脆弱性診断サービスの選び方｜比較すべき7つの基準を解説
脆弱性診断サービスを比較・選定する際に見るべき7つの基準を解説します。診断範囲、手法、報告書品質、再診断、公的基準への適合など、金額以外で差がつくポイントを整理します。
執筆: セキュア・バンク編集部
#脆弱性診断#比較#選び方#ベンダー選定
本記事には、当社（セキュア・バンク株式会社）が提供するサービスへの言及が含まれます。比較・評価は編集部の基準に基づきますが、この関係性をふまえてお読みください。
Vendor Selection
「安かったが、見逃していた」が最も高くつく。
脆弱性診断サービスは数多くあり、Webサイトを見ただけでは違いが分かりません。この記事では、特定の事業者のランキングではなく、どの事業者に対しても使える比較の基準を7つ紹介します。
- 比較基準
- 7つ
範囲・手法・報告書・再診断ほか
- 相見積もり
- 2〜3社
同一条件で依頼する
- 品質の判断材料
- 報告書サンプル
必ず取り寄せて見比べる
- 公的な手がかり
- 経産省基準
適合サービスリストが公開
7つの比較基準
| 確認すること | 確認方法 | |
|---|---|---|
| 1. 診断範囲 | Web/プラットフォーム/アプリ/API/クラウドのうち自社の対象をカバーするか | 対応範囲の明示を確認 |
| 2. 手法 | ツール診断と手動診断の比率 | 見積もり時に具体的に質問 |
| 3. 準拠基準 | OWASP・IPA等の公開基準への準拠 | 診断項目の根拠を確認 |
| 4. 報告書品質 | 重要度の根拠・再現手順・対策の具体性 | サンプル報告書を取り寄せ |
| 5. 再診断・サポート | 修正後の再診断と質問窓口 | 含まれる条件と料金を確認 |
| 6. 公的基準・実績 | 情報セキュリティサービス基準への適合、診断員の資格 | 公開リスト・資格を確認 |
| 7. 安全配慮 | 本番環境への負荷・トラブル時の体制 | 事前説明の有無を確認 |
報告書サンプルの見るべきポイント
比較検討の進め方
当社サービスについて
当社（セキュア・バンク株式会社）は、AI攻撃シミュレーションを用いたペネトレーションテスト・脆弱性診断「Dike」を提供しています。本記事の基準のうち、報告書品質はサンプルレポートの無料ダウンロードで、料金体系は料金ページでそのまま確認できます。他社サービスとの比較材料として、遠慮なくご利用ください。
よくある質問
何社くらい比較すべきですか？
候補を2〜3社に絞り、同じ条件で見積もりを依頼するのが実務的です。多すぎると条件を揃えた比較が難しくなります。
最初に何を確認すべきですか？
自社の診断したい対象（Web・API・クラウド等）をそのサービスがカバーしているかです。「Web診断」とだけある場合、ログイン後の機能やAPIを含むかは要確認です。
客観的に品質を確認する方法は？
経済産業省の「情報セキュリティサービス基準」適合サービスリストと、サンプル報告書の見比べが有効です。
シェア: