自社で運用するWebサービスや社内システムに脆弱性診断を入れようと検討を始めると、最初に突き当たるのが「結局いくらかかるのか」という疑問です。脆弱性診断は診断する対象や手法によって費用が数万円から数百万円まで大きく開くため、相場の全体像を掴まないまま見積もりを取ると、金額が高いのか妥当なのかを判断できません。
脆弱性診断の費用は、Webアプリケーション診断かネットワーク（プラットフォーム）診断かといった診断対象の種類、ツールによる自動診断か専門家による手動診断か、そして診断範囲の広さによって決まります。この構造を理解すれば、自社の規模感に合った予算の当たりをつけられます。
本記事では、診断の種類別・手法別の費用相場を早見表で整理し、価格が決まる要素、見積もりで確認すべき項目、費用を抑える方法までを解説します。あわせて、料金を公開している脆弱性診断サービスの実際の価格も紹介します。社内で予算化を進め、複数社の見積もりを同じ基準で比較するための判断材料としてご活用ください。
目次
一括ダウンロードする
【早見表】脆弱性診断の費用相場｜診断の種類 × 手法（ツール／手動）× 期間
脆弱性診断とは、Webサイトやサーバーなどに攻撃に悪用され得る欠陥（脆弱性）が無いかを検査するサービスです。費用は診断する対象の種類と、ツールによる自動診断か専門家による手動診断かで変わります。まずは種類別・手法別の費用相場と期間の目安を一覧で確認します。
| 診断の種類 | Webアプリケーション診断 | プラットフォーム（ネットワーク）診断 | スマートフォンアプリ診断 | API診断 | クラウド設定診断（AWS・Azure等） | ペネトレーションテスト |
|---|---|---|---|---|---|---|
| ツール診断の費用目安 | 10万〜50万円程度（継続利用型のツールは月額1万円台〜） | 1IPあたり数万円〜（小規模で10万〜30万円程度） | 20万〜50万円程度（1OSあたり） | 30万〜80万円程度 | 30万〜80万円程度 | —（手動が中心） |
| 手動診断の費用目安 | 50万〜300万円程度 | 50万〜200万円程度（IP数で増減） | 50万〜300万円程度 | 40万〜150万円程度 | 80万〜250万円程度 | Webアプリ単体で60万〜300万円程度、組織全体では1,000万円を超えることも |
| 期間の目安 | ツール：即時〜数日／手動：3営業日〜2週間 | 1〜2週間 | 1〜3週間 | 3日〜2週間 | 1〜2週間 | 数週間〜 |
※各診断サービスが公開する料金・費用相場をもとに整理した目安です（2026年10月時点）。実際の費用は診断対象の規模・手法・診断の深さにより変動します。
同じ診断でも各社で金額に開きがあるため、上記は複数社の公開相場から幅のある目安として示しています。特に手動診断は案件ごとの個別見積もりが基本で実額の公開例が少ないため、まずはこの相場表と次の規模別の目安で予算の当たりをつけ、実際の金額は複数社の相見積もりで確認するのが確実です。
Webアプリケーション診断の費用相場
Webアプリケーション診断は、問い合わせフォームやログイン機能、ECの決済画面など、利用者の入力を受け付けるWebアプリケーションを対象に、SQLインジェクションやクロスサイト・スクリプティングといった脆弱性を検査します。
費用はツールによる自動診断で10万〜50万円程度、専門家による手動診断では50万〜300万円程度が目安です。画面数の少ない小規模なサイトは数十万円から、100画面規模の大きなサービスでは100万円を超えることもあります。
金額の幅が大きいのは、診断する画面数やリクエスト数（検査する操作の数）、診断の深さによって作業量が変わるためです。継続的に監視するツール型のサービスであれば、月額1万円台から利用できるものもあります。
プラットフォーム（ネットワーク）診断の費用相場
プラットフォーム（ネットワーク）診断は、サーバーやネットワーク機器のOS・ミドルウェアに既知の脆弱性や設定の不備が無いかを検査します。料金はIPアドレス単位で決まることが多く、1IPあたり数万円から、小規模な構成なら10万〜30万円程度が目安です。手動での精査まで含めると、IP数に応じて50万〜200万円程度まで広がります。
「web 脆弱性診断」と「ネットワーク 脆弱性診断」は対象が異なり、Webアプリ診断がアプリケーションの作り込みの欠陥を見るのに対し、プラットフォーム診断はサーバー基盤側を見ます。自社でどちらを診断すべきかは、公開しているシステムの構成によって判断します。
スマートフォンアプリ診断・API診断・クラウド設定診断の費用相場
スマートフォンアプリ診断は、アプリ本体と通信先のサーバーを対象に、1OSあたりツール診断で20万〜50万円程度、手動診断で50万〜300万円程度が目安です。iOSとAndroidの両方を診断する場合は、OSごとに費用がかかります。
API診断は、外部システムと連携するAPIのエンドポイントを対象にした診断で、ツール診断で30万〜80万円、手動診断で40万〜150万円程度が目安です。
クラウド設定診断は、AWSやAzureなどのクラウド環境の設定（公開範囲や権限設定）に不備が無いかを確認するもので、ツール診断で30万〜80万円、手動診断で80万〜250万円程度が目安です。クラウド設定の診断はWebアプリ診断とは対象が別なので、両方が必要になるケースもあります。
クラウド設定診断が具体的に何を見るのか、従来の脆弱性診断とどう使い分けるのかは、費用の考え方とあわせて以下の記事で詳しく解説しています。
ペネトレーションテストの費用相場
ペネトレーションテスト（侵入テスト）は、脆弱性診断よりも高度な検査で、費用も高くなります。Webアプリ単体で60万〜300万円程度、組織全体を対象にした大規模なものでは1,000万円を超えることもあります。
脆弱性診断とペネトレーションテストは混同されがちですが、クレジット取引セキュリティ対策協議会のガイドラインは両者を次のように定義しています。
ペネトレーションテスト：特定の脆弱性や問題点を発見することを主眼に、悪意のある攻撃者が意図する特定の攻撃を想定し、それが成功するか否かを検証するもの。システム全体に存在する脆弱性やセキュリティ上の不備を診断する「脆弱性診断」は、攻撃成功の実証を行わない点で異なる。
出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会
脆弱性がどこにあるかを網羅的に洗い出したいなら脆弱性診断、実際に攻撃が通るかを実証したいならペネトレーションテスト、という使い分けになります。まずは脆弱性診断から始める企業が一般的です。
自社はどちらを選ぶべきか、費用や実施頻度の違いまで踏み込んで判断したい場合は、以下の記事で両者を目的・費用・選び方の観点から比較しています。
ペネトレーションテストと脆弱性診断の違いを比較｜目的・費用・選び方まで解説
セキュリティ診断の導入を検討し始めると、「ペネトレーションテスト」と「脆弱性診断」という似た言葉に出会い、どちらを頼めばよいのか迷う場面が少なくありません。名前は違っても目的が近そうに見えるため、社内や取引先に説明するときも整理に困りがちで…
規模別の費用目安｜自社はどのレンジに入るか
ここでは、診断対象の規模から費用の当たりをつける方法を整理します。Webアプリケーション診断の費用は、おおむね画面数やリクエスト数（検査する操作の数）に比例します。
- 小規模（コーポレートサイト・問い合わせフォーム中心、20画面前後）：10万〜50万円程度。ツール診断や定額プランで対応できる範囲
- 中規模（会員機能やマイページを持つサービス、数十画面）：50万〜150万円程度。手動診断を組み合わせるケースが増える
- 大規模（ECサイト・決済や個人情報を扱う複雑なサービス、100画面超）：150万〜300万円超。手動診断が前提で、API診断を併せることも多い
自社のサービスがどのレンジに入るかは、診断してほしい画面や機能を洗い出すと見えてきます。ログイン後の画面や決済フローなど、攻撃されると影響が大きい部分を優先して数えると、予算の目安を立てやすくなります。
一括ダウンロードする
脆弱性診断の価格が決まる要素と費用の算出方法
ここからは、見積金額がどのように算出されるのかを分解します。同じ「Webアプリ診断」でも各社で金額が違うのは、次の要素の組み合わせで作業量が決まるためです。
診断対象の範囲と規模（画面数・リクエスト数・IP数）
費用に最も影響するのが診断対象の量です。Webアプリ診断では画面数やリクエスト数、プラットフォーム診断ではIPアドレス数が算出の基準になります。「リクエスト数 × 1リクエストあたりの単価」で見積もるサービスが多く、1リクエストあたりの単価は数万円程度が一つの目安です。診断する範囲を広げれば、その分だけ費用も増えます。
診断手法と診断の深さ
ツールによる自動診断か、専門家による手動診断かで費用は数倍変わります。手動診断は、ツールでは検出が難しい業務ロジックの欠陥やアクセス制御の不備まで人の目で確認するため、工数がかかる分だけ高くなります。どこまで深く見るかを診断範囲とあわせて決めることが、費用のコントロールにつながります。
手動診断の費用が高くなるのは、現場に人手と時間がかかるためです。ネットワーク内部の診断を手がける株式会社SYNCHROの北口氏は、従来の訪問型診断の実情を次のように説明しています。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。一方で、新しい脆弱性は日々生まれており、生成AIの登場でそのスピードもさらに上がっています。
報告会・再診断などのサポートの有無
診断本体の料金に加えて、報告会の実施、修正後の再診断、オンサイト作業などがオプション料金として別に設定されていることがあります。たとえば報告会は1回5万〜15万円程度（各社の公開料金による）で、再診断が無償のサービスもあれば別料金のサービスもあり、どこまでが基本料金に含まれるかは各社で異なります。見積もりを比べるときは、この付帯サービスの扱いまで含めて確認します。
ツール診断と手動診断の違い｜費用と精度
脆弱性診断を依頼するとき、多くの担当者が迷うのが「安いツール診断で足りるのか、高くても手動診断を頼むべきか」という点です。ここでは、ツール診断・手動診断・両者を組み合わせたハイブリッド診断を、費用と検出できる脆弱性の範囲で比べます。
ツール診断の費用と精度（検出できる脆弱性の範囲）
ツール診断は、専用のスキャナーがWebサイトを自動で検査する方式です。費用が抑えられ、短時間で結果が出るうえ、継続的に繰り返し実行しやすい利点があります。一方で、検出できるのは既知のパターンに合致する脆弱性が中心で、業務ロジックに依存する欠陥や、権限設定の不備までは拾いきれないことがあります。
この精度の限界は、Webアプリケーションの検証基準であるOWASP ASVS（Application Security Verification Standard）にも示されています。
It is not possible to fully complete ASVS verification using automated penetration testing tools alone.
出典：OWASP Application Security Verification Standard 4.0 — Assessment and Certification｜OWASP Foundation
ツール診断は幅広く効率的に検査できる反面、それだけで検証を完結できるわけではない、という位置づけです。コーポレートサイトなど構造が単純なサイトの定期チェックには適していますが、重要な機能を持つサービスではツール診断だけでは不十分な場合があります。
手動診断の費用と精度（専門家が検出できる脆弱性）
手動診断は、セキュリティの専門家が攻撃者の視点で一つひとつ検査する方式です。費用は高くなりますが、ツールでは見つけにくい業務ロジックの欠陥やアクセス制御の不備まで検出できます。
独立行政法人情報処理推進機構（IPA）の「安全なウェブサイトの作り方」が挙げるSQLインジェクション、クロスサイト・スクリプティング、クロスサイト・リクエスト・フォージェリ（CSRF）、セッション管理の不備、アクセス制御や認可制御の欠落といった脆弱性のうち、権限や処理の流れに関わるものは、人の判断を伴う手動診断が強みを発揮する領域です。
Webアプリケーションが押さえるべきリスクは、OWASPが公開する「OWASP Top 10」が業界標準として参照されています。手動診断を依頼する際は、こうした基準を網羅して検査してもらえるかが、精度を見極める手がかりになります。
ハイブリッド診断という選択肢（費用と精度のバランス）
ツール診断で広く浅く検査し、重要な機能だけ手動診断で深く見る組み合わせが、ハイブリッド診断です。費用と精度のバランスを取りやすく、ECサイトや個人情報を扱うサービスで採用されています。全画面を手動診断するより費用を抑えつつ、攻撃されると影響の大きい部分の精度は確保できる、現実的な選択肢といえます。
ツール診断と手動診断をどう使い分けるかは、診断を手がける事業者の現場感覚にも表れています。セキュリティ診断を提供する株式会社TECHFUNDの生田氏は、両者の役割の違いを次のように説明しています。
ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。
見積もりで確認すべき項目と見積書の読み方
複数社から見積もりを取ると、総額だけでは比較できないことに気づきます。同じ診断に見えても、含まれる範囲が違うためです。相見積もりを同じ基準で比べるために確認すべき項目は、次のとおりです。
- 診断対象の範囲：何画面・何リクエスト・何IPが基本料金に含まれるか。超過分の追加単価（1画面・1IPあたりいくらか）も確認する
- 診断手法：ツール診断か手動診断か、両者の組み合わせか。手法によって検出できる範囲と費用が変わる
- 報告会・再診断の有無：基本料金に含まれるか別料金か。修正後の再診断が無償か有償かで総額が変わる
- 納期と割増：通常の納期と、短納期を希望した場合の割増の有無
- 税別・税込の表記：見積書の金額が税別か税込かを揃えて比較する
見積もりを依頼する際は、診断対象のURL一覧や画面遷移図、機能一覧、画面数やリクエスト数の概算、テスト用のアカウント、API仕様書などを事前に用意しておくと、各社とも精度の高い見積もりを出しやすくなります。情報が揃っていないと、各社が前提をバラバラに置いてしまい、比較しにくい見積もりになります。
脆弱性診断の費用を抑える方法
ここでは、診断の質を落とさずに費用を抑える方法を紹介します。いずれも、どの項目を削ると費用がどう動くかという観点で選ぶのがポイントです。
- 診断対象を守るべき機能に絞る：全画面を一律に診断するのではなく、決済やログイン後の個人情報を扱う画面など、攻撃されると影響の大きい部分に優先順位をつけると、診断範囲を最適化できる
- ツール診断と手動診断を組み合わせる：全体をツール診断で広く見て、重要な機能だけ手動診断に回すと、全画面を手動診断するより費用を抑えられる
- 定期診断で単発よりコストを抑える：年間契約や継続利用のプランは、単発の依頼より1回あたりの費用が割安になる場合がある
- リリース前の工程に診断を組み込む：公開後に脆弱性が見つかると修正と再診断の費用がかさむため、リリース前に診断する方が結果的に安く済む
脆弱性診断サービスの選び方（価格以外の軸）
費用は重要な判断材料ですが、価格だけで選ぶと「安かったが報告書が読めない」「必要な脆弱性を見てもらえていなかった」といった失敗につながります。価格以外に確認したい軸を整理します。
- 診断の範囲と手法：自社が検査してほしい脆弱性（OWASP Top 10など）を網羅しているか、ツール診断と手動診断のどちらに対応しているか
- 報告書の分かりやすさ：検出された脆弱性の危険度や修正方法が、社内で対応できる形で記載されているか。サンプルを事前に確認できると安心できる
- サポート体制：報告会や再診断、修正方法の相談にどこまで対応してもらえるか
- 実績とガイドライン適合：診断実績や、公的な品質基準への適合状況
サービスの品質を客観的に測る手がかりとして、経済産業省が策定した「情報セキュリティサービス基準」があります。この基準に適合した脆弱性診断サービスは、第三者の審査を経てIPAの適合サービスリストに掲載されており、依頼先を選ぶ際の判断材料になります。
無料ツール・成果報酬型の位置づけと限界
費用をかけずに始めたい場合、オープンソースの無料診断ツール（Vuls、OpenVAS、Niktoなど）や、発見した脆弱性に対して報酬を払う成果報酬型のサービスもあります。初期の予備調査としては有効です。
ただし、無料ツールは検査パターンを絞った簡易な診断にとどまり、結果の読み解きには専門知識が要ります。IPAも、検査パターンを絞り込んだ診断では「脆弱性が検出されなかった場合でも安全宣言には繋がらない」としており、無料ツールで何も出なかったことが安全の証明にはならない点には注意が必要です。
重要なシステムでは、予備調査に無料ツールを使い、本番の診断は有償のサービスに依頼する、といった使い分けが現実的です。
相場を把握したら｜料金を公開する脆弱性診断サービス
相場の目安がついたら、実際に料金を公開しているサービスを見ると、自社の予算に合う依頼先が具体的に見えてきます。ここでは、ツール型・継続型・プラン制・手動診断と、タイプの異なる脆弱性診断サービスを紹介します。料金が公開されていない項目は「要問い合わせ」と記載しています。
本記事では料金を公開しているサービスを中心に取り上げますが、診断方法や選び方まで含めて脆弱性診断サービス全体を見比べたい場合は、以下の記事が費用相場・選び方とあわせて主要サービスを比較しています。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
以下はご紹介した脆弱性診断サービスの比較表です。ツール型（自動スキャン）と手動主体のサービスは料金の水準も役割も異なるため、金額だけでなく診断方式とあわせて見比べてください。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | Securify | VAddy | GMOサイバーセキュリティ byイエラエ |
|---|---|---|---|---|---|
| 診断方式 | ツール型（自動スキャン） | ハイブリッド（AI解析＋専門家確認） | ツール型（自動スキャン） | ツール型（自動スキャン） | ハイブリッド（手動診断＋ツール型ASM） |
| 主な診断対象 | ソースコード／クラウド設定／依存関係／Webアプリ（DAST）ほか | ソースコード／Webアプリ／API | Webアプリ／API（ASM・CSPM・SBOMも） | Webアプリ／APIサーバー | Web・スマホアプリ／クラウド／ネットワーク／IoT／ブロックチェーン・AI ほか |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 0円 | ネットde診断ASMは0円 手動診断は要問い合わせ |
| 最小プランの料金（実額） | 月額5万円台〜 （AndGo経由・年間契約・利用者10名まで） | 15万円〜 （ソースコードAI診断。公式は通常50万円〜） | 月額5万円〜 （STARTERプラン・1IP/FQDN、年間60万円） | 月額19,800円〜 （Professionalプラン・税別） | 手動診断は要問い合わせ （ツール型ASMは月額40,000円〜） |
| 無料プラン／トライアル | ●無料プラン（Developerプラン）あり | ×（記載なし） | ●無料トライアルあり（最短即日） | ●無料トライアルあり（1週間） | ×（記載なし） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコードの検査からクラウド設定、Webアプリの脆弱性検査までをまとめて扱うオールインワン型のセキュリティ診断SaaSです。開発の工程に組み込んで継続的に検査する使い方に向いています。
料金は、無料のDeveloperプランから始められ、有料プランは本体公式で年額プラン（Basicが年$3,780、Proが年$7,560、いずれも利用者10名まで）が公開されています。国内提供元の案内では月額5万円台から（年間契約・利用者10名まで）利用でき、予算の目安はこちらで掴めます。ドル建ての金額は為替により円換算額が変動します。
ツールによる自動検査に加え、AIを使ったペネトレーションテスト（標準的なもので1回あたり$4,000、対象の規模により変動）もオプションで提供しています。継続的に自動で検査したい企業に適した料金体系です。
このAIペンテストに関連して、提供元である株式会社AndGoの原氏は、侵入テストの進め方が今後どう変わるかを次のように話しています。
その文脈で、AIエージェントがハッカーをエミュレーションして侵入テストを行い、ログや証跡を残す“AIペンテスト”の方向性も出てきています。これが進むと、コストや時間の都合で「リリース前に1回」が限界だった侵入テストを、ビルドパイプラインに組み込み、毎日回す世界が見えてきます。
出典・参考資料（1件）
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、ソースコードをAIで解析する静的診断と、稼働中のWebアプリ・APIを攻撃者視点で検査する動的診断を組み合わせて提供します。AI解析は本番環境に影響を与えずにリスクを洗い出せる点が特徴です。
公式サイトでは通常50万円からと案内されています。段階的なプランの料金は、ソースコードAI診断が15万円、Web・APIの動的診断を含むLiteが50万円、再診断を含むStandardが100万円、詳細レポート付きのProfessionalが150万円です。診断の範囲に応じてプランを選べるため、まずコードのAI診断から試し、本格的な診断に進む、という使い方もできます。
出典・参考資料（1件）
3. Securify（株式会社スリーシェイク）
Securify（セキュリファイ）は、巡回・疑似攻撃・応答検証を自動で実行し、診断の日時や頻度をスケジュール設定できる継続診断型のサービスです。外部に公開している資産の把握（ASM）と脆弱性診断を同じサービスで扱えます。
料金は、検査対象1IP／FQDNのSTARTERプランが月額5万円（年間60万円）、検査対象3以上のBASICプランが月額10万円から（年間120万円から）で、いずれも診断回数の制限はありません。無料トライアルも用意されています。自社で定期的に診断を回したい場合に向いた、月額制の価格設定です。
出典・参考資料（1件）
4. VAddy（株式会社ビットフォレスト）
VAddy（バディ）は、開発の工程に組み込んで繰り返し使えるツール型のWebアプリケーション診断サービスです。スキャン回数は無制限で、初期費用はかかりません。
月額料金は、SQLインジェクション・クロスサイト・スクリプティング中心のProfessionalが19,800円、組織管理機能を含むEnterpriseが59,800円、診断項目を広げたAdvancedが99,800円です（いずれも税別）。
専門家による手動脆弱性診断オプション（40万円）や、プラットフォーム診断オプション（1回15万円）も用意されており、自動診断を基本にしつつ必要に応じて手動診断を追加できます。1週間の無料トライアルから始められます。
出典・参考資料（1件）
5. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエは、国内のホワイトハッカーによる手動検査を中心に、脆弱性診断とペネトレーションテストを提供しています。Webやスマホアプリ、クラウド、ネットワークに加え、ブロックチェーンやAIエージェントまで幅広い診断対象に対応している点が特徴です。
手動主体の診断は、画面数やAPI数、想定する攻撃シナリオから個別に見積もる方式で、料金は要問い合わせです。一方、継続的に攻撃面を管理するツール型の「GMOサイバー攻撃ネットde診断 ASM」は、自走プランが月額40,000円からと料金を公開しています。スポットの専門家診断から継続的な監視まで、1社で対応できる体制を持っています。
まとめ
脆弱性診断の費用は、診断する対象の種類と、ツール診断か手動診断かによって決まります。Webアプリケーション診断はツール診断で10万円台から、手動診断を含めると数十万〜300万円程度が目安で、プラットフォーム診断はIP数、Webアプリ診断は画面数やリクエスト数が費用を左右します。
相見積もりを取るときは、診断範囲・手法・報告会や再診断の扱い・税別税込を揃えて比べると、金額の妥当性を判断できます。まずは診断したい範囲を整理し、自社の予算に合うサービスの資料を取り寄せて比較することから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断とは何ですか？
A. 脆弱性診断とは、Webサイトやサーバーなどのシステムに、攻撃に悪用されうる欠陥（脆弱性）が無いかを検査するサービスです。SQLインジェクションやクロスサイト・スクリプティングといった既知の攻撃手口に対して、システムが安全かどうかを確認します。診断する対象（Webアプリ・ネットワーク・スマホアプリなど）や、ツールによる自動診断か専門家による手動診断かによって、費用と精度が変わります。
Q. 脆弱性診断の費用はどのくらいかかりますか？
A. 脆弱性診断の費用は、診断する対象や手法によって数万円から数百万円まで幅があります。代表的なWebアプリケーション診断の場合、ツールによる自動診断で10万〜50万円程度、専門家による手動診断で50万〜300万円程度が目安です。
診断対象の種類（Webアプリ／ネットワーク／スマホアプリなど）、手法（ツール／手動）、画面数やIP数といった診断範囲の広さによって金額が決まります。自社の診断したい範囲を整理したうえで相見積もりを取ると、妥当性を判断しやすくなります。
Q. 脆弱性診断はどのくらいの頻度で実施すべきですか？
A. 脆弱性診断は一度実施すれば終わりではなく、年1回程度を基本に、システムの改修や新機能のリリースなど大きな変更を加えたタイミングでの実施が推奨されます。新たな脆弱性は日々発見され、システムの変更によっても生まれるため、一度「問題なし」でも時間が経てば状況は変わります。頻繁に診断したい場合は、繰り返し実行しやすい継続利用型のツール診断を使うと1回あたりのコストを抑えられます。
Q. 中小企業でも脆弱性診断は必要ですか？
A. 企業規模にかかわらず、Webサービスや個人情報を扱うシステムを公開しているなら、中小企業でも脆弱性診断は必要です。攻撃者は企業規模を問わず対策の手薄なシステムを狙うため、むしろセキュリティに人員を割きにくい中小企業ほど狙われやすい側面があります。予算が限られる場合は、まず攻撃されると影響の大きい重要な機能に絞ったツール診断や、月額制の定額プランから始める方法があります。
Q. 脆弱性診断にはどれくらいの期間がかかりますか？
A. 脆弱性診断にかかる期間は、ツール診断なら即時〜数日、手動診断なら3営業日から2週間程度が目安です。診断範囲が広い場合や大規模なシステムでは、さらに時間がかかります。加えて、見積もりの作成や日程調整にも期間が必要なため、受けたい時期が決まっている場合は1〜2か月前から余裕をもって相談するとスムーズです。
Q. ECサイトの脆弱性診断は義務化されたのですか？
A. 脆弱性診断そのものが法律で直接義務化されたわけではありませんが、クレジットカード情報を扱うECサイトには実質的に脆弱性対策が求められています。
改正割賦販売法は、クレジットカードを取り扱う加盟店に「クレジットカード番号等の漏えい防止措置」を義務づけています。その具体的な指針であるクレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン【6.1版】」が、Webアプリケーションの脆弱性対策として脆弱性診断またはペネトレーションテストの定期的な実施を求めています。
カード情報を扱うECサイトを運営するなら、このガイドラインに沿った脆弱性対策が必要です。
Q. ツール診断だけで取引先のセキュリティ要件を満たせますか？
A. 取引先が手動診断や特定のガイドラインへの準拠を求めている場合、ツール診断だけでは要件を満たせないことがあります。ツール診断は既知のパターンに合致する脆弱性を効率的に検出できますが、業務ロジックの欠陥やアクセス制御の不備までは拾いきれない領域があります。
取引先から脆弱性診断を求められている場合は、要求される診断の範囲・手法・報告書の形式を事前に確認し、手動診断やハイブリッド診断が必要かを見極めることが大切です。
Q. AWSなどクラウド環境の設定診断は、Webアプリ診断とは別に必要ですか？
A. クラウド設定診断とWebアプリケーション診断は対象が異なるため、クラウド上でサービスを運用している場合は別に検討が必要です。Webアプリ診断がアプリケーションの作り込みの欠陥を見るのに対し、クラウド設定診断はAWSやAzureなどの公開範囲や権限設定の不備を確認します。
設定ミスによる情報漏えいはクラウド特有のリスクであり、Webアプリ診断ではカバーできません。クラウド設定診断の費用は、ツール診断で30万〜80万円、手動診断で80万〜250万円程度が目安です。
Q. 診断で見つかった脆弱性は、すべて修正しなければなりませんか？
A. すべてを一律に修正する必要はなく、危険度と自社への影響度に応じて優先順位をつけて対応するのが一般的です。診断報告書では、検出された脆弱性が危険度（高・中・低など）で分類されます。攻撃されると情報漏えいにつながる危険度の高いものから優先して修正し、影響が限定的なものは運用でカバーする、といった判断をします。修正後は再診断で対策が有効かを確認すると確実です。
Q. 脆弱性診断の見積もりを依頼する際に準備すべき情報は何ですか？
A. 見積もりを依頼する際は、診断対象のURL一覧・画面遷移図・機能一覧・画面数やリクエスト数の概算を準備しておくと、精度の高い見積もりが得られます。APIを診断する場合はAPI仕様書、ログイン後の画面を診断する場合はテスト用アカウントもあるとスムーズです。これらの情報が揃っていないと、各社が前提をバラバラに置いてしまい、相見積もりを同じ基準で比較できなくなります。
Q. 脆弱性診断に使える補助金はありますか？
A. 脆弱性診断の費用は、IT導入補助金や自治体のセキュリティ対策助成金などの対象となる場合があります。ただし、対象となる経費や条件は制度や年度によって異なり、脆弱性診断が必ず対象になるとは限りません。利用を検討する場合は、各制度の公募要領で対象経費・申請期間・補助率を必ず確認してください。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断サービスの最新資料を無料で一括請求できます。診断の種類・料金・対応範囲を比べて、自社の予算に合う依頼先を選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
