カオピーズ、脆弱性診断から修正・再テストまで一括支援

カオピーズは2026年11月2日、企業向けセキュリティ診断サービス「Kaopiz Secure Loop（カオピーズ セキュア ループ）」の提供開始を発表した。サービス開始日は11月1日。WebアプリケーションやAPI、スマートフォンアプリ、クラウド環境などを対象に、脆弱性を発見するだけでなく、修正支援と再テストまで一つの窓口で扱う。開発・保守を手がける同社の知見を診断後の対応にも活用する仕組みだ。

発表の背景として同社は、診断で問題が見つかっても修正担当者が不足したり、専門的な報告書の内容を社内で説明できなかったりする課題を挙げた。さらに、修正を実施しても再確認を省けば、不備が残る可能性がある。診断結果を受け取ることと、実際にリスクを低減することは別の工程であり、今回のサービスはその間をつなぐことを狙っている。

診断・修正支援・再テストを一括提供

基本の流れは「診断」「修正支援」「再テスト」の3段階。診断で発見した問題を報告し、原因調査や修正作業を支援したうえで、対策が適切に機能するかを改めて確認する。対象にはWebサイト、iOS・Androidアプリ、外部公開サーバーやネットワークも含まれる。クラウドはAWS、Microsoft Azure、Google Cloudを挙げており、複数の環境を持つ企業も相談対象になる。

ツールと手動検証を組み合わせる

診断では自動ツールによる洗い出しに加え、専門エンジニアが認可処理、業務ロジック、APIなどの不備を手動で検証するという。評価の基準として、Webアプリ向けの「OWASP WSTG 4.2」（約100項目）や「OWASP API Security Top 10」を掲げる。リスクはCVSSに基づく5段階で評価し、重大な脆弱性を発見した場合は1時間以内に連絡するとしている。

診断担当者にはOSCP、OSWE、BSCP、CPTSなどの実技型セキュリティ資格を持つエンジニアを配置する。報告書は、経営層向けの要約と開発担当者向けの詳細版という2種類を日本語で提供する方針だ。専門知識が異なる関係者に同じ情報を伝え、修正の優先順位や予算を検討しやすくする狙いがある。ただし、すべての脆弱性を検出できると保証する発表ではない。

料金は個別見積もり、監視は別契約

料金は公開定額制ではなく個別見積もり。診断計画が確定してから約1週間で診断を開始する目安を示し、導入前には30分の無料相談も受け付ける。再テスト後に24時間365日の継続監視を希望する場合は、同社の運用保守サービス「KARI MONITOR」を別途契約する必要がある。診断と常時監視は同一料金に含まれるわけではない。

導入を検討する企業にとっては、対象システムの範囲、修正作業の責任分担、再テストの回数、追加費用を事前に確認することが重要になる。特にAPIの認可不備やクラウド設定ミスは、単純な自動スキャンだけでは評価しにくい場合がある。今回の発表で確認できるのはサービス内容と提供条件であり、導入社数や脆弱性削減率などの実績値は示されていない。