無料で使えるおすすめのセキュリティ診断サービス3選！サービスの特徴と選ぶ際のポイントを解説！

セキュリティ診断サービスには多くの種類があり「どれを選べばいいか」迷いますよね。後から知ったサービスの方が適していることもよくあります。導入の失敗を避けるためにも、まずは各サービスの資料をBOXILでまとめて用意しましょう。
⇒セキュリティ診断サービスの資料をダウンロードする（無料）

セキュリティ診断サービスとは

セキュリティ診断サービスとは、自社が運営しているWebサイトや、開発したアプリケーションに潜むぜい弱性を検知し、サイバー攻撃による被害を未然に防止するサービスです。ツールを使った自動診断やホワイトハッカーといった、エキスパートによる手動診断などができます。

基本的に自社でもサイバー攻撃を防ぐための対策は行っていますが、より高度なぜい弱性診断を社内だけで行うのは難しく、リソースも不足しがちなことから、これを補うために利用します。セキュリティ診断サービスを利用すれば、客観的な視点から診断ができ、最新の攻撃手段にも対応できるため、より強固なセキュリティ体制を構築できるでしょう。

---

無料のセキュリティ診断サービスの選び方

無料のぜい弱性診断サービスを選定する際は、いくつかの基準が存在します。代表的な基準について解説します。

診断の範囲を確認する

セキュリティ診断サービスを選ぶ際は、セキュリティ診断の範囲を確認することが大切です。セキュリティ診断サービスの診断項目には、主に「Webアプリケーション診断」と「プラットフォーム診断」の2種類があります。

Webアプリケーション診断は、オンラインで利用され、攻撃対象にもなりやすいWebアプリケーションのぜい弱性を診断するものです。またプラットフォーム診断は、アプリを実行するサーバーやネットワーク機器、OSのぜい弱性を診断するものです。

サービスによってどちらにどこまで対応しているかが異なるため、事前に確認しましょう。また有料プランでは対応していたとしても、無料版では、診断できる項目に制限をかけられているケースも少なくありません。自社のWebサイトやアプリに対して、どのような安全性チェックが必要かを把握し、無料版でも対応しているサービスを探しましょう。

利用回数を確認する

セキュリティ診断サービスを選ぶ際は、セキュリティ診断の回数を確認することが必要です。無料版では、セキュリティ診断の回数に制限がかけられているケースがも多くあります。

制限がかけられていると診断の間隔が長くなりやすく、診断を行うまでの間はセキュリティリスクを放置しなければなりません。そのため自社のWebサイトやアプリの更新頻度、セキュリティの重要度を把握したうえで、適切な回数で診断できるか確認しましょう。

サポート体制を確認する

セキュリティ診断サービスを選ぶ際は、セキュリティ診断のサポート体制も確認しましょう。セキュリティ診断でぜい弱性が発見された場合、これをなくすために改善策を考えなければなりません。しかし自社だけでは改善策がわからないケースも多く、サービス側のサポートやアドバイスが必要です。

ただし無料プランや無料ツールでは、サポート体制に制限がかけられていたり不十分だったりすることがほとんどです。そのため事前に無料でどこまでサポートやアドバイスが受けられるかを確認し、自社だけでどこまで対応できるかを考えたうえで、サービスを検討しましょう。

無料で使えるおすすめのセキュリティ診断サービス比較5選

セキュリティ診断サービスのなかで、フリープランのあるクラウド型ぜい弱性診断ツールや、無料で使えるOSS（オープンソース）のぜい弱性検査ツールを紹介します。オープンソースとは、ソースコードが一般に公開されており、誰でも自由に利用やカスタマイズができるソフトのことです。

それぞれ無料の範囲でできることや機能制限などを解説しているので、セキュリティ診断サービス選びの参考にしましょう。

無料で利用できる機能

Securifyは、自社のセキュリティ対策を簡単に一元管理できる国産のSaaSシステムです。外部攻撃の脅威や設定不備の診断が可能で、WebアプリケーションやAPIのぜい弱性を手軽に確認できます。クラウドストレージ内の機密情報の漏えいリスクを最小化する機能も搭載されており、セキュリティ対策を実効的かつ効率的に進められます。

無料プランでは、ある程度制限はかかるもののWordPress、Webアプリケーション、SaaSの診断を1IPで回数の制限なく診断可能です。

OpenVAS ‐ Greenbone

無料で利用できる機能

OpenVASは、既知のぜい弱性を発見するためのOSS（オープンソース）のぜい弱性テストツールです。OpenVASは、Webサーバーやファイアウォールなどのさまざまなターゲットに対して、ぜい弱性のスキャンを実行できます。また、スキャン結果をデータベースに保存したり、ぜい弱性の修正方法を提案したりする機能も備えています。

Nikto - Netsparker

無料で利用できる機能と制限

Niktoは、Webサイトのぜい弱性を検出できる、OSS（オープンソース）のシンプルなWebセキュリティ診断ツールです。パソコンにインストールして利用できます。Webサーバー上で、危険なファイルやセキュリティ設定の不備、古いバージョンのプログラムなどを検出してくれます。またプラグインを利用して機能の拡張も可能です。

OWASP ZAP - The OWASP Foundation

無料で利用できる機能と制限

OWASP ZAPは、Webアプリケーションの診断ができる、OSS（オープンソース）のセキュリティ診断ツールです。パソコンにインストールして利用できます。自動診断ができるのはもちろん、手動診断にも対応しているのが大きな特徴で、初心者から専門家まで幅広く利用されています。日本語の情報も豊富にあるため、手動でセキュリティ診断のできる人材がいるのであれば、おすすめのツールです。

Vuls ‐ フューチャー株式会社

無料で利用できる機能と制限

Vulsは、LinuxやWindowsを対象にした日本製のセキュリティ診断サービスです。ぜい弱性データベースからぜい弱性情報を取得して、サーバーにインストールされている各種ソフトウェアに、どのようなレベルのぜい弱性が存在しているのかを検知します。また、検知したぜい弱性をチケット化したり、対応方法を提案したりする機能も備えています。

Vulsには商用版とOSS版があり、OSS版でも複数のOSに対応はしているものの、Windowsには対応しておらず、チケット管理やWebポータルなどは利用できないため注意が必要です。

---

自社に合うサービスを選ぶには、各サービスの内容を比較することが重要です。気になるサービスの資料をダウンロードして自社に合うのか検討してみましょう。

＼料金や機能を資料で比較する／

無料と有料の違いは？よくある機能制限と注意点

無料のセキュリティ診断サービスでよくある機能の制限をまとめました。

診断範囲の制限

無料版のセキュリティ診断サービスを使う際は、診断範囲の制限を確認しましょう。無料プランのあるぜい弱性診断ツールでは、診断対象のドメインやIPアドレス、リクエスト数、診断項目などが限定されています。自社のシステムやアプリ、ネットワークに必要な範囲を無料版でカバーできるか、確認しましょう。

診断回数の制限

無料版のセキュリティ診断サービスを使うときは、診断回数の制限に注意しましょう。診断回数とは、どの程度の頻度でぜい弱性を検査できるかです。無料サービスでは、診断回数が有料サービスに比べて少ないことが多く、年に1回や2回しか診断できない場合もあります。

診断回数が少ないと、ぜい弱性が見逃されたり、新たに発生したりするリスクが高まります。診断回数は自社のセキュリティニーズに合わせて、十分なサービスを選ぶことが重要です。

診断機能の制限

無料版のセキュリティ診断サービスを使う際は、診断機能の制限を比較することも大切です。 無料版では、診断機能が限定されていたり、システムのアップデートがされず最新の脅威に対応していなかったりする場合があります。 自社のシステムに適した診断機能のあるサービスを選びましょう。

有料ツールを検討するべきケース

企業の状況やツールに求めていることによっては、無料ツールでは叶えられないケースが存在します。有料ツールを検討した方がよいケースをまとめているので参考にしましょう。

高精度のぜい弱性診断を行いたい場合

もし高精度のぜい弱性診断を行いたいのであれば、有料サービスを検討しましょう。なぜなら無料版のセキュリティ診断サービスでは、診断の精度に不安があるからです。冒頭でも簡単に紹介しているように、セキュリティ診断サービスの診断方法としては「ぜい弱性診断ツールによる自動診断」と、「エキスパートによる手動診断」の2種類があります。

ツールによる診断は簡単かつ短時間でできるものの、よくあるぜい弱性の検出が基本であり、すべてのぜい弱性は網羅できません。逆に手動診断は、エンジニアが複数のパターンで本物に似せた攻撃をしかけてぜい弱性を検査するものであり、時間はかかるものの確実にぜい弱性を発見でき、最新の攻撃手法にも対応できます。

ただし、無料版は基本的にツールによる自動診断しかできません。OSSであれば手動診断に対応したツールも一部で存在はしますが、エンジニアのエキスパート人材を手配する必要があり、自社だけで実施するのは難しいでしょう。

自動診断ツールを使った場合、診断でぜい弱性が見つからなかったとしてもセキュリティリスクは残る可能性があります。そのためより確実にセキュリティ診断を行いたいのであれば、手動診断ができる有料サービスの利用がおすすめです。

Webサイトの規模が大きい場合

Webサイトの規模が大きい場合、無料のセキュリティ診断サービスではカバーできない範囲が出てくる可能性もあります。小規模なWebサイトであれば、無料プランや無料ツールだけでも診断できるケースは多いでしょう。

しかしサイトの規模が大きくなればサブドメインやディレクトリ、パラメータなどの設定が複雑になり、ぜい弱性も複雑になるため、簡易的な診断では検出できないものも出てくる可能性が高くなります。そのため、有料ツールと自動診断と手動診断を組み合わせて実施するサービスで、効率的かつ確実にセキュリティ診断を行うのがおすすめです。

診断の頻度が高い場合

自社のシステムやネットワークに頻繁に変更がある場合や、定期的に診断を行う必要がある場合は、有料版に切り替えた方がよいでしょう。無料プランでは、診断の回数に制限をかけていることが多く、年に1回や2回しか診断できない場合もあります。

診断の回数が少ないと、新たに発生したぜい弱性を見逃したり、診断結果が古くなったりするリスクがあります。有料サービスでは、診断の回数に応じたプランを選択でき、随時もしくはプログラムの変更時に診断可能です。診断の頻度を自社のニーズに合わせて、最新のセキュリティ状況を把握することが重要です。

セキュリティに詳しい人材が不足している場合

もしセキュリティに詳しい人材が不足であれば有料サービスがおすすめです。通常診断の結果ぜい弱性が発見された場合、これをなくすための改善案を考えなければなりません。しかし無料プランや無料ツールでは、診断結果のレポートが簡素化されていたり、レポートが提供されなかったりすることがほとんどです。そのためある程度自社だけで、ソースコードの修正といった改善策を考えなければなりません。

またOSS（オープンソース）のぜい弱性診断ツールを利用する場合、自社で使えるように直接ソースコードに手を加える必要があり、ある程度のプログラミング知識が求められます。加えてOSSは世界中のユーザーコミュニティでサポートや開発が行われていますが、ぜい弱性が発見されたりツールに不具合が発生したりしても、コミュニティがすぐに対応してくれるとは限りません。

基本的にはすべて自社だけでの対応することを迫られると考えた方がいいでしょう。一方で有料版は誰でも利用できるうえ、診断結果の詳細やぜい弱性の深刻度や優先度、具体的な対策や方針などをレポートとして提出してもらえます。また専門家によるアドバイスやサポートを受けられたり、相談に乗ってもらえたりもするため、自社だけで対応するのに不安を感じるのであれば有料版の利用がおすすめです。

サービスを比較しましょう

自社に合うサービスを選ぶには、各サービスの内容を比較することが重要です。気になるサービスの資料をダウンロードして自社に合うのか検討してみましょう。

＼料金や機能を資料で比較する／