自社サイトに脆弱性がないか、正直不安…
クイックとハイブリッド、どっちを選べばいいかわからない…
見積もりでどれくらいの費用になるか想像がつかない…
Webサイトの脆弱性診断は、闇雲に「とりあえず受ける」ものではありません。
IFTが、脆弱性診断の基本からプランの選び方、費用の目安までを順番にご案内し、自社に合った一歩を一緒に見極めます。
脆弱性診断とは、
Webサイトやアプリに潜む見た目からはわからないリスク（不正入力・認証の不備など）を専門的な手法で検出し、
対策すべき点を明らかにするサービスです。
放置すると、次のようなリスクにつながります。
もっと詳しく知りたい方は、脆弱性診断とはをご覧ください。
IFTのWebアプリケーション脆弱性診断には、「クイック診断」と「ハイブリッド診断」の2つのプランがあります。
まずは、両プランに共通する診断内容を確認したうえで、違いを比較してみましょう。
IFTのWebアプリケーション脆弱性診断は、次の基準に準拠しています。
IFTのWebアプリケーション脆弱性診断は、「クイック診断」と「ハイブリッド診断」の2プランに分かれます。
診断方法・対象範囲・期間が異なるため、まずは概要を確認し、詳しい違いは下の比較表でご確認ください。
専用ツール「Vex」による自動診断で、Webサイト全体を短期間でチェックします。
コストを抑えながら、まずは現状のリスクを把握したい場合に適しています。
自動診断に加えて、診断員による手動診断を組み合わせます。
ログイン機能や権限設定など、自動診断だけでは確認が難しい部分まで調査できます。
| チェック項目 | クイック診断 | ハイブリッド診断 |
|---|---|---|
| 入力フォームの安全性 | ○ | ○ |
| ログイン機能の脆弱性 | ○ | ○ |
| Webサイト全体の基本的な脆弱性 | ○ | ○ |
| ログイン後の情報閲覧範囲 | × | ○ |
| ユーザー権限による操作制限 | × | ○ |
×の2項目は、自動ツールでは検出が難しく、診断員による手動診断が必要な項目です。個人情報やカード情報を扱うサイトでは、ここまで確認できるハイブリッド診断をおすすめします。
| 項目 | クイック診断 | ハイブリッド診断 |
|---|---|---|
| 診断方法 | 専用ツールによる自動診断 | 自動診断＋診断員による手動診断 |
| 診断対象 | すべての画面（自動診断） | すべての画面（自動診断）＋認証機能・権限設定・セッション管理を含む重要な画面（手動診断） |
| 期間 | 最短3週間〜1ヶ月 | 最短1〜3ヶ月 |
| 料金の目安 | 30万円〜（20リクエスト分込み） | 30万円〜（10リクエスト分込み） |
| オプション | 特定画面の手動診断を追加可能（個別見積もり） | ─ |
料金はどちらも30万円からですが、込みのリクエスト数が異なります。クイック診断は20リクエスト分、ハイブリッド診断は10リクエスト分が基本料金に含まれるため、同じ規模のサイトを診断する場合、ハイブリッド診断のほうが1リクエストあたりの単価は高くなります。
このほか、報告会・再診断などのオプションは両プラン共通です。詳しくは「料金｜込みの範囲まですべて明記」でご覧ください。
比較しても迷う場合は、以下を目安にしてください。
判断に迷う場合は、現在のサイトの用途と取り扱う情報を教えてください。IFTから最適なプランをご案内します。
診断の内容だけでなく、診断後の対応まで含めて選ばれています。
初回診断の報告書提出日から3ヶ月以内であれば、検出された脆弱性に対する再診断を無償で実施します。
修正後に本当に直ったかを確認せずに公開してしまうと、直したつもりのまま同じリスクが残る場合があります。
IFTでは、この確認までを基本料金に含めた標準対応としています。
2回目以降の再診断は10万円/回（オンラインの場合5万円/回）です。
検出された脆弱性は、緊急・高・中・低の4段階の危険度で整理し、内容・再現手順・対策方法とあわせて報告書にまとめます。
危険度の判断に時間がかかると、対応の優先順位づけが後手に回りやすくなります。
セキュリティの専門知識がなくても、開発担当者がそのまま対応に着手できる形式です。
診断会社によっては、報告書の提出をもって対応完了とする場合もあります。
IFTでは報告書の提出で終わりにせず、発見された脆弱性への修正方針の提案や、ご質問への対応を行います。
直し方がわからない、どこから手をつければいいかわからない、という修正段階のご相談にも対応します。
自動車メーカー系の情報システムサービスや、大手生命保険会社、大手開発ベンダーなど、
高いセキュリティ要件が求められる業種でIFTのWebアプリケーション脆弱性診断が採用されています。
自動車メーカー系情報システムサービスでは、最新の脆弱性への対応と再診断によるリスク低減を継続的に実施しました。
大手生命保険会社では、システムリリース前の限られた期間でクイック診断を活用し、期日通りの安全なリリースを実現しました。
従来の診断では対応できない脆弱性に対応するため、IFTの「プラットフォーム脆弱性診断」を実施。セキュリティ状況を定期的に把握し、最新の脆弱性に対応するだけでなく、再診断でリスク低減を確認し、重大なセキュリティインシデント防止に貢献しました。
システムリリース前の限られた時間の中で、従来の診断方法では間に合わない可能性があった脆弱性診断を、「クイックWebアプリケーション脆弱性診断」を用いて迅速かつ確実に実施し、期日通りに安全なシステムリリースを実現しました。
お申し込みから報告書提出まで、次のステップで進みます。
クイック診断は最短3週間〜1ヶ月、ハイブリッド診断は最短1〜3ヶ月が目安です。
土日祝日や夜間の診断が必要な場合も、事前のご相談で対応可否をご案内します。
診断完了後、通常5営業日以内に報告書を提出します。
検出された脆弱性は緊急・高・中・低の4段階で整理され、内容・再現手順・対策方法を1件ごとに記載しています。
社内の意思決定者に共有する際も、危険度別の整理によって説明の手間を減らせます。
POINT
オプションの報告会（10万円/回、オンラインの場合5万円/回）では、診断結果を対面またはWeb会議で直接ご説明します。
技術担当者以外が同席する場合の補足説明にも対応します。
料金は個別のお見積もりとなりますが、基本料金と込みの範囲は事前に確認できます。
| 項目 | クイック診断 | ハイブリッド診断 |
|---|---|---|
| 基本料金 | 30万円〜 | 30万円〜 |
| 含まれるリクエスト数 | 20リクエスト分 | 10リクエスト分 |
| 追加リクエストの料金 | 1リクエストごとに加算 | 1リクエストごとに加算 |
| 期間 | 最短3週間〜1ヶ月 | 最短1〜3ヶ月 |
基本料金はどちらも30万円〜ですが、込みのリクエスト数が異なるため、同じ規模のサイトを診断する場合はハイブリッド診断のほうが総額が高くなります。
例えば、想定リクエスト数が30リクエストのコーポレートサイトをクイック診断する場合、基本料金に含まれる20リクエスト分に加えて、残り10リクエスト分の料金が加算されます。事前のヒアリングでリクエスト数の目安をお伝えするため、ご契約前に総額を把握できます。
クイック診断で気になる画面が見つかった場合に、その画面だけ手動診断で深堀りできます。
料金は個別見積もり
診断結果を口頭で確認したい場合に、対面またはオンラインで実施します。
対面：10万円/回、オンライン：5万円/回
無償期間（3ヶ月）を過ぎてからの修正確認にご利用いただけます。
対面：10万円/回、オンライン：5万円/回
オプションは組み合わせが可能です。見積もり金額に含まれる作業範囲は事前にすべて開示するため、着手後に想定外の費用が発生することはありません。ご予算やご要望に応じて、お見積り時にご案内します。
しつこい営業は一切しません。お気軽にご相談ください。
はい、問題ありません。専門用語を避け、わかりやすい言葉で説明します。報告書も危険度別に整理されているため、開発担当者がそのまま対応に着手できます。
お客様の環境への影響を最小限にするため、検証環境での診断をおすすめしています。本番環境での診断も可能です。
予約状況によりますが、スケジュールが空いていれば1週間程度で診断を開始できます。
ブラウザでの画面操作からWebアプリケーションサーバーへリクエストを送信し、結果が表示されるまでの一連の処理を1リクエストとして数えます。例えば、ログイン画面でIDとパスワードを入力してログインする操作は2リクエストです。
基本料金に含まれるリクエスト数を超える場合、1リクエストごとに料金が加算されます。事前のヒアリングで想定リクエスト数をご案内するため、想定外の追加が発生しにくい仕組みです。
IFTでは、Webアプリケーション以外の診断にも対応しています。
