脆弱性診断とは？種類（専門家の診断・自動ツール・ペネトレーションテスト）の違いと、価格・納期・再診断の選び方

脆弱性診断とは

脆弱性診断は、Webアプリ、API、サーバーなどに残る弱点を、疑似攻撃やツールで見つけるサービスです。結果は報告書で受け取り、自社や開発会社が直します。診断だけでは弱点は消えないので、直す予定まで一緒に決めます。

比較ページには、自社で診断サービスやツールを提供する会社を載せています。

種類の違い

• 専門家の診断は、ツールと手作業を組み合わせます。認証や認可のようにツールで見つけにくい問題まで調べられます
• 自動ツールは、自社の担当者が回します。AeyeScanは最短即日で結果を確認でき、VAddyはCIと連携して開発の流れに組み込めます
• ペネトレーションテストは、目標を決めて疑似攻撃が届くかを確かめます。網羅的に弱点を洗い出すものではありません

脆弱性診断とペネトレーションテストの違い

脆弱性診断は、基準に沿って弱点を一通り調べます。ペネトレーションテストは、たとえば管理者権限の奪取のような目標を決めて、そこまで届くかを試します。

基本の診断を済ませてから、侵入の経路を確かめるときに使います。GMO Flatt Securityのペネトレーションテストは、200万円からで、期間は1週間〜数ヶ月です。

診断の基準

公式に書かれている基準は、次の3つが多く出てきます。

• OWASP Top 10は、Webアプリの代表的な脆弱性をまとめたものです
• OWASP ASVSは、確認項目を細かく決めた基準です。AeyeScanはASVS5.0に対応しています
• IPAの「安全なウェブサイトの作り方」は、国内のWebサイト向けの資料です

取引先や監査に出すなら、経済産業省の情報セキュリティサービス基準に適合しているかも見ます。バルテス、GSX、サイバーセキュリティクラウドは適合を公式に書いています。

価格と納期

公開価格は税抜と税込が混ざるので、各社の表記のまま比べます。

• EGセキュアソリューションズのスタンダードは、30万円からです
• GMOサイバーセキュリティのクイック診断は、30万円（税抜）で最短3営業日です
• セキュアスカイ・テクノロジーの基本料金は、40万円（税抜）⁠で⁠⁠⁠⁠す
• ユービーセキュアは、5画面程度で425,000円（税込467,500円）からです
• GSXのWeb脆弱性診断クイックは、330,000円（税込）⁠で⁠⁠⁠⁠す
• ツールのVAddyは、月額19,800円（税別）⁠か⁠ら⁠で⁠⁠⁠⁠す
• ツールのSecurifyは、月額5万円からの年間契約です
• ツールのVexは、66万円からの年額です

対象の数え方は、画面、リクエスト、IP・FQDNと会社で違います。見積りを比べるときは、同じ数え方にそろえます。

再診断と報告

直したあとに確かめる再診断の扱いは、会社で違います。

• EGセキュアソリューションズは、報告書の納品から3か月以内に1回無料です
• サイバーセキュリティクラウドは、1回無料です
• バルテスは、修正後の再診断が無償です
• セキュアスカイ・テクノロジーは、危険度Medium以上を1案件1回無償です
• ユービーセキュアは、契約時に有無を選びます

選び方

• 公開前のシステムで報告書が欲しいなら、専門家の診断を選びます
• リリースのたびに調べたいなら、ツールを契約して自社で回します
• 基本の診断が済んでいて侵入の経路を確かめたいなら、ペネトレーションテストを足します