 要相談	なし	制限なし	SQLインジェクション、Webアプリケーション診断、クラウド診断、クロスサイトスクリプティング、スマホアプリ（iOS・Android）診断、プラットフォーム診断	なし	なし	PCブラウザ、Windowsアプリ、Macアプリ、iOSアプリ、Androidアプリ	メール、チャット
ImmuniWeb	AIとヒトで、誤検知なし	初期費用: 要相談 ／ 利用料金: 要相談	なし	制限なし	SSL設定、Webアプリケーション診断、スマホアプリ（iOS・Android）診断、プラットフォーム診断	なし	なし	なし	電話、メール
AEGIS-EW（イージスEW）	「野良端末」も漏れなく診断	プロフェッショナル: 85,000円（備考: ドメイン数：1~9個） ／ プロフェッショナル: 118,400円（備考: ドメイン数：100~199個） ／ プロフェッショナル: 160,000円（備考: ドメイン数：1000~2000個） ／ エキスパート: 85,000円（備考: ドメイン数：1~9個） ／ エキスパート: 118,400円（備考: ドメイン数：100~199個） ／ エキスパート: 160,000円（備考: ドメイン数：1000~2000個）	あり	制限なし	SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、X-Content-Type-Optionsヘッダの未設定、X-Frame-Optionsヘッダの未設定、オープンリダイレクタ、クラウド診断、クロスサイトスクリプティング、サーバ設定、ドメイン設定、プラットフォーム診断、ヘッダインジェクション	なし	クラウド型ソフト	PCブラウザ	メール
ABURIDA	Wチェックと、無料再診断	初期費用: 0円（備考: 初期費用は発生しません。） ／ お試しプラン: 90,000円(税込)（備考: 1社1回限りです。3リクエストまで。無料の再診断がありますが、診断結果が「危険度Medium」以上の項目のみとなります。） ／ スタンダードプラン: 440,000円(税込)（備考: 10リクエストまで。無料の再診断がありますが、診断結果が「危険度Medium」以上の項目のみとなります。） ／ ボリュームプラン: 1,408,000円(税込)（備考: 50リクエストまで。無料の再診断がありますが、診断結果が「危険度Medium」以上の項目のみとなります。）	なし	制限なし	SQLインジェクション、SSL設定、Webアプリケーション診断、オープンリダイレクタ、クロスサイトスクリプティング	なし	なし	なし	メール
脆弱性診断サービス（株式会社セキュアスカイ・テクノロジー）	メーカー品質の、確かな目	初期費用: 0円（備考: 初期費用は発生しません。） ／ エクスプレス診断: 400,000円（備考: Webアプリケーション診断は、10リクエストまたは6APIまでです。報告会実施の場合別途10万円／回が必要です。再診断は無償です。） ／ エキスパート診断: 1,280,000円（備考: Webアプリケーション診断は、50リクエストまたは25APIまでです。報告会実施の場合別途15万円／回が必要です。再診断は無償です。） ／ プラットフォーム診断: 250,000円（備考: プラットフォーム診断は、3 IPまたは3FQDNまでです。報告会実施の場合別途15万円／回が必要です。再診断は無償です。） ／ エクスプレス診断 ＋プラットフォーム診断: 550,000円（備考: Webアプリケーション診断は、10リクエストまたは6APIまでです。プラットフォーム診断は、3 IPまたは3FQDNまでです。報告会実施の場合別途10万円／回が必要です。再診断は無償です。） ／ エキスパート診断 ＋プラットフォーム診断: 1,430,000円（備考: Webアプリケーション診断は、50リクエストまたは25APIまでです。プラットフォーム診断は、3 IPまたは3FQDNまでです。報告会実施の場合別途15万円／回が必要です。再診断は無償です。） ／ ペネトレーションテスト: 要相談	なし	制限なし	SQLインジェクション、SSL設定、Webアプリケーション診断、クロスサイトスクリプティング、デスクトップアプリ診断、ドメイン設定	なし	なし	なし	メール
Vex	プロの診断を、自社で実現	初期費用: 0円（備考: 初期費用は発生しません。） ／ デベロッパーライセンス: 要相談（備考: 自社で開発もしくは運営するWebアプリケーションの診断に利用する場合のライセンスです。各販売代理店から購入できます。） ／ オーディターライセンス: 要相談（備考: Vexを利用した脆弱性検査サービスを提供する場合には、こちらの契約が必要です。）	あり	制限なし	SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、アプリケーションエラーの開示、オープンリダイレクタ、クロスサイトスクリプティング、サーバ設定、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、ドメイン設定、ヘッダインジェクション	なし	パッケージ型ソフト	なし	メール、チャット
ReCoVAS	ムダを省いた、プロの診断	初期費用: 0円（備考: 初期費用は発生しません。） ／ 新規: 300,000円（備考: 期間限定で99,000円～にて提供の場合もあります。診断方法は遠隔で、診断対象は25ページまでです。） ／ フォローアップ診断: 80,000円（備考: 再診断メニューです。本診断のレポート提出後、20日以内までの依頼を対象とします。診断方法は遠隔で、診断対象は該当箇所だけです。） ／ 個別対応(ReCoVASプロ): 500,000円～（備考: 内容は要相談です。）	なし	制限なし	SQLインジェクション、SSL設定、Webアプリケーション診断、アプリケーションエラーの開示、オープンリダイレクタ、クロスサイトスクリプティング、サーバ設定、デスクトップアプリ診断	なし	なし	なし	メール
セキュリティ診断サービス（株式会社日立ソリューションズ・クリエイト）	ホワイトハッカーの確かな目	初期費用: 0円（備考: 初期費用は発生しません。） ／ プラン: 要相談	なし	制限なし	SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、アプリケーションエラーの開示、クロスサイトスクリプティング、デスクトップアプリ診断、ドメイン設定、ヘッダインジェクション	なし	なし	なし	メール
バックドア検証サービス	隠れた裏口、見つけます	初期費用: 0円（備考: 初期費用は発生しません。） ／ プラン: 要相談	なし	制限なし	サーバ設定	なし	なし	なし	電話、メール
セキュリティ診断サービス（株式会社アルファネット）	ハッカー目線で守りを固める	初期費用: 0円（備考: 初期費用は発生しません。） ／ Webアプリケーション診断（手動）: 240,000円～（備考: 1リクエストで、報告書を含みます。） ／ スマホWebAPI診断: 250,000円～（備考: 1リクエスト当たりの料金で、（報告書を含みます。Androidのみの対応となります。） ／ おまかせプラン: 要相談（備考: 予算等に合わせて対象数を決定いただき、その数を上限にエンジニアが診断対象を選定し、診断を行うサービスです。）	なし	制限なし	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、Webアプリケーション診断、アプリケーションエラーの開示、オープンリダイレクタ、クロスサイトスクリプティング、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、プラットフォーム診断、ヘッダインジェクション	なし	なし	なし	メール
Nessus	なし	初期費用: 0円（備考: 初期費用は発生しません。） ／ nessus essentials: $0（備考: 非商用（個人・教育など）向け。30日間の無料ライセンス・最大5 IP。商用で使うには Professional 以上が必要。） ／ nessus essentials plus: $199/年額（備考: 非商用。最大20 IP。検証済みの学生・教員は無料。） ／ nessus professional: $4,790/年額（1年ライセンス・2年・3年の複数年もあり）（備考: 商用で使える。スキャン対象の IP は無制限。ライセンスはスキャナーごと（アクティベーションコードは共有できない）。日本から購入ページを開くと税込の額が表示される。） ／ nessus expert: $6,790/年額（1年ライセンス・2年・3年の複数年もあり）（備考: Professional の機能に、Web アプリのスキャン・外部の攻撃面のスキャン・IaC のスキャンを追加。日本から購入ページを開くと税込の額が表示される。）	あり	1年	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、X-Content-Type-Optionsヘッダの未設定、X-Frame-Optionsヘッダの未設定、アプリケーションエラーの開示、オートコンプリート機能有効化、オープンリダイレクタ、クラウド診断、クロスサイトスクリプティング、サーバ設定、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、ドメイン設定、プラットフォーム診断、ヘッダインジェクション	なし	パッケージ型ソフト	なし	電話、メール、チャット
Burp Suite	通信の裏側を丸ごと可視化	初期費用: ０円（備考: 初期費用は発生しません。） ／ プラン1: $6,995/年額（備考: Burp Suite Enterprise EditionのStarterプラン。自動化されたスケーラブルなWeb脆弱性スキャンを可能にします。5の同時スキャンができます。） ／ プラン2: $ 14,480/年額（備考: Burp Suite Enterprise EditionのGrowプラン。自動化されたスケーラブルなWeb脆弱性スキャンを可能にします。20の同時スキャンができます。） ／ プラン3: $ 29,450～/年額（備考: Burp Suite Enterprise EditionのAccelerateプラン。自動化されたスケーラブルなWeb脆弱性スキャンを可能にします。50以上の同時スキャンができます。） ／ プラン4: $ 399/年額（備考: Burp Suite Professionalです。主要なWebセキュリティおよび侵入テストツールキットです。）	あり	1年	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、アプリケーションエラーの開示、オープンリダイレクタ、クロスサイトスクリプティング、サーバ設定、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、ドメイン設定、ヘッダインジェクション	なし	パッケージ型ソフト	なし	メール、チャット
OWASP ZAP	サイトの守り、すぐお任せ	初期費用: 0円（備考: 初期費用は発生しません。） ／ 利用料金: 0円（備考: オープンソースのソフトウェアです。）	なし	制限なし	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、X-Content-Type-Optionsヘッダの未設定、X-Frame-Optionsヘッダの未設定、アプリケーションエラーの開示、オートコンプリート機能有効化、オープンリダイレクタ、クラウド診断、クロスサイトスクリプティング、サーバ設定、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、ドメイン設定、プラットフォーム診断、ヘッダインジェクション	なし	パッケージ型ソフト	なし	チャット
WEBセキュリティ診断くん	URL登録だけで安心診断	初期費用: 0円（備考: 初期費用は発生しません。） ／ 無料診断: 0円（備考: 診断回数1回、リスク件数のみ表示です。） ／ ライトプラン: 10,000円/月額（備考: 1ドメインあたりの料金で、診断ページ数 は500ページ以下です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。） ／ スタンダードプラン: 17,000円/月額（備考: 1ドメインあたりの料金で、診断ページ数 は1,000ページ以下です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。） ／ ビジネスプラン: 24,000円/月額（備考: 1ドメインあたりの料金で、診断ページ数 は1,500ページ以下です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。） ／ エンタープライズプラン: 要相談（備考: 診断ページ数 は1,501ページ以上です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。）	あり	最低利用期間は1年間（有料版）	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、Webアプリケーション診断、X-Content-Type-Optionsヘッダの未設定、X-Frame-Optionsヘッダの未設定、アプリケーションエラーの開示、オートコンプリート機能有効化、クラウド診断、クロスサイトスクリプティング、ヘッダインジェクション	なし	パッケージ型ソフト	なし	メール
セキュリティ脆弱性診断サービス（株式会社セキュアイノベーション）	実績技術で穴を防ぐ	初期費用: 0円（備考: 初期費用は発生しません。） ／ プラン: 要相談	なし	制限なし	SQLインジェクション、Webアプリケーション診断、クロスサイトスクリプティング、サーバ設定、プラットフォーム診断	なし	なし	なし	電話、メール
OpenVAS	手軽に弱点を可視化	初期費用: 0円（備考: 初期費用は発生しません。） ／ プラン: 0円（備考: オープンソースのソフトウェアです。Greenboneのクラウドサービスなどの料金はお問い合わせください。）	あり	制限なし	SQLインジェクション、Webアプリケーション診断、オープンリダイレクタ、クロスサイトスクリプティング、サーバ設定、デスクトップアプリ診断、ドメイン設定、プラットフォーム診断、ヘッダインジェクション	なし	パッケージ型ソフト	なし	チャット
NRI SECURE	全方位視点で守る安心	初期費用: 要相談（備考: 問合わせの後個別見積）	なし	制限なし	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、Webアプリケーション診断、X-Content-Type-Optionsヘッダの未設定、X-Frame-Optionsヘッダの未設定、アプリケーションエラーの開示、オートコンプリート機能有効化、オープンリダイレクタ、グラスボックス診断、クロスサイトスクリプティング、サーバ設定、スマホアプリ（iOS・Android）診断、プラットフォーム診断、ヘッダインジェクション	なし	なし	なし	メール
SCT SECURE クラウドスキャン	毎日チェックで安心可視	初期費用: 0円（備考: 初期費用は発生しません。） ／ 要相談: 要相談	なし	制限なし	SQLインジェクション、SSL設定、Webアプリケーション診断、クラウド診断、クロスサイトスクリプティング、サーバ設定	なし	クラウド型ソフト	なし	電話、メール
Web Doctor	純国産の自動診断	初期費用: 0円（備考: 初期費用は発生しません。） ／ プラン: 300,000円（備考: 1ライセンス1FQDNの診断の料金です。ページ数制限はありません。）	なし	制限なし	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、Webアプリケーション診断、X-Content-Type-Optionsヘッダの未設定、X-Frame-Optionsヘッダの未設定、アプリケーションエラーの開示、オープンリダイレクタ、クロスサイトスクリプティング、サーバ設定、デスクトップアプリ診断、プラットフォーム診断、ヘッダインジェクション	なし	クラウド型ソフト	なし	電話、メール
komabato	開発期にセキュリティ備え	初期費用: 0円（備考: 初期費用は発生しません。） ／ ベーシックプラン: 49,800円/月額（備考: 1アプリケーションあたりの料金。手軽に続けられる高コストパフォーマンスプランです。）	あり	1年	SQLインジェクション、クロスサイトスクリプティング	なし	クラウド型ソフト	なし	電話、メール
Webアプリケーション診断（三井物産セキュアディレクション株式会社）	熟練技術で安心設計	初期費用: 要相談 ／ 要相談: 要相談	なし	制限なし	HttpOnly属性が付与されていないCookieの利用、SQLインジェクション、SSL設定、Webアプリケーション診断、アプリケーションエラーの開示、オープンリダイレクタ、クロスサイトスクリプティング、デスクトップアプリ診断、ヘッダインジェクション	なし	なし	なし	メール
脆弱性診断（株式会社レイ・イージス・ジャパン）	全ページ診断定額制	AIクイック・ツール診断: FQDNあたり25万円（備考: 3か月以内の再診断付き） ／ AIリモート脆弱性診断: FQDNあたり98万円（備考: 3か月以内の再診断付き） ／ モバイルアプリ診断: 脆弱性診断：パッケージあたり78万円/OS	なし	制限なし	SQLインジェクション、SSL設定、Webアプリケーション診断、オープンリダイレクタ、クラウド診断、クロスサイトスクリプティング、スマホアプリ（iOS・Android）診断、デスクトップアプリ診断、プラットフォーム診断、ヘッダインジェクション	なし	なし	なし	メール
Webアプリケーション診断（GMOサイバーセキュリティ byイエラエ株式会社）	攻撃視点で安心設計	初期費用: 要相談 ／ 料金: 要相談	なし	制限なし	SQLインジェクション、SSL設定、URL設定、Webアプリケーション診断、アプリケーションエラーの開示、オープンリダイレクタ、クラウド診断、クロスサイトスクリプティング、サーバ設定、ヘッダインジェクション	なし	なし	なし	電話、メール

• 製品名
• 注目ポイント
• 料金プラン
• プラン名金額
• 無料トライアル
• 最低利用期間
• 製品名
• 基本的な機能
• • HttpOnly属性が付与されていないCookieの利用
  • SQLインジェクション
  • SSL設定
  • URL設定
  • Webアプリケーション診断
  • X-Content-Type-Optionsヘッダの未設定
  • X-Frame-Optionsヘッダの未設定
  • アプリケーションエラーの開示
  • オートコンプリート機能有効化
  • オープンリダイレクタ
  • クラウド診断
  • グラスボックス診断
  • クロスサイトスクリプティング
  • サーバ設定
  • スマホアプリ（iOS・Android）診断
  • デスクトップアプリ診断
  • ドメイン設定
  • プラットフォーム診断
  • ヘッダインジェクション
• 製品名
• サービス資料
• 無料ダウンロード
• ソフト種別
• 推奨環境
• サポート

CloudFas…

初期費用 300,000円

備考

オンボーディング作業の費用で、1回のみかかります。利用企業のクラウド環境の把握やアラート通知先の確認、CloudFastenerとの接続作業が含まれます。

基本利用料 1,000,000円〜/月額

備考

毎月定額でかかる基本利用料です。別途定める基本コンピューティングリソース分が含まれ、これを超えた場合は超過分が加算されます。

オプション 要相談

備考

超過コンピューティングリソースの追加、アラート是正作業、コンサルティングは個別見積りです。IRDFオプション（AWS環境のみ）は別途問い合わせが必要です。

制限なし

CloudFastener

CloudFastener

クラウド型ソフト　

電話 / メール / チャット /

マモレル

守りは鉄壁　世界基準

初期費用 要相談

利用料金 要相談

制限なし

マモレル

マモレル

なし　

なし

電話 / メール / チャット /

クラウドパトロー…

クラウドのリスク、まとめて可視化

初期費用 無償

月額利用料 50,000円

1年間

クラウドパトロール

クラウドパトロール

クラウド型ソフト　

PCブラウザ

電話 / メール / チャット /

BLUE Sph…

Webの守りと、万一の保険

初期費用 10万円

利用料金 45,000円/月額

備考

※3カ月のアウトバウンドデータ量が0.5TBまで

制限なし

BLUE Sphere

BLUE Sphere

クラウド型ソフト　

PCブラウザ スマートフォンブラウザ

電話 / メール / チャット /

セキュリティ診断…

大事な操作、置くだけで見守り

初期費用 要相談

利用料金 要相談

制限なし

セキュリティ診断サービス（株式会社ト…

セキュリティ診断サービス（株式会社ト…

クラウド型ソフト　

PCブラウザ

電話 / メール / チャット /

DIT Secu…

丸投げしない、プロの目

初期費用 要相談

利用料金 要相談

制限なし

DIT Security

DIT Security

クラウド型ソフト　

PCブラウザ

電話 / メール / チャット /

IssueHun…

世界の目で、見つける「穴」

初期費用 無料

月額費用 無料～

手数料 ホワイトハッカーへの報奨金の20％

備考

成果報酬型でご提供しております。

制限なし

IssueHunt バグバウンティ

IssueHunt バグバウンティ

なし　

PCブラウザ

電話 / メール / チャット /

セキュリティ診断…

プロの目配り、堅実な診断

初期費用 要相談

利用料金 要相談

制限なし

セキュリティ診断サービス（株式会社N…

セキュリティ診断サービス（株式会社N…

なし　

なし

電話 / メール / チャット /

セキュリティ診断…

見つけて、直すまでご支援

初期費用 要相談

利用料金 要相談

備考

予算に応じてLight・Standard・Advancedの３つのコースがあります。

制限なし

セキュリティ診断サービス（NECソリ…

セキュリティ診断サービス（NECソリ…

なし　

なし

電話 / メール / チャット /

AeyeScan

「誰でも、すぐ」のAI診断

One Shotプラン お見積り

備考

まずは１サイト診断したい方

Businessプラン お見積り

備考

診断を内製化したい方

15日

AeyeScan

AeyeScan

クラウド型ソフト　

PCブラウザ

電話 / メール / チャット /

セキュリティ診断…

診断と「学ぶ」セキュリティ

初期費用 要相談

利用料金 要相談

制限なし

セキュリティ診断サービス（株式会社F…

セキュリティ診断サービス（株式会社F…

なし　

PCブラウザ Windowsアプリ Macアプリ iOSアプリ Androidアプリ

電話 / メール / チャット /

ImmuniWe…

AIとヒトで、誤検知なし

初期費用 要相談

利用料金 要相談

制限なし

ImmuniWeb

ImmuniWeb

なし　

なし

電話 / メール / チャット /

AEGIS-EW…

「野良端末」も漏れなく診断

プロフェッショナル 85,000円

備考

ドメイン数：1~9個

プロフェッショナル 118,400円

備考

ドメイン数：100~199個

プロフェッショナル 160,000円

備考

ドメイン数：1000~2000個

エキスパート 85,000円

備考

ドメイン数：1~9個

エキスパート 118,400円

備考

ドメイン数：100~199個

エキスパート 160,000円

備考

ドメイン数：1000~2000個

制限なし

AEGIS-EW（イージスEW）

AEGIS-EW（イージスEW）

クラウド型ソフト　

PCブラウザ

電話 / メール / チャット /

ABURIDA

Wチェックと、無料再診断

初期費用 0円

備考

初期費用は発生しません。

お試しプラン 90,000円(税込)

備考

1社1回限りです。3リクエストまで。無料の再診断がありますが、診断結果が「危険度Medium」以上の項目のみとなります。

スタンダードプラン 440,000円(税込)

備考

10リクエストまで。無料の再診断がありますが、診断結果が「危険度Medium」以上の項目のみとなります。

ボリュームプラン 1,408,000円(税込)

備考

50リクエストまで。無料の再診断がありますが、診断結果が「危険度Medium」以上の項目のみとなります。

制限なし

ABURIDA

ABURIDA

なし　

なし

電話 / メール / チャット /

脆弱性診断サービ…

メーカー品質の、確かな目

初期費用 0円

備考

初期費用は発生しません。

エクスプレス診断 400,000円

備考

Webアプリケーション診断は、10リクエストまたは6APIまでです。報告会実施の場合別途10万円／回が必要です。再診断は無償です。

エキスパート診断 1,280,000円

備考

Webアプリケーション診断は、50リクエストまたは25APIまでです。報告会実施の場合別途15万円／回が必要です。再診断は無償です。

プラットフォーム診断 250,000円

備考

プラットフォーム診断は、3 IPまたは3FQDNまでです。報告会実施の場合別途15万円／回が必要です。再診断は無償です。

エクスプレス診断 ＋プラットフォーム診断 550,000円

備考

Webアプリケーション診断は、10リクエストまたは6APIまでです。プラットフォーム診断は、3 IPまたは3FQDNまでです。報告会実施の場合別途10万円／回が必要です。再診断は無償です。

エキスパート診断 ＋プラットフォーム診断 1,430,000円

備考

Webアプリケーション診断は、50リクエストまたは25APIまでです。プラットフォーム診断は、3 IPまたは3FQDNまでです。報告会実施の場合別途15万円／回が必要です。再診断は無償です。

ペネトレーションテスト 要相談

制限なし

脆弱性診断サービス（株式会社セキュア…

脆弱性診断サービス（株式会社セキュア…

なし　

なし

電話 / メール / チャット /

Vex

プロの診断を、自社で実現

初期費用 0円

備考

初期費用は発生しません。

デベロッパーライセンス 要相談

備考

自社で開発もしくは運営するWebアプリケーションの診断に利用する場合のライセンスです。各販売代理店から購入できます。

オーディターライセンス 要相談

備考

Vexを利用した脆弱性検査サービスを提供する場合には、こちらの契約が必要です。

制限なし

Vex

Vex

パッケージ型ソフト　

なし

電話 / メール / チャット /

ReCoVAS

ムダを省いた、プロの診断

初期費用 0円

備考

初期費用は発生しません。

新規 300,000円

備考

期間限定で99,000円～にて提供の場合もあります。診断方法は遠隔で、診断対象は25ページまでです。

フォローアップ診断 80,000円

備考

再診断メニューです。本診断のレポート提出後、20日以内までの依頼を対象とします。診断方法は遠隔で、診断対象は該当箇所だけです。

個別対応(ReCoVASプロ) 500,000円～

備考

内容は要相談です。

制限なし

ReCoVAS

ReCoVAS

なし　

なし

電話 / メール / チャット /

セキュリティ診断…

ホワイトハッカーの確かな目

初期費用 0円

備考

初期費用は発生しません。

プラン 要相談

制限なし

セキュリティ診断サービス（株式会社日…

セキュリティ診断サービス（株式会社日…

なし　

なし

電話 / メール / チャット /

バックドア検証サ…

隠れた裏口、見つけます

初期費用 0円

備考

初期費用は発生しません。

プラン 要相談

制限なし

バックドア検証サービス

バックドア検証サービス

なし　

なし

電話 / メール / チャット /

セキュリティ診断…

ハッカー目線で守りを固める

初期費用 0円

備考

初期費用は発生しません。

Webアプリケーション診断（手動） 240,000円～

備考

1リクエストで、報告書を含みます。

スマホWebAPI診断 250,000円～

備考

1リクエスト当たりの料金で、（報告書を含みます。Androidのみの対応となります。

おまかせプラン 要相談

備考

予算等に合わせて対象数を決定いただき、その数を上限にエンジニアが診断対象を選定し、診断を行うサービスです。

制限なし

セキュリティ診断サービス（株式会社ア…

セキュリティ診断サービス（株式会社ア…

なし　

なし

電話 / メール / チャット /

Nessus

初期費用 0円

備考

初期費用は発生しません。

nessus essentials $0

備考

非商用（個人・教育など）向け。30日間の無料ライセンス・最大5 IP。商用で使うには Professional 以上が必要。

nessus essentials plus $199/年額

備考

非商用。最大20 IP。検証済みの学生・教員は無料。

nessus professional $4,790/年額（1年ライセンス・2年・3年の複数年もあり）

備考

商用で使える。スキャン対象の IP は無制限。ライセンスはスキャナーごと（アクティベーションコードは共有できない）。日本から購入ページを開くと税込の額が表示される。

nessus expert $6,790/年額（1年ライセンス・2年・3年の複数年もあり）

備考

Professional の機能に、Web アプリのスキャン・外部の攻撃面のスキャン・IaC のスキャンを追加。日本から購入ページを開くと税込の額が表示される。

1年

Nessus

Nessus

パッケージ型ソフト　

なし

電話 / メール / チャット /

Burp Sui…

通信の裏側を丸ごと可視化

初期費用 ０円

備考

初期費用は発生しません。

プラン1 $6,995/年額

備考

Burp Suite Enterprise EditionのStarterプラン。自動化されたスケーラブルなWeb脆弱性スキャンを可能にします。5の同時スキャンができます。

プラン2 $ 14,480/年額

備考

Burp Suite Enterprise EditionのGrowプラン。自動化されたスケーラブルなWeb脆弱性スキャンを可能にします。20の同時スキャンができます。

プラン3 $ 29,450～/年額

備考

Burp Suite Enterprise EditionのAccelerateプラン。自動化されたスケーラブルなWeb脆弱性スキャンを可能にします。50以上の同時スキャンができます。

プラン4 $ 399/年額

備考

Burp Suite Professionalです。主要なWebセキュリティおよび侵入テストツールキットです。

1年

Burp Suite

Burp Suite

パッケージ型ソフト　

なし

電話 / メール / チャット /

OWASP ZA…

サイトの守り、すぐお任せ

初期費用 0円

備考

初期費用は発生しません。

利用料金 0円

備考

オープンソースのソフトウェアです。

制限なし

OWASP ZAP

OWASP ZAP

パッケージ型ソフト　

なし

電話 / メール / チャット /

WEBセキュリテ…

URL登録だけで安心診断

初期費用 0円

備考

初期費用は発生しません。

無料診断 0円

備考

診断回数1回、リスク件数のみ表示です。

ライトプラン 10,000円/月額

備考

1ドメインあたりの料金で、診断ページ数 は500ページ以下です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。

スタンダードプラン 17,000円/月額

備考

1ドメインあたりの料金で、診断ページ数 は1,000ページ以下です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。

ビジネスプラン 24,000円/月額

備考

1ドメインあたりの料金で、診断ページ数 は1,500ページ以下です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。

エンタープライズプラン 要相談

備考

診断ページ数 は1,501ページ以上です。毎日診断実施可能で、リスク件数、発生している脆弱性の内容・対策方法の案内があります。

最低利用期間は1年間（有料版）

WEBセキュリティ診断くん

WEBセキュリティ診断くん

パッケージ型ソフト　

なし

電話 / メール / チャット /

セキュリティ脆弱…

実績技術で穴を防ぐ

初期費用 0円

備考

初期費用は発生しません。

プラン 要相談

制限なし

セキュリティ脆弱性診断サービス（株式…

セキュリティ脆弱性診断サービス（株式…

なし　

なし

電話 / メール / チャット /

OpenVAS

手軽に弱点を可視化

初期費用 0円

備考

初期費用は発生しません。

プラン 0円

備考

オープンソースのソフトウェアです。Greenboneのクラウドサービスなどの料金はお問い合わせください。

制限なし

OpenVAS

OpenVAS

パッケージ型ソフト　

なし

電話 / メール / チャット /

NRI SECU…

全方位視点で守る安心

初期費用 要相談

備考

問合わせの後個別見積

制限なし

NRI SECURE

NRI SECURE

なし　

なし

電話 / メール / チャット /

SCT SECU…

毎日チェックで安心可視

初期費用 0円

備考

初期費用は発生しません。

要相談 要相談

制限なし

SCT SECURE クラウドスキャ…

SCT SECURE クラウドスキャ…

クラウド型ソフト　

なし

電話 / メール / チャット /

Web Doct…

純国産の自動診断

初期費用 0円

備考

初期費用は発生しません。

プラン 300,000円

備考

1ライセンス1FQDNの診断の料金です。ページ数制限はありません。

制限なし

Web Doctor

Web Doctor

クラウド型ソフト　

なし

電話 / メール / チャット /

komabato

開発期にセキュリティ備え

初期費用 0円

備考

初期費用は発生しません。

ベーシックプラン 49,800円/月額

備考

1アプリケーションあたりの料金。手軽に続けられる高コストパフォーマンスプランです。

1年

komabato

komabato

クラウド型ソフト　

なし

電話 / メール / チャット /

Webアプリケー…

熟練技術で安心設計

初期費用 要相談

要相談 要相談

制限なし

Webアプリケーション診断（三井物産…

Webアプリケーション診断（三井物産…

なし　

なし

電話 / メール / チャット /

脆弱性診断（株式…

全ページ診断定額制

AIクイック・ツール診断 FQDNあたり25万円

備考

3か月以内の再診断付き

AIリモート脆弱性診断 FQDNあたり98万円

備考

3か月以内の再診断付き

モバイルアプリ診断 脆弱性診断：パッケージあたり78万円/OS

制限なし

脆弱性診断（株式会社レイ・イージス・…

脆弱性診断（株式会社レイ・イージス・…

なし　

なし

電話 / メール / チャット /

Webアプリケー…

攻撃視点で安心設計

初期費用 要相談

料金 要相談

制限なし

Webアプリケーション診断（GMOサ…

Webアプリケーション診断（GMOサ…

なし　

なし

電話 / メール / チャット /

価格や製品機能など、見やすい一覧表から、気になる製品をまとめてチェック!

脆弱性診断ツール/サービスの比較表を拡大表示する

7. 脆弱性診断ツールの診断項目

診断で何を見ているかが分かれば、貴社に必要な検査範囲をすぐ照合できます。ここではWebアプリケーション、API、プラットフォームに分けて、主要項目と確認ポイントを整理します。

1. Webアプリケーション診断

Webアプリは入力値や認可の不備を突かれやすいため、OWASPの観点をベースに網羅します。具体的には次のような項目です。OWASPの体系は各項目の背景と対策の参照元として使えます。

• • 1. SQLインジェクション（DB操作の不正注入）
    2. クロスサイトスクリプティング（XSS：スクリプト混入）
    3. クロスサイトリクエストフォージェリ（CSRF：意図しないリクエスト強要）
    4. 認証・アクセス制御の不備（不適切な認可やセッション管理）
    5. OSコマンドインジェクション（OS命令の注入）
    6. ディレクトリトラバーサル（非公開ファイルへの参照横断）
    7. クリックジャッキング対策の欠落（X-Frame-Options/フレーム制御）など。

補足テーブル（Webアプリの代表項目）

下表は代表的な項目と、主にどのタイプのツールが検出しやすいかの早見表です。

2. API診断

APIは認可境界やリソース制御の不備が事故の主因になりやすい領域です。「OWASP API Security Top 10 2023」を前提に、設計・実装と運用監視の両面でチェックします。

• • • オブジェクトレベル認可の不備（BOLA／API1）
    • 認証の不備（API2）
    • プロパティレベル認可の不備（API3）
    • リソース制限の欠如（API4）
    • 機能レベル認可の不備（API5）
    • 重要なビジネスフローへの無制限アクセス（API6）
    • SSRF（API7）
    • 設定不備（API8）、資産管理不備（API9）、外部APIの安全でない利用（API10）

まずは管理API・会員APIなど機密度の高いエンドポイントから優先度をつけ、OpenAPI定義とテストケースを整備して継続診断に落とし込みます。

「OWASP API Security Top 10 2023」について詳しくは「OWASP トップ10 APIセキュリティリスク – 2023 - OWASP APIセキュリティトップ10」をご覧ください。

3. プラットフォーム診断（サーバ／OS／ネットワーク）

サーバ・OS・ミドルウェア・ネットワーク機器は、ポート・サービスの露出と既知脆弱性／設定不備が主眼です。代表的なスコープは次のとおりです。

• • • ポートスキャンとサービス識別
    • 既知脆弱性の検出（CVEベースの照合）
    • 設定不備の検査（不要サービス・弱い暗号・公開ディレクトリなど）
    • アカウント検査（既定／弱い認証情報の棚卸し）

ネットワーク系スキャナはホストやプロトコルを広く点検します。例：「OpenVAS」はネットワーク脆弱性スキャナであり、Webアプリ専用スキャナではない点を理解して使い分けます。

領域別の代表項目とツール例（読み取りのコツ付き）

次の表は、診断観点を横断で比べるための要約です。初出のみ正式名称にリンクを付けています。

上記のように、アプリ（画面・API）と基盤（OS・NW）では診断対象と得意なツールが異なります。まずは自社のサービス構成図に各観点をマッピングし、優先度の高い箇所から継続的に回す体制を整えることが重要です。

代表取締役／株式会社圓窓　元日本マイクロソフト業務執行役員澤 円

アプリケーションを開発している時や、プラットフォームの構築をしている時は、タスクに追われて、ちょっとしたミスや見落としをしがちなものです。診断するまでを開発や構築のサイクルと考えましょう。

8. 脆弱性診断ツール導入のメリット5つ

ツールを導入すると、日常運用での自走・短サイクルの再診断が可能になり、ガイドライン準拠のPDCAが回しやすくなります。加えて、監査・取引先のチェックシート対応にレポートを活用できます。「デジタル庁の導入ガイドライン」も継続診断と是正・再診断を求めています。

デジタル庁の導入ガイドラインについて > 技術検討会議（第17回）｜デジタル庁

• • 1. 自社で簡単にセキュリティ対策が行える
    2. コスト削減が見込める
    3. 顧客からの信頼を高められる
    4. スピーディに診断ができる
    5. 専門知識がなくても使用できる

1. 自社で簡単にセキュリティ対策が行える

最近では様々なセキュリティ対策を行っている企業が大半であると考えられますが、それでも自社のWebアプリケーションのどの部分に欠陥があるのかを特定することは困難といえます。

その点において、脆弱性診断ツールの導入で脆弱性を早い段階で発見することができれば、脆弱性に対して素早く対策を講じることができ、社内で必要十分なセキュリティ対策を行うことができます。

ポイント：ツールで日常の確認を自走化し、重要度が高い領域だけを人手診断に回すと全体効率が上がります。これは「デジタル庁ガイドライン」の「診断→是正→再診断」という反復を現場で回す最短ルートです。

2. コスト削減が見込める

自社の提供するコンテンツのセキュリティ対策について、様々な方法からセキュリティ体制を整えることは確かに一つの策として挙げられます。一方で、様々なツールを導入するとコストもその分かさんでいきます。

この点において、脆弱性診断ツールを導入し脆弱性を発見することができれば、複数のツールやセキュリティ対策が不要となり、コスト削減につながります。

3. 顧客からの信頼を高められる

第三者性のあるレポートは、監査や取引先のセキュリティチェックシートに対する即応性を高めます。「ImmuniWeb」のようにコンプライアンス対応（PCI DSSやGDPR等）のマッピングを前提に運用できるサービスもあり、説明責任の裏付け資料として活用しやすいのが利点です。

補足：経済産業省の「サイバーセキュリティ経営ガイドライン」は、サプライチェーンを含めた対策と、インシデント発生時の被害最小化を経営者の重要原則として明確にしています。定期診断のレポート運用はこの原則に合致します。

サイバーセキュリティ経営ガイドラインについて > 「サイバーセキュリティ経営ガイドライン」を改訂しました （METI/経済産業省）

4. スピーディに診断ができる

脆弱性診断ツールを社内に導入することで、必要なタイミングでいつでも診断ができるようになります。ツールを実行するだけでスピーディに診断を実行してくれるため、手動で診断を行うより診断時間を圧倒的に短縮することが可能です。

脆弱性が発見されるタイミングが遅れれば遅れるほど、改修するためのコストは膨らんでいきます。できるだけ早い段階で脆弱性を改修するために、脆弱性診断ツールを導入し自社でセキュリティ対策を行うことが非常に有効です。

5. 専門知識がなくても利用できる

操作ガイドとプリセットを備えるクラウド型なら、専門知識が深くなくてもスキャンからレポート出力まで実施できます。「AeyeScan」の導入手順はUIベースで段階化され、レビューしやすいレポートダウンロードが用意されています。

信頼性の担保：ベンダー選定では、経産省の「情報セキュリティサービス基準」の適合リスト（JASA/SSS-ERCが審査）を参考にすると、一定の品質・体制を満たす事業者を絞り込みやすくなります。

JASA/SSS-ERCが審査について > 脆弱性診断サービス | 情報セキュリティサービス基準審査登録制度

脆弱性診断ツール導入のメリット5選まとめ表

以下の表は、メリットごとの具体効果と活用シーン、代表的な製品・サービス例、参照ガイドラインを対応付けたものです。自社の体制と要求水準に照らして使い分けてください。

「ガイドライン」は「計画→実施→是正→再診断」の反復を求め、経営側にはサプライチェーンを含む説明責任を課しています。ツール導入は、この反復と説明責任を両立させ、再発見→再修正のリードタイムを短縮します。まずはクラウド型で継続診断を始め、要所で専門家診断を重ねる二段構えを検討してください。

代表取締役／株式会社圓窓　元日本マイクロソフト業務執行役員澤 円

脆弱性診断ツールは、既知の問題を集めて作られた「ベストプラクティスの塊」とも言えます。どこかの誰かが見つけたりハマったりした事象がすでに組み込まれていると考えれば、使わない手はないですね。

9. 脆弱性診断ツールの比較ポイント6選

どの脆弱性診断ツールを選ぶかは、要件と体制で最適解が変わります。6つの観点に一言ヒントと具体指標、該当しやすい製品例を整理します。

• • 1. 診断範囲
    2. 診断精度
    3. 診断実績
    4. サポート体制
    5. 価格
    6. 導入時期

1. 診断範囲

サービスやツールにより、Webアプリケーション・プラットフォームなど診断可能な範囲は異なります。先ほど診断項目の部分で説明しましたが、自社が「どのような脆弱性を調べたいのか」「検査したい内容を診断項目がカバーしているか」などを十分に検討したうえで製品選定を行いましょう。

2. 診断精度

診断項目・範囲は同じであっても、どの精度で診断を行ってくれるかは製品によってそれぞれ異なります。例えば自動診断ツールと、専門家が手動にて様々なリスクを個別具体的に想定して行う脆弱性診断とでは、診断結果への信頼性は大きく異なります。セキュリティ対策をする際に「特にこの項目をしっかりと検査しておきたい」といった要望がある場合は、その診断項目を一番精査してくれるサービスを選択するとよいでしょう。

3. 診断実績

診断範囲や診断の精度でも製品が絞り切れない場合は、その製品が持つ診断実績をもとに選定を行いましょう。導入事例を参考にすることで、その製品がどのような事象の診断に強いのかなどが傾向として読み取れる場合があります。導入事例やサンプルの報告書などを参考に、自社が提供するサービスの領域により近いものを取り扱う製品を選びましょう。

4. サポート体制

脆弱性診断を行う上で最も重要なのは脆弱性を見つけ出すことではなく、その診断結果をもとに危険性を回避する為の対策をいち早く講じることです。

社内にセキュリティの専門家がいる場合はコストを抑えて自動診断を行えるクラウド型・ソフトウェア型、社内に対応できるものが居ない場合は診断結果について技術者からのフィードバックやサポートをしっかりと受けられる脆弱性診断サービスを選択するなど、自社の環境に合わせた製品選定を行いましょう。

サポートが不安な場合は、情シス業務の外注も検討してみてください。

情シス業務の外注について > 情シス・ヘルプデスクのアウトソーシング専門【トータルITヘルパー】

5. 価格

料金体系は製品によって異なります。中にはWebアプリケーション、スマホアプリ、サーバなど診断項目ごとに料金が発生するものや、脆弱性診断として包括的に診断を行えるものもあります。価格帯が違うと診断範囲・診断精度・サポート体制が大きく違ってくるので、それぞれのツールの特徴を踏まえて適切な価格帯を検討してみましょう。

6. 導入時期

専門の技術者を伴った大規模な脆弱性診断は主に、システムやサービスの開発後の総合テストの一環で行われることがほとんどです。しかし中には、開発プロセスの中に組み込んで開発者自身が必要に応じて任意のタイミングで利用できるツールもあります。「改修などにより追加された箇所のだけ診断したい」「脆弱性診断と開発を同時に行いたい」などの場合には、ツールなどの利用もおすすめです。

比較の読み取りポイントは「自社で運用できるか」「必要な深度を満たすか」「監査や取引先要件に間に合うか」の3点です。

上の表は「どれが優れているか」ではなく「自社の優先要件に適うか」を見極めるための整理です。例えば、ECサイトの新機能を継続的に回すならクラウド型の「AeyeScan」やCIと相性の良いVAddyが運用しやすい一方、基盤側の既知脆弱性や設定不備の横断チェックには「Nessus」のようなプラットフォーム診断が有効です。修正検証までを期限内に終える必要がある案件では、再診断の有無や日本語レポートの粒度を早期に確認してください。

代表取締役／株式会社圓窓　元日本マイクロソフト業務執行役員澤 円

ツールを選ぶとき、どうしても価格が判断基準となりやすいものです。しかし、脆弱性を診断する上で最も大事なことは、求められる効果です。期待される効果から逆算して選ぶ思考を忘れないようにしましょう。

10. 脆弱性診断ツールの報告形式・対応プロトコル一覧表

ツール選定では、報告書形式と対応プロトコルが実務適合性を左右します。監査や取引先の証跡として再利用しやすいPDF/CSV/JSONの有無と、HTTP/HTTPSに加えSSHやSMTPなどの網羅性を事前に確認しましょう。

製品名	製品ロゴ	報告書形式	対応プロトコル
Web Doctor		PDF HTML	HTTP HTTPS
Securify Scan		PDF CSV XML JSON	HTTP HTTPS
AEGIS-EW（イージスEW）		PDF HTML	TCP UDP ICMP HTTP HTTPS FTP SSH SMTP SNMP DNS
OWASP ZAP		HTML	HTTP HTTPS
ABURIDA		PDF HTML	HTTP HTTPS
脆弱性診断サービス（株式会社セキュアスカイ・テクノロジー）		PDF HTML	HTTP HTTPS
Vex		PDF HTML	HTTP HTTPS
ReCoVAS		PDF HTML	HTTP HTTPS
セキュリティ診断サービス（株式会社日立ソリューションズ・クリエイト）		PDF	HTTP HTTPS
バックドア検証サービス		PDF	HTTP HTTPS
セキュリティ診断サービス（株式会社アルファネット）		PDF HTML	HTTP HTTPS
Nessus		PDF HTML	HTTP HTTPS SMTP FTP SSH Telnet SNMP SMB RDP IMAP
Burp Suite		HTML XML JSON	HTTP HTTPS
WEBセキュリティ診断くん		PDF HTML	HTTP HTTPS
セキュリティ脆弱性診断サービス（株式会社セキュアイノベーション）		PDF HTML	HTTP HTTPS
SCT SECURE クラウドスキャン		PDF CSV XML JSON	HTTP HTTPS
Webアプリケーション診断（GMOサイバーセキュリティ byイエラエ株式会社）		PDF	HTTP HTTPS
脆弱性診断（株式会社レイ・イージス・ジャパン）		PDF HTML	HTTP HTTPS
Webアプリケーション診断（三井物産セキュアディレクション株式会社）		PDF HTML	HTTP HTTPS
komabato		PDF HTML	HTTP HTTPS
Vuls		JSON	HTTP HTTPS FTP SSH Telnet SMTP LDAP RDP Redis MongoDB ElasticSearch PostgreSQL MySQL Oracle MSSQL
OpenVAS		PDF HTML	HTTP HTTPS FTP SSH Telnet SMTP LDAP NFS SNMP SMB RDP PostgreSQL MySQL Oracle MSSQL
NRI SECURE		PDF HTML	HTTP HTTPS
NTTビジネスソリューションズ（脆弱性診断）		報告書（形式要問い合わせ）	HTTP HTTPS
NECソリューションイノベータ（脆弱性診断）		報告書（形式要問い合わせ）	HTTP HTTPS
IssueHunt Bug Bounty		ダッシュボード／GitHub連携（要問い合わせ）	該当なし（プラットフォーム）
BLUE Sphere		管理画面／ログ（形式要問い合わせ）	HTTP HTTPS
DIT Security		報告書（形式要問い合わせ）	HTTP HTTPS
クラウドパトロール		ダッシュボード／日次アラート／Excelレポート	AWS / Azure / GCP API
ImmuniWeb		Web / PDF / JSON / XML / CSV	HTTP HTTPS
AeyeScan		PDF / CSV	HTTP HTTPS
マモレル		レポート（速報レポートあり／形式要問い合わせ）	HTTP HTTPS
Flatt Security（脆弱性診断）		PDF Markdown	HTTP HTTPS