脆弱性診断の営業電話を上手に断る方法｜角が立たない対応テクニック

「御社のWebサイトに重大な脆弱性が見つかりました。今すぐ診断しないと危険です」――このような営業電話を受けて困惑した経験はありませんか。脆弱性診断の営業電話は近年急増しており、対応に苦慮する企業担当者が増えています。しかし、断り方を間違えると今後の関係性を悪化させる可能性もあり、慎重な対応が求められます。この記事では、角が立たない営業電話の断り方と、本当に脆弱性診断が必要なケースの見極め方を具体的に解説します。適切な対応方法を知ることで、無駄な時間を削減しながら、必要な場合は適切に検討できるようになります。

脆弱性診断の営業電話が増えている背景

なぜ脆弱性診断の営業電話が増えているのでしょうか。その背景には、サイバーセキュリティを取り巻く環境の大きな変化があります。

サイバー攻撃の増加と法規制強化

独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2024」によると、ランサムウェアによる被害は5年連続で組織向け脅威の上位にランクインしています。実際に、2023年には上場企業のインシデント公表件数が過去最多を記録しました。

さらに、個人情報保護法の改正や電子帳簿保存法の対応により、企業のセキュリティ対策は法的義務としての側面が強まっています。これらの環境変化が、脆弱性診断市場の拡大を後押ししているのです。

営業電話が多い3つの理由

脆弱性診断の営業電話が増加している具体的な理由として、以下の3点が挙げられます。

• 市場の急拡大：サイバーセキュリティ市場は年率10%以上で成長しており、新規参入業者が増加しています
• 高単価サービス：脆弱性診断は1件あたり数十万円から数百万円の案件となり、営業効率が高いサービスです
• アウトソーシングの一般化：専門知識が必要なため、外部委託が前提となるサービスであり、営業機会が多いのです

これらの理由から、多くの診断業者が積極的な営業活動を展開しています。

よくある営業トークのパターン

脆弱性診断の営業電話には、いくつか典型的なパターンがあります。以下のようなトークには注意が必要です。

• 「お客様のサイトをスキャンしたところ、○○の脆弱性が見つかりました」→無断スキャンは違法の可能性があります
• 「今月中に対応しないと、個人情報保護法違反になります」→法的義務の誇張表現です
• 「同業他社は全て診断を実施しています」→根拠のない一般化です
• 「無料診断キャンペーン中です」→後から高額な本診断を勧められるケースが多いです

これらの不安を煽る営業手法に惑わされず、冷静に判断することが重要です。内閣サイバーセキュリティセンター（NISC）も、不審な営業電話への注意を呼びかけています。

角が立たない断り方の基本テクニック

営業電話を適切に断るには、相手との関係性を損なわない配慮が必要です。ここでは、具体的な断り方のテクニックを紹介します。

即断即決を避ける返答例

営業電話では、その場での即決を求められることがよくあります。しかし、即断即決は避け、検討する時間を確保することが重要です。以下の3つの返答例を参考にしてください。

【パターン1：社内手続きを理由にする】

「貴重なご提案ありがとうございます。弊社では外部サービスの導入について、稟議を通す必要がございます。まずは社内で検討させていただきますので、資料をメールでお送りいただけますでしょうか」

【パターン2：予算を理由にする】

「ご提案いただきありがとうございます。ただ、現在のところ予算の計画がございませんので、次年度の予算策定時に改めて検討させていただきます」

【パターン3：既存の対策を理由にする】

「セキュリティ対策につきましては、現在別の方法で対応しております。必要性を感じた際には、こちらからご連絡させていただきます」

これらの返答は、相手の提案を否定せず、断る理由を明確にすることがポイントです。

断る理由の伝え方

断る際の理由の伝え方によって、相手の受け取り方は大きく変わります。NGワードとOKワードを理解しておきましょう。

ポイントは、感情的にならず、ビジネス上の理由として説明することです。相手も仕事として営業活動をしていることを理解し、敬意を持って対応しましょう。

今後の連絡を丁寧に断る方法

一度断っても、再度連絡が来るケースは少なくありません。今後の連絡を丁寧に断るには、以下のような対応が効果的です。

【明確に意思表示する例】

「ご提案ありがとうございます。ただ、今後しばらくは検討する予定がございませんので、定期的なご連絡はご遠慮いただけますでしょうか。必要になりましたら、こちらから御社にご連絡させていただきます」

この際のポイントは以下の3つです。

• 感謝の意を示す：まず提案に対する感謝を伝えることで、角が立ちません
• 明確な意思表示：「検討予定がない」ことをはっきり伝えます
• 主導権を持つ：「必要時にこちらから連絡する」と伝えることで、今後の連絡を防ぎます

それでも連絡が続く場合は、「再三お断りしておりますが、今後のご連絡はお控えください」と、より強い表現で意思を伝えることも必要です。

しつこい営業への対処法

丁寧に断っても連絡が続く場合、以下のようなエスカレーション手順を取りましょう。

1. 記録を残す：電話の日時、担当者名、内容をメモに残しておきます
2. 上司や管理職に相談：個人で対応せず、組織として対応方針を決めます
3. 書面での通知：メールで正式に「今後の営業活動をお控えください」と通知します
4. 法的対応の示唆：それでも続く場合は、「業務妨害として対応を検討する」旨を伝えます

特定商取引法では、再勧誘の禁止が定められています。明確に断った後の営業活動は違法となる可能性があるため、悪質な場合は消費者庁への相談も検討しましょう。

本当に脆弱性診断が必要なケースの見極め方

営業電話を断ることは重要ですが、本当に脆弱性診断が必要な場合もあります。ここでは、診断の必要性を見極める具体的な基準を解説します。

診断が必要な企業の3つの条件

以下のチェックリストに当てはまる項目が多い場合、脆弱性診断の実施を検討すべきです。

• 個人情報を扱うWebサービスを運営している：会員登録、ECサイト、予約システムなど、個人情報を取り扱う場合はリスクが高いです
• 金融機関や医療機関など規制業種に該当する：FISC安全対策基準や医療情報システムの安全管理ガイドラインで診断が推奨されています
• 過去にセキュリティインシデントを経験している：一度でも被害に遭っている場合、再発防止のため定期診断が必要です
• システムの大幅な改修や新規開発を行った：新しい機能追加やシステム更改後は、新たな脆弱性が生まれやすいタイミングです
• 取引先から診断結果の提出を求められている：大手企業との取引では、セキュリティ診断が取引条件となるケースが増えています

これらの条件に複数該当する場合、脆弱性診断は営業トークではなく、実際に必要な対策と言えます。

緊急性の判断基準

IPAの「情報セキュリティ対策ベンチマーク」を参考に、緊急性を判断する基準を整理します。

営業電話で「今すぐ対応しないと危険」と言われても、実際の緊急性は自社の状況に基づいて冷静に判断することが重要です。不明な点があれば、IPAの情報セキュリティ相談窓口などの公的機関に相談することをおすすめします。

営業トークと本当のリスクの違い

営業トークには、しばしば誇張表現が含まれます。以下のポイントで、営業トークと本当のリスクを見分けましょう。

• 具体性の有無：「重大な脆弱性がある」だけでなく、どの部分にどのような脆弱性があるのか具体的に説明できるかを確認します
• 根拠の明示：「同業他社は全て実施している」ではなく、具体的な統計データや事例を示せるかがポイントです
• 法的義務の正確性：「法律で義務付けられている」という場合、具体的な法律名や条文を確認しましょう。多くの場合、推奨であって義務ではありません
• 診断の実施時期：「今すぐ」ではなく、適切な実施時期の提案があるかを見ます。本当に必要なら、準備期間を含めた提案があるはずです

営業トークに惑わされないためには、第三者の意見を参考にすることも有効です。情報セキュリティに詳しい専門家や、既に診断を実施した企業の事例を調べることで、客観的な判断が可能になります。

信頼できる脆弱性診断サービスの選び方

脆弱性診断が必要と判断した場合、信頼できる業者を選定することが重要です。ここでは、業者選定のポイントを解説します。

確認すべき3つの資格と実績

脆弱性診断を依頼する際、業者の技術力を証明する指標として、以下の資格や認証を確認しましょう。

• CREST認定：Council of Registered Ethical Security Testersによる国際的な認定制度です。技術者の技能と倫理観が審査されており、高い信頼性があります
• ペネトレーションテスト特区（PSJ）：日本セキュリティオペレーション事業者協議会（ISOG-J）が運営する国内の認定制度です
• 情報処理安全確保支援士（登録セキスペ）：国家資格であり、セキュリティに関する専門知識を有する証明になります

これらの資格を持つ技術者が在籍し、具体的な実績を開示している業者を選ぶことで、品質の高い診断が期待できます。業者選定時には、「どのような資格を持つ技術者が診断を担当するのか」を必ず確認しましょう。

適正価格の相場

脆弱性診断の費用は、診断の種類や範囲によって大きく異なります。以下に、一般的な相場を示します。

相場より極端に安い場合は、自動ツールのみで手動診断がない可能性があります。逆に高額すぎる場合は、不要な診断項目が含まれていないか確認しましょう。適正価格を判断するには、複数社から相見積もりを取ることが重要です。

相見積もりの取り方

信頼できる業者を選ぶには、複数社を比較検討することが不可欠です。相見積もりを取る際は、以下の3つのポイントを比較しましょう。

1. 診断範囲と項目の詳細：同じ「Webアプリケーション診断」でも、診断する項目数や深さが業者によって異なります。OWASP Top 10などの標準的な診断項目をカバーしているか確認します
2. 診断手法の割合：自動ツールと手動診断の比率を確認します。一般的に、手動診断の割合が高いほど品質が高く、費用も高くなります
3. 報告書の内容とアフターフォロー：報告書のサンプルを見せてもらい、理解しやすい内容かを確認します。また、脆弱性が見つかった場合の対応支援や、再診断の条件も重要なポイントです

相見積もりを取る際は、同じ条件で各社に依頼することが重要です。診断対象や範囲を明確にした依頼書（RFP）を作成し、各社に同じ内容で見積もりを依頼しましょう。これにより、公平な比較が可能になります。

まとめ

この記事では、脆弱性診断の営業電話への対応方法と、本当に必要な場合の見極め方を解説しました。重要なポイントは以下の3つです。

• 角が立たない断り方を身につける：即断即決を避け、社内手続きや予算を理由に丁寧に断ることで、相手との関係性を保ちながら営業電話に対応できます
• 本当に必要なケースを見極める：個人情報を扱うシステムや規制業種、取引先要請がある場合など、具体的な条件に基づいて診断の必要性を判断することが重要です
• 信頼できる業者を選定する：資格や実績を確認し、適正価格で相見積もりを取ることで、品質の高い脆弱性診断を実現できます

営業電話への対応は、断ることだけが目的ではありません。自社のセキュリティ状況を冷静に評価し、必要な対策を適切なタイミングで実施することが、本質的なリスク管理につながります。不明点がある場合は、IPAなどの公的機関への相談も活用しながら、最適な判断を行ってください。