脆弱性管理システム開発の発注/外注/依頼/委託方法について

脆弱性管理システムの発注では、スキャナーを購入するだけではなく、資産の把握から優先順位付け、修正依頼、再確認、監査証跡までを継続して回せる仕組みを設計することが重要です。費用を抑えながら成果を出すには、対象資産と運用責任を先に決め、製品導入と必要な連携開発を分けて見積もることが基本となります。

本記事では、脆弱性管理システムを発注・外注・委託するときの進め方を、発注形態の選び方、RFPと要件整理、契約形態、費用相場、委託先の選定、見積比較まで順に解説します。100〜500資産から始める企業と、複数拠点・クラウド・SBOMまで管理したい企業の違いも整理しますので、社内稟議やベンダーへの相談前にご活用ください。

▼全体ガイドの記事
・脆弱性管理システム開発の完全ガイド

脆弱性管理システムを発注する前に知っておきたい全体像

脆弱性管理システムの発注は、製品を選ぶ工程と、現場で運用できる業務プロセスを整える工程に分けて考えると整理しやすくなります。発注前に「何を検出するか」だけでなく、「誰がいつまでに対応し、どのような証跡を残すか」まで決めておくと、導入後の使われないシステム化を防げます。

脆弱性診断は、Webアプリケーションやネットワークなどを特定の時点で検査し、弱点を報告するサービスです。一方、脆弱性管理は、サーバー、PC、クラウド、コンテナ、OSSなどの資産を台帳化し、脆弱性の発見、評価、対応依頼、修正後の再確認を繰り返す業務です。診断だけを委託するのか、継続的な管理基盤の導入と運用まで任せるのかで、必要な会社も契約も費用も変わります。

成果物には、環境に構築されたシステムだけでなく、対象資産一覧、検出ルール、リスク評価基準、重大度別の対応期限、例外承認の手順、チケット連携、月次レポート、操作マニュアル、引き継ぎ資料が含まれます。たとえば「重大脆弱性を検知する」という要件だけでは、担当部署が動かない場合があります。「インターネット公開かつ悪用実績がある資産は24時間以内に一次判定し、7日以内に暫定対策または例外承認を記録する」と書けば、運用と検収の基準が明確になります。

発注形態はSaaS導入・導入支援・自社開発のどれを選ぶべきですか？

結論からいえば、多くの企業では、脆弱性管理の中核をSaaSまたはパッケージで導入し、不足する連携や業務画面だけを外注開発する形が現実的です。自社の規制、閉域網、データ保管、既存CMDBやITSMとの統合要件が強い場合は、プライベートクラウドや専用環境も候補になりますが、保守責任とアップデート費用まで含めて比較する必要があります。

SaaSは、脆弱性データベースの更新、検出ルールの追加、可用性の維持をサービス側に任せやすい点が利点です。専任者が少ない企業でも、まず100〜500資産程度を対象に、資産カバレッジと重大脆弱性の対応時間を測定できます。ただし、料金の資産数の定義、エージェント対象外の機器、クラウドアカウントの扱い、ログ保持期間、データの保管地域、APIの利用範囲を契約前に確認してください。

製品を契約しても、資産台帳の欠落、認証付きスキャンの設定、部署ごとの担当割り当て、例外承認のルールが決まらなければ、検出件数だけが増えて現場が疲弊します。導入支援会社には、初期設計、ネットワーク許可、エージェント配布、SSO、JiraやServiceNowなどのチケット連携、教育、運用開始後の定例会までを依頼できます。見積書では「設定作業一式」ではなく、対象資産数、連携本数、会議回数、納品資料、検収条件を分解してもらうと比較しやすくなります。

資産台帳、CVE情報、リスクスコア、ワークフロー、通知、監査証跡を一から自社開発する方法は、独自の業務フローや製品組み込み要件がある場合に選択肢になります。しかし、脆弱性情報の継続更新、検出精度の検証、認証情報の安全な保管、アップデートによる互換性確認まで自社の責任になります。まず市販サービスで標準業務を検証し、標準機能では実現できない部分だけを追加開発する方が、初期リスクと将来の保守負担を抑えやすくなります。

RFPと要件整理では何を発注先に伝えるべきですか？

RFPは、製品名を指定するための資料ではなく、自社のリスクと達成したい運用状態を候補会社へ同じ条件で伝える資料です。MUST要件とWANT要件を分け、現状の課題、対象範囲、連携先、制約、納期、予算の考え方、提案に求める回答形式を記載します。要件が膨張しやすいテーマなので、最初から全機能を必須にしないことが重要です。

対象資産は、サーバー、PC、ネットワーク機器、AWS・Azure・GCPのクラウドリソース、Webアプリ、コンテナ、OSS、リモート端末、OT・IoTに分けて書き出します。各資産について、台数またはアカウント数、所有部署、重要度、インターネット公開状況、認証付きスキャンの可否、停止が許される時間帯、EOLや保守期限を整理します。検出方式も、エージェント、ネットワークスキャン、クラウドAPI、SAST、DAST、SCA、SBOMのどれを使うか指定すると、提案の抜け漏れを確認できます。

CVSSだけで重大度を決めるのではなく、インターネット露出、悪用実績、業務重要度、機密情報の有無、補完対策を組み合わせて優先順位を付ける要件にします。たとえば、公開サーバーで実際の悪用が確認されている脆弱性、重要データを扱う業務基盤の高リスク脆弱性、社内端末の低リスク脆弱性では、対応期限や承認者が異なります。検出から担当通知、一次判定、暫定対策、恒久対応、再スキャン、例外承認、経営報告までの状態遷移をRFPに記載してください。

SSOとMFA、権限分離、認証情報の保管方法、APIの認証方式、操作ログ、データ暗号化、バックアップ、ログ保持期間、データ保管地域を要件に含めます。Jira、ServiceNow、Slack、メール、CMDB、EDR、SIEMなどと連携する場合は、片方向の通知でよいのか、チケットのステータスを相互同期するのかを分けてください。SBOMを扱う場合は、CycloneDXやSPDXなどの形式、コンポーネント識別子、CVEとの照合、VEXの扱い、委託先からの提出・更新履歴も確認対象になります。経済産業省は2025年9月、SBOMを脆弱性管理やサプライチェーンリスク管理に活用する国際ガイダンスへ共同署名しており、発注時にSBOMの受け渡し条件を問う場面は増えています（出典: 経済産業省、2025年）。

契約形態は請負・準委任・ライセンスをどう組み合わせますか？

脆弱性管理では、ソフトウェアの利用契約、初期導入、個別開発、継続運用が混在しやすいため、すべてを一つの契約に押し込まないことが大切です。成果物と完成条件を定められる部分は請負、調査や運用改善のように作業時間と専門性を提供する部分は準委任、SaaSの利用部分はサービス利用契約として分けると、責任範囲を管理しやすくなります。

初期設定済みの環境、資産台帳の移行、ダッシュボード、チケット連携、操作マニュアルなど、完成状態を合意できる成果物は請負契約に向いています。ただし、「脆弱性をゼロにする」「すべての資産を自動検出する」のような結果だけの表現は、外部環境や資産所有者の協力に左右されるため、検収基準になりません。対象資産数、対応する連携、テストケース、重大な不具合の定義、修正期限、検収後の保証範囲を契約書と仕様書に落としてください。

現状調査、資産台帳の整理、RFP作成支援、製品比較、PoC、運用ルールの設計、月次のトリアージ支援は、途中で前提が変わる可能性があります。このような業務は、稼働時間、担当者、会議体、作業範囲、報告物を定める準委任契約が適しています。委託先の判断に任せる部分と、自社が承認する部分を分け、作業時間の上限、追加作業の承認方法、情報管理、秘密保持、インシデント発生時の連絡時間を明記してください。

脆弱性の検出履歴、対応状況、例外承認、再スキャン結果は、監査や事故対応で必要になるため、契約終了時に返却されるべき重要なデータです。CSVやJSONでの出力可否、APIの利用、画像や添付資料の扱い、返却費用、削除証明、移行支援の単価、保持期間を契約前に確認します。データを取り出せないサービスは、導入時に安価でも、将来のベンダー変更やM&A、監査対応で高い移行コストを招く可能性があります。

脆弱性管理システムの発注・外注費用相場はいくらですか？

費用は、製品ライセンス、初期設計・連携、診断・再診断、パッチや改修、運用代行、教育・監査対応に分けて考えます。公開価格で確認できるのは製品や診断サービスの一部であり、発注先による導入設計や自社向けの追加開発を含む総額ではありません。以下の金額は相場の目安であり、資産数、対象クラウド、連携数、サポート時間、為替、税、契約期間によって変わるため、予算枠を作る際のベンチマークとしてお使いください。

Rapid7の公式料金ページでは、InsightVMが500資産を対象に1資産あたり月額1.62米ドルからと表示されています。単純計算では月額810米ドルですが、契約期間、サポート、追加機能、販売形態、為替、税が別途影響するため、円換算額をそのまま発注額と考えないでください（出典: Rapid7公式料金ページ、2026年確認）。Tenableの公式購入ページでは、Nessus Professionalの1年ライセンスが4,790米ドルと表示されていますが、これは脆弱性評価用スキャナーの価格であり、資産台帳やチケット連携を含む管理基盤の総額とは異なります（出典: Tenable公式購入ページ、2026年確認）。

リサーチノートと業務システムの一般的な導入規模をもとにすると、100〜300資産の小規模PoCは初期50万〜200万円程度、期間は1〜2か月程度が一つの目安です。資産台帳、スキャン、基本レポート、最小限の教育を含み、年間利用料は別枠で60万〜200万円程度を想定します。300〜2,000資産で、エージェント、クラウド連携、SSO、ITSM連携、運用設計まで行う標準導入は、初期300万〜1,000万円程度、3〜6か月程度が目安になります。

2,000資産を超え、複数会社・海外拠点、OT・IoT、CMDB、SBOM、独自ワークフローまで統合する場合は、初期1,000万〜3,000万円超、期間6〜12か月程度の計画になる可能性があります。自社開発の比率が高ければ、2,000万〜5,000万円以上になるケースも想定されますが、これは公開されたフルスクラッチの定価ではなく、必要機能と体制から置く推定レンジです。見積書では、製品費、設計、連携、移行、テスト、教育を分けて提示してもらってください。

Securifyの公式料金ページでは、脆弱性診断が月額5万円からと表示され、ASM、CSPM、SBOMなどは機能構成に応じた問い合わせとなっています（出典: Securify公式料金ページ、2026年確認）。これはWebアプリや外部公開資産を継続的に確認するサービスの価格例であり、サーバー、端末、クラウド、チケット運用を含む総合的な脆弱性管理の料金ではありません。国内の診断サービスも、ネットワーク診断やWebアプリ診断の一回料金と、継続管理の月額費用を分けて提示することが一般的です。

運用代行を含める場合は、小規模で月額10万〜50万円程度、中堅以上で月額50万〜200万円程度を推定レンジとして置けます。一次トリアージだけか、担当部署への催促、パッチ適用代行、再スキャン、月次報告、緊急時の休日対応まで含むかで大きく変わります。初期費用を安く見せて運用契約に作業を集中させる提案もあるため、年間総額と3年総額で比較してください。

委託先の選定と見積比較では何を見ればよいですか？

委託先は、製品ベンダー、導入支援会社、診断会社、MSPやSOC事業者に分けて比較します。製品を売る会社が自社の業務設計まで対応できるとは限らず、診断会社が資産台帳やチケット運用を担えるとも限りません。候補会社には同じRFPを渡し、提案内容を価格だけでなく、対象範囲、体制、成果物、運用のしやすさ、契約終了時の移行性で評価してください。

「導入実績が多い」という説明だけでなく、資産数、クラウド比率、拠点数、対象OS、Webアプリやコンテナの有無、運用担当者の人数、導入後の改善指標を確認します。リサーチノートでは、Rapid7 InsightVMを導入したソフトバンクの事例として、数十万を超える機器を一元管理し、継続診断と優先順位付けを自動化した取り組みが紹介されています（出典: ソフトバンク導入事例、2026年確認）。大規模事例をそのまま自社へ当てはめず、資産の棚卸しから対応完了まで、どこを自動化できるかを質問してください。

プロジェクト責任者、脆弱性評価の専門家、クラウド担当、連携開発者、運用担当を誰が担うかも確認します。再委託の有無、海外拠点からのアクセス、認証情報の取り扱い、担当者変更時の引き継ぎ、緊急時の連絡経路が曖昧な提案は注意が必要です。PoCでは営業担当のデモではなく、実際に作業を担当するメンバーに、誤検知の扱いと修正確認の画面を見せてもらいます。

見積比較では、まず「含む・含まない」を一覧にします。最低限、ライセンスまたは利用料、対象資産数、初期構築、資産台帳の移行、エージェント展開、ネットワーク設定、クラウド連携、SSO、ITSM連携、PoC、テスト、教育、マニュアル、運用支援、再診断、サポート、税を分けて確認します。連携費を一式にまとめた見積は、実際のAPI本数やデータ項目が増えたときの追加費用が見えにくくなります。

価格の安さだけでなく、検出対象の広さと対応完了までの工数を比較します。資産カバレッジが低ければ、安いライセンスでも別の診断費や手作業が増えます。逆に高機能な製品でも、現場が使いこなせなければ投資効果が下がります。提案書に、初月・3か月・6か月・12か月の到達状態、KPIの初期値と目標値、顧客側に必要な作業時間を記載してもらうと、導入後の負担まで含めて判断できます。

最終候補には、未知の資産をどのように発見するか、誤検知を誰が判定するか、パッチを適用できないレガシーOSへどのような代替策を提案するかを質問します。加えて、悪用実績や公開範囲をどの情報源から取り込むか、CVEの重複をどう整理するか、SBOMと本番資産をどう紐づけるかも確認します。脆弱性の件数を減らすことだけを成果に据える提案より、重大リスクの期限内修正率や平均修正日数を改善する提案を評価してください。

将来の会社統合、クラウド移行、製品変更を想定し、データ出力、API制限、設計書の著作権、設定情報の返却、契約終了後のサポートを確認します。自社の担当者が半年後に運用できるように、教育の対象者と回数、操作演習、管理者向け手順、障害時の切り分け資料を成果物に含めると安心です。発注先に丸投げするのではなく、自社側の責任者と各資産の所有部署を決めることが、最も重要な選定条件になります。

脆弱性管理システムの発注から運用開始までの進め方

発注は、現状把握、要件整理、候補選定、PoC、契約、段階導入、運用評価の順に進めると安全です。最初から全社展開を目指すのではなく、代表的な資産と担当部署で検出から再確認までの流れを実証し、そこで見つかった課題を本番計画へ反映します。特に本番環境へのスキャンは、負荷や停止リスクを伴うため、実施時間と緊急停止手順を事前に合意してください。

PoCの対象には、代表的なサーバー、クラウドアカウント、端末、ネットワーク機器、Webアプリを含めます。デモで脆弱性が見つかるかだけでなく、資産が正しく重複排除されるか、認証付きスキャンが安全に動くか、誤検知を保留できるか、担当部署へチケットが作られるか、修正後に同じ資産を再確認できるかをテストします。PoCの評価項目と合格ラインを契約前に決めると、導入判断が属人的になりません。

PoC後は、インターネット公開資産、重要サーバー、クラウド、社内端末のようにリスクの異なる単位で展開します。各段階で資産カバレッジ、重大脆弱性の期限内修正率、平均修正日数、再発率、例外残高、スキャン失敗率を確認します。検出件数が増えた場合も、資産の可視化が進んだ結果なのか、設定ミスや誤検知なのかを分析し、単純に失敗と判断しないことが大切です。

運用開始後は、月次で重大脆弱性の残件、期限超過、対応時間、例外承認の有効期限、資産の新規・退役、スキャン失敗を確認します。四半期ごとには、検出対象の見直し、クラウドアカウントの追加、CI/CDのSCAやコンテナスキャン、SBOMの更新、契約容量の妥当性を評価します。脆弱性管理はセキュリティ部門だけの仕事ではないため、IT、開発、インフラ、事業部門、調達、監査が参加する責任分担を定着させてください。

発注・外注で起こりやすい失敗と回避策

脆弱性管理の失敗は、製品の性能不足よりも、対象範囲、責任、優先順位、契約条件が曖昧なまま発注することで起こりやすくなります。発注時点で「導入後に誰が何をするか」を合意し、発注先から見えない自社側の作業も計画に入れてください。費用の比較だけでは判断できない運用負荷を把握することが、外注成功の近道になります。

脆弱性の検出件数は、資産の発見や新しい情報の取り込みで一時的に増えることがあります。件数だけを目標にすると、低リスクの項目を閉じる作業に偏り、公開サーバーや重要業務のリスクが残る可能性があります。資産カバレッジ、重要脆弱性の期限内修正率、平均修正日数、例外の期限切れ、再発率を組み合わせ、経営層には残存リスクと事業影響を説明してください。

委託先は、検出結果の整理や運用作業を支援できますが、どの業務を止めるか、どのリスクを受容するか、どの予算で改修するかは自社が決める必要があります。情報システム部門だけに任せず、資産を所有する事業部門、開発責任者、監査、調達を含めた承認ルートを作ります。代替策としてネットワーク隔離や仮想パッチを採用する場合も、期限と責任者を記録し、放置と区別してください。

よくある質問（FAQ）

脆弱性管理システムの発注では、費用だけでなく、導入範囲と運用責任に関する質問が多く寄せられます。ここでは、検討初期に判断しやすいように、よくある疑問へ直接回答します。

一律の金額はありません。100〜300資産の小規模PoCなら初期50万〜200万円程度、300〜2,000資産の標準導入なら初期300万〜1,000万円程度を目安にできますが、製品利用料、連携、運用支援は別途です。公開価格は製品や診断サービスの一部なので、資産数と作業範囲を揃えた年間総額で比較してください。

製品の機能やライセンス条件は製品ベンダー、業務整理や既存システムとの連携は導入支援・開発会社へ相談するのが基本です。両方を一社に任せる方法もありますが、資産台帳の整備、チケット連携、運用教育、契約終了時のデータ返却まで対応範囲を確認してください。自社の固有業務が少ない場合はSaaS導入を優先し、固有連携が大きい場合は追加開発の経験がある会社を選びます。

原則として、代表的な資産でPoCを行ってから段階的に広げることをおすすめします。最初はインターネット公開資産や重要サーバーなど、事業リスクが高く、関係部署を巻き込みやすい範囲を選びます。全社導入の条件を決めるために、検出精度、スキャン負荷、担当通知、再確認、例外承認までを確認し、そこで得た作業量を本番の見積もりへ反映してください。

まとめ：発注範囲と運用責任を決めてから外注します

脆弱性管理システムの発注では、SaaS・パッケージ・スクラッチの選択を先に決めるのではなく、対象資産、検出方式、優先順位、対応期限、担当部署、チケット連携、監査証跡を整理することから始めます。多くの企業では、中核機能をSaaSやパッケージで導入し、不足する連携や業務画面を追加開発する方法が、導入スピードと柔軟性のバランスを取りやすくなります。

発注前は、100〜500資産のPoCか全社導入か、製品ライセンスと導入作業の範囲、初期費用と年間費用、請負と準委任の区分、検収条件、SLA、データ返却、教育、運用代行の有無を確認します。見積比較では、同じ資産数と同じ連携条件で3社程度から提案を受け、価格差の理由を質問してください。安価な提案を選ぶ場合も、対象外の資産、手作業、追加ライセンス、契約終了時の移行費用を把握しておくことが大切です。

導入後は、資産カバレッジ、重大脆弱性の期限内修正率、平均修正日数、再発率、例外残高を月次で確認します。2025年以降はSBOMやクラウド、コンテナ、外部公開資産を含めた管理も重視されるため、将来の対象範囲をRFPに書き、APIとデータ出力の余地を残してください。EU向けにデジタル製品を提供する企業では、EUサイバーレジリエンス法により、2026年9月11日から積極的に悪用された脆弱性や重大インシデントの報告が始まり、早期警告24時間、完全な通知72時間などの期限が示されています（出典: 欧州委員会、2026年確認）。制度の適用対象は自社で確認しつつ、脆弱性受付、影響判定、報告、修正、通知の証跡を管理できる設計にしておくと安心です。

脆弱性管理システムは、導入して終わる製品ではなく、事業リスクを下げるための継続業務です。自社の意思決定者と各資産の所有部署を置き、委託先には技術導入だけでなく運用定着までの提案を求めることで、発注・外注の成果を実際のリスク低減につなげられます。

▼全体ガイドの記事
・脆弱性管理システム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。