Webサイトのセキュリティはどこに頼む？｜脆弱性診断会社・保守会社・SRE顧問の違いと選び方

Webサイトやシステムのセキュリティを外部に頼むとき、依頼先は、「問題を見つける」「直す」「運用を続ける」のどれを任せたいかで決まります。脆弱性診断会社は見つける役、制作会社や保守会社は直す役、SRE顧問は更新や監視を続けて回す役です。

php2shellのような脆弱性のニュースを見て「うちは大丈夫か」と不安になっても、社内に確認できる人がいなければ、誰に何を頼むかで手が止まります。この記事では、依頼先の種類と役割の違い、状況別の選び方、比べるときの確認項目を順に説明します。

セキュリティを頼める先は4種類

調査時点: 2026年10月。Webサイトやシステムのセキュリティで外部に頼める先は、主に次の4種類です。名前が似ていても、引き受ける作業は大きく違います。

脆弱性診断の専門会社は「見つける」

診断会社は、サイトに対して攻撃者の視点で検査を行い、見つかった問題を報告書にまとめます。当社が確認したWebアプリケーション診断の公開料金の例は税抜40万円から135万円〜で、対象の数え方や再診断の条件は会社ごとに違います。詳しくは脆弱性診断の費用相場で比べています。

診断会社を探すときは、IPAが公開している情報セキュリティサービス基準適合サービスリストが参考になります。経済産業省の基準に適合すると審査登録機関が判定したサービスの一覧で、脆弱性診断・デジタルフォレンジック・セキュリティ監視運用などの分野に分かれています。ただし、IPAはリストへの掲載が品質の保証ではないと明記しています。

制作会社・保守会社・開発会社は「直す」

サイトを作った会社や、保守を任せている会社は、修正や更新の実作業を担います。どこまでが月額に含まれるかは契約によって違い、PHPやOSの更新が「別見積もり」になっていることもあります。月額に含まれる作業の確認項目はWebサイト・システム保守の費用と契約範囲にまとめています。

中小企業向けの監視サービスは「端末とネットワークを見守る」

IPAは、中小企業向けに異常の見守り・緊急時の駆け付け・保険などを1つにまとめた民間のサービスを「サイバーセキュリティお助け隊サービス」として登録しています。社内のパソコンやネットワークへの攻撃に備えるサービスで、Webサイトのコードやサーバーの更新を代わりに行うものではありません。

IPAの公式図で、監視する場所を比べてみます。ネットワーク監視は、インターネットと社内ネットワークの間にUTMなどの装置を置く方式です。端末監視は、各パソコンにEDRなどのソフトウェアを入れる方式で、社外へ持ち出す端末も対象にできます。依頼先を比べるときは、どちらを提供するか、両方を組み合わせるかを確認します。

SRE顧問・技術顧問は「運用を続けて回す」

SRE顧問は、更新・監視・障害対応の運用を整え、継続して支える外部の技術者です。緊急の更新を「止めてよい時間や確認の方法が分からないから適用できない」という状態をなくすのが役割です。依頼できる範囲はSRE顧問とはで詳しく説明しています。

状況別の選び方

どの依頼先が合うかは、社内の体制と、すでにある契約で決まります。

社内に直せる人がいる

診断会社に検査を頼み、報告書をもとに社内で修正するのが基本です。報告書の指摘は危険度の順に並びますが、直す順番は公開範囲や業務への影響も含めて決めます。判断の目安はCVSSの読み方と対応の順番で説明しています。

作った会社と保守契約がある

まず保守契約書を開き、PHPやOSの更新、緊急時の対応、バックアップからの復元が月額に含まれるかを確認します。含まれていれば保守会社に依頼し、含まれていなければ追加の見積もりを取ります。保守会社が「CMSの更新はするが、サーバーのPHPは対象外」としている場合、PHPの更新は誰も担当していないことになります。

作った会社が分からない・連絡がつかない

この状態がもっとも手が止まりやすいケースです。診断会社に頼んでも、報告書を受け取ったあとに直す人がいません。どのサーバーで何が動いているかの洗い出しから、修正・更新、更新後の確認までを1つの窓口に頼むと、依頼先の間で作業が止まりにくくなります。

決済や会員情報を扱う

カード決済を扱うEC加盟店には、クレジットカード・セキュリティガイドラインで脆弱性診断又はペネトレーションテストの定期的な実施と、必要な修正が求められています。第三者による診断を受けたうえで、指摘を直す担当と期限も決めておきます。詳しくは脆弱性診断の費用相場のEC加盟店の節を参照してください。

依頼先を比べるときに確認すること

見積もりや提案を比べるときは、金額より先に「どこまでやってくれるか」を揃えます。

とくに「修正まで頼めるか」と「手元に残るもの」は、契約後に食い違いやすい項目です。作業の記録や手順が残らないと、次の脆弱性のときにまた同じところから始めることになります。

相談の前に揃えておく情報

依頼先が決まっていなくても、次の情報を揃えておくと、最初の相談で話が進みます。すべて分からなくても構いません。分からない項目があること自体が、相談先に伝えるべき情報です。

1. サイトとシステムの一覧: 会社で運用しているドメイン、サイト、業務システムの名前
2. サーバーの種類と契約者: レンタルサーバー・VPS・クラウドのどれか、誰の名義で契約しているか
3. 管理者アカウントの所在: サーバー・CMS・ドメイン管理の管理者アカウントを、誰が持っているか
4. 作った会社と契約: 制作会社・保守会社の名前、保守契約書の有無と範囲
5. 分かる範囲のバージョン: PHP・WordPress・フレームワークのバージョン（PHPのサポート期限一覧で期限も確認できます）

パスワードや顧客データを、最初の問い合わせに書く必要はありません。共有の方法は、秘密保持の取り決めをしてから相談先と決めます。

wrenに頼めること・頼めないこと

wrenは脆弱性診断の専門サービスを提供していません。第三者による診断の結果が必要な場合は、診断の専門会社への依頼をおすすめします。

当社がSRE顧問の窓口で受けているのは、次の作業です。

• PHPなどがどのサーバー・サイトで動いているかの洗い出しと、脆弱性の影響の確認
• 修正版への更新と、更新後の動作確認
• 次の更新を社内で回せるよう、構成管理・デプロイ・アラートと障害対応の手順を整えること

当社は自社でもad-cre.aiやKokage.aiを開発・運営し、ライブラリのバージョン管理や技術的な防御を日々行っています。自社サイトで行っている対策はWebサービス事業者のセキュリティ対策に載せています。

「作った会社と連絡がつかない」「影響があるか判断できない」といった段階からご相談いただけます。SRE顧問の相談フォームに、対象のサイトやシステムの概要と、困っていることをお書きください。