脆弱性診断ツールおすすめ20選 種類別の比較と失敗しない選び方

脆弱性診断ツールとは、Webサイトやサーバー、ソースコード、クラウド環境などに潜むセキュリティ上の弱点（脆弱性）を、自動または半自動で検出するためのツールです。無料のオープンソースから企業向けの有料サービスまで多くの種類があり、診断したい対象や社内の体制によって適したツールは異なります。

本記事では、脆弱性診断ツールの基本と必要な機能を整理したうえで、Web・サーバー／ネットワーク・ソースコード／ライブラリ・クラウドの4分野から、代表的な20ツールを比較します。あわせて、自社に合うツールの選び方と、専門家による診断を併用すべきケースも解説します。

脆弱性診断ツールとは？

脆弱性診断ツールとは、システムに対して疑似的な検査やデータの照合を行い、攻撃に悪用されるおそれのある弱点を洗い出すツールです。人手では時間のかかる検査を自動化できるため、定期的な診断や、開発の段階での早期発見に役立ちます。

脆弱性診断が必要な理由

脆弱性を放置すると、不正アクセスや情報漏洩、ランサムウェア被害の入り口になります。実際に、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「システムの脆弱性を悪用した攻撃」が4位に選ばれています（IPA, 2026）。そのため、攻撃者より先に弱点を見つけて対処することが重要です。

脆弱性診断ツールの主な種類

脆弱性診断ツールは、何を診断するかによって大きく4つに分けられます。

表1: 診断対象別に見る脆弱性診断ツールの種類

ツールによる診断と専門家による手動診断の違い

ツールによる診断と専門家による手動診断は、得意な領域が異なるため、どちらか一方ではなく組み合わせて使うのが一般的です。

表2: ツールによる診断と手動診断の違い

脆弱性診断ツールに必要な機能

脆弱性診断ツールを比較する際は、まず診断対象、検出項目、結果のわかりやすさ、優先度付け、再診断、外部ツールとの連携を確認します。加えて、Webアプリケーション向けではログイン後の画面やAPIへの対応、ソースコード向けでは対応言語、クラウド向けでは対応するクラウドサービスや設定チェックの範囲など、対象ごとの機能も重要です。具体的には、次の項目をチェックしましょう。

• 診断範囲と検出項目：自社の診断対象に対応しているかを確認する。WebアプリではOWASP Top 10、サーバーでは既知の脆弱性情報、クラウドでは設定基準など、対象に合った検査項目を比較する
• 診断対象に応じた機能：Webでは自動巡回・ログイン対応、コードでは対応言語、クラウドでは対応サービスや設定チェックの範囲を確認する
• わかりやすいレポート：検出した脆弱性の内容、再現手順、修正方法を、担当者が理解できる形で示せるか
• リスクにもとづく優先度付け：CVSSなどの指標や悪用の状況にもとづき、対応すべき順番がわかるか
• 誤検知の管理と再診断：誤検知を除外し、修正後に同じ項目だけを再診断できるか
• 開発・運用プロセスとの連携：CI/CDやチケット管理ツールと連携し、定期診断を自動化できるか

脆弱性診断ツールおすすめ20選

代表的な脆弱性診断ツール20選を、Web・サーバー／ネットワーク・ソースコード／ライブラリ・クラウドの4分野に分けて紹介します。まず比較表で候補を絞り込み、気になるツールの詳細を確認しましょう。

脆弱性診断ツール20選の比較表

20ツールの診断対象、診断方式、料金、向いているケースを一覧にまとめると、次のとおりです。ツール名を選ぶと、各ツールの詳細に移動します。

Webアプリ向けの5ツール

サーバー・ネットワーク向けの5ツール

ソースコード・ライブラリ向けの5ツール

クラウド向けの5ツール

表3: 脆弱性診断ツール20選の比較表

Webアプリ向けツール5選

Webサイトやログイン機能を持つWebアプリケーションの診断には、実際にリクエストを送って脆弱性を検出するDAST型のツールが使われます。代表的な5つは次のとおりです。

ZAP by Checkmarx

オープンソースで開発されている、Webアプリケーション向けの脆弱性診断ツールです。以前は「OWASP ZAP」の名称で知られ、2024年9月に主要な開発者がCheckmarx社に参加したことで現在の名称になりました。通信を中継して確認する機能と自動スキャンを備え、無料でWebアプリの診断を始めたい場合に適しています。

提供元	ZAP Core Team（Checkmarxが開発を支援）
主な診断対象	Webアプリケーション、API
診断方式	DAST
料金形態	無料（オープンソース）
主な特徴	通信を中継して確認できるプロキシ機能と自動スキャンを搭載。CI/CDに組み込むための仕組みも用意されている
向いているケース	無料で始めたい、自社で診断を内製したい
公式サイト	https://www.zaproxy.org/

Burp Suite

PortSwigger社が提供する、セキュリティ診断の専門家に広く使われているWeb診断ツールです。通信の改変や再送など手動診断を支える機能が充実しており、無料のCommunity Editionから、自動スキャナーを備えた有料版まで用途に応じて選べます。

提供元	PortSwigger
主な診断対象	Webアプリケーション、API
診断方式	DAST（手動・自動）
料金形態	Community Edition：無料／Professional・DAST：有料
主な特徴	無料版は手動診断の機能のみ。Professionalは自動スキャナーを搭載し、Burp Suite DAST（旧Enterprise Edition）は多数のサイトの自動診断に対応
向いているケース	手動診断の精度を高めたい、診断スキルを持つ担当者がいる
公式サイト	https://portswigger.net/burp

AeyeScan

エーアイセキュリティラボが提供する、国産のクラウド型Webアプリケーション脆弱性診断ツールです。AIとRPAによる自動巡回と、画面キャプチャ付きの日本語レポートが特徴で、専門知識が少ない担当者でも社内で診断を進めやすい設計です。

提供元	株式会社エーアイセキュリティラボ
主な診断対象	Webアプリケーション、API
診断方式	DAST
料金形態	有料（SaaS）
主な特徴	画面キャプチャ付きのわかりやすい日本語レポート。OWASP Top 10やIPA「安全なウェブサイトの作り方」に対応。導入実績300社以上（2025年10月時点の公表値）
向いているケース	専門人材が少なく、日本語で手軽に診断を内製化したい
公式サイト	https://www.aeyescan.jp/

Vex

ユービーセキュアが2007年から提供する、国産のWebアプリケーション脆弱性検査ツールです。2026年4月にオンプレミス型の「Vex」とクラウド型の「VexCloud」がVexブランドに統合され、自社での定期診断から診断事業者の業務まで、用途に応じた3つのプランから選べるようになりました。

提供元	株式会社ユービーセキュア
主な診断対象	Webアプリケーション
診断方式	DAST
料金形態	有料（Vex Team・Vex Enterprise・Vex Auditorの3プラン）
主な特徴	画面遷移を可視化する「シナリオマップ」を使い、ログイン後の画面を含むシナリオにもとづいて検査できる。APIの診断にも対応。Vex Team・Enterprise・Auditorの3プランから運用目的に応じて選べる（2026年5月の発表より）
向いているケース	自社での定期診断から、診断事業者による本格的な診断まで、国産ツールで対応したい
公式サイト	要確認

Acunetix

Invicti社が提供する、商用のWebアプリケーション脆弱性スキャナーです。JavaScriptを多用するWebサイトやAPIの自動診断に対応しており、多数のWebサイトを定期的に診断したい企業に向いています。

提供元	Invicti Security
主な診断対象	Webアプリケーション、API
診断方式	DAST
料金形態	有料
主な特徴	自動クロールとスキャン、脆弱性の管理・レポート機能
向いているケース	多数のWebサイトを自動で定期診断したい
公式サイト	https://www.acunetix.com/

サーバー・ネットワーク向け5選

OSやミドルウェア、ネットワーク機器の脆弱性や設定の不備を調べるには、プラットフォーム診断用のツールを使います。代表的な5つは次のとおりです。

Nessus

Tenable社が提供する、サーバーやネットワーク機器向けの代表的な脆弱性スキャナーです。豊富な脆弱性チェック（プラグイン）を備えていますが、無料版と低価格版は個人や学習などの非商用目的に限られます。企業の業務で使う場合は、商用利用に対応した有料版を選ぶ必要があります。

提供元	Tenable
主な診断対象	サーバー、ネットワーク機器、OS・ミドルウェア
診断方式	プラットフォーム診断
料金形態	Essentials：無料（非商用・学習用途向け、最大5 IP、30日間の無料ライセンス）／Essentials Plus：有料（非商用、最大20 IP）／Professional・Expert：有料（商用利用向け）
主な特徴	Essentialsは最大5 IPまで診断できるが、脆弱性チェック用プラグインの更新が30日遅れ、レポート機能も制限される。無料ライセンスの期限後は、再登録またはEssentials Plusへの移行が必要
向いているケース	個人学習や検証環境ではEssentials、企業の本番環境や業務上の診断では商用利用に対応したProfessionalなどを検討
公式サイト	https://www.tenable.com/products/nessus

OpenVAS

Greenboneが中心となって開発するオープンソースの脆弱性スキャナーです。サーバーやネットワーク機器の既知の脆弱性を検査でき、IPアドレス数によるライセンス制限はありません。一方、導入環境の構築や運用にはセキュリティの知識が求められます。

提供元	Greenbone（オープンソース）
主な診断対象	サーバー、ネットワーク機器
診断方式	プラットフォーム診断
料金形態	無料（オープンソース）／商用版あり
主な特徴	IPアドレス数の制限なく診断できる。構築と運用には一定の知識が必要
向いているケース	費用をかけずに多数のサーバーを診断したい
公式サイト	https://www.greenbone.net/

Qualys VMDR

Qualys社が提供する、クラウド型の脆弱性管理サービスです。資産の把握から脆弱性の検出、対応の優先度付けまでを一つの画面で管理でき、多数のサーバーや端末を継続的に管理したい組織に向いています。

提供元	Qualys
主な診断対象	サーバー、ネットワーク、クラウド、エンドポイント
診断方式	脆弱性管理・スキャン
料金形態	有料／機能を限定したCommunity Editionあり
主な特徴	クラウド型で、資産の可視化から脆弱性の優先度付けまで一元管理
向いているケース	多数の資産を継続的に管理したい
公式サイト	https://www.qualys.com/

Rapid7 InsightVM

Rapid7社が提供する脆弱性管理ツールです。検出した脆弱性をリスクの高さにもとづいて優先度付けし、対応の進み具合をダッシュボードで追跡できます。

提供元	Rapid7
主な診断対象	サーバー、ネットワーク、クラウド
診断方式	脆弱性管理・スキャン
料金形態	有料
主な特徴	リスクにもとづく優先度付けとダッシュボードによる対応状況の可視化
向いているケース	大規模な環境で脆弱性管理の仕組みを整えたい
公式サイト	https://www.rapid7.com/products/insightvm/

Vuls

日本発のオープンソースの脆弱性スキャナーです。Linuxなどのサーバーにエージェントを入れずに、インストール済みのソフトウェアに含まれる既知の脆弱性を検出できます。

提供元	Vulsプロジェクト（オープンソース）
主な診断対象	Linuxなどのサーバー、ソフトウェアパッケージ
診断方式	ソフトウェアの脆弱性スキャン
料金形態	無料（オープンソース）
主な特徴	エージェント不要で、サーバー上のソフトウェアの既知の脆弱性を検出
向いているケース	Linuxサーバーのパッケージの脆弱性を自動で把握したい
公式サイト	https://vuls.io/

ソースコード・ライブラリ向け5選

開発中のソースコードや、利用しているオープンソースのライブラリの脆弱性は、SAST（静的解析）やSCA（ソフトウェア構成分析）のツールで確認します。代表的な5つは次のとおりです。

Snyk

開発者向けのセキュリティプラットフォームです。ソースコード、オープンソースのライブラリ、コンテナ、IaC（インフラのコード）を一つのサービスで診断でき、IDEやGitリポジトリと連携して開発中に脆弱性を確認できます。

提供元	Snyk
主な診断対象	ソースコード、OSSライブラリ、コンテナ、IaC
診断方式	SAST・SCA
料金形態	無料プランあり／有料
主な特徴	IDEやGitリポジトリと連携し、開発の段階で脆弱性と修正方法を提示
向いているケース	開発者自身が日常的に脆弱性を確認したい
公式サイト	https://snyk.io/

SonarQube

SonarSource社が提供する、ソースコードの静的解析ツールです。バグやコードの品質とセキュリティ上の問題をあわせて検出でき、無料版から導入できます。

提供元	SonarSource
主な診断対象	ソースコード
診断方式	SAST
料金形態	無料版（Community Build）あり／有料
主な特徴	バグやコードの品質と、セキュリティ上の問題をあわせて検出
向いているケース	コード品質とセキュリティをまとめて管理したい
公式サイト	https://www.sonarsource.com/products/sonarqube/

GitHub Code Security・Dependabot

GitHubに組み込まれたセキュリティ機能です。Dependabotアラートは依存ライブラリの既知の脆弱性を通知し、CodeQLはソースコードを解析して脆弱性を検出します。2025年4月からは、CodeQLや修正案の自動提示を含む「GitHub Code Security」と、シークレットの漏洩を防ぐ「GitHub Secret Protection」を、それぞれ単体で導入できるようになりました。

提供元	GitHub
主な診断対象	ソースコード、依存ライブラリ、シークレット
診断方式	SAST・SCA
料金形態	公開リポジトリ：CodeQLなど一部の機能を無料で利用可能／非公開リポジトリ：CodeQLなどの利用はプラン・ライセンスの条件を確認（Code Security・Secret Protectionは有料）
主な特徴	GitHub上で開発の流れを変えずに導入できる。利用できる機能はリポジトリの公開・非公開やプランによって異なる
向いているケース	GitHubで開発しており、追加の環境構築なしで始めたい
公式サイト	https://docs.github.com/en/code-security

OWASP Dependency-Check

OWASPが提供する、オープンソースのソフトウェア構成分析ツールです。プロジェクトが利用しているライブラリを公開済みの脆弱性情報（CVE）と照合し、既知の脆弱性を持つものを検出します。

提供元	OWASP（オープンソース）
主な診断対象	依存ライブラリ
診断方式	SCA
料金形態	無料（オープンソース）
主な特徴	ビルドツールやCIに組み込み、既知の脆弱性を持つライブラリを検出
向いているケース	費用をかけずにライブラリの脆弱性を確認したい
公式サイト	https://owasp.org/www-project-dependency-check/

Checkmarx One

Checkmarx社が提供する、アプリケーションセキュリティのプラットフォームです。静的解析やソフトウェア構成分析、APIやIaCの診断の結果を一つの基盤で管理でき、複数の開発チームを抱える組織に向いています。

提供元	Checkmarx
主な診断対象	ソースコード、OSSライブラリ、API、IaC
診断方式	SAST・SCA
料金形態	有料
主な特徴	複数の診断手法の結果を一元管理し、大規模な開発組織での運用に対応
向いているケース	複数の開発チームの診断を統合管理したい
公式サイト	https://checkmarx.com/

クラウド向けツール5選

AWS・Azure・Google Cloudなどのクラウド環境では、仮想サーバーやコンテナの脆弱性に加え、設定ミスの検出が重要です。設定を診断するCSPM型のツールと、コンテナなどをスキャンするツールを組み合わせて使います。代表的な5つは次のとおりです。

Amazon Inspector

AWSが提供する脆弱性管理サービスです。有効化すると、EC2インスタンスやコンテナイメージ、Lambda関数を自動で継続的にスキャンし、ソフトウェアの脆弱性や意図しないネットワークの公開を検出します。

提供元	Amazon Web Services
主な診断対象	AWS上のサーバー、コンテナイメージ、Lambda
診断方式	ワークロードの脆弱性スキャン
料金形態	有料（スキャン対象に応じた従量課金）
主な特徴	AWS環境に組み込まれており、有効化すると自動で継続的にスキャン
向いているケース	AWSを中心にシステムを運用している
公式サイト	https://aws.amazon.com/inspector/

Microsoft Defender for Cloud

Microsoftが提供する、クラウドのセキュリティ対策サービスです。Azureに加えてAWSやGoogle Cloudの環境も対象に、設定の不備や脆弱性を一元的に評価し、改善策を提示します。

提供元	Microsoft
主な診断対象	Azure・AWS・Google Cloudの環境
診断方式	CSPM・ワークロード保護
料金形態	基本的な機能は無料／高度な機能は有料
主な特徴	複数のクラウドの設定状況を一元的に評価し、改善策を提示
向いているケース	Azureを中心に複数のクラウドを使っている
公式サイト	https://azure.microsoft.com/products/defender-for-cloud

Google Cloud Security Command Center

Security Command Centerは、Google Cloudが提供するセキュリティとリスク管理のサービスです。クラウド上の資産を把握したうえで、設定ミスや脆弱性、脅威を検出します。

提供元	Google Cloud
主な診断対象	Google Cloudの環境
診断方式	CSPM・脆弱性検出
料金形態	Standard：無料／Premium・Enterprise：有料
主な特徴	Google Cloud環境のセキュリティ状態や設定上のリスクを可視化。利用するティアによって、脆弱性検出や脅威分析などの対応範囲が異なる（Enterpriseはマルチクラウドに対応）
向いているケース	Google Cloudを中心にシステムを運用している
公式サイト	https://cloud.google.com/security/products/security-command-center

Prowler

オープンソースのクラウドセキュリティ診断ツールです。AWS・Azure・Google Cloud・Kubernetesの設定を、CISベンチマークなどのセキュリティ基準に照らして点検できます。

提供元	Prowler（オープンソース）
主な診断対象	AWS・Azure・Google Cloud・Kubernetes
診断方式	CSPM（設定診断）
料金形態	無料（オープンソース）／商用版あり
主な特徴	業界標準のセキュリティ基準にもとづいて、クラウドの設定ミスを検出
向いているケース	費用をかけずにクラウドの設定を点検したい
公式サイト	https://prowler.com/

Trivy

Aqua Security社が開発する、オープンソースの脆弱性スキャナーです。クラウドの設定を総合的に管理するツールではありませんが、クラウドで動かすコンテナイメージやIaC、Kubernetes環境の脆弱性や設定ミスを、一つのツールで確認できます。

提供元	Aqua Security（オープンソース）
主な診断対象	コンテナイメージ、IaC、Kubernetes
診断方式	コンテナ・IaCスキャン
料金形態	無料（オープンソース）
主な特徴	コンテナとIaCの両方を診断でき、CI/CDへの組み込みも容易
向いているケース	コンテナを使った開発で、ビルドの段階から診断したい
公式サイト	https://trivy.dev/

脆弱性診断ツールの選び方

脆弱性診断ツールを選ぶ際は、診断対象、運用できる体制、料金形態、自動と手動の組み合わせ、開発・運用プロセスとの連携の5つを確認します。

診断したい対象と範囲を明確にする

まず、Webサイト、サーバー、ソースコード、クラウドのうち、どこを診断したいのかを整理します。たとえば、Webサイトだけを診断したいならDAST型のツール、開発中のコードも確認したいならSASTやSCAのツールが必要です。つまり、対象によって必要なツールの種類が変わるため、複数の分野を組み合わせることもあります。

たとえば、Webアプリの脆弱性を無料で確認したい場合はZAP、専門家が手動診断を行う場合はBurp Suiteが候補になります。また、Linuxサーバーの既知の脆弱性を継続的に把握したい場合はVuls、開発中のライブラリをチェックしたい場合はOWASP Dependency-Check、コンテナやIaCをCI/CDで検査したい場合はTrivyなどが考えられます。ただし、利用条件や診断範囲はツールごとに異なるため、導入前に確認が必要です。

社内で運用できる体制があるか確認する

次に、ツールを使いこなせる人材が社内にいるかを確認します。特に、オープンソースのツールは無料で使える一方、環境の構築や結果の判断に専門知識が必要です。そのため、専門人材が少ない場合は、日本語のレポートやサポートが充実したSaaS型のツールを選ぶと運用しやすくなります。

無料・有料の違いと総コストを比較する

無料ツールは、診断できるIPアドレス数や機能に制限があることが多い点に注意が必要です。特に、Nessus Essentialsのように無料版が非商用の目的に限られるツールもあるため、企業で使う場合は利用規約を必ず確認しましょう。一方、有料ツールは、ライセンス費用に加えて、診断対象の数や利用量によって費用が変わります。したがって、導入費用だけでなく、運用にかかる人件費も含めた総コストで比較しましょう。

ツール診断と手動診断の役割を分ける

ツールは既知の脆弱性を効率よく検出できますが、認可の不備や業務ロジックの欠陥は見つけにくい傾向があります。そこで、日常的な確認はツールで行い、重要なリリースの前や個人情報を扱うシステムでは、専門家による手動診断を組み合わせることが効果的です。

開発・運用プロセスに組み込めるか確認する

最後に、CI/CDやチケット管理ツールと連携できるかを確認します。脆弱性診断は一度で終わりではなく、システムの変更のたびに繰り返す必要があるためです。開発の流れに組み込めるツールを選ぶと、修正の漏れを防ぎやすくなります。

ツールだけでは不十分なケース

ツールを実行することと、脆弱性への対応を完了させることは別の作業です。脆弱性を見つけた後には、実際の影響度の評価、修正、修正後の確認、必要に応じた第三者向けの報告までが必要になります。次のような場合は、ツールによる診断に加えて、専門家の支援を検討しましょう。

• 個人情報や決済情報を扱うWebサービスを新たに公開する
• 取引先や監査から、第三者による診断結果の提出を求められている
• ツールで大量の脆弱性が検出されたが、対応の優先順位を判断できない
• 社内に脆弱性の修正や再発防止を担える人材がいない

なお、診断後の継続的な監視については、SOCとはやAWSのセキュリティ対策の記事、カオピーズの24時間365日監視サービスもあわせて参考にしてください。

まとめ

脆弱性診断ツールは、Webアプリ、サーバー、ソースコード、クラウドなど、診断対象によって適した種類が異なります。無料ツールでも脆弱性を検出できますが、運用に必要な知識や診断範囲、利用条件はツールごとに異なるため、自社の環境と体制に合わせて選ぶことが重要です。

一方、ツールだけでは検出が難しい脆弱性もあり、診断後の修正まで対応できる体制が必要です。自社での診断に不安がある場合や、専門的な診断・改善支援が必要な場合は、カオピーズにご相談ください。お問い合わせはお問い合わせフォーム、メール（[email protected]）、お電話（03-5809-2633／受付 10:00〜18:00、土日祝休み）で承っています。

脆弱性診断ツールに関するよくある質問

無料の脆弱性診断ツールだけで十分ですか？

無料ツールでも、既知の脆弱性の多くを検出できますが、それだけで十分とは限りません。無料版は診断できる範囲や機能に制限があることが多く、なかには非商用の利用に限られるものもあります。また、結果の判断にも専門知識が必要です。そのため、まず無料ツールで現状を把握し、重要なシステムでは有料ツールや専門家の診断を組み合わせましょう。

脆弱性診断はどのくらいの頻度で行うべきですか？

脆弱性診断は、システムに変更を加えたときと、定期的なタイミングの両方で行うのが基本です。新しい脆弱性は日々公表されるため、変更がなくても安全とは限りません。たとえば、ツールによる診断はリリースごとや毎月、専門家による診断は年1回や大きなリリースの前など、対象の重要度に応じて頻度を決めましょう。

他社のWebサイトをツールで診断してもよいですか？

いいえ。脆弱性診断は、自社が管理するシステム、または管理者から明示的な許可を得たシステムに対してのみ実施してください。許可なく診断を行うと、相手のシステムに負荷や障害を与えたり、法令に抵触したりするおそれがあります。また、クラウド上のシステムを診断する場合は、利用しているクラウド事業者のルールも確認しましょう。

脆弱性診断とペネトレーションテストの違いは何ですか？

脆弱性診断は、システムにどのような脆弱性があるかを網羅的に洗い出すことが目的です。一方、ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、特定の目的（情報の窃取など）を達成できるかを検証します。まず脆弱性診断で弱点を把握し、必要に応じてペネトレーションテストで実際の被害の可能性を確かめるのが一般的です。

参考文献

調査資料

1. IPA（情報処理推進機構）.（2026）.
   「情報セキュリティ10大脅威 2026」.
   https://www.ipa.go.jp/security/10threats/10threats2026.html（2026年11月閲覧）

ツールの公式情報

1. ZAP.（2024）.
   “ZAP has joined forces with Checkmarx”.
   https://www.zaproxy.org/blog/2024-09-24-zap-has-joined-forces-with-checkmarx/（2026年11月閲覧）
2. GitHub.（2025）.
   “Introducing GitHub Secret Protection and GitHub Code Security”.
   https://github.blog/changelog/2025-03-04-introducing-github-secret-protection-and-github-code-security/（2026年11月閲覧）
3. Tenable.（n.d.）.
   “Nessus Essentials”.
   https://www.tenable.com/products/nessus-essentials（2026年11月閲覧）
4. Google Cloud.（n.d.）.
   “Security Command Center pricing”.
   https://cloud.google.com/security-command-center/pricing（2026年11月閲覧）