脆弱性診断ツールの比較の見方は？サービスとの使い分けと選ぶ基準を解説

脆弱性診断ツールの比較は、機能の多さではなく「何を、どの頻度で調べ、結果を誰が読むか」⁠か⁠ら始めます。同じ範囲を繰り返し確かめるならツール、人の判断や第三者の報告書が要るなら外部の診断サービスが向きます。

今日やることは2つです。外に出しているWebサイト、サーバー、VPN機器を一覧にします。そして、診断の結果を読む人と、直す人を一覧の横に書きます。直す人が保守会社なら、会社名と契約の範囲を書きます。ここが空欄のままだと、どの製品を選んでも結果が積み上がるだけになります。

ツールとサービスは何が違う？

違いは「調べる人」⁠と「結果の重み」⁠で⁠す⁠。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、脆弱性診断サービスを、知見のある専門家が行う診断として説明しています。対象の例は、ウェブアプリケーション、プラットフォーム、スマートフォンアプリケーションです。

ツールは自動で調べる道具です。米国標準技術研究所のNIST SP 800-115（2008年）⁠は⁠、スキャナーを、表に出ている弱点の量を速く手軽につかむ手段としています。同時に、誤検知が多くなりやすく、ネットワークとOSに詳しい人が結果を読むべきだとも書いています。見つけ漏れも起こります。古い資料ですが、この性質は今の導入判断にも使えます。

表の中身は、製品やサービスの設計で変わります。人の確認まで含むツールの契約もあれば、自動の検査を中心にしたサービスもあります。名前ではなく、誰が結果を確かめるのかを見積もりの段階で確かめます。

どちらを使うかはどう決める？

次の順番で当てはめると、社内で説明しやすくなります。上から順に見て、最初に当たったものを軸にします。

1. カードを扱うECサイトがある：クレジット取引セキュリティ対策協議会の導入ガイド2.1⁠版（2026年3月）⁠が⁠、脆弱性診断またはペネトレーションテストの定期実施を項目に挙げています。実施の形はカード会社や決済代行会社にも確かめます
2. 取引先や監査に第三者の報告書を出す：サービスを軸にします
3. 受発注や個人情報を扱う、ログインが要るサイトがある：サービスを軸にし、更新のたびの確認にツールを足します
4. 自社で頻繁に更新するサイトやサーバーがある：ツールを軸にし、大きな改修のときにサービスを足します
5. 結果を読む人が社内にいない：ツールだけでは止まります。サービスか、結果の読み解きまで頼める保守契約を選びます

5つ目は実際によく起きる話です。IPAの2026年3月の報告は、中小企業126社への外部診断を通じて、レポートの解釈と優先度の判断を担う人材の不在を課題に挙げました。この報告の対象は外から調べる別の種類の診断ですが、ツールの結果を受け止める体制の話は共通します。

弱点を広く探す診断と、侵入を試すテストの違いは、ペネトレーションテストと脆弱性診断の違いと受ける順番⁠にまとめました。診断全体の種類はセキュリティ診断のカテゴリから確かめられます。

製品を比べるときの見方は？

私たちはセキュリティ製品の開発会社ではなく、製品の優劣はここでは判定しません。比較表を読むときに確かめる点を挙げます。

ログイン後の画面は、Webサイトの診断で最初に確かめる点です。ZAPの公式ガイドも、認証の設定をしなければログインで守られたページは見つけられない、と自動検査の限界に挙げています。

内側からの検査については、NIST SP 800-115が、認証情報を持つスキャナーと持たないスキャナーの違いを説明しています。社内のPCやサーバーまで見たいなら、エージェントや認証情報の扱いを情シス兼任の担当者が管理できるかも確かめます。

順位の付け方は、製品ごとの差が出やすいところです。Tenable Nessusの製品ページは、深刻度の指標CVSSに加えて、悪用の見込みを示すEPSSなどでの評価を掲げています。点数の読み方は脆弱性管理で更新の順番を決める方法⁠で扱っています。

製品の候補を並べるなら、Webとサーバーのどちらが中心かで見る表が変わります。脆弱性診断サービスとツールの比較と、社内の資産まで追う脆弱性管理ツールの比較を分けて見ると、買うものを取り違えにくくなります。

無料のツールはどこまで使える？

試すことはできますが、誰が結果を読むかで使える範囲が決まります。公式資料で確かめられる例は次の3つです。

• ZAP：無料のオープンソースのWebアプリ向けスキャナーです。公式サイトに、誰でも開発に参加できるプロジェクトと書かれています
• Vuls：IPAのテクニカルウォッチ（2019年公開）⁠が手順を解説している、Linux/FreeBSD系サーバー向けのオープンソースの検知ツールです
• Nessus：有料の製品です。製品ページは、OS、機器、アプリの欠けたパッチや設定の誤りを調べると説明しています。試用の案内もあります

ZAPのガイドは、受動スキャンは応答を変えず安全と考えられるとする一方、能動スキャンはサイトの機能やデータを実際に傷つける場合があるとしています。本番ではなく検証環境から始められるなら、そのほうが安全です。

製造業ではどこに気をつける？

たとえば、部品メーカーが取引先向けの受発注サイトと、社内のファイルサーバー、工場の設備を持っている場合で考えます。

受発注サイトは、ログイン後の画面に取引先の情報があります。公開前や大きな改修の前後はサービスで調べ、普段の更新ではツールで同じ範囲を確かめる、という組み合わせが考えられます。ファイルサーバーは、結果を読める保守会社がいるなら定期のツール検査が候補です。

工場の設備は扱いを分けます。経済産業省のASM導入ガイダンス（2023年）⁠は⁠、脆弱性診断が対象の動作に支障を及ぼす場合があると整理しています。NIST SP 800-115も、スキャンの通信が対象やネットワークに悪影響を与えうると書いています。設備につながるネットワークは最初の対象から外し、社内ネットワークと分かれているかを先に確かめます。診断の対象に入れるなら、設備メーカーや保守会社と、止められる時間を決めてからにします。

取引先からの要請で診断を求められたときは、求められている範囲を文面で確かめます。SCS評価制度では、★4の第三者評価に脆弱性検査による技術検証が含まれ、★3・★4は2027年3月⁠の受付開始に向けて準備が進んでいます。★4をめざす予定があるなら、社内のツール検査では置き換えられない部分が出る点を見込んでおきます。

サービスの業者はどう絞る？

候補の出発点に使えるのが、IPAの情報セキュリティサービス基準適合サービスリストです。経済産業省の基準への適合を審査登録機関が審査し、登録されたサービスが載っています。脆弱性診断サービスの一覧は2026年10月9日⁠に掲載された版が確かめられます。

ただし、IPAはこのリストの掲載がいかなる保証も意味しないと明記しています。基準への適合は、発注者が中身を確かめる手間を省くものではありません。見積もりの段階で、次の3つ⁠を聞きます。

• 自動の検査と、人が確かめる範囲の内訳
• 再診断が料金に含まれるか、回数はいくつか
• 指摘の修正について、保守会社へ説明する場があるか

ドメインやサーバーの一覧に自信がないときは、診断の前に外から洗い出す方法もあります。ASMの仕組みと始める手順⁠を見ると、見積もりに出す一覧の抜けを減らせます。

指摘が出たあとに止まらないために

ツールでもサービスでも、指摘が出たあとの動きは同じです。指摘ごとに担当と期限を書き、直せないものは理由と代わりの対策を書きます。数が多いときは、すべてを同じ速さで直そうとせず、悪用の情報と機器の重要度で順番を決めます。

指摘がゼロだったときは、調べた範囲を添えて社内に伝えます。NIST SP 800-115が書くとおり、スキャナーには見つけ漏れがあり、登録された既知の弱点が中心です。「対象の範囲では今回は検出されなかった」という言い方にしておくと、次の範囲の話につなげられます。