脆弱性診断の費用は？価格相場や比較ポイントを解説

脆弱性診断は、診断方法や診断範囲、診断基準によって必要となる費用が異なります。そのため、自社の実施目的やリスク管理基準や予算に合わせて、適切な内容の脆弱性診断を選択することが必要になります。
本記事では、脆弱性診断を検討中の方へ向けて、価格相場や、自社にとって必要な脆弱性診断サービスを見極めるポイントを解説します。

脆弱性診断のお見積りもこちらから！

診断方法によって費用は数万～数百万円と幅がある

脆弱性診断（セキュリティ診断）の費用は、診断方法や診断範囲・規模、診断結果に応じたサポートの提供など、実施する内容によって大きく異なります。
例えばWebサイトに対する脆弱性診断の場合、小規模なウェブサイトであれば数万円で済むこともありますが、大規模なWebサイトを対象にすると数百万円になることもあり、幅広い価格帯が存在します。
脆弱性診断の費用が変わるポイントをご紹介します。

ツール診断と手動診断

脆弱性診断には、大きく分けて「ツール診断」と「手動診断」があります。ツール診断は自動化されたスキャンツールを用いる方法で比較的簡単に実施できるため比較的安価となります。

手動診断はセキュリティエンジニアがシステムの用途や実装、ビジネスロジックを理解した上で行うため、ツール診断との組み合わせが有効であり、より柔軟な診断が可能で、詳細なレポートが提供されますが、比較的高額となります。

「ツール診断」の脆弱性診断は、「手動診断」と比較すると安価でできる一方、正しくスキャンできているか判定する必要があります。特にモダンな実装をしているWebサイトでは、ツール診断をしづらい機能が存在していることもあります。また、「ツール診断の」調査結果ではサイト用途や特性などは考慮されず、汎用的な調査結果が報告されます。一方で、「手動診断」はセキュリティエンジニアに、脆弱性診断をまるっと任せられて、診断結果に対する対策方法のアドバイスなどをもらえるというメリットがあります。

関連記事：脆弱性診断ツールの種類や選び方のポイント

ツール診断の費用相場

無料～数十万円

ツール診断は、実に様々なセキュリティベンダーから提供されています。脆弱性診断の内容は、診断ツールによって大きく異なりますが、費用だけに焦点を当てると、数万円の月額課金で使える診断ツールや、無料で実施できる簡易的な診断ツールなどもあります。
指定した範囲の脆弱性診断を、迅速に行いたい場合には非常に有用なため、初期診断として活用することに適しています。
ただし、ツール診断だけでは検知できない脆弱性が存在する可能性があることは忘れてはいけません。また、診断結果の詳細をサイバー攻撃対策（サイバーセキュリティ）の専門以外の担当者が理解することや、診断結果に応じて適切な対策を実施することが難しい場合もあります。

手動診断の費用相場

数十万円～数百万円

手動診断は、サイバー攻撃対策（サイバーセキュリティ）の専門家がシステムやアプリケーションに対して実際に手を動かしながら、脆弱性の有無を確認していく脆弱性診断の方法です。費用はツール診断より高くなりますが、ツールでは検出が難しい脆弱性やシステム固有の問題を検知することに非常に有用です。
システムやアプリケーションをエンジニアの手で確認していくため、ツール診断では検知できない該当システム固有の脆弱性や問題を検知することに適しています。また、検知した脆弱性の詳細な説明や、適切な対策を講じるなど後続対応へのスムーズな連携ができる点も利点です。
しかし、手動診断は診断を実施するセキュリティエンジニアの経験にも依存することもあります。そのため、脆弱性の知見がある企業や専門家のサービスを見極めることが重要になります。また、診断結果のレポート作成や診断後の対応は何を提供してくれるのかを確認することが重要です。

脆弱性診断の見積もりに必要な情報

これまでで、脆弱性診断方法をざっくりと解説しました。手動診断による脆弱性診断の費用は、診断範囲やその他の要因によって大きく異なります。

脆弱性診断の費用にかかる見積もりを正確に出すためには、診断範囲の設定や対象となるシステムの数、診断後のサポート内容など、複数の要素を考慮することが必要です。

診断対象の範囲・規模（リクエスト数・画面数・FQDN数）

脆弱性診断の見積もりは、提供サービスによって変化はあるものの、診断対象の範囲・規模で算出されることが一般的です。例えば、リクエスト数・画面数・FQDN数（完全修飾ドメインの数）・IPアドレス数などの要素に基づいています。一般的に診断対象の規模に応じて費用が高くなる傾向があります。

脆弱性診断の見積もりで重要な要素のひとつが「診断範囲」です。診断範囲をどこまで広げるかで、診断の難易度や時間、料金が大きく変動します。

例えば、脆弱性診断を行う対象が、Webアプリケーションだけでなくネットワーク機器やサーバーも含む場合、対象範囲となるレイヤーが広がることで、異なる診断手法が必要になります。また、WebブラウザからアクセスしないAPIを診断範囲に含める場合、Webサイトより見積もり金額は高くなる傾向があります。APIは異なるシステムが相互に通信するための機能を提供しており、APIに脆弱性があれば、不正アクセスやデータ漏洩のリスクが高まります。

診断の深さ

個人情報やクレジットカード情報など、取り扱いに注意すべき情報を扱っているかによっても、求められる脆弱性診断の深さは異なります。脆弱性診断を行うWebアプリケーションにある既知の脆弱性を探すだけでなく、手動診断で実施するような、システム固有の問題も特定するかによって費用は変更されます。

診断結果に対するサポートの有無

脆弱性診断の結果に応じて、どのようなサポートが提供されるかによって見積もり金額は変わってきます。どのようなサポートが自社にとって必要か考えておくことが重要です。サポートの内容の例としては、診断結果に対する質問受付や対策後の再診断などがあげられます。

脆弱性診断を実施した際には、脆弱性診断の結果に基づいて是正対応が必要となる場合があります。その際に、質問を受け付けるサポートがあると是正対応をスムーズに進めることができます。また、脆弱性を修正後の確認で再診断が必要です。再診断の料金は別費用となる場合もあります。

関連記事：脆弱性診断(セキュリティ診断)とは？必要性など基礎から解説

脆弱性診断の選定ポイント

複数のサイバー攻撃対策（サイバーセキュリティ）企業や専門家から見積もりが出揃った後、最終的にどの脆弱性診断にするか、選定のポイントを紹介します。

大前提として、脆弱性診断を行う実施目的を明確にすることが、脆弱性診断を選定するためには重要な要素となります。なぜ脆弱性診断を行おうとしているのかを明確にしたうえで、以下の選定のポイントを参考に、自社に必要な脆弱性診断を選定しましょう。

診断の精度・深さ

診断の精度や深さを求める場合には、脆弱性診断の中で、どの程度深掘りしてシステム固有の調査をしてくれるかを確認します。例えば、診断対象のシステム用途を考慮して、どのような観点で診断をしてくれるのか、確認しましょう。

ガイドラインの適合

選定に際しては、経済産業省が定めた情報セキュリティサービス基準に適合しているサービスか、業界団体が出しているガイドラインの基準を満たしているか、などの確認も行いましょう。審査登録機関により、経済産業省が定めた情報セキュリティサービス基準に適合することが確認されたサービスは、IPAから「情報セキュリティサービス基準適合サービスリスト」として公開されています。

業界標準であるIPA「安全なWebサイトの作り方」やOWASP（Open Web Application Security Project）やASVS（Application Security Verification Standard）を基準にした脆弱性診断を行っているかなど、診断の基準を確認することも重要です。脆弱性診断の信頼性の担保につながります。

関連記事：ECサイトのセキュリティ対策をIPAガイドラインの要件を基に徹底解説

実績の確認

手動診断の場合は、脆弱性診断を行ってくれるセキュリティ専門家の脆弱性を検出する能力を測るため、CTF（Capture The Flag）等のセキュリティコンテストにおける上位入賞実績、国内外の脆弱性届出数などの実績を確認することも、診断の精度を図る際に有効です。

継続的に診断するか、単発で診断するか

脆弱性診断は一度きりではなく、継続的に行うことが重要です。脆弱性は日々発見され、1日で数百見つかる新たな脆弱性が放置されてしまい、サイバー攻撃の被害にあう可能性を生み出してしまいます。

理想的なセキュリティ対策は、定期的なツール診断と、単発での手動診断を組み合わせることです。どのタイミングで脆弱性診断を行うべきか計画を立て、自社の実施目的やリスク管理基準に応じた脆弱性診断を選択しましょう。

おすすめの診断プラン

本記事では、脆弱性診断の価格相場や、自社にとって必要な脆弱性診断サービスを選定するポイントを解説しました。脆弱性診断にかかる見積もりを正確に算出するためには、診断範囲の設定や対象となるシステムの数、診断後のサポート内容など、複数の要素を考慮することが必要です。
そうは言っても、サイバー攻撃対策に日々従事している専門家でないと、自社にあった脆弱性診断を選定することは一筋縄ではいきません。GMOサイバーセキュリティ byイエラエでは、サイバー攻撃対策に関する知識の有無にかかわらず、お客様が自社にとって最適な脆弱性診断を選べるように複数のサービスを提供しています。