脆弱性スキャンと脆弱性診断の違い｜中小企業はどちらから始めるか

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑悠太

結論：脆弱性スキャンはツールが自動で調べるもの、脆弱性診断は人が手で確かめる工程を含むものと考えると分かりやすいです。スキャンは安く早く、広く浅く見つけます。手動の診断は高くなりますが、ログイン後の画面や、ツールでは判断しにくい弱点まで確かめます。中小企業のコーポレートサイトなら、まずスキャンで今の状態を知り、会員・予約・決済など入力を受け付ける画面だけ手動で確かめる順が、費用を抑えやすい選び方です。

脆弱性スキャンはツールで広く浅く、脆弱性診断は人の手でログイン後の画面まで深く確かめる

違いを1枚の表で

呼び方は会社によって違います。ツールだけのものを「ツール診断」「自動診断」と呼ぶこともあります。頼むときは名前ではなく、誰が・どこまで・何を返すかで比べてください。

比べる点	脆弱性スキャン	脆弱性診断（手動を含む）
調べる人	ツールが自動で	専門家がツールの結果を確かめ、手でも試す
範囲	外から見える画面、設定、使っているソフトの版	ログイン後の画面、入力フォーム、権限の分け方まで
得意なこと	古い版、暗号化の設定、よく知られた弱点を広く拾う	他人のデータが見えてしまう等、仕組みの穴を見つける
苦手なこと	誤検知が混ざる。ログイン後や業務の流れは見にくい	費用と日数がかかる
費用の目安	10万〜30万円	50万〜150万円

費用の目安は、cloudpack「脆弱性診断の費用相場」（2026年4月17日更新）の、ツール（自動）診断と手動診断の数字です。詳しくは脆弱性診断の費用相場にまとめています。

どちらから始めるか

コーポレートサイト・WordPressだけなら、スキャンから

ログイン後の機能がないサイトは、外から見える範囲で分かることが多いです。スキャンで古いソフトや設定の漏れを見つけ、直したあとにもう一度スキャンして消えたことを確かめます。

入力を受け付ける画面があるなら、そこだけ手動で

会員登録、予約、決済、問い合わせなど、個人情報やお金を扱う画面は手動での確認が向いています。全画面ではなく、その画面に絞ると費用を抑えられます。

取引先に「診断していますか」と聞かれたら

チェックシートでは「実施したか」「いつ、どの範囲で」を聞かれることが多いです。スキャンなのか手動の診断なのか、実施日と範囲を控えておけば、実態どおりに答えられます。スキャンだけなのに「専門家による診断を実施」と書くのはやめてください。

頼む前の4つの確認

許可：調べてよいのは自社が管理するサイトだけです。制作会社やサーバー会社が管理している場合は、その許可も取ります。
置き場所：Shopify・Wixなどのサービス上のサイトは、外部からの診断の対象になりません。共用レンタルサーバーは規約を確かめます。
返ってくるもの：件数だけか、直し方まで付くか、誤検知を除いてくれるか、再スキャンが含まれるか。
負荷：実施する日時と速度を決めておくと、サイトが重くなる心配を減らせます。

手動の診断を外に頼むときは、IPAが公開している「情報セキュリティサービス基準適合サービスリスト」の脆弱性診断サービスも、比べる材料になります。

よくある質問

無料のスキャンだけで十分ですか？

今の状態を知る最初の一歩としては役に立ちます。ただ、無料のものは件数や重要度の概要までが一般的です。直すには、どの項目かと直し方が分かる結果が必要です。

スキャンはどのくらいの頻度で行えばいいですか？

月1回の自動スキャンで前回との差分を見る方法が手軽です。手動の診断は、年1回と大きな改修のあとが目安です。

自分でツールを使って調べてもいいですか？

自社が管理するサイトなら可能です。ただし本番のサイトに負荷やデータの書き換えが起きる設定もあるため、設定の意味が分からないまま実行しないでください。他社のサイトは、許可なく調べてはいけません。

まずはスキャンで、今の状態を知る

Moshiruの無料スキャンは、許可をいただいたサイトを外から見える範囲で低速に1回だけ調べ、件数と重要度をお返しします。全結果と直し方が必要ならクイック診断（5万円）、主な5画面の手動確認と報告書が必要ならライト診断（10万円）、ログイン後の画面まで確かめるならスタンダード診断（25万円）です。やり取りはすべてテキストで、打合せはありません。

無料スキャンを申し込む対象のURLと許可だけ。入力5分料金と内容を見るクイック5万円〜（税別）