脆弱性診断を外部に依頼しようとすると、まず気になるのが「見積もりの金額が高いのか、妥当なのか」という点ではないでしょうか。脆弱性診断の費用は、診断する対象や手法によって数万円から数百万円まで開きがあり、ベンダーから提示された金額だけを見ても、それが妥当かどうかを判断するのは簡単ではありません。
費用に幅が出るのは、Webアプリケーションを検査するのか、ネットワーク機器を検査するのか、ツールによる自動診断なのか専門家による手動診断なのか、といった条件で診断の内容が大きく変わるためです。見積書に並ぶ金額の根拠を理解していないと、他社と比べて高いのか安いのか、安い見積もりが必要な検査を削っていないか、といった判断ができません。
この記事では、脆弱性診断の費用相場を、料金を公開しているサービス・ベンダーの価格をもとに診断対象別・手法別に整理します。あわせて、1IPや1リクエストといった課金単位ごとの料金、見積もり金額が決まる要素、見積書の読み方、依頼先の選び方までを解説します。自社の診断対象（Webアプリケーションの画面数、ネットワークのIP数など）に当てはめて、予算の目安をつかむための材料としてご活用ください。
目次
一括ダウンロードする
【早見表】脆弱性診断の費用相場｜診断対象別×手法別
はじめに、脆弱性診断の費用相場を診断対象別・手法別に整理します。金額は、料金を公式に公開しているサービス・ベンダーの価格ページに掲載された実額をもとにしています。自社が検査したい対象と手法を起点に、おおよその水準を確認してください。
診断対象別の費用レンジ
脆弱性診断は、検査する対象によって費用の水準が変わります。継続的にスキャンするツール型（SaaS型）と、専門家が手を動かす手動・ハイブリッド型では、同じWebアプリケーションの診断でも金額が異なります。以下は、公開されている料金の例をもとにした対象別の目安です。
レンジの下限は小規模なサイトやツール診断の場合で、画面数が多い標準的な規模を手動・ハイブリッドで診断すると、Webアプリケーションでは100万円を超えることもあります。
| 診断対象 | Webアプリ診断（ツール型・継続利用） | Webアプリ診断（手動・ハイブリッド） | プラットフォーム（ネットワーク）診断 | API診断 | スマートフォンアプリ診断 | クラウド設定診断（AWS・Azure等） |
|---|---|---|---|---|---|---|
| 料金の目安（公開価格の例） | 月額2万円〜5万円程度 | 40万円〜 | 1IPあたり数万円〜／小規模で25万円前後〜 | 個別見積もり（追加料金の例あり） | 1アプリ44万円〜（ツール診断） | 個別見積もりが中心 |
| 価格の実例 | VAddy 月額19,800円〜（税別）／Securify 月額50,000円〜／SCT SECURE 年額564,000円〜（税抜） | クラウドパック 基本400,000円〜／CSクラウド 標準1,350,000円〜（40ページ分含む、税別） | アイティーエム 1IP 88,000円（税込）／クラウドパック 250,000円（3IP）／CSクラウド 350,000円〜（5IP分含む、税別） | クラウドパック 追加300,000円／5API／CSクラウド 要お問い合わせ | アイティーエム AppChecker 440,000円／1アプリ（Android・iOS各、税込）／手動のAppChecker Proは1,100,000円〜 | クラウドアカウント数・検査する設定項目の範囲で変動。要お問い合わせ |
| 課金単位 | FQDN数・IP数（月額/年額） | リクエスト数・画面（ページ）数 | IP数・FQDN数 | エンドポイント数・リクエスト数 | アプリ（OS）数 | クラウドアカウント数 |
※上記は2026年10月時点の各社公開価格による目安です。税の表示区分はベンダーによって異なります（CSクラウド・VAddyは税別、SCT SECUREは税抜、アイティーエムは税込。その他は各社公式でご確認ください）。
出典・参考資料（6件）
- 出典：脆弱性診断（セキュリティ診断）サービスの価格｜株式会社サイバーセキュリティクラウド（2026年10月時点）
- 出典：セキュリティ・サービスメニュー／価格表｜株式会社アイティーエム（2026年10月時点）
- 出典：脆弱性診断サービス｜クラウドパック（アイレット株式会社。診断はセキュアスカイ・テクノロジー社が提供。2026年10月時点）
- 出典：料金プラン｜VAddy（株式会社ビットフォレスト。2026年10月時点、税別）
- 出典：料金｜Securify（株式会社スリーシェイク。2026年10月時点）
- 出典：SCT SECURE クラウドスキャン 製品ページ｜三和コムテック株式会社（2026年10月時点、税抜）
診断手法別の費用レンジと特徴
同じ対象でも、診断手法によって費用は3倍から10倍ほど変わります。手法は大きく、ツールによる自動診断、専門家による手動診断、両者を組み合わせたハイブリッド診断、そして擬似攻撃で侵入可否まで検証するペネトレーションテストに分かれます。
ツール診断（自動）は、スキャンツールが既知の脆弱性パターンを自動で検査する方式です。VAddyのProfessionalプランは月額19,800円から、Securifyの脆弱性診断STARTERプランは月額50,000円からと、継続利用でも月数万円の水準に収まります。診断回数に制限がないプランが多く、リリースのたびに繰り返し検査しやすいのが特徴です。
手動診断は、専門の技術者が自動ツールでは見つけにくいロジックの欠陥や認証・権限の不備まで検査する方式です。クラウドパックのWebアプリケーション診断は基本料金400,000円から、サイバーセキュリティクラウド（CSクラウド）の標準診断は1,350,000円から（40ページ分を含む）と、規模に応じて数十万円から数百万円の水準になります。
ハイブリッド診断は、ツールで広く検査したうえで重要な箇所を手動で深く掘り下げる方式で、費用は手動診断に近い水準になります。多くのベンダーがこの方式を標準メニューとしています。ECサイトや個人情報を扱うサービスなど、検査の精度を重視する場合に選ばれます。
ペネトレーションテストは、実際の攻撃者を想定して侵入可否や被害範囲まで検証する方式で、脆弱性診断より高額になります。アイティーエムの価格表ではネットワークペネトレーションテストが2,640,000円からとされています。
ペネトレーションテストの費用の詳しい相場はペネトレーションテストの費用相場｜対象別・規模別の料金と見積もりの取り方で、脆弱性診断との違いはペネトレーションテストと脆弱性診断の違いを比較で詳しく解説しています。
出典・参考資料（3件）
規模別の費用目安｜自社はどのレンジに入るか
自社の費用がどの水準になるかは、診断する範囲の規模でおおよそ見当がつきます。Webアプリケーションなら画面（ページ）数やリクエスト数、ネットワークなら検査対象のIP数が規模の目安です。
たとえばネットワーク診断では、アイティーエムの価格表で1IP 88,000円、8IPで445,280円、32IPで1,457,280円（いずれも税込）と、対象IP数に比例して費用が増えます。Webアプリケーションの手動診断でも、サイバーセキュリティクラウドが40ページ分で1,350,000円、10ページ追加ごとに200,000円（税別）としており、検査する画面数が費用を左右します。
小規模なコーポレートサイトの自動診断なら月数万円、個人情報を扱う中規模のサービスを手動で診断するなら数十万円から、という形で、自社の対象規模を数えてから見積もりを取ると水準を把握しやすくなります。
課金単位でみる脆弱性診断の料金
見積書の金額は、多くの場合「1IPあたり」「1リクエストあたり」といった課金単位に数量を掛けて算出されます。単位ごとの単価を知っておくと、見積書の内訳が「何にいくらかかっているのか」を読み解けるようになります。以下は、公開されている価格から単位ごとの単価を抜き出したものです。
ここでいう「1リクエスト」は、ログイン・検索・データ送信といった画面上の機能が送受信する通信のまとまりを1単位として数えたもので、ブラウザが画像などを読み込む通信1回ずつを指すわけではありません。「1画面（ページ）」は入力フォームや一覧などの画面単位を指します。どちらも数え方はベンダーで異なるため、自社の見積もりでは「何を1単位として、いくつ分と数えているか」まで確認することが重要です。
| 課金単位 | 1IP（ネットワーク診断） | 1リクエスト（Webアプリ手動診断） | 10リクエスト（Webアプリ追加分） | 1ページ（画面） | FQDN（継続利用のツール診断） |
|---|---|---|---|---|---|
| 単価の実例 | 88,000円（税込） | 55,000円（20リクエストまで）／49,500円（21リクエスト以降）（税込） | 300,000円 | 10ページごとに200,000円（税別） | 3FQDN標準で月額19,800円〜 |
| 提供元・補足 | アイティーエム。クラウドパックは3IP／3FQDNで250,000円、追加1IP／1FQDNで60,000円 | アイティーエム。再診断は1リクエスト16,500円 | クラウドパック。5APIも同額で追加 | サイバーセキュリティクラウド。標準診断は40ページ分で1,350,000円 | VAddy。SCT SECUREは3IP／FQDNまで年額564,000円〜、追加1IPでライセンス140,000円＋設定20,000円 |
※2026年10月時点の各社公開価格による。税の表示区分はベンダーによって異なります。
注意したいのは、同じ「リクエスト数」「IP数」でも、ベンダーによって数え方や単位の切り方が異なる点です。1リクエスト単位で積み上げるベンダーもあれば、10リクエストや5APIをひとまとめにして課金するベンダーもあります。見積もりを比べるときは、単価だけでなく「何を1単位として数えているか」まで確認する必要があります。
出典・参考資料（4件）
課金単位の取り方は、IPやリクエストに限りません。ネットワーク内部を対象とするKATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）は、接続している端末の台数を「ノード数」として数える料金体系をとっています。同社はノード数と料金の関係を次のように説明しています。
料金は、診断する端末台数(当社では「ノード数」と呼んでいます)と、診断頻度によって変動します。ノード数が増えると、当社のホワイトハッカーによる攻撃テストのコストも増えますので、そこを考慮した設定になっています。ノード数の目安としては、サーバー・ネットワーク機器・複合機・PCなど、ネットワークに接続されている端末の総数をイメージしていただくと近い数字になります。
ツール診断と手動診断の違いと選び方
ここからは、委託する診断のうち有料のツール診断と手動診断のどちらを選ぶかを整理します。費用が数倍変わるのは、診断にかかる人の手間が違うためです。
自動スキャンが中心のツール診断に対し、手動診断は技術者が文脈を読んで検査するため、ロジックの欠陥や認証・権限の不備といった深い問題まで踏み込める反面、費用と時間がかかります。手動診断では、OWASPが定める検証項目の体系（OWASP Application Security Verification Standard、略称ASVS）に沿って網羅的に検査するベンダーもあります。
どちらを選ぶかは、守るべき対象の重要度で考えます。コーポレートサイトなど扱う情報が限られるシステムは、まずツール診断で広く検査し、ECサイトや個人情報・決済を扱うシステムは手動診断を含むハイブリッドで深く検査する、という使い分けが現実的です。リリースのたびに継続して検査したい場合は、診断回数が無制限のツール型を軸にする方法もあります。
無料の診断ツールで分かること・分からないこと
「ツール診断で済むなら、無料のツールでもよいのでは」という疑問もあります。脆弱性診断には、オープンソースで無償利用できるスキャナや、商用ツールの無料枠も存在します。
代表的なものに、WebアプリケーションをスキャンするZAP（Zed Attack Proxy、旧OWASP ZAP）、ネットワーク機器を検査するOpenVAS、サーバー上のソフトウェアの既知の脆弱性を洗い出すVulsなどがあります。無料で予備的にスキャンできる範囲を知っておくと、費用をかけるべき箇所の見当がつきます。
無料ツールは、既知の脆弱性パターンに対する一次的なスキャンや、公開前の自己点検には役立ちます。一方で、検査項目の網羅性や検出結果の精査、誤検知の切り分け、検出した脆弱性の影響度の評価までを自力で行う必要があり、専門知識と運用の手間がかかります。取引先や監査から診断の実施を求められている場合、無料ツールの結果だけでは第三者による診断の証跡として認められないこともあります。
ここで注意したいのが、極端に安い見積もりの読み方です。委託する診断でも、料金が安い場合は検査の範囲や深さを絞っていることがあります。無料ツールと同じく、何をどこまで検査するのかを確認せずに金額だけで選ぶと、必要な検査が抜け落ちるおそれがあります。費用の比較は、検査の範囲・深さとセットで見ることが欠かせません。
見積もり金額が決まる要素
見積もりの金額は、主に次の要素の組み合わせで決まります。手元の見積書を読み解くときは、各要素がどう設定されているかを確認するとよいでしょう。
- 診断範囲（スコープ）：どのシステム・どの機能を検査するか。範囲が広いほど費用は増えます。
- 規模のカウント単位：画面（ページ）数・リクエスト数・IP数・エンドポイント数など。ベンダーで数え方が異なり、単価と数量で金額が決まります（具体的な単価は課金単位でみる料金を参照）。
- 診断手法と深さ：ツール診断か手動診断か、どこまで網羅的に検査するか。
- 納期・特急対応：短納期や特急での実施は追加費用がかかることがあります。
- 診断後のサポート：報告会の実施、検出した脆弱性の修正後の再診断、質問対応などが費用に含まれるかどうか。
認証や権限のパターンが複数ある場合や、検査環境を本番とは別に用意する場合など、前提条件によっても金額は変わります。見積もりを依頼するときは、これらの条件をそろえて提示すると、各社の金額を同じ土台で比べられます。
診断手法が金額を左右する例として、ネットワークリスク診断サービスのセキュア・レントゲン（株式会社クワッドマイナージャパン）は、分析の進め方と設置台数で料金が変わると説明しています。
料金は、分析の手法によって変わります。分析の手法では、オンラインで分析させていただく場合、筐体をお預かりして持ち帰り分析する場合、その２つが難しい場合はオフライン分析ということで、設置場所で直接分析させていただく場合、といった形に分かれます。また、お客様のトラフィック量によって複数設置させていただくことがあるのですが、その設置台数でも変わってきます。
見積書の読み方と相見積もりの取り方
見積もりの妥当性を判断するには、複数社から同じ条件で見積もりを取り、内訳を比べるのが基本です。相見積もりを取るときは、次の情報をそろえて各社に渡すとよいでしょう。
- 検査したいシステムの種類（Webアプリケーション／ネットワーク／スマートフォンアプリなど）
- 対象の規模（画面数・機能数・IP数など、数えられる単位での数量）
- 希望する診断手法（ツール／手動／ハイブリッド）と、求める検査の深さ
- 納期の希望と、報告会・再診断の要否
見積書を比べるときは、金額の総額だけでなく、何が含まれているかを確認することが大切です。安い見積もりは検査範囲や手法を絞っている場合があり、報告書の作成や再診断が別料金になっていることもあります。逆に高い見積もりは、手動診断の比重が大きい、サポートが手厚いなど、内容に理由があることが多いものです。
同じ条件で出させた見積もりを、範囲・手法・サポートの単位でそろえて比べると、金額差の理由が見えてきます。
診断費用以外に見落としがちなコスト
脆弱性診断の予算を考えるときは、診断の料金そのものだけでなく、前後にかかる費用も見込んでおくと、総額での判断ができます。見積書の金額に表れにくい費目には、次のようなものがあります。
- 脆弱性の改修費用：診断で見つかった問題を修正する作業は、多くの場合診断料金には含まれません。自社で対応するか、開発会社に依頼するかで費用が変わります。
- 再診断の費用：修正が正しく反映されたかを確認する再診断が、1回無料のベンダーと有料のベンダーがあります。
- 報告会・質問対応：診断結果の報告会や、結果に関する質問への対応が、オプション扱いで別料金になっていることがあります。
- 社内の工数：検査環境の準備、ベンダーとのやり取り、修正対応の社内調整など、担当者の稼働も見えないコストとして発生します。
診断を発注して終わりではなく、見つかった脆弱性を修正し、再診断で確認するところまでが一連の流れです。見積もりを比べるときは、この流れ全体にかかる費用で考えると、後から想定外の出費が生じにくくなります。
報告会や質問対応、修正後の再確認をどこまで料金に含めるかは、ベンダーによって方針が分かれます。Hi AUDIT（株式会社TECHFUND）の生田氏は、診断後の対応について次のように述べています。
多くの会社様から「珍しい」と言われますが、レポートを出して終わりという会社は結構多いのではないでしょうか。当社は、レポートの説明会、ご質問への回答、修正方法のご相談、「直したので見てほしい」というご依頼への対応を、追加料金なしですべて無料で行っています。
費用を抑えるコツ
品質を保ちながら費用を抑えるには、検査の範囲と手法にメリハリをつけるのが基本です。次のような方法があります。
1つ目は、診断対象を重要な箇所に絞ることです。すべての画面を同じ深さで検査するのではなく、個人情報や決済を扱う機能、認証まわりなど、問題が起きたときの影響が大きい箇所に手動診断を集中させ、その他はツール診断で広く押さえる、という配分が有効です。
2つ目は、ツールと手動を組み合わせることです。ツールで一次的に検査したうえで、ツールが苦手とする箇所だけを手動で深掘りすれば、全画面を手動で診断するより費用を抑えられます。
3つ目は、継続的に診断する体制にすることです。リリースのたびに単発で手動診断を依頼すると費用がかさみますが、診断回数が無制限のツール型を日常の検査に使い、大きな改修の前後だけ手動診断を入れる形にすれば、年間の総額を抑えやすくなります。開発の早い段階から検査を組み込み、問題を小さいうちに見つけておくことも、修正費用の圧縮につながります。
費用の妥当性を社内で説明するポイント
脆弱性診断の費用を社内で承認してもらうには、金額の根拠と、診断を実施しない場合のリスクを並べて示すのが有効です。診断費用は、脆弱性を放置して攻撃を受けた場合の損害と比べて判断する材料になります。
情報漏えいやシステム停止が起きれば、原因調査と復旧の作業、顧客・取引先への通知と補償、事業停止による逸失利益、信頼回復のための対応といった費目が重なり、診断にかける費用を上回る規模になり得ます。
また、取引先のセキュリティ要件や業界のガイドラインで診断が求められるケースも、稟議を通す根拠になります。この場合は「診断を実施しないと取引や認証の条件を満たせない」という形で、費用を必要経費として位置づけられます。見積もりの金額そのものについては、診断対象別・手法別の相場（本記事の早見表）と自社の見積もりを並べ、提示額が妥当な水準にあることを示すと、金額の説明がしやすくなります。
依頼先の選び方
脆弱性診断の依頼先は、専門のベンダー、システムの開発会社、ツールの提供元など複数の選択肢があります。費用に見合う依頼先を選ぶには、金額だけでなく、診断の品質を客観的に確かめられる手がかりを使うのが有効です。
その手がかりの1つが、独立行政法人情報処理推進機構（IPA）が公開する「情報セキュリティサービス基準適合サービスリスト」です。これは、経済産業省が策定した基準への適合を第三者の審査登録機関が審査した事業者のサービスを、利用者が参照できるようにまとめたものです。
IPA（独立行政法人情報処理推進機構）では、経済産業省が策定した「情報セキュリティサービス基準」に適合する情報セキュリティサービスの提供状況について調査を行い、情報セキュリティサービスを利用しようとする者が参照することができるように、調査の結果を以下のとおり情報セキュリティサービス基準適合サービスリストとして公開しております。
出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）
ただし、IPA自身がこのリストについて品質の保証を意味するものではないと注記しているため、リストへの掲載はあくまで客観的な手がかりの1つとして扱います。
このほか、過去の診断実績や、報告書のサンプルを見せてもらえるか、検出した脆弱性の修正まで相談できるか、といった点も、依頼先を見極める材料になります。開発会社に自社システムの診断を任せられる場合もあれば、独立した専門ベンダーに依頼した方が客観性を保てる場合もあり、目的に応じて使い分けます。
一括ダウンロードする
料金を公開している脆弱性診断サービス
ここまでの相場で参照した各社の価格ページは、費用の水準を確かめるための出所です。ここからは、相場で当たりをつけたうえで実際に資料を取り寄せて比較・検討できるよう、料金体系を公式に公開している脆弱性診断サービスを紹介します。自社の診断対象や予算に合うサービスの資料を取り寄せて比べると、依頼先の検討を進めやすくなります。以下はご紹介するサービスの比較表です。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | KATABAMI サイバーセキュリティ対策パッケージ | Securify | VAddy | SCT SECURE クラウドスキャン |
|---|---|---|---|---|---|---|
| 診断対象 | ソースコード・OSS依存・クラウド設定・コンテナ・Webアプリ（DAST）など | ソースコード・設計書・Webアプリ・API | 社内ネットワーク機器・サーバー・PC等（内部診断） | Webアプリケーション・API | Webアプリケーション・APIサーバー | Webサイト・ネットワーク機器 |
| 診断方式 | ツール自動診断（オールインワンSaaS） | AI自動解析＋専門家確認（ハイブリッド） | ツール自動診断（内部ネットワーク診断） 予防・復旧・補償の統合パッケージ | ツール自動診断（DAST・自動巡回スキャン） | ツール自動診断（DAST・CI/CD連携） | ツール自動診断（クラウド型・毎日自動） |
| 料金（公開価格） | 月額5万円台〜（年間契約・利用者10人まで） | 通常50万円〜（診断メニューにより異なる） | 1台1,250円／月〜 年額90万〜150万円（100ノード以下） | 月額5万円〜（STARTER・1IP/FQDN、年60万円） BASIC 月額10万円〜 | 初期0円・月額19,800円〜（Professional）〜99,800円（Advanced）（税別） | 年額564,000円〜（初年度・3IP/FQDNまで、税抜） 2年目以降504,000円 |
| 課金単位 | 利用者数ベースのサブスク（月額／年額） | 診断メニュー別の定額（1回） | 端末台数（ノード数）×診断頻度 | 検査対象IP/FQDN数のプラン制（月額） | サブスク（全プラン3FQDN・スキャン無制限） | 検査対象IP/FQDN数×年額ライセンス |
| 無料トライアル／無料プラン | 無料プランあり（2ユーザーまで） | 記載なし | 初回ヒアリング無料（トライアルなし） | 無料トライアルあり（最短即日） | 無料トライアルあり（1週間） | 簡易検査キャンペーンあり（機能の試用ではない） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金は2026年10月時点の各社公開価格です。税の表示区分は各社で異なります（詳細は各サービスの出典を参照）。
1. Aikido Security（株式会社AndGo）
Aikido Securityは、開発工程向けのオールインワン型セキュリティサービスです。ソースコードの静的解析、依存パッケージの脆弱性検査、クラウド設定やコンテナイメージの検査、動的診断などを1つのプラットフォームにまとめています。開発元はベルギーのAikido Security BVで、日本市場では株式会社AndGoが正規代理店として、日本語での導入支援や日本円での請求に対応しています。
料金は、診断1回ごとの課金ではなく月額固定のサブスクリプション型です。AndGo経由では月額5万円台から（年間契約・利用者10人までの場合）利用でき、利用者2名までの無料プランも用意されています。検出した脆弱性を修正するプルリクエストを自動で生成する機能を持ち、開発の早い段階からセキュリティを組み込みたい開発チームに適した設計です。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。診断メニューは、ソースコードのAI診断、稼働中のWebアプリケーション・APIを対象とした動的診断、擬似攻撃による検証の3つで構成されます。
料金は公式サイトで通常50万円からと示されており、診断開始から最短3営業日で報告書を納品するとしています。AIによる自動解析で検査時間を短縮しつつ、専門家が結果を確認する流れのため、短期間で精度の高い診断を求める企業の選択肢になります。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMIは、脆弱性診断による「予防」、データの自動バックアップによる「復旧」、サイバー保険による「補償」を1つにまとめた、株式会社SYNCHROのパッケージ型サービスです。脆弱性診断の部分は、ネットワーク内部から毎月（年12回）検査し、検出した脆弱性と対策案を月1回のペースで報告する「定期検診」の形をとります。
料金は1台あたり月額1,250円からのデバイス単位課金で、100ノード以下の場合は年額90万円から150万円が目安とされています。公式サイトは設置10分・最短2週間での利用開始を掲げており、専任のセキュリティ担当者がいない企業でも導入しやすい設計です。診断と対策案の提示までが標準で、修正の実装自体は別途相談となります。
4. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するクラウド型の脆弱性診断サービスで、WebアプリケーションやAPIを自動で巡回して検査します。外部に公開している資産を継続的に把握する機能や、クラウド設定の監視機能もあわせて提供しています。
脆弱性診断のSTARTERプランは月額50,000円（年間60万円）で、検査対象1IP／FQDN・診断回数無制限、BASICプランは月額100,000円から（検査対象3IP／FQDN〜）という料金です。診断回数に制限がないため、継続的に検査しながら運用したい企業に適した料金体系です。無料トライアルも用意されています。
5. VAddy（株式会社ビットフォレスト）
VAddyは、開発したWebアプリケーションを利用者自身が検査できるクラウド型の自動診断ツールです。CI/CDのパイプラインに組み込んで、開発の流れの中で繰り返しスキャンを実行できる点を特徴としています。
初期費用は0円で、月額料金はProfessionalプラン19,800円、Enterpriseプラン59,800円、Advancedプラン99,800円（いずれも税別、全プラン3FQDN）です。スキャン回数は無制限のため、頻繁に検査しても費用は変わりません。専門家による手動診断を単発で追加できるオプションも用意されており、自動診断を軸にしつつ必要に応じて手動診断を組み合わせられます。
6. SCT SECURE クラウドスキャン（三和コムテック株式会社）
SCT SECURE クラウドスキャンは、三和コムテック株式会社が提供するクラウド型の脆弱性診断サービスです。Webアプリケーションやネットワークを対象に、検査対象のIP／FQDN数に応じた年額課金でサービスを提供しています。
料金は、3IP／FQDNまでを対象とした初年度が年額564,000円、2年目以降が年額504,000円で、4IP／FQDN目以降は1件ごとにライセンス140,000円と設定費用20,000円が加算されます（いずれも税抜）。年額で対象数に応じて課金される明確な体系のため、検査対象の数が決まっている場合に年間の費用を見積もりやすいのが利点です。
出典・参考資料（6件）
ここで紹介したのは料金を公開しているサービスの一部です。料金を公開していないサービスも含めて脆弱性診断サービスを幅広く比較し、各サービスの機能や診断範囲まで並べて検討したい場合は、以下の記事をご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
脆弱性診断の費用は、診断する対象と手法によって月数万円から数百万円まで幅があります。ツール診断による継続的な検査は月数万円から、専門家による手動診断は数十万円からが目安で、1IPや1リクエストといった課金単位に数量を掛けて金額が決まります。見積もりの妥当性は、自社の診断対象の規模を数えたうえで、同じ条件で複数社から見積もりを取り、範囲・手法・サポートの内訳をそろえて比べることで判断できます。
診断料金だけでなく、改修費用や再診断、社内の工数まで含めた総額で考えると、後から想定外の出費が生じにくくなります。料金を公開しているサービスの資料を取り寄せて、自社の対象と予算に合う依頼先を比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断の費用相場はどのくらいですか？
A. 脆弱性診断の費用は、診断する対象と手法によって月数万円から数百万円まで幅があります。スキャンツールで継続的に検査するツール型は月額2万円〜5万円程度、手動・ハイブリッド型のWebアプリケーション診断は40万円前後からが目安です。ネットワーク（プラットフォーム）診断なら1IPあたり数万円からで、いずれも公開価格をもとにした水準です。
金額は「1IPあたり」「1リクエストあたり」「1画面あたり」といった課金単位に対象の数量を掛けて決まります。自社の診断対象の規模（Webアプリの画面数やネットワークのIP数）を数えてから見積もりを取ると、提示額が妥当な水準かを判断しやすくなります。
Q. 脆弱性診断の費用はどのくらいの頻度でかかりますか？
A. 脆弱性診断の費用は一度払えば終わりではなく、システムに大きな改修を加えるタイミングや新規リリースのたびに発生するのが基本です。システムは改修のたびに新しい脆弱性が生まれる可能性があるため、単発の手動診断を繰り返すと費用がかさみます。
そのため、診断回数が無制限のツール型を日常の検査に使い、大きな改修の前後だけ手動診断を加える形にすると、年間の総額を抑えやすくなります。ツール型は月額・年額の固定料金が多く、何度検査しても費用が変わらないため、継続的に診断する場合の費用計画が立てやすい点も特徴です。
Q. 脆弱性診断は無料でもできますか？
A. 脆弱性診断は、オープンソースのスキャナや商用ツールの無料枠を使えば、既知の脆弱性パターンに対する一次的なスキャンや公開前の自己点検までは無料で行えます。ただし、検査項目の網羅性や誤検知の切り分け、検出した脆弱性の影響度の評価までを自力で行う必要があり、専門知識と運用の手間がかかります。
また、取引先や監査から診断の実施を求められている場合、無料ツールの結果だけでは第三者による診断の証跡として認められないこともあります。重要なシステムや外部に説明が必要な診断は、有料のツール診断や手動診断と組み合わせて考えるのが現実的です。
Q. 脆弱性診断の見積もりを依頼するとき、どんな情報を準備すればよいですか？
A. 脆弱性診断の見積もりを依頼するときは、検査したいシステムの種類・対象の規模・希望する診断手法・納期やサポートの要否をそろえて各社に渡すのが基本です。具体的には、Webアプリケーションかネットワークかといったシステムの種類、画面数・機能数・IP数などの数えられる規模、ツール／手動／ハイブリッドのどれを望むか、報告会や再診断を含めるか、といった条件です。
これらの条件をそろえて複数社に同じ内容で提示すると、各社の金額を同じ土台で比べられます。条件がばらばらだと、安く見える見積もりが実は検査範囲を狭めているだけ、ということが起こり得るため、相見積もりでは前提をそろえることが欠かせません。見積もりの依頼自体は無料で受け付けるベンダーが一般的です。
Q. 脆弱性診断は安い見積もりを選んでも問題ありませんか？
A. 脆弱性診断は、金額の安さだけで選ぶと、検査の範囲や深さを絞っていて必要な検査が抜け落ちるおそれがあります。料金が安い見積もりは、検査する画面やリクエストを限定していたり、ツール診断のみで手動の深い検査を含んでいなかったりすることがあります。
また、報告書の作成や再診断が別料金になっているために、総額では割高になる場合もあります。費用を比べるときは、総額だけでなく「何をどこまで検査するのか」「報告会や再診断が含まれるか」を範囲・手法・サポートの単位でそろえて確認し、金額差の理由を見極めることが大切です。
Q. 中小企業でも脆弱性診断の費用をかける必要がありますか？
A. 中小企業でも、Webサービスやシステムを外部に公開していたり、取引先や監査から診断を求められていたりする場合は、脆弱性診断の費用をかける意味があります。攻撃者はシステムの規模を問わず公開された脆弱性を狙うため、情報漏えいが起きれば調査・復旧の費用や事業停止による損失が、診断費用を大きく上回る負担になり得ます。
予算が限られる場合は、個人情報や決済を扱う重要な機能に絞って診断する、月数万円から始められる継続利用型のツール診断を軸にする、といった方法で費用を抑えながら検査できます。まずは守るべき対象の優先順位をつけ、重要な箇所から診断する進め方が現実的です。
Q. AWSやAzureなどクラウド環境の脆弱性診断の費用はどうなりますか？
A. AWSやAzureなどのクラウド環境では、クラウドの設定を検査する「クラウド設定診断」が、Webアプリケーション診断やネットワーク診断とは別のメニューとして用意されており、個別見積もりが中心です。
クラウド上で動くWebアプリケーション自体の診断は、通常のWebアプリ診断と同じ料金体系で受けられます。一方、アクセス権限やストレージの公開設定といったクラウド固有の設定ミスは、設定診断で別途検査します。
費用はクラウドアカウント数や検査する設定項目の範囲で変わるため、自社がどのクラウドのどの範囲を検査したいのかを整理したうえで見積もりを取ると、金額の目安をつかみやすくなります。クラウド環境の診断対象や設定診断（CSPM）との違いを含めた詳しい内容はクラウドの脆弱性診断とは？対象・種類・費用と設定診断（CSPM）との違いを解説で解説しています。
Q. 脆弱性診断にはどれくらいの期間がかかりますか？
A. 脆弱性診断の期間は手法によって異なり、ツール診断は短時間で結果が出る一方、専門家による手動診断は対象の規模に応じて数日から数週間程度かかります。手動診断では、見積もりの作成自体にも日数がかかることがあります。
短納期での実施や特急対応は追加費用がかかる場合があるため、費用を抑えたいときは余裕のあるスケジュールで依頼するのが得策です。発注から報告書の納品、見つかった脆弱性の修正、再診断までを含めた全体の期間を見込んで計画を立てると、想定外の遅れや出費を避けやすくなります。
Q. 脆弱性診断の報告書にはどんな内容が含まれますか？
A. 脆弱性診断の報告書には、検出した脆弱性の一覧と、それぞれの危険度（深刻度）、問題の内容や再現の手順、推奨される対策案が含まれるのが一般的です。この報告書が、見つかった脆弱性を修正し、対策の優先順位をつけるための土台になります。
注意したいのは、報告書の内容を説明する報告会や、結果に関する質問への対応が、ベンダーによってはオプション扱いで別料金になっている点です。見積もりを比べるときは、報告書の作成に加えて、報告会や修正後の再診断が費用に含まれるかどうかもあわせて確認しておくと、後から想定外の出費が生じにくくなります。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象・診断方式・料金体系を並べて比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
