茂岩祐樹著『DeNAのサイバーセキュリティ』という本を Kindle 版で読んでいたのだが、あるとき著者本人をインタビューする機会があった。
すでに電子版を持っていたにもかかわらず、わざわざ紙の書籍を購入して、その本を持って取材に臨むことにしたのは、もちろん本人にサインを書いてもらうためだったが、Amazon に発注してそれが届くのを待っている日数がないほど直前に来た依頼だったので、当該書籍の在庫が置いてある書店をわざわざ電話で調べて、井の頭線渋谷駅の直下にある啓文堂書店渋谷店（当時）で購入して、その足でインタビュー会場に指定された東京電機大学を目指した。
● 診断内製化で手にした力
この本で圧倒的に面白かった点は、それまで外部に委託していた脆弱性診断を内製化することで、それなりの額の年間コストを浮かせて、それを原資のひとつとして、Black Hat USA や DEF CON などの世界中のセキュリティ技術者が憧れるイベントに部門のメンバーを参加させたり、様々な新しい試みを行ったという部分だった。
やれ、経営者の理解が得られないだのなんだのと、セキュリティに携わる部門は悲哀に満ちたエピソードばかりが物語として語られているが、要はそれは元をただせば、情報システム部門やセキュリティ部門が、新しい売り上げを上げたり、利益を増やすことに対して無力であり、目に見えないどころか成功すればするほど成果が透明になる「リスク低減」という仕事を行っているコストセンターであることに起因している。
そんな状況の中で、それまで恐らくはそれなりのハイブランドな脆弱性診断会社に外注していたであろう診断作業を内製化することで、はっきりと外に出ていく支出金額が可視化された状況のもとでそのコストをガバッと削減して見せたわけだから「事業会社内の最強の兵器」であるところの「お金の力」を活用して、組織改革や新しいことへ取り組んでいく姿が、武器を持たない人が武器を手にした瞬間というか、まるで埋もれていた剣を掘り出して戦う勇者のように本を読んで感じたのだった。こういうやり方があるのだと感心もした。
● 脆弱性診断の管理ツール
それから何年か後の 2024 年、エーアイセキュリティラボから一風変わったソフトウェア「診断マネジメントプラットフォーム」の発表が行われた。同社の提供する脆弱性診断ツール AeyeScan のユーザーに向けて、脆弱性診断の進捗管理と情報共有を行うツールであり、「どのサイトをいつ診断したか」「見つかった脆弱性は何か」等々が深刻度とともにリストアップされるほか、診断のみならずその周辺業務対応などの行動計画を策定したり、スケジュール管理まで行えるもので、現業部門や経営者との情報共有も視野に入れて設計されていた。なお同プラットフォームは翌2025年に機能強化し「AeyeCopilot」と名称変更している。
この設計思想に、冒頭で挙げた書籍が提示していた世界観と相通ずる「セキュリティ部門が能動的に社内の状況を変えていかんとする意思」を感じた。
記者はこのソフトウェアのお披露目の講演を取材したのだが、講演が終わった直後に、登壇者である株式会社エーアイセキュリティラボ 代表取締役社長 青木 歩に近寄って、やや興奮しながら、冒頭の書籍のことにも触れつつ「ごく普通の進捗管理システムだと思いますが、目指すゴールが素晴らしいソフトウェアなので、今後の展開に期待しています」と話しかけたのだが、柄にもなく気持ちが高ぶっていたのだろう。街で変質者に絡まれたような、あるいはエイリアンに遭遇した宇宙飛行士のような顔をしていた青木の表情をまるで昨日のことのように思い出す。要は「ヤベー奴来た」という顔だった。
● 何度か断られた取材申込み
だからこそ、AeyeScan が使えるツールであることはもちろんとして、このエーアイセキュリティラボの「内製化支援の取り組み」について一度取材させて欲しいと、過去少なくとも 3 回は正式に頼んでいたのだが、毎回返事は芳しくなかった。「わざわざ取材してもらうほどのことではないし、ユーザーを支援するのはどんな会社でもやっていることだから」というのが芳しくない返事の趣旨だったのだが、そのたびに、だからこそ取材すべき、という思いは一層強まった。
それは、取材を受ける当人が「取材してほしい」と思っていることを取材しても、大して面白い記事にはならないことがあるという記事作りにおける普遍的真理がそこにはあるからで、例えば社会的インパクトのある週刊誌報道などは、賭けてもいいが 100 ％、取材を受ける本人が取材してほしいなどとは万に一つも思っていない事柄ばかりである。
自分たちのやっていることの価値にろくすっぽ気づいていないからこそ尊いのであり、それを文字にすることに意義があり、ずっと機会を伺っていたのだが、4 回目か 5 回目かの打診で取材実施に OK が出た。しかも取材対応いただく二人の人物のうち一人は、内製化支援の最最最初期からカスタマーサクセスに携わる人物であり、これはいわば本誌が重要視する「はじまりの物語」である。
取材に応じたのは、株式会社エーアイセキュリティラボ CX 本部 カスタマーサクセスマネージャーの川端 雅俊（かわばた まさとし）と、橋本 直樹（はしもと なおき）の二人。
カスタマーサクセスチームは AeyeScan 導入後の顧客の運用支援全般を担い、開発部門が主導する顧客を川端が、セキュリティ部門が主導する顧客を橋本が中心に受け持つという緩やかな分担があるという。
同チームは応対品質の基準を「ユーザーがツールをしっかり使える状態にまで導けているか」に置いている。AeyeScan は他の脆弱性診断ツールと比較して UI がわかりやすく学習コストが低いという評価を受けることが多いが、それでも「会社ごとの業務に組み込んでいくところには意外と支援が必要」と橋本は言う。オンボーディングに向けた準備と進捗の管理、さらにその先、診断対象や利用範囲を広げる段階にユーザーが行くまで支援を行う。
● 診断にかかる費用
そもそも脆弱性診断に企業はどの程度の費用をかけているのか。川端によれば、エンタープライズ企業の年間の診断予算はおおむね 1,000 万円から3,000万円前後、なかには 1億円以上をかける企業もあるという。
費用の構造は診断の形態によって大きく異なる。外部のセキュリティベンダーに診断を依頼する場合、診断員の人工（にんく）で積算されるため 1 日いくらの世界となり、画面数やリクエスト数で上限が設定される。相場は 1 回・1 サイトあたり数十万円から数百万円程度。一方、ツールを使って自社で診断する場合にかかるのはツールのライセンス費用のみで、ドメイン数無制限型か診断対象ごとの課金かなどツールによって幅はあるが、年間数百万円程度だという。
● 内製化支援を始めた経緯
エーアイセキュリティラボは AeyeScan というツールの開発販売にとどまらず、ユーザー企業の診断内製化の支援に深く踏み込んでいるが、しかし当初からそうだったわけではない。
川端が同社最初のカスタマーサクセス専任として入社したのは 4 年ほど前になる。当時のサポートは、ツールの操作方法の案内やトラブルシュートが中心だった。転機は AeyeScan の販売が拡大し、ユーザーの裾野が広がったことだったという。ツールを導入したにもかかわらず、脆弱性診断そのものをいつまでも始めない、あるいは始めたいのに始めることができない顧客が増えてきたのだという。
その原因を考えたとき、川端が引き合いに出したのが「会計 SaaS」だ。会計業務や購買業務には、見積、発注、請求、支払といった自社の業務フローが既に存在しているため、SaaS の想定業務フローとすり合わせながら導入・定着させていけばよい。ところが脆弱性診断業務には、自社の業務フローがそもそも存在しない企業が多いという。
どの範囲のサイトを、どのサイクルで診断すべきか。そうした判断の枠組みがない状態でツールだけを導入し、そこで止まってしまう顧客が少なくなかった。
ある程度自社でコントロールをしながらそれまで外部委託していた診断を、ツールに置き換えるパターンの顧客はつまずくことが比較的少ないという。一方で、脆弱性診断を初めて行う企業や、これまで診断をセキュリティコンサルティング会社などに丸投げしてきたために自社にノウハウが皆無という企業は、システム開発でいう要件定義や設計に相当する部分が抜け落ちた状態で入ってくる。「そこをケアしないと、そもそもツールが使われない（川端）」。ということは「ツールを使う以前のルールメイク」こそが肝ではないか。そう考えた同社は、内製化支援の必要性を訴求し始めた。
● 外注から内製へ、何が変わるか
内製化に踏み切る動機として川端が挙げるのは、まず予算の逼迫である。Web アプリケーションや Web サービス化が進み公開サイト数が増え続けるなか、1 回ごとに費用が発生する外部委託では、網羅的な診断が予算的に困難になっていく。
もうひとつは開発スピードとの不整合だ。機能追加や新サービスのローンチが高速化する状況のもとで外部委託すると、見積、契約、発注、納品とプロセスが多く診断 1 回のリードタイムが長くなる。その結果、自社の開発スピードに診断が追いつかなくなる問題が発生する。
このほか、EC サイトの脆弱性診断の義務化や重要インフラ事業者への対策要請、サプライチェーンセキュリティマネジメントといった国のガイドラインを契機とする導入も多いという。
橋本はセキュリティ部門側の事情を補足する。経営層が気にするのはコストだが、現場の動機は監査であり、「診断していないものが残っていない状態」を作らなければならないというガバナンス上の要求だ。生成 AI の普及で開発スピードが上がるなか、外部委託では優先度の高いリリース前の診断くらいしか手が回らず、リリース後の定期的な診断を含んだ監査目標に届かないのが実態だという。
では、診断を内製に変えると何が変わるのか。開発部門と接することの多い川端は、スケジュールへの効果を挙げる。タイトな開発日程のなかに外部委託の診断を組み込んでいた現場が、自分たちのコントロールできる範囲でいつでも診断できるようになることで「スケジュール的にすごく楽になった」という声をよく聞くことがあるという。
一方で橋本が挙げるのは、より構造的な変化である。多くの企業でセキュリティはセキュリティ部門が一手に担う中央集権的な形で運用されているが、うまくいっている企業は、そこから開発現場が自分たちで診断できる状態へと少しずつ移行を進めているという。橋本らはこれを「民主化」と呼ぶ。
民主化が進んだ企業では全社への展開が円滑になるだけでなく、開発段階からセキュアなコーディングへの意識が生まれ、検知される脆弱性自体が年々減っていくプラスのサイクルが回り始める。
ただし、開発部門が自主的に動く状態は放っておいて生まれるものではない。監査目的の統制から、開発部門が自ら使いたくなる環境へ。その転換をどう促すかが「実は内製化の一番の肝」だと橋本は言う。同社はグループ会社や部署向けの AeyeScan 説明会に同席して、開発者にとってのメリットを説くことも多いという。
● あるユーザー企業のつまずきと立て直し
内製化はしかし、一直線には進まない。橋本が挙げたのは、あるエンタープライズ企業の事例である。
その企業では、セキュリティ部がグループ会社分も含めた全社の診断を自分たちで引き受けると決意して AeyeScan を導入した。当初は同部が主導し、グループ全体を広く網羅する形で診断を進めていく計画だった。
しかし、「外部委託から切り替えてこれからは自分たちでやる」と宣言した途端、状況は一変する。各事業部やグループ会社からリリースのたびに診断依頼が殺到したのだ。従来外部診断に出していたときには顕在化していなかった需要が噴き出し、依頼量は想定の倍以上に膨れ上がることとなった。
申請フローはチケットツールや Excel で回していたが、依頼はセキュリティ部が処理できる量を超えた。診断待ちが滞留し、各現場のリリースを遅らせるボトルネックになってしまった。外部ベンダーに委託することによるリードタイムの長さを嫌って内製化したにもかかわらず、一部門に集中させる限り構図は同じだったのである。
そこで同社は方針を転換し、ツールを各現場に配って自主的にセキュリティ業務に参加してもらう形を試みる。だがこれも失敗した。現場は自分たちの開発を優先し、ツールは使われなかった。セキュリティを最も真剣に見ていたのは、結局セキュリティ部だけだったのである。うーん困った。
立て直しは、一見遠回りに見えるアプローチで始まった。まずセキュリティ部が主導し、初回の診断だけは全対象を自分たちで診断準備から診断後の脆弱性の修正確認までやり切った。そのうえで外注費との差分などの実績を数字にまとめ、経営層に示した。これで社内的な政治的足場を固めたのち、「リリース前に診断を自主的に実施すること」「一定レベルまで脆弱性がなくなってからセキュリティ部にリリース申請すること」のふたつを社内規定として定め、現場へ引き継げる形を整えた。
規定が浸透するにつれてツールは現場で使われるようになり、現在では当初目指した、各現場が自らリリース前の脆弱性診断を必ず実施する状態に到達しているという。この過程では、社内規定やガイドラインのレビューといった相談にエーアイセキュリティラボが協力している。
橋本は予算の力学にも言及した。診断費用を事業部ごとの「原価」として按分徴収する企業は多いが、親会社が「販売管理費」として予算を持ち「好きなだけ使っていい」とした途端に診断回数が増える現象があるという。セキュリティの話であると同時に、社内の制度設計の話でもある。
開発部門側にも特有のつまずきがあると川端は言う。開発サイクルに合わせて診断を回す、いわゆるシフトレフトの実現はわかりやすく訴求力があり、週 1 回のアップデートごとに診断したいという意欲的な企業もある。AeyeScan はそうした使い方も想定したツールであり、診断自体は実現できる。
問題はその後だ。開発部門主導の場合、脆弱性が見つかっても「これはそもそも直すべきものなのか」を判断するノウハウがなく、その都度セキュリティ部門に問い合わせることになり、せっかくのスピードがそこで止まる。川端は、この開発部門主導のトリアージについて「一朝一夕でできるようになる近道はない」と語る。成功している企業は、これを単なる「バグ修正」の作業ではなく、開発者のスキルアップに繋がる「セキュアなコーディングの一環」として捉えているという。そして、「レポートの解読 ➔ セキュリティ部門とのディスカッション ➔ 実際の修正」という地道なサイクルを、現場で泥臭く繰り返しながら洗練されていくのが実態だ。
とはいえ、「開発現場のツール診断へのモチベーション」を損なわないことが最も重要であると橋本は言う。社内規程やガイドラインといったルールで一律に縛り、「Critical、High を検知したら理由を問わず即座にすべて直せ」と頭ごなしに強制すると開発現場は窮屈になり、かえって診断そのものを面倒くさがっておろそかにする。あるいは最悪の場合、セキュリティ部門に隠れてリリースするといった逆効果を生む事例も散見される。
エーアイセキュリティラボのアプローチは、ルールで縛るのではなく、AeyeScan の「画面遷移図とレポート（日英対応）」という共通言語を挟んで、開発者自身が「これを直せば自分たちのコードがよりセキュアになり、リリース申請も最速で通せる」という実利を感じられるようにするという方法だ。この主体的なコミュニケーションの積み重ねこそが、トリアージの迷宮を抜け出す唯一の王道なのだという。
● 支援はライセンスに含まれる
こうした内製化支援は、取材を行った 2026 年 6 月時点では AeyeScan の契約に含まれており、追加費用は発生しない。カスタマーサクセスの支援は内製化支援からトラブルシュートの一次対応まで幅広く、その一部という位置づけである。顧客から「本当に無料でいいのか」と言われることはよくあるという。
同社がこれらの支援実績を活用してコンサルティングサービスとして切り出さないのは、会社の性格によるだろう。「会社としてはサービスよりツール」だと橋本は言う。記者が受けた印象は、自分たちは「コンサル企業」などではなく、あくまで AI 技術を活用した最高の自動脆弱性診断ツールを作る「テクノロジー企業」であり、自社プロダクトの活用を通じて顧客のセキュリティ業務を改善する集団であり続けるというプライドめいたものだった。
ライセンス体系も、ここまで述べてきた「診断の民主化を支援する」という考え方と結びついている。川端が AeyeScan の特徴として挙げるのは、診断できるサイト数と診断回数がいずれも無制限であることだ（年間契約のBusinessライセンスに限る）。グループ全体で 100 サイトあっても 1,000 サイトあっても上限がないため、利用範囲が広がるほどコストメリットが大きくなる。前述の事例のように診断を現場へ広げていく前提にこの無制限という体系がある。
教育コストの低さも導入の障壁を下げている。細かな診断条件を設定したい専門家向けの機能を備える一方、初学者であればドメイン登録と 2 クリック程度で診断を開始できる設計である。
橋本が教育コストの低さの象徴的な例として挙げるのが、海外グループ会社での利用だ。導入時には「海外担当者には英語で説明が必要になる」と言われることが多く、同社は英語サポートも用意してはいるのだが、実際に英語でのレクチャーが必要になったことは過去一度もないという。「現地の担当者は自分で触って納得する人が多く、質問が上がってこない（橋本）」。
コスト削減の幅については、同社が公開する導入事例では、診断コストが 10 分の 1 になったケースもある。浮いた予算の使い道として、全サイトへの WAF 導入、重要サービスへのペネトレーションテストの実施、IPS や UTM など多層防御への投資、手動診断と組み合わせたより高度な診断、といった例が過去にあったという。
● ブレーキではなくアクセルに
最後に二人に、内製化を検討する企業に向けたメッセージを聞いた。
橋本は、セキュリティをコストセンター、事業のブレーキと捉える企業がいまだ多いと感じている。しかしクライアントからの信頼性が事業継続性にそのまま直結する市場環境のなかで、「セキュアな状態で市場に最速でリリースしている」と示せることには大きな価値があり「セキュリティの取り組みはブレーキではなくアクセルです」と語った。
川端は AeyeScan を「脆弱性診断ツールとしての機能だけではなく、脆弱性診断業務の改善ツール」としても見ているという。診断業務が効率化されれば、浮いた時間と予算を別の対策や業務に振り分けられる。「診断業務だけでなく AeyeScan 利用者が抱えている診断周辺業務の最適化にまで至れるように支援していきたい」と語った。
● ユーザー企業に“我々”と話しかけた経営者
冷や水を浴びせるようだが、本稿を読んで内製化に踏み切ったところで、待っているのはセキュリティ担当者の仕事量の純増だけかもしれない。浮いた数百万だか数千万だかの予算も、戦略を欠いていれば、気がつけば営業マンを 1 人 か 2 人雇う原資に化けて終わり、という末路だって十分あり得る。金に色はついていないし、本稿で紹介した「販管費で親会社が持つ」という話は、裏を返せば予算とは常にそういう力学で動くということでもある。
それでもこの記事は公開するべきであって、その理由を最後に書く。
以前、同社代表取締役社長 青木 歩の診断管理ツールお披露目の講演を取材した際、青木は「“我々”のやっている仕事の価値を上げていきたい」と言った。この言葉が地味に今も俺の心に残っている。
「“セキュリティ担当者”のやっている仕事の価値を上げていきたい」ではなく「我々」だった。社長の講演というものを最低でも 100 件は聞いてきた記者だが、こんなもの言いを聞いたのはほとんどはじめての経験だった。しかも作った言葉でも演技した言葉でもなく、ごくごく普通に言っていた。
ふつうはこうはならない。ふつうは「ユーザー企業様」だの「セキュリティご担当者様」だのと、相手を財布としてしか見ていない非人間的なニュアンスが透けて見えるいやったらしい敬語を用いるものだ。そもそも「我々」などと言うのはリスクがある。会場に集まったセキュリティ担当者を、財布としか思っていない人間がうっかり口にすれば、反感を生み怒気を呼びかねない言葉だからだ。それを平然と、当たり前の顔で言えるということは、日頃からそのように青木は生きているということである。
話は変わるが、編集部は今年、ガートナー アプリケーション・イノベーション＆ビジネス・ソリューションサミット 2026 を取材した。印象的だったのは、開発内製化をテーマにした講演がふたつもあり、どちらも盛況（ひとつは大盛況）だったことだ。これまで日本企業は IT を既存業務の効率化の道具とのみ捉え、開発は大手 SIer に丸投げする外部委託型が主流だった。しかし恐らくは「DX」という言葉自体が死語になるほどビジネスがデジタル化する近未来には、サービス品質の維持向上のために開発は内製に回帰する。診断以前に、開発がである。いかにもガートナーらしい提言だが、その方向はおそらく正しい。
その近未来から逆算すれば、2026 年現在、日本で脆弱性診断内製化のノウハウを最も持っている企業のひとつがエーアイセキュリティラボであることは、ほぼ間違いないと記者は考える。そして本稿で見てきたとおり、同社にとって内製化とはツールを売るための方便などではなく、セキュリティ担当者の正当な評価、社内でのコミュニケーションの活発化と発言力向上、そして口にすることはなくても担当者の自由や健康までも目的に含んだ営みだと思う。
