Webセキュリティシステム開発の発注/外注/依頼/委託方法について

Webセキュリティシステムの発注は、WAF製品を1つ導入するだけではなく、守る対象・脅威・運用体制・契約範囲を決め、設計や脆弱性修正まで含めて委託先と責任分界を合意することが成功の要点です。

「何をどこまで外注すればよいのか」「クラウドWAFと開発会社への一括委託はどちらがよいのか」「見積金額は妥当なのか」と迷う担当者は少なくありません。本記事では、Webセキュリティシステムの発注形態の選び方から、RFP・要件整理、契約形態、費用相場、委託先選定、見積比較、導入後の運用までを、発注者の実務に沿って解説します。

▼全体ガイドの記事
・Webセキュリティシステム開発の完全ガイド

Webセキュリティシステムの発注で最初に決める全体像

発注前に必要なのは、製品名を決めることではなく、保護対象と許容するリスクを言語化することです。Webサイト、Web業務アプリ、会員サイト、公開API、管理画面、決済ページでは、攻撃経路も停止時の影響も異なります。まず対象を一つの「Webセキュリティシステム」としてまとめながら、機能ごとの役割を分けて整理します。

棚卸しでは、URLやドメインだけでなく、ログイン・会員登録・ファイルアップロード・検索・決済・管理操作・APIエンドポイントを一覧化します。そこにSQLインジェクション、クロスサイトスクリプティング、認証突破、認可不備、Bot、大量リクエスト、DDoS、情報漏えい、改ざんのような脅威を対応づけます。IPAの「安全なウェブサイトの作り方」は、入力値処理だけでなくセッション管理、アクセス制御、認可制御などを扱っているため、WAFで通信を遮断する対策とアプリケーションを改修する対策を分けてRFPに書くことが重要です（出典: IPA「安全なウェブサイトの作り方」）。

WAFはWebアプリと利用者の間の通信を検査し、既知の攻撃パターンや設定した条件に合うリクエストを検知・遮断する仕組みです。脆弱性を含むコードそのものを修正する機能ではないため、認証の設計ミス、業務ロジックの不備、過剰な権限、秘密情報の管理、サーバーや依存ライブラリの更新は別途対策が必要です。発注時は「WAF導入」「脆弱性診断」「アプリ改修」「監視・インシデント対応」を別の作業項目に分けると、期待外れと責任の押し付け合いを防げます。

発注形態はどれを選ぶ？自社設定・運用委託・開発会社への一括発注

発注形態は、予算だけでなく社内に残す運用能力と、障害時に必要な対応速度で選びます。小規模な公開サイトで専門担当者がいる場合と、決済や個人情報を扱う24時間稼働の業務アプリでは、同じクラウドWAFでも必要な支援範囲が異なります。将来のAPI追加やクラウド移行も見据え、導入時の安さだけで決めないことが大切です。

クラウドWAFを自社で契約し、DNSやCDN、ロードバランサーと接続してルールを設定する形態です。初期費用を抑えやすく、検証環境を短期間で作れる点がメリットですが、誤検知の調整、緊急ルールの追加、ログ分析、アプリ改修の判断を自社で行う必要があります。担当者が兼務で、攻撃の一次対応を営業時間外にできない場合は、安価に見えても実運用の負担が大きくなります。

マネージド型では、提供会社が導入設計、ルールチューニング、ログ監視、アラートの一次切り分け、月次報告などを担います。24時間365日監視が必要な場合や、社内にセキュリティ専門家がいない場合に向きます。見積では、監視時間、通知方法、緊急時の連絡先、遮断ルールを変更できる範囲、月何回までの設定変更が含まれるかを確認します。「監視あり」と書かれていても、通知だけで復旧やアプリ側の改修を含まないことがあるためです。

既存アプリの改修、認証連携、API保護、監査ログ、バックアップ、運用設計まで一体で進めるなら、システム開発会社やSIerへの一括発注が候補になります。窓口を一本化できる反面、製品費・開発費・監視費が一つの見積に混ざりやすく、必要以上の機能が提案される可能性もあります。基本設計、製品選定、実装、診断、移行、運用の成果物を分け、不要な二重投資がないかを見極めます。

RFPと要件整理で決めるべき項目

RFPは「WAFを導入したい」という製品起点の依頼書ではなく、業務上の目的と制約を委託先が同じ条件で理解するための資料です。現状の構成図、トラフィック、利用者区分、データの種類、既存契約、希望時期、社内体制を記載し、提案の比較条件を揃えます。機密情報を含む場合は、開示範囲と秘密保持契約の締結時期も先に決めます。

最低限、保護するドメイン数、URL、API数、ログイン方式、個人情報やカード情報の有無、月間・ピーク時リクエスト数、許容停止時間、復旧目標時間をまとめます。例えば、公開コーポレートサイトは改ざん防止と可用性を重視し、会員サイトは認証・セッション・Bot対策を重視し、業務APIは認可・レート制限・監査ログを重視します。対象を一括りにせず、重要度と優先順位を付けることで、予算に合わせた段階導入が可能になります。

監視を外注する場合は、監視時間、アラートの検知から通知までの目標時間、重大度別の連絡先、一次対応の範囲、月次レポートの内容、ログ保存期間をRFPに明記します。可用性についても、目標稼働率、計画停止の扱い、障害時のエスカレーション、復旧訓練の頻度を確認します。数値がない「手厚いサポート」という表現は会社ごとの解釈が異なり、契約後に追加費用が発生しやすいためです。

誤検知で正規ユーザーのログインや決済を止めるリスクがあるため、本番でいきなり遮断するのではなく、検知モード、テスト環境、限定URL、カナリア運用の順に試します。受入基準には、代表的な攻撃パターンの検知、正規リクエストの通過、ログの確認、ルール変更手順、障害時の切り戻しを含めます。脆弱性診断を行うなら、診断対象画面数、APIの認証情報、報告書の内容、再診断の条件を明確にします。

契約形態は請負・準委任・サービス利用を使い分ける

Webセキュリティシステムの発注では、構築作業と継続運用で契約の性質が異なります。納品物と完成条件が決めやすい工程は請負、専門家の支援時間や継続的な改善が中心の工程は準委任、クラウドWAFや監視サービスの利用部分はサービス契約として切り分けると、責任範囲が見えやすくなります。法務・情報システム・事業部門が契約前に同じ業務範囲を確認することが必要です。

設計書、設定済みのWAF、認証連携、テスト結果、運用手順書など、納品物が明確な場合は請負契約を検討できます。契約書や個別仕様書には、対象環境、対応する脆弱性、テスト範囲、性能条件、切り戻し方法、納品後の保証や瑕疵対応を記載します。要件が固まっていない段階で全工程を請負にすると、変更のたびに追加見積もりとなるため、要件整理やPoCは別契約にする方法もあります。

脆弱性診断、セキュリティアドバイザー、ルールチューニング、SOCやCSIRT支援のように、専門家が一定期間作業する形態は準委任契約に向いています。成果を完全に保証する契約ではないため、稼働時間、担当者のスキル、定例会、報告書、課題管理、緊急対応の扱いを細かく決めます。監視会社が攻撃を通知するだけなのか、遮断判断や復旧支援まで行うのかも、役割分担表にしておきます。

ログ、検知ルール、設定ファイル、脆弱性診断報告書、ソースコード、構成図、アカウント情報を誰が所有し、契約終了時にどの形式で返却・削除するかを明記します。クラウドサービスの管理者アカウントを委託先だけが持つ状態は、解約時の移行や事故調査を難しくします。再委託先の範囲、秘密保持、個人データの取り扱い、インシデント発生時の報告期限、契約終了後の支援単価も確認しておくと安心です。

Webセキュリティシステムの費用相場と見積の内訳

費用は、保護するドメイン数、トラフィック、API数、ルール数、ログ保存期間、診断対象、既存環境との連携、監視時間で変わります。以下は税別の企画・相見積もり用の目安であり、特定製品や全案件に適用できる定価ではありません。とくに後半の統合開発費は、Webセキュリティに関する公開相場が限られるため、業務システムの工数レンジと作業範囲から整理した推定値として扱います。

クラウドWAFを自社設定する場合は、初期費用0〜30万円程度、月額0〜10万円程度が一つの目安です。初期設定・チューニングを外注するなら初期30〜150万円程度、月額5〜30万円程度、マネージドWAFや運用監視まで任せるなら初期30〜200万円程度、月額10〜80万円程度を想定します。Webアプリの脆弱性診断・改善支援は、対象画面やAPI数によって初期30〜150万円程度のレンジで見積もられることがあります。

WAF・認証・API・ログやSIEMを組み合わせた業務システムの導入は、初期300〜1,500万円程度、月額10〜100万円程度、期間3〜9か月程度が企画段階の目安です。複数サイト・大規模業務システムの統合やスクラッチ連携では、初期1,500〜5,000万円以上、月額50〜300万円以上、期間6〜12か月以上になる可能性があります。これは市場統計としての断定ではなく、対象範囲を揃えた相見積もりの出発点として利用します（出典: リサーチノートの業務システム費用・期間レンジ、および作業範囲に基づく推定）。

AWS WAFはWeb ACL、ルール数、処理リクエスト数を基準に課金され、公式の例では19ルール・月間1,000万リクエストのWAF部分が月30米ドルです。ただし、CloudFront、ロードバランサー、API Gateway、ログ、マネージドルールなどは別料金になる場合があります（出典: AWS「AWS WAF Pricing」、2026年確認）。このため、製品の表示価格だけでなく、現在のトラフィックと関連サービスを含めた月額を試算します。

Cloudflareも、WAFやDDoS対策だけでなく、APIセキュリティやBot管理を含むアプリケーションセキュリティを提供しています。プラン料金は公開されていますが、Enterprise契約、設定支援、ログ保管、サポート、導入代行は個別条件になることがあります。公開料金は「サービス利用料」、SIerの見積は「設計・設定・連携・運用の人件費」を含むことが多いため、単純な金額比較をしないことが大切です（出典: Cloudflare「アプリケーションサービスプラン」、2026年確認）。

総保有コストには、初期設定、ライセンス・クラウド利用料、監視、ログ保管、ルール変更、脆弱性診断の再実施、証明書更新、障害時の緊急対応、アプリ改修、担当者教育を含めます。月額が安くても、変更依頼がすべて有償、ログの保存期間が短い、障害時の対応が翌営業日という条件なら、業務に合わない可能性があります。3年分の費用を同じ前提で並べ、契約終了時の移行費用まで含めて判断します。

委託先の選定と見積比較で確認するポイント

委託先は、知名度や製品の機能数だけでなく、発注したい工程を実際に担当できるかで選びます。製品ベンダー、脆弱性診断会社、マネージドサービス会社、SIer、アプリ開発会社では得意領域が異なります。複数社へ同じRFPを渡し、対応範囲と除外範囲を同じ書式で提出してもらうと、価格だけに引きずられず比較できます。

過去事例は、単に「導入社数」ではなく、自社に近い構成で確認します。AWSやAzure、オンプレミス、複数クラウドのどれに対応できるか、既存のCDNや認証基盤と連携できるか、WebアプリやAPIの改修まで担えるかを質問します。診断専門会社なら認可不備や業務ロジックまで評価できるか、監視会社なら24時間365日の一次対応とアプリ側へのエスカレーションがあるかを確認します。

見積書は、作業項目、工数、単価、ライセンス、クラウド利用料、初期設定、テスト、移行、教育、運用、追加変更の単価を分けて記載してもらいます。各社の「導入費」が同じ作業を指すとは限らないため、WAFルールの初期作成数、APIの対象数、診断対象画面数、会議回数、報告書、再診断を横並びにします。極端に安い提案は、ログ分析やチューニング、切り戻し、アプリ改修が除外されていないか確認します。

正規ユーザーを攻撃者と誤認する誤検知と、攻撃を見逃す検知漏れは、どちらも業務影響につながります。検知精度を誰が改善するのか、ルール変更の承認者は誰か、緊急時に自動遮断する条件は何かを確認します。また、特定の製品や委託先に依存しすぎると、解約時にログや設定を持ち出せず、再構築費用が膨らむことがあります。データ所有権、設定のエクスポート形式、設計書の納品、後任会社への引き継ぎ協力を契約に入れます。

発注後の進め方は検知から段階的に遮断へ移行する

契約後は、設計・設定を終えた時点をゴールにせず、業務影響を確認しながら本番運用へ移します。特に既存アプリを改修できない場合は、WAFを暫定的な仮想パッチとして使う場面もありますが、恒久対応として脆弱性を修正する計画を残します。IPA「情報セキュリティ10大脅威2026」では、組織向けにシステムの脆弱性を悪用した攻撃が4位、DDoS攻撃が9位に挙げられているため、Web公開部分だけでなく委託先や復旧体制まで確認します（出典: IPA「情報セキュリティ10大脅威2026」）。

最初は検知モードで、ログイン、検索、フォーム送信、決済、API連携などの正常な通信を確認します。攻撃シグネチャに似た正規リクエストがないか、国やIP、User-Agent、レート制限による誤検知がないかを業務担当者と確認し、除外条件を最小限に調整します。除外を広げすぎると防御が弱くなるため、URL全体ではなくパラメータや特定の条件に限定し、変更履歴を残します。

テストでは、代表的な脆弱性の検知、正常な操作の通過、ログの到達、アラート通知、認証連携、ピーク時の性能を確認します。遮断へ切り替える前に、設定のバックアップ、切り戻し手順、代替サーバーや告知手段、緊急連絡網を用意します。リリース後の最初の数日は、アクセス数、エラー率、ログイン失敗、問い合わせ件数を通常時と比較し、異常があれば即座に検知モードへ戻せる体制にします。

運用開始後は、脆弱性情報の確認、ルール更新、依存ライブラリの更新、アクセスログと認証ログの分析、脆弱性の再診断、バックアップからの復旧訓練を定期化します。決済ページを扱う場合は、PCI DSS v4.0.1で示される支払いページのスクリプト管理や改ざん検知なども確認対象になります。WAFを導入したことだけで法令や基準への適合が保証されるわけではないため、個人情報保護法の安全管理措置や取引先のセキュリティチェックに対応する証跡を、委託先と協力して残します。

よくある質問（FAQ）

ここでは、発注前によくある疑問を、製品機能ではなく委託範囲と費用の考え方から回答します。自社のWebサイト、Web業務アプリ、API、決済の状況に置き換えて確認してください。

WAFだけで十分とは限りません。WAFは通信の検査と遮断に強い一方、認証・認可の設計不備、脆弱なコード、秘密情報の漏えい、端末やサーバーの設定不備は別の対策が必要です。守る対象と脅威を棚卸しし、WAF、MFA、API保護、脆弱性診断、ログ監視、バックアップを必要な範囲で組み合わせます。

クラウドWAFの利用だけなら月額数千円から始められる場合がありますが、設定、チューニング、診断、監視を加えると費用は上がります。企画段階では、自社設定なら初期0〜30万円程度、初期設定の外注なら30〜150万円程度を目安にし、必要な月額運用を別に見積もります。トラフィックやルール、ログ、サポート条件で変わるため、公開料金と委託費を分けて確認してください。

製品の細かな設定を最初から書く必要はありませんが、守る対象、業務影響、許容停止時間、既存環境、社内の運用体制はできるだけ具体的にします。不明点は「現状診断と要件定義を提案に含める」と記載し、各社に調査方法と成果物を示してもらいます。要件整理を丸投げすると、提案会社の得意製品に誘導されやすいため、複数社の提案を比較する観点を社内で用意します。

アプリ改修や認証連携、業務要件まで一体で進めるなら開発会社やSIer、独立した診断や高度な監視を重視するならセキュリティ専門会社が向いています。どちらか一方に決めるのではなく、主契約者と再委託先、責任分界、障害時の一次窓口を確認します。複数社で役割を分ける場合も、設計書、ログ、診断結果、変更履歴の共有方法を契約に含めます。

まとめ

Webセキュリティシステムの発注では、WAFの製品比較から始めるのではなく、守る対象、脅威、業務影響、必要な運用体制を整理します。そのうえで、自社設定、マネージド運用、開発会社への一括委託を選び、RFPで対応範囲と受入基準を揃えます。費用はクラウド利用料だけでなく、設定、診断、改修、監視、ログ、再診断、契約終了時の移行まで含むTCOで比較します。

最初に、公開サイト、管理画面、API、決済、個人情報、認証方式、クラウド構成を一覧化し、脅威と優先順位を付けます。要件が不明な部分は、診断やPoCを先行させて提案会社の見積条件を揃えます。製品を導入しただけで安全と考えず、アプリの改修、ログ監視、復旧訓練を含む継続的な計画にします。

見積金額の大小だけでなく、設計書・ログ・設定・診断結果の所有権、障害時の連絡と復旧、変更依頼の費用、契約終了時の引き継ぎを比べます。検知モードからチューニング、段階的な遮断、再診断、訓練まで実行できる委託先を選ぶと、導入後のセキュリティ水準を維持しやすくなります。自社の業務と運用体制に合う範囲から段階的に発注し、将来のAPIやクラウド拡張にも対応できる設計を残すことが、無理のないWebセキュリティシステム開発につながります。

▼全体ガイドの記事
・Webセキュリティシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。