Source code security assessment
攻撃者より先に、
コードの穴を見つける。
コードの穴を
ソースコードをお預かりし、潜んでいる脆弱性を洗い出して、直し方まで報告します。ご契約から、最短5営業日。
- 最短5営業日で報告
- 修正のコード例つき
- 東証グロース上場企業グループ※
画面イメージ：ソースコードの142行目でSQLインジェクションを検出し、修正例を示した診断結果。重大1件・高3件・中6件・低9件。
※ 親会社の株式会社TWOSTONE&Sons（証券コード：7352）が、東京証券取引所グロース市場に上場しています。
-
最短 5 営業日
ご契約から報告書の提出まで （有効行数3万行まで）
-
10 の観点
狙われやすい弱点を洗い出し
-
20 万円から
有効行数1万行までの料金 （税別）
-
0 円
お見積りのあとの追加費用
Risk
脆弱性を放置すると、
ある日それは「事故」になる。
ある日
機能が正しく動いていても、入力の扱いや権限の確認に穴があれば、外から悪用されます。通常のテストでは見つかりにくく、気づくのは事故のあとです。
180件
漏えいした個人情報 3,063万人分
件数は、過去最多だった前年に次ぐ多さ。漏えいした人数は、前年の約2倍に。
事故の原因
- ウイルス感染・不正アクセス 116件
- 誤表示・誤送信 37件
- 紛失・誤廃棄 18件
- その他 9件
不正アクセスによる事故は、1件あたり平均 約56万人分が漏えい
出典：東京商工リサーチ「上場企業の個人情報漏えい・紛失事故」調査（2026年1月30日公表、2025年の集計）
放置した脆弱性が招くこと
-
侵入・漏えい
脆弱性を突かれ、顧客情報の流出やサイトの改ざんが起きる。
-
報告と通知の義務
不正アクセスによる漏えい（おそれを含む）は、件数にかかわらず、個人情報保護委員会への報告と、本人への通知が必要。
-
調査と対応の費用
原因の調査、問い合わせの窓口、お詫びの費用が重なる。
- 原因の調査 300〜400万円
- コールセンター（3か月） 700〜1,000万円
- 見舞金（1万人） 650万円
-
信用と取引の損失
サービスの停止、取引の見直し、顧客離れ。影響は長く続く。
損害の合計は、中小企業でも数千万円、
場合によっては数億円の規模に。
- 出典：JNSA「インシデント損害額調査レポート 第2版」（2024年2月）。費用は中小企業を想定した参考値
- 報告と通知の義務：個人情報保護法（2022年4月施行の改正）
Third-party view
つくった本人の「大丈夫」だけでは、
安全の証明にはならない。
安全の証明には
-
作り手には、盲点がある
開発者のテストは「正しく使われる」ことが前提。攻撃者は、想定していない使い方を探します。同じ目で見直しても、同じ穴を見落とします。
-
中立な立場で評価する
自社でつくったものを自社で評価すると、どうしても「問題なし」に寄りがちです。利害のない第三者が、同じ基準で確かめます。
-
説明できる証跡が残る
第三者の報告書は、取引先への回答や、監査・親会社への説明に、そのまま使えます。「確かめた」ことを、形にして示せます。
外部の目による確認が、求められる時代に
IPA「情報セキュリティ10大脅威 2026」［組織］
- 2位 サプライチェーンや委託先を狙った攻撃
- 4位 システムの脆弱性を悪用した攻撃
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」
2026年度末ごろに、申請の受付が始まる予定。
取引先から、セキュリティ対策の水準を問われる場面が増えていきます。
Service
ソースコードを預けるだけ。
最短5営業日で、直し方まで分かる 報告書が届きます。
最短5営業日で、
お預かりしたソースコードを、解析ツールで網羅的に洗い出したうえで、開発経験のあるエンジニアが、実際に悪用できるかを一件ずつ判断します。
-
STEP 01
見つける
コード全体から、脆弱性の疑いがある箇所を、網羅的に洗い出します。
-
STEP 02
確かめる
実際に悪用できるかを、開発者の目で一件ずつ判断。誤検知を除いて報告します。
-
STEP 03
直し方を示す
該当するコードに合わせて、修正のコード例を示します。直す順番も提案します。
-
STEP 04 オプション
直す
修正の実装とテストまで、そのまま当社にご依頼いただけます。
ソースコード診断とは。設計図を読んで、弱点を探す診断です。
- 脆弱性（ぜいじゃくせい）とは
- プログラムの不具合や設計の見落としから生まれる、セキュリティ上の弱点のこと。悪用されると、情報の漏えい・改ざん・なりすましなどの被害につながります。
| 診断の種類 | ソースコード診断 本サービス 設計図を読んで、弱点を探す（ホワイトボックス） | Webアプリケーション診断 動いているシステムを、外から試す（ブラックボックス） |
|---|---|---|
| 見る対象 | ソースコード（プログラムそのもの） | 稼働しているシステムの画面・API |
| 見つけられる範囲 | 画面に出ない内部の処理まで | 外から届く範囲に限られる |
| 指摘の細かさ | ファイルと行まで特定できる | 画面・URLの単位 |
| 稼働中のシステムへの影響 | なし（サーバーに触れない） | 負荷やテストデータ登録の可能性 |
| 実施できる時期 | 開発中・リリース前から | 検証環境ができてから |
-
見る対象
ソースコード診断 ソースコード（プログラムそのもの）
Webアプリケーション診断 稼働しているシステムの画面・API
-
見つけられる範囲
ソースコード診断 画面に出ない内部の処理まで
Webアプリケーション診断 外から届く範囲に限られる
-
指摘の細かさ
ソースコード診断 ファイルと行まで特定できる
Webアプリケーション診断 画面・URLの単位
-
稼働中のシステムへの影響
ソースコード診断 なし（サーバーに触れない）
Webアプリケーション診断 負荷やテストデータ登録の可能性
-
実施できる時期
ソースコード診断 開発中・リリース前から
Webアプリケーション診断 検証環境ができてから
狙われやすい弱点を、10の観点で洗い出します。
-
インジェクション
入力された値が、そのままSQL文やOSコマンドとして実行されないか。
SQLインジェクション -
XSS（スクリプト挿入）
画面に表示する値が、無害化されているか。偽の画面や不正な処理を防ぐ。
反射型・格納型 -
認証の不備
ログインやパスワードの扱いに、すり抜けや推測の余地がないか。
多要素認証・総当たり -
アクセス制御の不備
他人のデータや管理機能に、権限なく触れられないか。
IDOR・権限昇格 -
セッション管理
ログイン状態の発行・破棄・保護が、正しく行われているか。
セッション固定・CSRF -
機密情報の露出
パスワードやAPIキーが、コードに直接書かれていないか。
ハードコード -
暗号化の不備
通信や保存データの暗号化に、弱い方式や漏れがないか。
TLS・ハッシュ -
ファイル操作
アップロードやパスの指定を悪用されて、不正なファイルを置かれたり読まれたりしないか。
パストラバーサル -
古いライブラリ
既知の脆弱性がある外部の部品を、使い続けていないか。
既知の脆弱性（CVE） -
設定・エラー処理
開発用の設定や、内部の情報を見せるエラー表示が、残っていないか。
デバッグ設定
Output
経営層にも開発者にも伝わる、
診断報告書。
診断報告書。
いまの安全性がひと目で分かるまとめから、指摘ごとの直し方まで。社内の判断にも、開発の作業にも、そのまま使える形でお渡しします。
報告書の見本：表紙と、総合評価C・重大度別の件数・優先して対応すべき指摘を載せたサマリーのページ。
-
総合評価 経営層向け
全体の安全性を5段階で評価。いまの状況が、ひと目で分かります。
-
検出結果の一覧 経営層向け
重大度ごとの件数と、対応すべき順番を一覧にします。
-
指摘の詳細 開発者向け
場所（ファイル・行）、悪用されたときの影響、修正のコード例を、指摘ごとにまとめます。
-
総評と今後の提案 共通
開発の進め方や、継続的な対策についてご提案します。
- 形式：PDF（日本語）
- 報告会：オンラインで60分
指摘ごとに、場所・影響・直し方をコードでお示しします。
- 該当箇所
- app/Http/Controllers/
OrderController.php : 142行目 - 内容
- 検索キーワードが、無害化されないままSQL文に連結されています。
- 悪用されたときの影響
- 細工した文字列を送られると、ほかの会員の注文情報を含むデータベースの内容を、外部から読み出されるおそれがあります。
- 対応の優先度
- 高次のリリースまでに修正することを推奨
修正のコード例
修正前
142 - $sql = "SELECT * FROM orders WHERE name = '" . $q . "'";
143 - $rows = DB::select($sql);
修正後
142 + $rows = DB::select(
143 + 'SELECT * FROM orders WHERE name = ?',
144 + [$q]
145 + );
プレースホルダ（バインド変数）を使い、入力値をSQL文と分けて渡します。
参考：IPA「安全なウェブサイトの作り方」1.1／CWE-89
-
重大度と優先度
国際的な指標（CVSS）と、悪用のしやすさから、対応の順番を判断。
-
該当箇所
ファイル名と行番号まで特定。開発者がすぐに場所を見つけられます。
-
悪用されたときの影響
何が起きるのかを、専門用語に頼らない言葉で説明します。
-
修正のコード例
貴社のコードに合わせた直し方を、修正前と修正後で示します。
Why Growth One
Growth One に任せる、
3つの理由。
3つの理由。
-
REASON 01
上場企業グループとしての
信頼と、確かな情報管理 親会社のTWOSTONE&Sonsは、東京証券取引所グロース市場に上場。秘密保持契約のもと、大切なソースコードを責任をもってお預かりします。
-
REASON 02
契約からのスピードで、
リリースを止めない お見積りは最短翌営業日。ご契約から最短5営業日で、報告書をお届けします。診断の空き待ちで、リリースを遅らせません。
-
REASON 03
受託開発の会社だから、
直すところまで伴走する 普段からシステムをつくるエンジニアが診断します。誤検知を除いたうえで、修正のコード例まで示し、直す作業もそのままお任せいただけます。
※ 親会社の株式会社TWOSTONE&Sons（証券コード：7352）が、東京証券取引所グロース市場に上場しています。
診断の範囲の違い
一般的な診断の範囲
Growth One の診断
※ 一般的な診断の範囲は、当社が想定する例です。修正の開発は、診断とは別にお見積りします。
Trust
ソースコードは、事業の財産。
だから、安心して預けられる 相手に。
だから、
Group
株式会社TWOSTONE&Sons グループ
東証グロース市場
上場企業グループの一員です
- グループのエンジニア数※
- 70,000+
- グループ創業
- 2013
エンジニアの力で事業を支えてきたグループの一員として、ソースコードという大切な資産を、責任をもって扱います。
※ エンジニア数は連結登録者数（2026年8月末時点）
お預かりから削除まで
DATA HANDLING-
STEP 01
秘密保持契約
診断を始める前に、秘密保持契約（NDA）を締結します。
-
STEP 02
受け渡し
アクセスできる人と期間を限った方法で、受け取ります。
-
STEP 03
診断
閲覧は担当エンジニアに限り、診断以外の目的には使いません。
-
STEP 04
削除と報告
診断が終わったら、お預かりしたデータを削除し、ご報告します。
貴社の情報管理のルールに合わせた受け渡しの方法も、ご相談ください。
Cases
利用者の多いシステムほど、事故の前に。
ソースコード診断の活用例。
ソースコード診断の
- CASE 01
ユーザー数 20万人
ガソリンスタンドの会員アプリを、
四半期ごとの定期診断で点検 - 有効行数
- 約20万行（PHP）
- 料金
- 100万円
- 期間
- 10営業日
検出した指摘 13件
- 重大 1
- 高 2
- 中 4
- 低 6
主な指摘
- ほかの会員の決済履歴を取得できるAPI
- ポイント残高を、送信内容の改ざんで増やせる
結果
重大・高の3件を修正し、再診断で、すべての解消を確認。
- CASE 02
ユーザー数 10万人
漏えい事故が相次ぐなか、
イベントアプリを総点検 - 有効行数
- 約9万行（TypeScript）
- 料金
- 60万円
- 期間
- 7営業日
検出した指摘 19件
- 重大 0
- 高 3
- 中 7
- 低 9
主な指摘
- ほかの参加者の申込情報を取得できるAPI
- APIキーがコードに直接書かれている
結果
高の3件を、次の募集開始までに修正。報告書は、主催企業への説明にも活用。
- CASE 03
ユーザー数 120万人
携帯販売代理店の業務システムを、
取引先の求めに応じて診断 - 有効行数
- 約9万行（Go・Kotlin）
- 料金
- 60万円
- 期間
- 7営業日
検出した指摘 15件
- 重大 1
- 高 1
- 中 5
- 低 8
主な指摘
- 店舗の権限で、ほかの店舗の顧客情報を見られる
- 既知の脆弱性がある古いライブラリ
結果
報告書を、取引先への回答に添付。修正の開発も、当社が担当。
※ 掲載の活用例は、当社の開発の知見をもとにした想定例です。実在の企業・システムとは関係ありません。
Price
料金は、コードの量だけで決まる。
お見積りのあとに、追加の費用はかかりません 。
お見積りのあとに、
| 有効行数 | 料金（税別） | 報告まで |
|---|---|---|
| 〜10,000行 最短5営業日 | 20 万円 | 最短5営業日 |
| 10,001〜30,000行 最短5営業日 | 30 万円 | 最短5営業日 |
| 30,001〜50,000行 最短7営業日 | 40 万円 | 最短7営業日 |
| 50,001〜100,000行 最短7営業日 | 60 万円 | 最短7営業日 |
| 100,001〜200,000行 最短10営業日 | 100 万円 | 最短10営業日 |
| 200,001行〜 規模に合わせて調整 | 100万円 ＋ 1万行ごとに5万円 | 規模に合わせて調整 |
すべての料金に含まれるもの
-
診断報告書（PDF）
総合評価・指摘の一覧・修正のコード例
-
報告会（オンライン・60分）
開発チームからのご質問にもお答えします
-
修正後の再診断（1回）
報告から30日以内に、直した箇所を確認
オプション
- 料金を決めるのは、有効行数だけ
- 行数の計測は無料
- お見積りのあと、追加費用なし
※ 金額はすべて税別です。期間は目安で、ご契約からの営業日です。
料金のもとになる「有効行数」は、誰が数えても同じ数字 になります。
- app/ 数える アプリケーションのコード
- resources/views/ 数える 画面のテンプレート
- routes/ 数える URLと処理の対応
- database/ 数える SQL・データベースの処理
- tests/ 数えない テストコード
- vendor/ 数えない 外部のライブラリ
- node_modules/ 数えない 外部のライブラリ
- public/build/ 数えない ビルド済み・圧縮済みのファイル
- composer.lock など 数えない 設定・データのファイル
計測の例
PHP 18,420 ＋ テンプレート 4,310 ＋ JavaScript 3,870 ＝ 26,600行 → 30万円
-
数えるもの
空行とコメントを除いた、プログラムの行数。画面のテンプレートやSQLも含めます。複数のリポジトリは、合計して数えます。
-
数えないもの
外部のライブラリ、自動生成・ビルド済みのファイル、テストコード、設定やデータのファイル（JSON・YAML など）は数えません。
-
計測は無料
公開されている計測ツール（cloc）で数えます。お客様ご自身で数える手順もご案内します。金額は、ご契約の前に確定します。
サーバーやクラウドの診断は、構成をうかがって個別にお見積り します。
診断する層と、料金の決まり方
-
アプリケーション ソースコード診断：料金表のとおり
画面・API・業務の処理（ソースコード）
-
ミドルウェア インフラ診断：別途お見積り
Webサーバー・データベースの設定
-
OS・サーバー インフラ診断：別途お見積り
開いているポート・更新の適用・ログインの設定
-
クラウド・ネットワーク インフラ診断：別途お見積り
公開の範囲・アクセス権限・通信の経路
ソースコード診断と組み合わせると、アプリケーションからインフラまで、まとめて確かめられます。
なぜ、個別のお見積りなのか
インフラは、システムごとに構成がまったく異なり、その組み合わせは無数にあります。行数のような共通のものさしがないため、構成をうかがったうえで、範囲と金額を個別に決めます。
金額を左右するもの
- サーバーの台数と役割
- クラウドの種類・アカウント数
- ネットワークの構成
- 診断の方法と範囲
お見積りまでの流れ
-
構成のヒアリング
構成図や台数をうかがう
-
範囲と方法のご提案
どこを、どう確かめるか
-
お見積り
金額と期間をご提示
※ インフラ診断の金額と期間は、構成と範囲をうかがったうえで、個別にお見積りします（税別）。
Schedule
ご契約から最短5営業日で、
報告書をお届けします。
報告書を
行数の計測とお見積りは、ご契約の前に無料で行います。リリースや取引の予定に合わせた日程も、ご相談ください。
期間の比較
一般的な診断の例
Growth One
※ 期間は有効行数3万行までの目安です。一般的な診断の期間は当社調べで、規模や診断会社の状況により異なります。
-
ご契約まで
ご相談・秘密保持契約
オンラインで30分。対象のシステムをうかがい、NDAを結びます。
-
ご契約まで
行数の計測・お見積り（無料）
有効行数を計測し、最短翌営業日に金額を確定します。
-
1日目
キックオフ・ソースコードの受領
受け渡しの方法と、連絡の窓口を決めて始めます。
-
1〜2日目
解析・洗い出し
コード全体から、脆弱性の疑いがある箇所を洗い出します。
-
2〜4日目
エンジニアによる精査
悪用できるかを一件ずつ確かめ、誤検知を除きます。
-
4〜5日目
報告書の作成
重大度と優先度をつけ、修正のコード例をまとめます。
-
5日目
報告書の提出・報告会
オンラインで60分。開発チームのご質問にもお答えします。
-
報告から30日以内
修正後の再診断（1回）
直した箇所が、正しく修正されているかを確かめます。
ソースコードは、どのように扱われますか？
秘密保持契約を結んだうえでお預かりし、閲覧は担当エンジニアに限ります。診断が終わったら削除し、削除をご報告します。
サーバーやクラウドの設定も、診断できますか？
はい。インフラ診断として承ります。構成がシステムごとに異なるため、内容をうかがったうえで、範囲と金額を個別にお見積りします。
稼働中のシステムに影響はありますか？
ソースコード診断では、ありません。コードを読む診断のため、サーバーへのアクセスや、システムの停止・負荷は発生しません。インフラ診断は、稼働中のシステムに配慮した方法と日時を、事前にご相談して決めます。
見つかった問題の修正も頼めますか？
はい。受託開発の会社として、修正の実装からテストまでお受けします。診断の結果をもとに、お見積りをお出しします。
料金は、どのように決まりますか？
ソースコード診断は、空行やコメントなどを除いた「有効行数」で決まります。計測は無料で、お見積りのあとに追加の費用はかかりません。
修正したあとの確認はできますか？
はい。報告から30日以内に1回、修正した箇所の再診断を、すべての料金に含んでいます。
対応している言語を教えてください。
PHP・Java・Python・Ruby・JavaScript／TypeScript・Go・C#・Kotlin・Swift などに対応しています。そのほかの言語も、ご相談ください。
報告書を、取引先や監査への説明に使えますか？
はい。第三者の報告書として、取引先への回答や、監査・親会社への説明にお使いいただけます。
一部の機能だけの診断や、定期的な診断もできますか？
はい。部分診断や、四半期ごとの定期診断もご相談いただけます。範囲と頻度に合わせてお見積りします。