脆弱性診断の費用・相場はいくら？料金が決まる仕組みと見積もりの見方

脆弱性診断の費用は「一律の相場」がない

最初に押さえておきたいのは、脆弱性診断の費用には決まった定価がないことです。

同じ「Webサイトの診断」でも、対象の規模・診断の深さ・手法（ツール中心か手動中心か）によって、金額は大きく変わります。数十万円で収まるケースもあれば、大規模なシステムでは数百万円規模になるケースもあり、条件を揃えずに金額だけを比較することにはあまり意味がありません。

この記事では、金額そのものではなく「費用がどう決まるのか」という仕組みを解説します。仕組みが分かれば、見積もりの妥当性を自分で判断できるようになります。

料金体系の主な型

脆弱性診断の料金は、多くの場合、次のいずれかの型で提示されます。

見積もりを見るときは、まず「何を単位に課金されているのか」を確認してください。同じ合計金額でも、対象範囲が広いのか、診断が深いのかで意味がまったく異なります。

費用を左右する主な要因

1. 対象範囲の広さ

診断する画面数・API数・サーバー台数が増えるほど、作業量に比例して費用は増えます。見積もり前に対象を棚卸しし、「すべてを診断するのか、重要な機能に絞るのか」を決めておくと、無駄のない見積もりになります。

2. 手動診断の比率

ツールによる自動診断は広く浅く、診断員による手動診断は深く検査できます。ログイン後の複雑な業務ロジックの欠陥や、複数の操作を組み合わせた攻撃は、手動でなければ見つけにくい領域です。手動比率が高いほど費用は上がりますが、検出できる脆弱性の質も変わります。

3. 報告書と報告会の内容

検出結果の一覧だけか、再現手順・リスク評価・対策の優先順位まで含むか。経営層向けの報告会があるか。報告物の充実度も費用に反映されます。

4. 再診断の有無

修正後に「直っているか」を確認する再診断が料金に含まれるかは、事業者によって扱いが分かれます。含まれない場合、修正確認のたびに追加費用が発生するため、総額で比較する際の重要な確認点です。

見積もりで確認すべきチェックリスト

• 課金単位は何か（画面数・リクエスト数・一式など）
• ツール診断と手動診断の比率はどの程度か
• 診断項目は何に準拠しているか（OWASP等の基準を明示しているか）
• 報告書のサンプルを事前に確認できるか
• 再診断は含まれるか、含まれる場合の条件は何か
• 診断中のトラブル（サービス停止等）への配慮・体制はあるか

特に「報告書のサンプル確認」は、費用に見合う品質かを事前に判断できるほぼ唯一の方法です。事業者を比較する際は必ず依頼することをおすすめします。

安すぎる診断に注意すべき理由

極端に安い診断は、ツールによる自動スキャンの結果をそのまま出力しているだけのケースがあります。自動スキャン自体は有用ですが、それだけでは検出できない脆弱性の領域が構造的に存在します。

「診断済み」という安心感だけが残り、実際には重要な欠陥が残っている状態が最も危険です。金額だけでなく、何をどこまで検査するのかを必ず確認してください。

なお、セキュリティサービスの品質を客観的に確認する手がかりとして、経済産業省の「情報セキュリティサービス基準」に適合したサービスのリストが公開されています。事業者選定の際の参考になります。

当社の料金について

当社（セキュア・バンク株式会社）も、AI攻撃シミュレーションを用いたペネトレーションテスト・脆弱性診断サービスを提供しています。プラン構成と料金はDikeの料金ページで公開しており、実際に納品される報告書はサンプルレポートとして無料でダウンロードできます。他社比較の際の材料としてご活用ください。

まとめ

• 脆弱性診断の費用に一律の相場はなく、対象範囲・手法・報告内容で決まる
• 見積もりは金額ではなく「課金単位」と「手動診断の比率」から読む
• 再診断の有無を含めた総額で比較する
• 報告書サンプルの事前確認が、品質を判断する最も確実な方法