脆弱性診断の費用相場｜種類別の料金目安と内訳・抑える方法を解説

「来期の予算に脆弱性診断を入れたいが、いくら見込めばよいか分からない」「見積書を受け取ったものの、この金額が高いのか安いのか判断できない」。専任のセキュリティ担当がいない会社では、こうした悩みを抱える担当者は少なくありません。
この記事では、脆弱性診断の費用相場を種類別の一覧表で示したうえで、費用が何で決まるのか、見積書に並ぶ項目の意味、提示された金額が妥当かを見極める視点、そして費用を抑える方法までを順に解説します。読み終えるころには、相場と照らし合わせて金額の根拠を社内で説明できるようになるはずです。

1. 脆弱性診断の費用相場は？種類別の料金目安

脆弱性診断の費用は、診断の種類・対象の量・診断の深さによって大きく変わります。全体としては、ツールを使った簡易的なもので数万円程度から、手動診断を含む本格的なもので数百万円規模まで、幅広いレンジがあるのが一般的です。

⑴種類別の相場レンジ一覧表

※上記はあくまで一般的な目安であり、対象範囲や診断内容、提供会社によって金額は異なります。実際の費用は個別の見積もりで確認してください。
診断の種類についての詳しい解説は、別記事[脆弱性診断の種類は5つ｜診断対象と手法の違いをわかりやすく解説]をご覧ください。

⑵相場に幅が出る理由（概要）

同じ「Webアプリケーション診断」でも、30万円の見積もりと300万円の見積もりが並ぶことは珍しくありません。これは主に、次の3つが会社ごと・案件ごとに異なるためです。

• 診断対象の量：画面数やIPアドレス数が多いほど費用は上がります
• 診断手法：ツール中心か、診断員による手動確認をどこまで含むかで工数が変わります
• 診断の深さ：確認する項目の範囲や、業務の流れまで踏み込むかどうかで費用が変わります

この3つの要因は、次の章で詳しく解説します。

2. 脆弱性診断の費用は何で決まる？3つの変動要因

⑴診断対象の量

脆弱性診断の費用は、基本的に「どれだけの対象を診断するか」に比例します。診断会社は対象の量から必要な工数（作業時間）を見積もり、それに単価を掛けて金額を算出するためです。
たとえばWebアプリケーション診断では、ログイン画面・会員登録画面・検索画面・決済画面などの数が増えるほど、診断員が確認する操作の数も増えます。10画面のサイトと100画面のサービスでは、同じ診断内容でも費用に数倍の差が出ることがあります。プラットフォーム診断であれば、診断するサーバーやネットワーク機器のIPアドレス数が費用を左右します。
また、同じような画面が多数ある場合（商品詳細ページが1,000ページあるなど）は、代表的な画面だけを診断対象として数えるのが一般的です。対象の数え方によって費用が大きく変わるため、見積もりの際には「何をどう数えたか」を確認することが重要です。

⑵診断手法（ツールと手動の比率）

費用への影響が最も大きいのが、ツールと手動の比率です。ツール診断は自動で大量の検査を短時間で行えるため、費用は比較的安く抑えられます。一方、手動診断は専門の診断員が1つずつ操作して確認するため、人件費がかかり、費用が上がる傾向にあります。
費用の観点では、次のように考えると分かりやすいでしょう。

• ツール中心：費用は抑えやすいが、検出できる問題の種類は限られやすい
• 重要画面のみ手動：費用と検出精度のバランスを取りやすい
• 全画面を手動：費用は高くなるが、仕様の抜け穴なども含めて広く確認できる

見積書を見るときは、作業内訳に「ツール診断」と「手動診断」の工数が分けて書かれているかを確認すると、金額の差がどこから来ているのかを把握できます。手法ごとの特徴は、前述の[脆弱性診断の種類は5つ｜診断対象と手法の違いをわかりやすく解説]で解説しています。

⑶診断の深さ

同じ対象・同じ手法でも、どこまで深く確認するかで費用は変わります。一般的な診断項目（不正な入力への耐性など）だけを確認するのか、「ほかの利用者の情報を見られないか」といった権限まわりや、「割引を不正に重ねがけできないか」といった業務ロジック（仕様の流れ）の確認まで踏み込むのかによって、必要な工数が増減します。
深い確認を行う場合は、事前に業務の流れをヒアリングしたり、複数の権限アカウントを使って検証したりする必要があるため、その分の費用が上乗せされる傾向があります。

3. 費用の内訳｜見積書に並ぶ項目の意味

⑴診断費用の本体

見積書の中心となるのが診断費用の本体です。「Webアプリケーション診断一式」「プラットフォーム診断」などの名称で記載され、診断対象の量と手法に応じた工数が金額に反映されています。
書き方は会社によって異なり、「〇画面 × 単価」のように数量と単価で示す会社もあれば、「一式」でまとめて示す会社もあります。一式表記の場合は、対象の数や工数（人日：1人が1日で行う作業量）の内訳を問い合わせると、金額の根拠を社内で説明しやすくなります。事前の打ち合わせや診断計画の作成費用が、本体に含まれているか別項目になっているかも確認しておきましょう。

⑵再診断の費用

再診断とは、診断で見つかった問題を修正したあと、その修正が正しく効いているかを改めて確認してもらうことです。見積書では「再診断」「フォローアップ診断」などと記載されます。
再診断の扱いは会社によって大きく異なり、1回分が本体に含まれている場合、本体の数割程度の別料金になる場合、そもそもメニューにない場合があります。回数の上限や実施期限（納品後〇か月以内など）も確認しておくと安心です。

⑶報告書・報告会の費用

診断結果をまとめた報告書の作成費は、本体に含まれていることが多い一方で、報告会（診断結果を説明する打ち合わせ）や、経営層向けの要約資料、英語版の報告書などは別料金になることがあります。
社内で経営層に説明する予定がある場合は、要約資料や報告会の要否を事前に決め、見積もりに含めてもらうと、後からの追加費用を防げます。

⑷オプション項目

見積書の末尾や別紙に、オプションとして記載されやすい項目には次のようなものがあります。

• オンサイト診断（診断員が自社に来訪して行う診断）の出張費
• 夜間・休日の診断実施に伴う割増
• 診断期間中の対象追加や仕様変更への対応
• 緊急度の高い脆弱性が見つかった際の速報対応
• 修正方法についての個別相談

オプション項目は必要に応じて選ぶものですが、「範囲外」「別途見積」と書かれた項目は後から費用が発生する可能性があるため、必ず目を通しておきましょう。

⑸種類ごとに変わる単価の数え方（画面数・IPアドレス数など）

脆弱性診断の見積もりは、診断の種類ごとに「何を1単位として数えるか」が異なります。見積書の数量欄を読むときの参考にしてください。

特にWebアプリケーション診断では、「画面数」で数える会社と「リクエスト数」で数える会社があり、同じサイトでも数量の表記が大きく異なります。単位が違う見積書を比べるときは、どちらかに揃えて考える必要があります。

4. 【規模別】自社の場合はいくら？料金のイメージ

ここでは、よくある3つの規模を例に、料金のイメージを示します。いずれも一般的な目安であり、実際の金額は対象範囲や診断内容、提供会社によって異なります。

⑴小規模なコーポレートサイト

• 想定する対象の例：会社概要・サービス紹介・お問い合わせフォームなど、10〜20画面程度。会員機能はなし。
• 料金イメージ：ツール中心の診断で数万円〜20万円程度、お問い合わせフォームなど入力のある画面を手動で確認する場合で30万円〜60万円程度が目安です。

会員機能や決済機能がないサイトは、診断すべき機能が限られるため、費用は比較的抑えやすい傾向があります。ただし、CMS（WordPressなどのサイト管理システム）の管理画面が外部から見える状態の場合は、その部分も対象に含めるか検討しましょう。

⑵中規模のWebサービス

• 想定する対象の例：会員登録・ログイン・マイページ・決済・管理画面などを持つ、30〜100画面程度のWebサービスやECサイト。
• 料金イメージ：手動診断を含めて100万円〜300万円程度が目安です。画面数が多い場合や、複数の権限（一般会員・管理者など）ごとに確認が必要な場合は、さらに高くなることがあります。

個人情報や決済情報を扱うサービスでは、権限まわりや業務ロジックの確認まで含めるのが一般的なため、費用は上がりやすくなります。一方で、すべての画面を同じ深さで診断する必要はなく、重要な機能に手動診断を集中させることで費用を調整できます。

⑶社内ネットワーク・サーバー

• 想定する対象の例：外部公開しているWebサーバー・メールサーバー、VPN装置（社外から社内に安全に接続するための機器）、社内のファイルサーバーなど、IPアドレス10〜30個程度。
• 料金イメージ：外部からのリモート診断で20万円〜80万円程度、社内に診断員が来訪するオンサイト診断を含む場合は50万円〜150万円程度が目安です。

外部に公開しているIPアドレスだけを対象にするか、社内ネットワークまで含めるかで費用が大きく変わります。まずは外部から攻撃を受ける可能性がある機器を優先し、社内ネットワークは次の段階で実施するという考え方もあります。

5. 提示された金額が妥当か見極める3つの視点

⑴相場より安い場合に確認すること

相場より明らかに安い見積もりは、提供内容が限定されている可能性があります。次の点を確認しましょう。

• 診断範囲が狭くなっていないか：重要な画面や機能、ログイン後の画面が対象外になっていないか
• 手動診断が含まれているか：ツール診断のみで、診断員による確認がない内容になっていないか
• 再診断が含まれているか：修正後の確認が別料金、またはメニューにない状態になっていないか
• 範囲外項目が多くないか：報告会や対象追加など、後から追加費用になる項目が多く設定されていないか
• 報告書の内容が簡易的でないか：ツールの出力結果をそのまま渡す形式で、改善方法の説明がない内容になっていないか

安いこと自体が悪いわけではありません。自社の目的に対して必要な内容が含まれているかを確認したうえで判断することが大切です。

⑵相場より高い場合に確認すること

相場より高い見積もりは、範囲や内容が手厚い場合もあれば、自社に必要のない作業が含まれている場合もあります。

• 診断対象の数え方が過大でないか：同じ種類の画面を個別に数えていないか
• 必要以上に深い診断になっていないか：自社のリスクに対して過剰な確認項目が含まれていないか
• オプションが標準で含まれていないか：報告会、英語版報告書、オンサイト対応など、不要な項目が入っていないか
• 高い理由が説明されているか：対象の多さや業務ロジックの確認など、金額の根拠が明確か

高い理由が明確で、自社にとって必要な内容であれば、妥当な金額と判断できます。不要な項目がある場合は、外したうえで再見積もりを依頼しましょう。

⑶総額ではなく単価で比べる

金額の妥当性を判断するときは、総額ではなく単価（1画面あたり、1IPアドレスあたりなど）で比べることが重要です。
たとえば、A社が「20画面で60万円」、B社が「50画面で120万円」という見積もりを出してきた場合、総額だけを見るとA社のほうが安く見えます。しかし1画面あたりで計算すると、A社は3万円、B社は2.4万円となり、単価ではB社のほうが安いことになります。総額の違いが診断範囲の違いから来ているのであれば、安い見積もりを選ぶと重要な画面が対象外になるおそれもあります。
前提条件（対象の数、手法、再診断の有無など）が違うまま総額を比べると、誤った判断につながりやすいため、単価に換算したうえで、相場と照らし合わせる習慣をつけましょう。
複数社の見積書を横並びで評価する詳しい手順は、別記事[脆弱性診断サービスの比較で見るべき6つの軸｜見積書の読み方も解説]をご覧ください。

6. 脆弱性診断の費用を抑える4つの方法

⑴診断対象を優先度で絞る

すべての画面やサーバーを一度に診断するのではなく、リスクの高いものから優先して診断対象に含めることで、費用を抑えられます。優先度は、次のような観点で付けるのが一般的です。

• 個人情報やクレジットカード情報を扱う機能（会員登録、決済など）
• 外部から誰でもアクセスできる機能（ログイン、お問い合わせフォームなど）
• 新しく追加した機能や、大きく改修した機能
• 管理者権限で操作できる管理画面

逆に、情報を表示するだけの静的なページや、同じ仕組みで作られた類似ページは、代表的なものだけを対象にすることで工数を減らせます。

⑵段階的に実施する

一度にすべてを本格的に診断するのではなく、段階を分けて実施する方法もあります。たとえば次のような進め方です。

• 1年目：ツール診断で全体の状況を把握し、重要機能のみ手動診断を実施
• 2年目：前年に診断できなかった機能や、新たに追加した機能を手動診断
• 以降：大きな改修のタイミングに合わせて対象を絞って実施

段階的に進めることで、単年度の予算を抑えながら、継続的に診断範囲を広げられます。

⑶事前準備で工数を減らす

診断会社の工数を減らすことは、そのまま費用の削減につながります。事前に準備しておくとよいものには、次のようなものがあります。

• 画面一覧や画面遷移図（画面同士のつながりを示した図）
• 診断用のテストアカウント（権限ごとに用意）
• 診断対象の環境情報（URL、IPアドレス、利用している主なソフトウェアなど）
• 診断を実施してよい日時や、事前に連絡すべき関係者の一覧

これらが揃っていると、診断会社が対象を把握するための調査工数が減り、見積もりの精度も上がります。また、診断期間中に環境が使えなくなるなどのトラブルによる追加費用も防ぎやすくなります。

⑷公的支援・補助金の活用可能性

国や自治体の中小企業向け支援制度の中には、セキュリティ対策にかかる費用を対象とするものがあり、脆弱性診断が対象に含まれる可能性があります。ただし、制度の有無や対象となる経費、申請条件は自治体や年度によって異なり、募集期間が限られていることも多いため、一概に利用できるとはいえません。
検討する場合は、自社の所在地の自治体や商工会議所、中小企業向けの支援窓口などの公式情報で最新の内容を確認しましょう。あわせて、依頼を検討している診断会社に、過去に支援制度を活用した事例があるか相談してみるのもひとつの方法です。

7. 料金以外に発生しうる費用

⑴再診断の費用

診断の見積もりに再診断が含まれていない場合、修正後の確認に追加費用がかかります。予算を確保する段階で、再診断が含まれているか、含まれていない場合はどの程度の費用になるのかを確認し、あらかじめ予算に組み込んでおくと安心です。

⑵改善対応にかかる自社の工数

脆弱性診断で問題が見つかった場合、その修正作業は基本的に自社または開発会社が行います。社内の開発担当者の工数や、外部の開発会社に依頼する場合の改修費用は、診断料金とは別に発生します。指摘の数や内容によっては、診断料金を上回る改修費用がかかることもあるため、予算確保の段階で一定の余裕を見込んでおくことをおすすめします。
診断実施から改善までの流れについては、別記事[セキュリティ診断とは？脆弱性診断との違いと選び方を解説]の実施フローをご覧ください。

⑶継続実施を前提とした年間コスト

脆弱性診断は一度実施すれば終わりではなく、システムの改修や新たな脆弱性の発見に合わせて、定期的に実施するのが望ましいとされています。年1回の定期診断に加え、大きな改修のたびに部分的な診断を行う場合は、年間でその分の費用がかかります。
単年度の費用だけでなく、「年に何回、どの範囲で実施するか」を前提とした年間コストとして予算を組むと、社内での説明や継続的な予算確保がしやすくなります。

8. よくある質問（FAQ）

⑴最低いくらから依頼できるか

ツール中心の簡易的な診断であれば、数万円程度から依頼できるサービスもあります（目安）。ただし、手動診断を含む本格的な診断は数十万円以上になるのが一般的なため、目的に応じて必要な内容を確認しましょう。

⑵見積もりは無料でもらえるか

多くの診断会社では、見積もりを無料で提示しています。ただし、正確な見積もりのために事前のヒアリングや対象の調査が必要になることがあるため、画面一覧などを準備しておくとスムーズです。

⑶再診断は必ず別料金なのか

必ず別料金というわけではなく、1回分が本体に含まれている会社もあります。回数や期限に条件がある場合が多いため、見積もりの段階で確認しておきましょう。

⑷無料の診断ツールとの違いは何か

無料ツールは手軽に基本的な検査ができる一方、検出結果が正しいかの判断や、修正方法の検討は自社で行う必要があります。有料の診断サービスでは、専門の診断員による確認や、具体的な改善提案を含む報告書が得られる点が大きな違いです。

⑸補助金は使えるか

制度によっては、脆弱性診断の費用が対象になる可能性があります。ただし、対象経費や条件は自治体や年度によって異なるため、最新情報は各制度の公式窓口で確認してください。

9. まとめ

• 脆弱性診断の費用は、診断の種類・対象の量・手法・深さによって数万円から数百万円まで幅があり、相場の目安と単価で照らし合わせることが妥当性判断の第一歩です。
• 見積書は、本体・再診断・報告書・オプションの内訳と範囲外項目を確認し、総額ではなく単価で比べましょう。
• 優先度による絞り込みや段階的な実施、事前準備で費用を抑えつつ、改修工数や年間コストまで含めて予算を組むことが大切です。