脆弱性診断の費用は、Webアプリケーションのツール診断で10万円前後から、手動診断では50万〜300万円が目安です。ネットワーク診断はIPアドレスの数、スマートフォンアプリはOSの数、クラウド環境は設定項目の範囲で金額が決まります。同じ「脆弱性診断」でも、対象と手法の組み合わせによって見積もりは10倍以上変わります。

取引先のセキュリティチェックシートで「脆弱性診断の実施有無」を問われた、新しいWebサービスのリリース前に診断を求められた、といった場面で初めて見積もりを取ると、金額の幅の大きさに戸惑う担当者の方が多くいます。

本記事では、脆弱性診断の種類別・規模別の料金早見表、費用が決まる5つの変数、見積書で確認する項目、費用を抑える方法、依頼先の選び方を整理します。予算を立て、複数の見積もりを比較できる状態になることが目標です。

想定読者

• 取引先や監査から脆弱性診断の実施を求められ、初めて予算を組む情報システム担当者・総務担当者の方
• Webサービスや業務システムのリリース前に診断を入れたいが、いくら見込めばよいか分からない開発責任者の方
• 複数のベンダーから見積もりを取ったものの、金額差の理由が分からず比較できずにいる方
• 診断だけでなく、見つかった脆弱性の修正まで含めて任せられる依頼先を探している方

---

脆弱性診断の費用相場｜種類別・手法別の料金早見表

脆弱性診断の費用は、「何を診断するか（対象）」と「どう診断するか（手法）」の組み合わせでほぼ決まります。市場で一般的な料金レンジを対象別に整理します。

金額はいずれも報告書の納品までを含んだ目安で、報告会や再診断は別料金になっていることが多い点に注意してください。

ツール診断と手動診断で費用が3〜10倍変わる

ツール診断は、診断ツールが自動でリクエストを送り、既知の脆弱性パターンを検出する方式です。短期間・低価格で広い範囲を確認できますが、ログイン後の画面遷移や業務ロジックに依存する欠陥（他人の注文を参照できる、金額を書き換えられる、など）は検出しにくい特性があります。

手動診断は、診断員がアプリケーションの仕様を理解したうえで、ツールでは見つからない脆弱性を人の手で探す方式です。精度は高くなりますが、工数がそのまま費用になるため、画面数やリクエスト数が増えるほど金額が上がります。

多くのベンダーが提供するハイブリッド診断は、まずツールで全体を洗い、被害の大きい機能だけを人の手で詳しく確認する方式です。費用と精度のバランスが取りやすく、初めて診断を入れる企業にはこの方式が選ばれることが多くなっています。

ペネトレーションテストとの費用の違い

脆弱性診断が「弱点を網羅的に見つける」ものであるのに対し、ペネトレーションテストは「攻撃シナリオに沿って実際に侵入できるかを検証する」ものです。攻撃者と同じ手順を人が再現するため、費用は脆弱性診断より高く、Webアプリケーション単体でも60万〜300万円、組織全体を対象にすると1,000万円を超えることがあります。

初めてセキュリティ診断を入れる場合は、まず脆弱性診断で弱点の全体像を把握し、重要な箇所に絞ってペネトレーションテストを追加する順番が費用面でも合理的です。ペネトレーションテストの費用は次の記事で整理しています。

規模別の費用目安｜自社はどのレンジに入るか

対象の規模で見ると、費用はおおむね次の3段階に分かれます。

見積もりを取る前に、「ログイン後の画面数」「入力フォームの数」「APIのエンドポイント数」「診断対象のIPアドレス数」を数えておくと、どのレンジに入るかを自社で見当づけられます。この数字がないまま問い合わせると、ベンダー側は安全側に見積もるため、金額が高めに出やすくなります。

脆弱性診断の費用が決まる5つの変数

見積金額の差は、次の5つの変数でほぼ説明できます。

1. 診断対象の範囲：画面数、リクエスト数、APIの本数、IPアドレス数。多くのベンダーは「10リクエストまでいくら、追加10リクエストごとにいくら」のように、この単位で料金を組み立てている
2. 診断手法：ツール診断か、手動診断か、ハイブリッドか。同じ対象でも手法で3〜10倍の差がつく
3. 認証・権限のパターン数：一般ユーザーと管理者、会員と非会員のように権限が分かれている場合、パターンごとに診断が必要になり工数が増える
4. 報告書・報告会・再診断の有無：報告書のみか、対策の説明会が付くか、修正後の再診断が含まれるか。再診断は1回分が無料のベンダーと有料のベンダーがある
5. 納期：通常2〜4週間の枠で組まれる診断を1週間で仕上げるといった短納期は、特急料金が加算される

このうち、自社でコントロールしやすいのは1と5です。範囲を絞り、余裕のある日程で依頼するだけで、同じ精度の診断を安く受けられます。

見積書で確認する6つの項目

複数のベンダーの見積もりを比較するときは、金額の大小だけでなく、次の6項目が揃っているかを確認してください。項目が欠けていると、安く見えた見積もりが実施段階で高くなります。

1. 診断対象の単位と数量：「Webアプリ一式」ではなく、画面数・リクエスト数・IP数が明記されているか
2. 手動診断の有無と範囲：ツール診断のみなのか、どの機能を手動で診断するのかが書かれているか
3. 報告書の内容：脆弱性の一覧だけか、危険度の判定と具体的な修正方法まで含むか
4. 再診断と報告会の扱い：修正後の再確認が含まれるか、含まれる場合の回数と期限（納品後1か月以内など）
5. 追加料金の条件：対象が増えた場合、認証パターンが増えた場合の単価
6. 準拠している診断基準：OWASP Top 10 や IPA「安全なウェブサイトの作り方」など、どの基準に沿って診断項目を組んでいるか

とくに3と4は、診断を「受けて終わり」にしないために重要です。報告書に修正方法が書かれていなければ、開発側が対策を調べるところから始めることになり、結局その分の費用と時間がかかります。

---

まずは自社システムの脆弱性がどこにあるかを把握したい方へ。 c3indexでは、Webアプリケーションの脆弱性ツール診断（10万円〜）から手動診断、ペネトレーションテストまで、料金メニューを公開したうえでご相談を受け付けています。

---

脆弱性診断の費用を抑える5つの方法

費用を下げる方法は、診断の精度を落とすことではありません。同じ精度を保ったまま、無駄な工数を減らす方向で考えます。

対象を「守るべき機能」に絞る

すべての画面を手動診断の対象にする必要はありません。ログイン、決済、個人情報の登録・参照、ファイルアップロードなど、侵害されたときの被害が大きい機能を手動診断に回し、それ以外はツール診断で済ませると、費用を半分以下に抑えられることがあります。

ツール診断と手動診断を組み合わせる

初回はツール診断で全体を把握し、検出結果と業務上の重要度をもとに、手動診断の対象を決める2段階の進め方が費用対効果に優れています。手動診断の見積もりも、ツール診断の結果があるほうが正確になります。

日程に余裕を持って依頼する

診断の実施からレポート納品まで、通常2〜4週間の期間を見ておけば、特急料金を避けられます。リリース日が決まっているなら、そこから逆算して1か月半前には診断を依頼しておくのが目安です。

リリース前の工程に診断を組み込む

リリース後に脆弱性が見つかると、修正・再テスト・再リリースの費用が診断費用に上乗せされます。開発工程の最終テストと同じタイミングで診断を入れれば、修正を通常の開発作業の中で済ませられ、結果として総額が下がります。

診断と修正を同じ会社に任せる

診断ベンダーと開発会社が別だと、報告書を受け取った開発会社が内容を読み解き、修正の見積もりを出し、修正後にまた診断ベンダーに再診断を頼む、という往復が発生します。診断から修正、再診断までを一社で完結できれば、この往復のコストがなくなります。

依頼先の選び方｜専業ベンダー・システム開発会社・ツールの違い

脆弱性診断の依頼先は、大きく3つに分かれます。それぞれ得意なことと費用の構造が違うため、自社の状況に合わせて選びます。

報告書を「読める人」が社内にいるか

依頼先を選ぶうえで見落とされやすいのが、報告書を受け取った後の体制です。専業ベンダーの詳細な報告書も、社内に読み解ける人がいなければ対策に結びつきません。開発を委託している会社があるなら、その会社が診断も担えるか、あるいは報告書を渡して修正まで対応できるかを先に確認しておくと、診断費用が無駄になりません。

c3indexは、名古屋・東京・福岡を拠点とするシステム開発会社として、脆弱性診断（ツール診断・手動診断）とペネトレーションテスト、そして診断後の修正・再診断までを一貫して提供しています。Webアプリケーションのツール診断は10万円から、手動診断は30万円から、スマートフォンアプリやネットワーク・クラウド環境の診断は100万円からを目安に、対象と範囲をお聞きしたうえで個別にお見積もりしています。

脆弱性診断の流れ｜費用が確定するまでのステップ

見積もりの依頼から診断完了までは、次の流れで進みます。費用が確定するのはステップ3の時点です。

1. ヒアリング：診断の目的（取引先要件、リリース前確認、定期診断など）、対象システムの概要、希望する時期を伝える
2. 対象の棚卸し：画面一覧、URL一覧、IPアドレス一覧、認証パターンを提出する。この情報の精度が見積もりの精度を決める
3. 見積もり・診断計画の合意：対象範囲、手法、期間、報告書の内容、再診断の条件を確認して発注する
4. 診断の実施：ツール診断は1〜2日、手動診断は数日〜2週間。本番環境で行う場合は、負荷や誤検知の影響を避けるため実施時間帯を調整する
5. 報告書の納品と説明：脆弱性の一覧、危険度、修正方法を受け取る。報告会が付く場合はここで質疑を行う
6. 修正と再診断：危険度の高いものから修正し、修正が有効かを再診断で確認する

ステップ2の棚卸しを自社で済ませておくと、見積もりが早く、かつ安く出ます。逆に「全部見てほしい」という依頼の仕方は、対象の確認作業そのものが費用に乗るため避けたほうがよいでしょう。

よくある質問

Q. 脆弱性診断は、一度実施すれば十分ですか。

A. 一度で終わりにはなりません。システムの機能追加やライブラリの更新で新しい脆弱性が入り込むため、年1回の定期診断に加えて、大きなリリースの前に実施するのが一般的です。定期的に依頼する前提でベンダーと年間契約を結ぶと、単発より安くなることがあります。

Q. ツール診断だけで取引先のセキュリティ要件を満たせますか。

A. 要件の内容によります。「脆弱性診断の実施」とだけ書かれていればツール診断で足りる場合もありますが、「第三者による手動診断」や「OWASP Top 10 に基づく診断」と指定されていることも多く、その場合は手動診断が必要です。チェックシートの原文を確認してから依頼先に相談してください。

Q. 10万円前後のツール診断だけで、どこまで分かりますか。

A. ツール診断は、既知の脆弱性パターンの有無を短期間で確認するものです。現状の把握と、手動診断の範囲を決めるための材料としては有効ですが、業務ロジックに依存する脆弱性の検出までは期待しないほうがよいでしょう。

Q. 診断で見つかった脆弱性は、必ずすべて修正しなければなりませんか。

A. 危険度に応じて優先順位をつけて対応します。外部から悪用可能で影響が大きいもの（危険度「高」以上）は速やかに修正し、影響が限定的なものはリスクを把握したうえで次回の改修に回す、という判断が一般的です。報告書に危険度と修正方法が書かれていることが、この判断の前提になります。

Q. AWSなどクラウド環境の設定診断は、Webアプリの診断とは別に必要ですか。

A. 別に必要です。Webアプリケーションの診断はアプリケーションの作りを対象にするもので、S3バケットの公開設定やセキュリティグループの開放範囲、IAM権限の過剰付与といったインフラ側の設定は対象外です。クラウド上でシステムを運用している場合は、アプリ診断と設定診断をセットで検討してください。

まとめ

• 脆弱性診断の費用はWebアプリのツール診断で10万〜50万円、手動診断で50万〜300万円が目安。ネットワークはIP数、スマホアプリはOS数、クラウドは設定範囲で決まる
• 費用を決める変数は対象範囲・手法・認証パターン数・報告書と再診断の有無・納期の5つ。自社で調整しやすいのは対象範囲と納期
• 見積書では対象の数量・手動診断の範囲・報告書の内容・再診断の条件・追加料金・準拠基準の6項目を確認し、金額だけで比較しない
• 費用を抑えるには守るべき機能に絞る・ツールと手動を組み合わせる・日程に余裕を持つ・リリース前に組み込む・診断と修正を同じ会社に任せる
• 依頼先は専業ベンダー・システム開発会社・診断ツールの3択。修正まで含めた総額と、報告書を読み解く社内体制で選ぶ

脆弱性診断は、金額の幅が大きいからこそ、対象と手法を自社で決めてから見積もりを取ることで適正価格に近づけます。まず自社のシステムのどこに弱点があるかを把握することが、予算計画の出発点です。

c3indexでは、脆弱性のツール診断・手動診断・ペネトレーションテストの料金メニューを公開し、診断後の修正・再診断まで一貫してご支援しています。対象システムの概要をお聞かせいただければ、概算費用をご案内します。