WAFのシステム開発の発注/外注/依頼/委託方法について

WAFのシステム開発を発注・外注するなら、WAF製品を選ぶだけでなく、対象サイトの整理、ルール調整、ログ監視、緊急対応まで含めて委託範囲を決めることが重要です。

この記事では、WAFのシステムを自社で設定するか外部へ委託するかの判断から、発注形態の選び方、RFP・要件整理、契約形態、費用相場、委託先の比較方法まで、実務で迷いやすい順に解説します。WAF本体を一から開発するのではなく、クラウドWAFやSaaS型WAFを既存のWebサイトやWeb APIへ組み込み、運用まで安全に引き継ぐ方法が中心です。

▼全体ガイドの記事
・WAFのシステム開発の完全ガイド

WAFのシステムを発注する前に知っておきたい全体像

WAFは、WebサイトやWeb APIの前段でHTTP・HTTPSリクエストを検査し、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃を検知・遮断する仕組みです。発注の対象はWAFの設定だけに見えますが、実際の成否はアプリケーションの正常な通信を把握し、攻撃ログを判断し、例外ルールを適切に管理できるかで決まります。

WAFのシステムとは、Webアプリケーションへ届くリクエストをアプリケーションサーバーの前で確認し、危険な通信を止めるセキュリティシステムです。一般的には、CDNやエッジのリバースプロキシ型、AWSのALBやAzure Application Gatewayと一体化するロードバランサー型、オンプレミスのアプライアンス型、設定・監視を外部へ任せるマネージド型があります。

IPAもWAFを、不正なHTTP通信を自動的に検知・遮断し、脆弱性が修正されるまでのリスクを低減するソフトウェアまたはハードウェアとして説明しています（出典: IPA「安全なウェブサイトの作り方」、2026年8月確認）。ただし、安全なコーディング、脆弱性診断、パッチ適用、認証・認可の不備をWAFだけで直せるわけではありません。発注書には「WAFが防ぐ範囲」と「アプリケーション側で対応する範囲」を分けて書く必要があります。

WAFを導入しても、設定後にログを見なければ、誤検知で正規ユーザーを止めたり、攻撃の傾向を見逃したりします。とくに会員サイト、EC、予約サイト、業務ポータル、決済APIでは、検索文字列、JSON、ファイルアップロード、ログイン処理などが標準ルールに反応する場合があります。そのため、要件にはルール更新、誤検知の調査、アラート通知、ログ保管、インシデント時の連絡先まで含めます。

PCI DSSの対象となる決済関連サイトでは、公開Webアプリケーションに対してWeb攻撃を検知・防止する自動技術を導入する要件6.4.2が、2025年3月31日以降の適用要件として示されています（出典: PCI Security Standards Council FAQ、2026年8月確認）。WAFの導入だけで準拠が完了するわけではありませんが、監査ログや運用手順を含めて外注範囲を設計するきっかけになります。

WAFの発注形態はどの方法を選ぶべきですか？

WAFの発注形態は、既存クラウドを自社で設定する方式、導入支援だけを外注する方式、運用まで任せるマネージド方式、ネットワークやアプリケーション改修を含めた一括委託に大きく分かれます。最適な方法は会社の規模ではなく、既存クラウド、Webサイト数、APIの複雑さ、社内でログを判断できる人材、必要な監視時間によって決まります。

AWS、Azure、Google Cloudの利用が一つにまとまり、インフラ担当者がいる場合は、各クラウドのWAFを自社で設定する方法が候補になります。クラウドの認証・権限管理、ロードバランサー、ログ基盤と接続しやすく、製品料金を抑えやすい点がメリットです。一方で、ルールの例外判断や脆弱性情報の確認を社内で継続する必要があります。

自社設定を選ぶ場合でも、初回だけ導入支援を依頼し、設計書、ルール一覧、テスト結果、切戻し手順を納品してもらう方法が現実的です。運用を内製化するなら、外注先に丸投げするのではなく、社内担当者がログの読み方とルール変更の判断基準を引き継げるかを契約前に確認します。

専任のセキュリティ担当者がいない場合や、24時間365日の監視が必要な場合は、マネージドWAFや運用代行が向いています。委託先が標準ルールの更新、攻撃ログの分析、誤検知の調整、緊急連絡を担うため、担当者の負担を下げられます。ただし、WAF製品の料金に加えて運用費が発生し、どこまでが月額に含まれるかがサービスごとに異なります。

比較時は「監視あり」という言葉だけで判断せず、監視時間、一次対応の開始時間、ルール変更の回数制限、緊急遮断の方法、月次報告、ログの保存期間、障害時のSLAを確認します。平日日中のサポートと24時間監視では、同じWAFでも発注すべきサービスの範囲が変わります。

WAFエンジンそのものをフルスクラッチで開発する発注は、通常の企業システムでは現実的ではありません。攻撃パターンの更新、検知品質、性能、誤検知、未知の攻撃への対応、24時間の障害対応まで自社の責任になるためです。WAF本体は実績のあるクラウドWAFやSaaS型WAFを使い、独自開発はルール申請画面、複数サイトへの配布、SIEM連携、社内レポートなど周辺機能に限定する方が安全です。

既存の業務システムを改修できない、古いパッケージを使っている、開発会社が撤退しているといった事情があっても、前段にWAFを置くことでリスクを下げられる場合があります。ただし、オリジンサーバーへ直接アクセスできる状態では迂回されるため、WAF経由の通信だけを許可するネットワーク設計も委託範囲に含めます。

WAFのシステム開発を外注する進め方

WAFの外注は、製品を契約して設定を依頼するだけでは終わりません。対象資産を棚卸しし、要件を定義し、検知モードで観測し、段階的にブロックへ移し、リリース後の運用を定着させる流れで進めます。実装前にアプリ担当者とインフラ担当者が同じ計画を持つことが、誤検知を減らす近道です。

最初に、保護するFQDN、Webサイト、管理画面、Web API、ログイン画面、決済画面、ファイルアップロード機能、個人情報を扱う処理を一覧にします。月間リクエスト数だけでなく、ピーク時のMbps、同時接続数、リクエスト本文のサイズ、HTTPS終端の位置、オリジンのIPアドレス、現在のCDNやロードバランサーも確認します。

次に、SQLインジェクションやXSSだけでなく、ログインへの総当たり、クレデンシャルスタッフィング、悪性Bot、APIの過剰利用、スクレイピング、DDoS、地域制限など、業務上の脅威を整理します。OWASP Top 10:2025を参照する場合も、一覧を貼るだけではなく、自社の画面・APIのどこに該当するかをRFPへ落とし込みます。

いきなり本番の全サイトでブロックを有効にすると、正常な通信まで止めるおそれがあります。まず検知・カウントモードで1〜2週間程度の観測期間を置き、通常の検索語、管理画面、JSON API、ファイルアップロード、決済の戻り通信がどのルールに該当するかを確認します。期間はトラフィック量やリリース頻度で変わるため、固定日数だけでなく、主要業務の一巡を条件にする方法もあります。

例外ルールを作るときは、URL全体を無条件に許可するのではなく、対象パス、HTTPメソッド、送信元、パラメータなどを絞ります。例外を広げすぎると防御の穴になるため、理由、期限、承認者、再確認日を記録します。限定した画面からブロックへ移し、問題がないことを確認してから対象範囲を広げる流れが安全です。

本番切替前には、正常系の画面操作だけでなく、攻撃シミュレーション、負荷試験、APIの許可形式、ファイルサイズ制限、TLS設定、ログのマスキング、アラート通知を確認します。WAFを経由しないオリジン直アクセスが遮断されているか、DNSや証明書を戻せるか、WAF障害時にどの経路へ切り戻すかもテストします。

リリース後は、ブロック件数、誤検知件数、レスポンス時間、オリジン負荷、ルール変更数、アラートへの初動時間を運用KPIとして定例レビューします。納品物は設定済みの画面だけでなく、構成図、ルール一覧、変更履歴、ログ閲覧権限、障害連絡網、緊急解除手順、担当者向けの操作説明書まで含めます。

RFPと要件整理でWAFの発注範囲を明確にする方法

WAFの見積もりが会社ごとに大きく違う原因は、対象範囲と運用条件が曖昧なまま依頼することです。RFPでは、現状のネットワークとアプリケーション、守りたい脅威、必要な性能、運用体制、納品物、契約条件を分けて記載し、各社が同じ前提で見積もれるようにします。

RFPには、FQDN数、環境数、月間リクエスト数、ピーク時の帯域、主なURL、APIの有無、JSONやXMLの利用、ファイルアップロード、ログイン・決済、個人情報の有無を書きます。AWS、Azure、Google Cloud、オンプレミスなどの配置と、CloudFront、CDN、ロードバランサー、Webサーバーの構成も図にします。

ログ要件では、保存期間、保管場所、個人情報のマスキング、閲覧権限、SIEMやCloudWatchなどへの連携、監査時に取り出す形式を決めます。リクエスト本文をログに残すと機密情報が含まれる可能性があるため、必要な項目だけを保存する設計を外注先に求めます。

防御要件には、OWASP系のマネージドルール、IP・国・地域制限、レート制限、Bot対策、APIの入力形式、DDoS対策との役割分担を記載します。性能要件には、通常時とピーク時のレスポンス、許容する追加遅延、同時接続数、障害時の挙動を記載します。WAFを入れた後に画面が遅くなっても、事前の基準値がなければ原因を判断しにくくなります。

運用要件には、検知からブロックへ移す承認者、ルール更新の頻度、誤検知の調査時間、緊急時の電話連絡、月次報告、脆弱性情報の共有を記載します。PCI DSSや取引先の監査要件がある場合は、準拠を保証するよう求めるのではなく、必要な証跡を何の形式で提供できるかを確認します。

成果物は、構成図、設計書、ルール定義、例外ルールの理由、テスト計画・結果、ログ設計、監視設定、運用手順、障害時の切戻し手順、教育資料、設定情報の引渡しとします。単に「WAFを設定済み」と書くのではなく、主要な正常系リクエストが通ること、想定した攻撃パターンが検知されること、ログが指定先へ届くことを受け入れ条件にします。

検知モードの観測期間、ブロック開始の条件、リリース後の無償調整期間もRFPに入れます。これにより、納品直後に誤検知が起きた場合に、初期不具合なのか追加運用なのかを判断しやすくなります。発注者側で判断できない項目は、各社から前提条件と確認質問を出してもらい、回答を全社へ共有します。

WAFの契約形態と責任分界をどう決めますか？

WAFの発注では、初期の設計・設定と、リリース後の監視・保守を同じ契約にするか分けるかを決めます。作業内容が明確で成果物を納品する初期導入は請負契約、調査や改善を継続する運用支援は準委任契約や月額サービス契約とする組み合わせが一般的です。法的な契約判断は自社の法務担当者や専門家にも確認してください。

設計書や構成図を作成し、決めた環境へ設定し、定義したテストに合格させる部分は、成果物と完了条件を置きやすい領域です。一方、攻撃ログを見て相談しながら例外ルールを調整する作業は、アクセス状況によって工数が変わるため、稼働時間や対応範囲を定めた準委任の方が実態に合う場合があります。

契約書や個別発注書には、対象環境、作業時間、対応窓口、変更依頼の方法、追加費用の条件、再委託の扱い、秘密情報、損害賠償、終了時のデータ返却を記載します。セキュリティ事故の責任を「WAF導入会社がすべて負う」と曖昧にせず、アプリの脆弱性、クラウド基盤、WAFルール、監視判断の担当を分けます。

WAF製品のアカウント所有者、請求先、ルールの所有権、IaCや設定ファイルの保管場所、ログの管理者を発注者側に残すか、委託先が持つかを決めます。委託先だけが管理画面へ入れる状態は、担当者の交代や契約終了時に運用が止まるリスクがあります。最低限、発注者が閲覧・承認できる権限と緊急時の管理者権限を確保します。

また、WAFを別の製品へ移行できるよう、ルールの意図、例外理由、ログ出力先、証明書、DNS設定、監視条件を引き渡せる形にします。専用の画面にしか残らない情報がある場合は、契約終了時のエクスポート形式と期限を明記します。これがベンダーロックインを抑え、将来の再発注や相見積もりを可能にします。

WAFのシステム発注にかかる費用相場と内訳

WAFの費用は、WAF製品の利用料、クラウドやCDNの基盤料金、初期導入作業、ルールチューニング、ログ保管、監視・保守に分けて考えます。下記の初期費用レンジは、WAF専用の市場平均ではなく、リサーチノートに基づく一般的な導入工数と人月単価からの推定です。実際の金額はサイト数、トラフィック、API、HTTPS終端、既存構成、監視時間で変わります。

1サイトのDNSまたはロードバランサー設定、TLS、標準ルール、ログ出力、疎通確認だけなら、初期30万〜100万円程度が推定レンジです。正常通信の確認、APIや業務画面の例外設定、攻撃・負荷テスト、運用手順まで含める通常導入では、初期50万〜200万円程度を見込むことがあります。いずれも公式の一律価格ではなく、作業範囲に基づく概算です。

複数サイト、複数クラウド、SIEM連携、IaC、権限分離、BCP、移行・切戻し設計まで含めると、初期200万〜500万円程度のレンジになる可能性があります。独自のルール申請画面や複数サイトへの配布基盤を追加開発する場合は、300万〜1,000万円超になることもありますが、追加機能の要件と工数を分けて見積もる必要があります。

AWS WAFの公式料金例では、Web ACLが月5米ドル、ルールが1ルールあたり月1米ドル、リクエストが100万件あたり0.60米ドルです。公式例のWeb ACL 1個、19ルール、月間1,000万リクエストでは、AWS WAF部分が月30米ドルとなります（出典: AWS WAF料金表、2026年8月確認）。ただし、CloudFront、ALB、API Gateway、ログ、マネージドルール、Bot対策などは別料金のため、製品画面の料金だけで総額を判断しません。

運用支援付きの公開価格では、WafCharmが初期費用・サポート費用0円で、Lite月額46,000円以上、Business月額112,000円以上、Enterprise月額192,000円以上を示しています。AWS WAF、Azure WAF、Google Cloud Armorの利用料金は別途です（出典: WafCharm料金表、2026年8月確認）。自社運用のクラウドWAFと、運用代行サービスを同じ「月額WAF」として比較しないことが重要です。

国内SaaS型WAFでは、Scutumが初期費用110,000円、月額32,780円からの料金を公開し、ピークトラフィックに応じて月額65,780円、140,800円、162,800円、217,800円、327,800円などの区分を設けています（出典: Scutum料金表、2026年8月確認）。対象FQDNやピーク帯域の条件で価格が変わるため、自社のアクセス実績を提示して正式見積もりを取ります。

相場を大きく整理すると、セルフ設定型クラウドWAFの製品料金は月数千円〜数万円程度から始まりますが、クラウド基盤やログ費用は別に発生します。SaaS型や運用支援付きは月4万〜20万円超、SOC、DDoS対策、複数サイト、24時間対応まで含めると月10万〜50万円超の見積もりもあり得ます。これらはサービス内容によるレンジであり、監視レベルと対象範囲を併記して比較します。

WAFの見積もりを比較して委託先を選ぶポイント

委託先を選ぶときは、会社名や製品名の知名度だけでなく、自社の構成に合うこと、アプリケーションを理解してログを判断できること、契約後の運用が続くことを確認します。安い見積もりが優れているのではなく、同じ成果物・同じ監視条件で比較できる見積もりが信頼できます。

AWS上にWebサイトやAPIが集約されているならAWS WAF、Azure中心ならAzure WAF、Google Cloudのロードバランシングを使うならGoogle Cloud Armorが候補になります。複数クラウドや海外アクセスを含む場合はCloudflareのようなエッジ型、専任担当者を置きにくい場合はWafCharmやScutumのような運用支援・SaaS型も比較します。製品の優劣ではなく、既存構成との接続、運用担当者のスキル、将来の移行方針で絞り込みます。

公式事例では、ecbeingがAmazon CloudFrontとAWS WAFを約1,000サイトへ2023年5月から2024年3月まで適用し、設定後のログ確認とルール調整に約2か月をかけています。個別サイトへの適用リードタイムは統合後1営業日になったと紹介されています（出典: AWS導入事例「株式会社ecbeing」、2026年8月確認）。大規模導入でも、設定そのものよりアプリを知る担当者によるログ判断が重要です。

見積書は、現状調査、要件定義、方式選定、基本設計、DNS・TLS・ロードバランサー設定、ルール作成、例外調整、テスト、監視設定、ドキュメント作成、教育、リリース支援、保守に分けてもらいます。製品ライセンス、クラウド利用料、ログ保管、マネージドルール、Bot・DDoS機能、監視サービスの料金も別欄にします。

比較表に入れる項目は、対象FQDN数、月間リクエスト数、ピークMbps、ログ保存期間、ルール更新の回数、誤検知の調査時間、障害連絡の受付時間、SLA、追加作業の単価、契約期間、解約時のデータ返却です。月額が低くても、ログ調査や緊急対応が別料金なら、年間総額は高くなる可能性があります。

提案時には、同業・同規模の導入実績、WAFログを読めるアプリ担当者の有無、検知からブロックへ移す標準手順、24時間対応の実態、セキュリティ事故時の連絡経路を質問します。「導入実績あり」という説明だけでなく、正常通信を止めたときに何を見てどう復旧したかを聞くと、実務力を判断しやすくなります。

さらに、WAFの設定情報、IaC、ルール、ログ、レポートを誰が所有するか、別ベンダーへ移行できるかを確認します。特定の担当者しか変更できない、ルールの理由が文書化されない、ログを契約終了後に受け取れない場合は、価格が安くても将来のリスクが大きくなります。発注先の選定では、初期費用と月額費用に加えて、三年間の運用継続性を比較します。

WAFのシステム発注・外注でよくある質問

WAFの外注では、製品の選択よりも、どこまでを委託し、誰が最終判断をするかが疑問になりやすいです。ここでは発注前に確認されることが多い質問へ、費用と運用の前提を含めて回答します。

WAFエンジン自体は、実績のあるクラウドWAFやSaaS型WAFを採用し、導入・ルール調整・監視の必要な範囲を外注する方法が現実的です。社内にクラウドとアプリケーションの担当者がいる場合は設定を内製し、初期設計やPoCだけ外部へ依頼する方法も選べます。

製品料金だけなら、クラウドWAFの公式料金例のように月数千円から計算できる場合がありますが、初期設定、ログ、クラウド基盤、監視は別です。導入作業の推定レンジは基本設定で30万〜100万円、ルール調整やテストまで含めて50万〜200万円程度ですが、これは対象範囲と作業工数からの概算です。正式な費用はRFPへトラフィックと運用条件を記載して見積もります。

不要にはなりません。WAFは攻撃リクエストを検知・遮断し、修正までのリスクを低減する仕組みであり、脆弱なコード、認証・認可の欠落、漏えい済みパスワード、内部不正を直接解決するものではありません。脆弱性診断、パッチ適用、安全な実装、認証強化、ログ監視を組み合わせ、WAFで守る範囲を定期的に見直します。

大手であることだけでは判断できません。自社のクラウドやアプリに合う実績、ログを判断できる担当者、誤検知時の初動、運用体制、設定情報の引渡し、移行性を確認します。大手SIer、クラウドベンダー、国内SaaS事業者、専門の運用会社を同じRFPで比較し、価格だけでなく三年間の運用条件まで評価します。

まとめ

WAFのシステムを発注・外注するときは、WAF製品の導入だけを依頼するのではなく、対象資産の棚卸し、RFP・要件整理、方式選定、検知モードでの観測、例外調整、攻撃・性能テスト、監視、緊急対応、運用引継ぎまでを一つの流れとして設計します。WAF本体はクラウドWAFやSaaS型を活用し、独自開発はルール申請やログ連携などの周辺機能に限定するのが基本です。

費用は、初期導入、製品利用料、クラウド基盤、ログ、ルール調整、監視、保守を分けて見積もります。基本設定の初期30万〜100万円、調整込みの初期50万〜200万円というレンジは作業内容に基づく推定であり、公式価格ではありません。公式料金が公開されているAWS WAF、WafCharm、Scutumも、対象範囲や従量課金、運用条件で総額が変わるため、同じ前提で相見積もりを取ります。

最終的に重要なのは、誰がルールを変更し、誰がログを確認し、正常通信を止めたときに誰が復旧を判断するかを文書化することです。発注前に成果物、受け入れ条件、SLA、ログ保存、緊急連絡、契約終了時のデータ返却まで決めておけば、導入後の「聞いていた運用と違う」というトラブルを減らせます。WAFを入れて終わりにせず、アプリケーションの改修や脆弱性診断と組み合わせて継続的に防御します。

▼全体ガイドの記事
・WAFのシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。