セキュリティ診断は内製・外注どちらを選ぶ？人材・費用・判断範囲を比較

無料の診断ツールを使えば、外注費をかけずに済むのでしょうか。

また、ほかの業務を兼務する担当者でも、検出結果が本当に危険かまで判断できるのでしょうか。

セキュリティ診断は、ツールを動かして終わりではありません。

結果の見方が難しく、どこまで社内で判断すべきか迷うこともあります。

確認する画面や機能を決め、結果を判断し、制作会社へ修正を依頼し、修正後に問題が解消したか確かめるところまで続きます。

この記事では、診断後の判断まで社内で担えるかという視点から、内製・外注・併用の選び方をご紹介します。

費用相場やサービス選定を詳しく確認したい場合は、診断サービス比較・選び方・料金の全体像も参考にしてください。

セキュリティー診断さん

内部診断と外部診断？ うーん、どっちもサイトの弱点を見つけるやつでしょ？ 何が違うんだろう…？

内製と外注で違うのは誰が判断まで担うか

内製は、ツールの操作だけでなく、診断対象の決定、結果の判断、修正依頼、修正後の確認まで自社で担う方法です。

外注は専門的な確認と判断を任せ、自社は報告を受けて制作会社や開発会社へ修正を依頼し、対応状況を確認する方法です。

診断料金だけで比べると、担当者の作業時間や教育、修正後の確認にかかる負担を見落としやすくなります。

想定外の社内負担が増えないか心配な場合は、同じ診断対象と依頼範囲で比較してください。

内製に向く会社と外注に向く会社

内製は、診断結果を判断できる担当者がおり、通常業務と両立しながら修正後の確認まで続けられる会社に向きます。

無料または市販のツールを使い、自社の都合に合わせて日常的な確認を続ければ、知識を社内へ蓄積しやすくなります。

一方、診断精度は担当者の知識や経験、利用するツールの機能に左右されます。

結果の判断や追加確認が必要な問題を見落とさない体制が欠かせません。

外注は、専門担当者がいない場合や、重要な機能の公開前、第三者による確認結果が必要な場合に検討できます。

自社では気づきにくい弱点を専門的な視点で確認でき、診断ツールの操作や結果分析を社内だけで進める負担も減らせます。

外注後は、受け取った結果をもとに、制作会社や開発会社へ修正を依頼する自社側の担当者も決めておきましょう。

内製・外注を選ぶ前に確認したいこと

内製か外注かは、価格だけでなく、次の項目から判断します。

• 社内に診断結果を判断できる担当者がいるか
• 担当者が通常業務と診断を両立できるか
• 問い合わせ、ログイン、決済、管理画面、APIなど重要な機能があるか
• 制作会社や開発会社へ修正内容を伝えられるか
• 取引先などへ第三者の確認結果を説明する必要があるか
• 修正後の確認まで継続できるか

専門人材と時間が足りず、担当者だけでは困る場合は、必要な場面の専門判断を外部へ任せると、社内で抱える作業を整理できます。

外注前に診断してほしい画面や機能を整理する

外注先を選ぶ前に、自社が守りたい画面や機能を整理します。

同じ「セキュリティ診断」でも、確認する範囲はサービスによって異なるため、契約前に確認しておきましょう。

診断する場所と対象外の場所

診断範囲は「サイト全体」のような曖昧な単位ではなく、問い合わせ、ログイン後の会員画面、決済、管理画面、外部公開APIなど、業務上重要な機能で伝えます。

確認されない場所も契約前に把握すれば、必要な機能が対象から漏れるのを防げます。

費用と依頼範囲を同じ条件で比べる

費用は、対象となる画面や機能、ログインの有無、報告内容、修正後の再確認などによって変わります。

複数の外注先を比較するときは、同じ診断対象と依頼範囲を伝え、追加費用が発生する条件も確認してください。

結果を修正依頼と再確認に使えるか

報告書は、見つかった弱点と危険度だけでなく、影響する画面や機能、制作会社へ相談する内容が分かるかを確認します。

修正後に再確認できるかも確かめ、報告書を受け取るだけで終わらず、問題の解消まで追える外注先を選びましょう。

実施方法まで比較する場合は、自動・手動を含む脆弱性診断の種類と選び方も参考にしてみてください。

内製と外注は役割で組み合わせられる

内製か外注かを完全な二者択一にする必要はありません。

日常的に確認できることは社内で続け、公開前や大きな変更後、判断が難しい問題は外部へ任せると、無理のない役割分担になります。

内製・外注と内部診断・外部診断は別の分類

内製・外注は「誰が診断するか」、内部診断・外部診断は「どこを確認するか」という違いです。

外部診断は、インターネット側から公開Webサイトやフォーム、ログイン画面などを確認します。

内部診断は、社内ネットワークなど、組織内部からアクセスできる範囲を確認します。

内製・外注の選択とは分けて考えてください。

必要な場面の専門判断を外部へ任せる

専門担当者を常時置くことが難しい会社でも、必要な場面で公開WebサイトやWebアプリの状態を外部へ確認してもらえます。

『セキュリティー診断さん』では、外部からアクセスできるWebサイト、Webアプリ、ECサイト、APIの弱点を確認し、分かりやすい診断結果として整理します。

その結果を制作会社や開発会社へ渡せば、自社だけでは判断しにくい問題について、どの画面や機能を修正すべきか相談しやすくなります。

社内パソコンや社内LANの確認、実際の修正作業は、それぞれを担当する会社へ依頼し、自社では対応状況を確認します。

まとめ：自社で判断できない部分は外部へ任せる

内製には、診断対象を決め、結果を判断し、修正依頼と再確認まで続ける人材と時間が必要です。

その体制がある会社は社内確認を継続し、公開前や重要な機能、第三者確認が必要な場面では外注を組み合わせられます。

自社だけで判断するのが難しい場合は、『セキュリティー診断さん』で公開サイトの状態を確認し、制作会社へ次に何を相談すべきか整理できます。

専門担当者を常時置かなくても、必要なときに専門的な確認を任せ、未修正の問題が残っていないか追える状態を作りましょう。

セキュリティー診断さん

うちのサイトも、まずは外部診断からお願いしてみよう！ ヨシ！ これで安心してビジネスに集中できるね！ (๑•̀ㅂ•́)و✧