🛡️ 脆弱性診断をスポットで頼める会社 — 18社を調べて、単発で数万円は1つだけだった

結論: VAddy Professional 月額19,800円（税別）。初期費用なし。最低利用期間1か月。

次にやること: ここから2〜3社に見積もりを取る。この記事はまだ見積もりを取る前の資料であり、公式サイトの記載だけで組み立てた比較である。他の候補は、下で「今回は選ばなかった理由」つきで並べる。並列で勧めているわけではない。

税込の支払総額は、申込み時に必ず確認する。この記事の金額はすべて各社が公式に表記している税別・税抜のままで、税込に換算した金額を出す場合は10%課税を前提とした計算である（例: 19,800円×1.1＝21,780円）。

この章は、社長へ稟議を通すために書く。前提はこうだ。今回のシステムは委託ではなく社内で自作した。依頼者からの条件は「スポットで数万円だと助かります」「できればツールで診断してほしい」というものだった。以下は金額の高い順ではなく、社長が知りたい順――いくらか、なぜ必要か、どこに頼むか、やらなければどうなるか、いつまでに――に並べた。この章にある金額は各社の公式サイトの記載であり、見積もりはまだ1社も取っていない。

依頼者の希望どおり、ツールを中心に絞り込んだ結果、最低契約期間まで公式に確認できたのはVAddy Professionalだけだった。月19,800円（税別）、最低利用期間1か月、初期費用なし――この3つがそろって公式サイトに明記されている候補は、今回の調査範囲ではVAddyのみである。この記事で1社に確定して推薦できるのはVAddyになる。

ネットde診断Liteは月4,280円（税抜）とさらに安いが、最低契約期間が公式ページに書かれていない。安いという理由だけでは推さない。申し込む前に、契約期間と解約条件を必ず問い合わせて確認してほしい。判断に迷う場合は、AeyeScanの「Free Trial」で0円・2サイトまで先に試すという使い方もできる。特急診断など人手による診断は40万円前後で、数万円という今回の予算には合わないため、この記事では対象外として整理した。消してはいない。将来、予算や要件が変わったときの選択肢として残しておく。

これまでは外部の会社に委託していた。何かあっても「委託先が作り、委託先が診ていた」と説明できた。責任の一部を外に置けていたということだ。今回は社内で依頼者が自作したため、その説明材料が無くなっている。社長はシステムの中身を理解しているわけではないので、自分で判断する材料も持っていない。

ここで必要なのは、恐怖で押し切ることではない。漏えいが起きる確率や被害額を強調して決裁を迫るような書き方は、この記事ではしない。必要なのは、委託していた頃と同じかそれ以上に説明できる状態を、自作のままでも作ることである。第三者による診断報告書は、社長が外に対して「第三者に診てもらっている」と言える、数少ない具体的な材料になる。

診断を受けない場合、何かが起きると決まっているわけではない。ただし、何かが起きたときに「うちは第三者に診てもらっていました」と説明できる材料が、今のところ手元にない状態が続く。これは被害の大きさの話ではなく、説明できるかどうかの話である。この記事では損害額の試算はしていない。それは別の資料が要る。

ここから下は、依頼者の構成（Vercel／SvelteKit／Turso(libSQL)／Neon(Postgres)）に近い会社を技術的な条件で並べた参考表である。母集団はClaude側で公式サイトに到達できた18社。順位は主観の評価ではなく、①料金が公開されているか→②単発（スポット）可と明記されているか→③小規模事業者・スタートアップ向けの記載があるか→④この構成に近い診断メニューを持っているか、の順に当てはめている。下の表は1〜17位まで番号を振っているが、5位のGMO Flatt Securityは「Takumi byGMO」（3位）と同じ運営会社が別サービスとして2行に分かれているため、17行でも会社としては16社になる。追加調査で見つかった2社（スリーシェイク・GMOプライム・ストラテジー）は、この並びには組み込まず表の末尾に別掲し、合わせて18社である。

16位・17位のスプラウト・ネットエージェントは、Claude側では公式ページの内容そのものに到達できておらず、確認できていない。この表の中でも調査途上の参考候補として区別して読んでほしい。また5位のFlatt Securityは、Claude側の直接調査では未到達で、Codex側の前回調査結果のみに基づく候補である。公式原文を再確認できていないため、この記事の推薦（VAddy Professionalの1社）には含めていない。

2026年8月19日時点で、Claude側が公式サイトに到達できた18社のうち、料金を公式に公開していたのは6社だった（ビットフォレスト・GMOサイバーセキュリティ byイエラエ・GMO Flatt Security・ユービーセキュア・スリーシェイク・サイバーセキュリティクラウド）。サービス・プラン単位で数えると8つになる。内訳は、上記6社が提供する主要サービス6つに、スリーシェイクが公開しているもう1つのサービス（Securify Scan STARTER）と、依頼者の構成には当てはまらないGMOプライム・ストラテジーのWordPress専用診断（KUSANAGI）を加えたものである。この見出しは最初の調査時点のまま残しているが、その後の追加調査で公開料金の会社が見つかり6社（8サービス）になった。税別・税抜の区別つきで並べ直す。

このほかに、料金ページの存在は確認できたが金額を確定できなかった会社が2社ある。GMO Flatt Securityは専用プランページを持っているが、JavaScriptで描画される作りのため機械的に金額を取得できなかった。第三者の記事に「30万円〜」という記載があったが、公式ページで確認できていないため、この記事では採用しない。GSXのWordPress脆弱性診断も、ページ内に金額の記載はなく問い合わせ制だった。どちらも「非公開」ではなく「確定できず」として扱う。

ここまでの2章で、料金を公開していた6社のうち大半が自動診断SaaSだったことに気づいた読者もいるはずだ。手動診断と自動診断SaaSは、同じ「脆弱性診断」でも価格帯も検査の深さも別物である。混ぜて比較すると「なんだ、数万円で済むのか」という誤解につながるので、この章で切り分ける。

18社の公式サイトを見比べると、契約形態を自分の言葉ではっきり書いている会社は少数派である。「年間契約となります」とはっきり書く会社と、「最低利用期間1か月」「スポット」とはっきり書く会社の両端があり、残りの大半はどちらとも書かず、個別見積りに流れ込む。このほか、GMOプライム・ストラテジー（KUSANAGI）も「単発・都度」と公式に明記しているが、WordPress専用のため依頼者の構成（SvelteKit）には当てはまらず、この章の分類には含めていない（詳細は第1章・第2章）。

この記事でいちばんの発見はここにある。Claude側で公式サイトに到達できた16社、Codex側で調べた15社の範囲で、公式サイトに「Vercel」という固有名詞を書いていた会社は見つからなかった。これは確認できた公式ページの範囲での結果であり、未到達の会社や公式ドメインに到達できなかった会社は含まれていない。一方でAWS・Azure・Google Cloudは複数社が診断対象として明記している。この非対称は事実として記録しておく価値がある。

Turso（libSQL）とNeon（Postgres）についても同様に、公式サイトに名指しの記載は確認できなかった。データベース単体をインターネット越しに診断するより、SvelteKitのサーバー側エンドポイント経由で「別ユーザーのデータを読めない・書き換えられない」ことを検証する優先度のほうが高いという指摘もある（Codex）。

データ正本（Codexの分解）は8つの対象を挙げているが、並び順は付いていない。ここでは優先順位を付けて並べ直す。基準は、依頼者の構成（Vercel＋SvelteKit＋Turso／Neon）で被害が最も大きくなりやすい経路はどこか、という一点である。

先に用語を1つ説明する。IDOR／BOLAとは、他人のIDやリソース番号を指定したときの権限チェックが甘く、他人のデータが見えたり書き換えられたりしてしまう不具合を指す用語である。この記事の並びでは、この不具合の有無が最も上位に来る。

診断を依頼する前に、自分だけで済ませられる準備がある。ここではCodexが挙げた8項目を、自分だけでできるものと診断会社との合意が必要なものに分けて並べる。先に断っておくと、これをやったからといって見積の金額が下がると約束されているわけではない。対象範囲が明確になる分、見積が出しやすくなる、という程度の効果にとどめて考えたほうがよい。

相見積もりを取るときに崩れやすいのは、各社に渡す条件がそろっていない場合である。同じ対象・同じ技術構成・同じ必須項目を全社に渡してはじめて、金額と内容を比較できる。ここでは、その条件をそろえるための文面と、揃えるべき項目を並べる。

この文面だけでは、比較にはまだ足りない項目がある。相見積もりを比較可能にするには、以下の条件も全社に同じ形で渡す。

依頼は「調べて、codexでも調べて」だった。同じ条件（Vercel／SvelteKit／Turso／Neonでスポット診断を頼める会社）を、Claudeとcodexにそれぞれ別に調べさせ、あとから突き合わせた。ここではどちらが優秀だったかではなく、2回回したから拾えたものと、2回回しても拾えなかったものを分けて書く。

この記事は「どこに頼めるか」を、Claudeとcodexがそれぞれ公式サイトを読んで整理したものである。1社にも見積もりを依頼していない。ここまでの9章で書いてきたことのうち、まだ確かめられていないことをこの章で一つずつ並べる。

今回、「数万円以内・単発」という条件で公式に金額まで確認できたのは、結果としてVAddy Professionalの1社だけだった。これは「他に無い」という意味ではない。日本の脆弱性診断サービスの多くは料金非公開・要問い合わせであり、電話やフォームで問い合わせれば数万円で単発対応してくれる会社が他にもある可能性は十分にある。今回書けるのは、公式サイトを直接読んだ範囲でそこまで確認できたのがVAddyだけだったという調査の到達点であり、悉皆調査の結果ではない。

ここまでの10章で、料金を公開している会社と、依頼者の予算（単発10〜50万円）に収まる候補は出た。この章では、依頼者自身が明かした本当の理由に戻る。「私ではなく社長を納得させるためです」。社長はシステムを知らない。知らないまま、漏えいが起きたときの責任追及だけを恐れている。今までは委託していたが、今回は社内で自作した。

表にすると分かる。委託していた頃は、契約・報告書・運用分担によって説明材料を得られた可能性がある。ただし委託しても自社の説明責任が消えるわけではなく、これはあくまで説明材料の置き場所の話である。自作にした今は、その根拠資料と運用記録を自社で整える番が来た。社長が怖いのは技術ではなく、説明できなくなることである。この章の仕事は、自作でも委託していた頃と同じかそれ以上に説明できる状態を作ることを示すことになる。

依頼者の会社はISMSとPマークを取得している。まず、この2つが外部の脆弱性診断を求めているかどうかを、規格の原文で確認した。結果を先に書く。どちらも、明示的には求めていない。

依頼者はすでにCodeRabbitを導入している。これは社長への説明材料になる。ただし、脆弱性診断とは別物である。

CodeRabbitがあるから診断は不要、とは言えない。CodeRabbitはコードの中身を見ているが、実際に公開されているシステムの外側は見ていない。逆に、診断があるからCodeRabbitが不要になるわけでもない。A.8.8への対応方法はリスクに応じて設計するものであり、外部の脆弱性診断はその選択肢の一つに過ぎない。コードレビュー・依存関係管理・脆弱性情報の収集・テスト・是正記録などを組み合わせて設計するのが実務であり、CodeRabbitはこの組み合わせのうち「コードの中身を継続的にレビューする」部分を担っている。