脆弱性診断会社おすすめ14選【2026年・比較表付き】ツールか手動かの選び方

ユービーセキュア

ユービーセキュアは、株式会社ユービーセキュアが運営する脆弱性診断のサービスです。公式サイトは「セキュリティを、みんなのものに。」と掲げ、開発の委託元から第三者の評価を求められている会社に向けて、診断結果を記載した報告書を提示すると案内しています。

報告書には検出した脆弱性とその対策をまとめ、再現手順とExcel形式の検出脆弱性一覧も提供しています。システムに変更が加わった箇所や類似の機能に対象を絞るプランの提案もあります。Webアプリケーション、プラットフォーム、スマートフォンアプリの診断は、情報セキュリティサービス審査登録制度に登録していると明記しています。

導入事例：弥生株式会社（業務ソフトウエアの開発・販売）

この事例は、診断を外部に頼んだ話ではなく、診断ツール「Vex」を社内に導入して内製化した話です。弥生では約30の開発チームがそれぞれ外部の診断会社へ発注し、数か月から半年に1回のスポット型で診断していました。セキュリティ統括部の4名のチームが社内診断サービスとして運用を一元化し、前年度に月300万円規模だった外部への診断費は、今年度は月200万円ほどの水準まで下がっていると公開しています。

期日までに診断できないことが頻発すると、社内診断という取り組み自体が立ち行かなくなります。Vexはプロキシ型ですから、HTTPリクエストさえ捕まえられれば基本的には動きます。クラウド型のツールでは決められた手順の途中で設定が進まず診断できなかったケースも、Vexなら手元の環境から直接通信を捕まえてすぐに対応できました。安定性という意味で、社内診断と相性がいいと思います

開発チームが複数あり、外部への診断費を全社でまとめて見直したい会社に合うかもしれません。

公式サイトの事例を見る

GMOサイバーセキュリティ byイエラエ

GMOサイバーセキュリティ byイエラエは、GMOサイバーセキュリティ byイエラエ株式会社が運営する脆弱性診断のサービスです。診断ツールの公式サイトは「むずかしい設定はいらない 今日からはじめるセキュリティ対策」と掲げています。中小企業向けのLite、大量のドメインを管理するASM、開発部門向けのfor Webアプリを用意しています。

ツールは自社で実行し、クイック診断、フォーカス診断、フルスコープ診断は同社が第三者として診断します。クラウド診断はAWS・Azure・Google Cloudを対象に含みます。for Webアプリは月35回まで診断でき、診断回数による追加費用はかからないと案内しています。診断サービスは情報セキュリティサービス基準適合サービスリストに登録済みと明記しています。

導入事例：株式会社FAcraft（製造業の設備保全SaaSの開発、愛知県）

この事例は、専門家への依頼ではなく、ツールのネットde診断 for Webアプリを開発チームが自分たちで使っている話です。FAcraftは、スタートアップとして限られた人員で開発を進め、機能追加のリリースを高い頻度で繰り返していました。変更のたびに新しい脆弱性が生じていないかを検証する仕組みを探していました。

導入後は、日常的に脆弱性診断を行える環境が整いました。これにより、リリース前後の確認を担当者の知識やスポット対応だけに頼るのではなく、同じ観点で繰り返し点検し、検出・修正・再診断までを一つの改善サイクルとして運用しやすくなりました。

リリースの頻度が高く、専門の担当者を置かずに開発チームで診断を続けたい会社に向いています。

公式サイトの事例を見る

ラック

ラックは、株式会社ラックが運営するセキュリティ診断のサービスです。公式サイトは「最新の知識を持つセキュリティ専門家が実施する信頼できるセキュリティ診断」と掲げ、1995年に日本で初めてセキュリティ診断サービスの提供を始めたと紹介しています。

Webアプリケーション診断は、エクスプレス、安全点検パック、ハイブリッドの3メニューで、報告書の納品目安は最短1営業日～です。報告書の納品から3か月間は診断員が相談や問い合わせに対応します。Webアプリケーション診断のご利用イメージには、EC・小売業、金融・保険、製造業・BtoB、医療・教育などを挙げています。

導入事例：名古屋鉄道株式会社（鉄道）

この事例は、Webとスマホアプリの脆弱性診断に、脆弱性管理コンサルティングを合わせた話です。名鉄グループでは、個人情報や決済機能を持つWebサイトとスマホアプリに毎年の診断と是正対応を行うことを、全ての連結子会社に義務化しました。体制が整っていないグループ会社もあるため、全体の診断を取りまとめる仕組みの構築を一緒に進める会社を探し、ラックを選びました。

ラックが名鉄グループ目線の対応策を提案してくれたことにより現実的な議論ができ、また、手厚いアフターフォローにより目標期間内に是正対応が完了しました。引き続きグループ全体で定期的な脆弱性診断の実施と是正対応をしていきます。

グループ会社が複数あり、診断の基準をそろえて全社で是正まで進めたい会社に合うかもしれません。

公式サイトの事例を見る

セキュアイノベーション

セキュアイノベーションは、株式会社セキュアイノベーションが運営する脆弱性診断のサービスです。公式サイトは「何を診断すべきか分からない段階からご支援いたします」と掲げ、初めて検討する方や、診断の対象が整理できていない方の相談にも応じると案内しています。

取引先から診断を求められた場合は、依頼内容やチェックシートを共有すると、想定される診断範囲と追加で確認すべき事項を整理すると説明しています。報告書は診断結果をS・A～D評価で総評し、脆弱性の内容、危険度、想定される影響、対策の考え方を整理します。経済産業省の情報セキュリティサービス基準の登録事業者です。

導入事例：技研トラステム株式会社（IoT機器の製造・開発・販売、約60名）

この事例は、Webアプリやサーバーの診断ではなく、IoT機器へのセキュリティ試験・評価とペネトレーションテストの話です。技研トラステムの人流計測センサーはカメラ映像を処理し、お客様のネットワークに接続して使うこともあります。映像データの漏洩や機器の乗っ取りを心配し、規格の取得に向けて製品の実力を検証する必要があると考えていました。

最大の収穫は、root権限の取得といったセンサー機器の乗っ取りが本テストでは達成されなかったと客観的に確認できたことで、製品の防御が一定水準で機能しているという裏付けが得られた点です。一方で残存リスクも具体的に示されたことで、対策の優先度が明確になり、社内のセキュリティ意識も高まりました。専門機関による検証実績は、今後お客様に対して製品の安全性を説明する材料になっていくと考えております。

ネットワークにつながる機器を開発していて、お客様に安全性を説明する材料がほしい会社に向いています。

公式サイトの事例を見る

AeyeScan

AeyeScanは、株式会社エーアイセキュリティラボが運営するクラウド型のWebアプリ脆弱性診断ツールです。公式サイトは「脆弱性診断を、チームの日常へ」と掲げ、有償契約500社以上で、業種や規模を問わず導入されていると紹介しています。

対象URLを登録するとAIがサイトを自動で巡回し、最短10分で診断を始められると案内しています。スキャンの回数は各プランとも無制限で、期間が決まっています。ツールなので、診断員が代わりに実行するサービスとは異なります。運営会社の取得認証に、情報セキュリティサービス基準適合サービスの登録番号を載せています。

導入事例：学校法人立教学院（大学の運営）

この事例は、診断会社への依頼ではなく、ツールのAeyeScanを導入した話です。立教大学には大小のWebサイトが多く、外部の診断サービスではドメインやページごとの課金でコストが膨らんでいました。診断の企画からレポートを受け取るまでにも調整が多く、2026年2月からAeyeScanを使った診断を始めました。

前段階での調整が不要になった上、再診断の発注処理も不要になりました。修正依頼も、具体的な内容を我々が読み解く必要なく、レポートをそのまま共有すれば済むようになっています。感覚的に対応工数は10分の1か20分の1にまで下がり、その分、本質的な業務に注力できる時間が増えました。

管理するWebサイトの数が多く、自社で診断を回して修正の確認まで早めたい組織におすすめです。

公式サイトの事例を見る

LANSCOPE プロフェッショナルサービス

LANSCOPE プロフェッショナルサービスは、エムオーテックス株式会社が運営するセキュリティ診断のサービスです。公式サイトは「Web・ネットワーク・クラウド・生成AIなどの公開資産の脆弱性を診断！」と掲げ、親会社や取引先から脆弱性診断を要求されている会社の悩みに応えると案内しています。

Webアプリの診断はWeb健康診断、Essential Plan、PCI DSS Plan、Standard Plan、Advanced Planの5メニューで、期間は3日から2週間～です。報告書の納品後は1年間の問い合わせサポートが付き、改修方法をエンジニアに相談できると公開しています。Webアプリケーション脆弱性診断は経済産業省の情報セキュリティサービス基準に適合していると明記しています。

導入事例：株式会社フォトシンス（IT・情報通信、100〜299名）

スマートロックを提供するフォトシンスは、ソフトウェアの脆弱性が物理的な安全に直結する可能性があるため、新しいプロダクトのリリース時に第三者の診断を開発プロセスに組み込んでいます。エムオーテックスの診断を約6年にわたり活用し、スコープと予算に合わせた提案と、手動診断を前提にしたサービスを評価しています。

レポートでは、どのリスクをどの優先度で対応すべきかが明確に整理されており、具体的な修正方針も示されています。そのため開発チームとの認識合わせに時間をかけることなく、すぐに修正フェーズへ移行することができました

新しいプロダクトを出すたびに第三者の診断を入れ、お客様に説明できる状態を保ちたい会社にぴったりです。

公式サイトの事例を見る

NRIセキュアテクノロジーズ

NRIセキュアテクノロジーズは、野村総合研究所を株主とするNRIセキュアテクノロジーズ株式会社のセキュリティ診断サービスです。公式サイトは「情報システムのセキュリティ維持・向上のための安全性診断・評価」と掲げ、1998年12月にセキュリティ診断サービスの提供を始めたと紹介しています。

Webアプリケーション診断は、金融機関や東証一部上場企業を中心とする多くの企業で実績があると公開しています。ソースコード診断には標準プランとLiteプランがあり、診断期間の目安は標準プランが1か月～、Liteプランが2週間～です。IPAの情報セキュリティサービス基準適合サービスリスト（2026年10月9日更新）にも掲載されています。

導入事例：株式会社みんなの銀行、ゼロバンク・デザインファクトリー株式会社（金融）

この事例は、Webの診断ではなくソースコード診断の話です。みんなの銀行は、バンキングシステムの外部提供を前に、アプリとIaC（インフラの構成をコードで管理する仕組み）のソースコードまで含めて網羅的に確認することにしました。膨大な範囲をフェーズに分け、計3回の診断で対象のソースコードの診断を完了しています。

診断の結果、バックドアや緊急度の高い問題は見つかりませんでしたが、一部のテストツールに内部情報のハードコーディングが見られました。テストツールとしては問題ありませんが、もし、そのツールを外販するのであれば修正が必要になります。留意しなければならない観点が見つかったことで、専門家によるソースコード診断の有効性を実感しました。

自社のシステムを外部に販売する前に、ソースコードまで確認しておきたい会社に向いています。

公式サイトの事例を見る

サイバーセキュリティクラウド

サイバーセキュリティクラウドは、株式会社サイバーセキュリティクラウドが運営する脆弱性診断のサービスです。公式サイトは「広くて深いハイブリット診断を実現」と掲げ、業界を問わず、小規模から大規模まで様々な規模のシステムの診断実績があると紹介しています。

重大な脆弱性は速報で報告し、報告書は診断実施後10営業日以内に提出します。Webアプリケーション標準診断の再診断は報告書の提出後1か月以内に1回無料で、修正確認診断報告書も提出すると公開しています。情報セキュリティサービス基準適合サービスリストに登録されています。

導入事例：株式会社お金のデザイン（資産運用サービス）

お金のデザインは、2025年3月の新機能のリリースを機に、Web申し込みからマイページまでのセキュリティ状況を確認することにしました。以前の診断体制が最適だったか判断しきれず、依頼先もゼロベースで見直しています。ツール診断と手動診断を組み合わせる点と、社内の承認を得やすい金額を評価して依頼しました。

クリティカルな脆弱性がなかったことは、大きな安心材料となりました。社内でも「問題があるかもしれない」と懸念していた箇所について、第三者の視点で「重大なリスクは見受けられない」と評価されたことは、サービスを継続提供するうえでの自信につながりました。

新機能のリリースに合わせて、今の診断の依頼先も比べ直したい会社は検討してみる価値があります。

公式サイトの事例を見る

Securify

Securifyは、株式会社スリーシェイクが運営する国産のセキュリティ基盤のサービスです。公式サイトは「リスクを見つけ、対策を前に進める。」と掲げ、導入実績400社以上で、金融・製造・ITなどの業種で利用されていると紹介しています。

脆弱性診断は、巡回マップで診断範囲を確認し、検出した脆弱性の根拠と日本語の修正例を示します。契約したIP・FQDNの範囲内で、診断回数の制限なく利用できると案内しています。情報セキュリティサービス基準に適合したサービスとして登録番号を公開しています。

導入事例：THECOO株式会社（ファンビジネスプラットフォーム、東証グロース）

この事例は、ツールと手動診断を組み合わせたサービスを契約した話です。THECOOは、外部のセキュリティ会社に手動診断を頼んでいましたが、毎年の費用と、修正後の再診断の調整に時間がかかることに課題を感じていました。Securifyのツール診断に、EGセキュアソリューションズ株式会社の手動診断を組み合わせた「Securify マニュアル脆弱性診断」を契約しています。事例では、従来の手動診断と比べて65%のコスト削減と公開しています。

以前は、再診断を依頼する際にヒアリングシートへの回答やメールのやりとりが必要で、場合によってはミーティングをおこない、複数の確認事項を持ち帰るといったプロセスが発生し、非常に手間がかかっていました。しかし、Securifyではボタン一つで再診断を開始でき、弊社の場合は約2時間ほどで完了しました。これまでの煩雑なフローと比べると、非常に効率的で手軽になったと感じています。

毎年の手動診断の費用を見直し、再診断の調整を減らしたい会社に合うかもしれません。

公式サイトの事例を見る

GMO Flatt Security

GMO Flatt Securityは、GMO Flatt Security株式会社が運営する脆弱性診断のサービスです。公式サイトは「開発組織のための脆弱性診断・ペネトレーションテスト」と掲げ、SaaS、FinTech、メディア、ゲームなど業界や事業フェーズを問わず選ばれていると紹介しています。

診断ページは、ホワイトボックステストを織り交ぜた手法を標準プランとし、それによる追加料金はないと打ち出しています。Webアプリケーション診断のページは、独自のAIエージェント「Takumi」を用いて、グレーボックスまたはブラックボックス形式で診断し、報告書納品まで最短7営業日と案内しています。手法はページごとに説明が分かれているので、見積もりの段階で確認すると安心です。Webアプリケーション診断、スマートフォンアプリケーション診断、プラットフォーム診断、ペネトレーションテストは、経済産業省の情報セキュリティサービス基準に適合していると明記しています。

導入事例：株式会社タイミー（スポットワークのマッチングサービス）

タイミーは、ユーザー数が急拡大するなかで、第三者検証を効率的に行える診断会社を探し、2023年から継続して依頼しています。年次の定期診断に加え、スポットの診断も頼み、NFCを使った勤怠管理機能はスマートフォンアプリ診断の観点を調整して対応してもらいました。

レポートに結果から修正の方針まで情報が一つに集約されていたことで、どの課題から優先して対応すべきか、社内でスムーズに意思決定ができ、プロダクトマネージャーへの説明工数を大幅に削減できました。

開発チームが診断士と直接やり取りしながら、定型のメニューにない機能も診断したい会社に向いています。

公式サイトの事例を見る

グローバルセキュリティエキスパート（GSX）

GSXは、グローバルセキュリティエキスパート株式会社が運営する脆弱性診断のサービスです。会社概要では準大手・中堅・中小企業向けにサイバーセキュリティ対策をワンストップで支援すると紹介し、お客様の状況に応じた価格と内容で提案すると案内しています。

プラットフォーム診断には、初めての診断やお試しの要望に向けた「One-Dayパック」があります。Web脆弱性診断クイックは、開始から3日後に報告書を納品します。脆弱性診断サービスはIPAの情報セキュリティサービス基準適合サービスリストに登録されています。

導入事例：ドネックス株式会社、フリプト株式会社（ふるさと納税のWebシステムの開発、東京都、神奈川県）

ドネックスとフリプトは、ふるさと納税を活用して決済ができるWebシステム「ふるさとリンク」の公開にあたり、GSXにWebアプリケーション診断を依頼しました。このシステムは個人情報に加えてクレジットカードの決済情報も扱います。事例では、診断でいくつかの改善点が挙がり、リスク評価を踏まえて対応の要否を判断したと公開しています。ふるさとリンクを導入した立場の声として、ロッテアライリゾートの福井社長は次のように話しています。

また、セキュリティ面でもGSXのような信頼できる専門企業による脆弱性診断が実施されていることで、我々としても安心してお客様にご案内できる体制が整っていると感じています。この結果を受けて、同じロッテグループである「ロッテ皆吉台カントリークラブ」へも導入することが決定しました。

決済や個人情報を扱うシステムを新しく公開し、導入先にも安全性を説明したい開発会社におすすめです。

公式サイトの事例を見る

レオンテクノロジー

レオンテクノロジーは、株式会社レオンテクノロジーが運営する脆弱性診断のサービスです。公式サイトは「品質を妥協せず、経験豊富なエンジニアがセキュリティの不安を解消します。」と掲げ、脆弱性診断を行ったことがない会社や、セキュリティの専門知識が不足している会社に向けて案内しています。

Webアプリケーション診断は、対象サイトの提示とテスト用アカウントの発行から始まり、診断完了後、約5営業日以内に診断報告書を提出します。報告会はオプションで実施し、報告会後の再診断や改修方法に対するフォローも行うと紹介しています。

導入事例：ZaPASS JAPAN株式会社（コーチングサービス）

ZaPASS JAPANは、法人向けのプロダクトの開発とリリースにあたり、Webアプリケーション脆弱性診断を依頼しました。コーチングではプライベートな話も扱うため、安心して話せる状態を重視していました。セキュリティの専門家が社内にいないので、ツールだけでは検出できない脆弱性まで診断してくれる会社を数社から選んでいます。

個人的には、再診断が無料だったということも、嬉しかったですね。他だと再診断は割引になる場合が多いのですが、レオンテクノロジーは無料で実施してくださいました。手厚いサポート体制を提供していただき、感謝しかないです。

社内にセキュリティの専門家がいない状態で、初めてのプロダクトの診断を頼みたい会社に合うかもしれません。

公式サイトの事例を見る

VAddy

VAddyは、株式会社ビットフォレストが運営するクラウド型のWebアプリケーション脆弱性診断ツールです。公式サイトは「1ヶ月から契約できるのでリリース前診断にピッタリ」と掲げ、自分たちで検査する方に加えて、不安がある方向けにセキュリティエンジニアのオプションを用意しています。手動脆弱性診断とプラットフォーム診断のオプションは、株式会社SHIFTが提供します。スキャン回数は無制限で、手動脆弱性診断の再診断は対策後に1回のみ可能としています。

導入事例では、MagicPodが自社のテストの仕組みとVAddyを連携させ、CI（継続的インテグレーション）環境で自動的な脆弱性診断を毎日実施していると公開しています。ツールを使った事例で、2025年10月の取材時点で、ISMSの取得を契機に2年前に導入したという内容です。CIに組み込んで毎日診断を回したい開発会社に向いています。

公式サイトの事例を見る

ブロードバンドセキュリティ

ブロードバンドセキュリティは、株式会社ブロードバンドセキュリティが運営する脆弱性診断のサービスです。公式サイトは「自動診断と手動診断を組合せ、高精度の脆弱性診断を提供します。」と掲げ、業種に偏りなく診断の依頼があると紹介しています。SQAT 脆弱性診断のすべてに、契約日から1年間、最大1,000万円まで補償するサイバー保険を付帯していると案内しています。

導入事例では、決済代行の株式会社ペイメントフォーが、ソースコード自動診断で複数の開発プロジェクトの品質を確認していると公開しています（2023年8月現在の情報）。この事例はソースコード診断の話で、ZIP圧縮したファイルをアップロードしてスキャンし、問題の部位と対策案を確認します。協力開発会社と一緒に開発を進める会社に合うかもしれません。

公式サイトの事例を見る

ここで紹介した導入事例は、各社が公式サイトで公開している事例のうちの1つです。各社はほかの業種・規模の会社も支援しているので、気になる会社は公式サイトの事例ページもあわせてご覧ください。