脆弱性診断の費用は？価格相場や比較ポイントを解説

脆弱性診断は、診断方法や診断範囲、診断基準によって必要となる費用が異なります。そのため、自社の実施目的やリスク管理基準や予算に合わせて、適切な内容の脆弱性診断を選択することが必要になります。
本記事では、脆弱性診断を検討中の方へ向けて、価格相場や、自社にとって必要な脆弱性診断サービスを見極めるポイントを解説します。

脆弱性診断のお見積りもこちらから！

診断方法によって費用は数万～数百万円と幅がある

脆弱性診断（セキュリティ診断）の費用は、診断方法や診断範囲・規模、診断結果に応じたサポートの提供など、実施する内容によって大きく異なります。
例えばWebサイトに対する脆弱性診断の場合、小規模なウェブサイトであれば数万円で済むこともありますが、大規模なWebサイトを対象にすると数百万円になることもあり、幅広い価格帯が存在します。
脆弱性診断の費用が変わるポイントをご紹介します。

ツール診断と手動診断

脆弱性診断には、大きく分けて「ツール診断」と「手動診断」があります。ツール診断は自動化されたスキャンツールを用いる方法で比較的簡単に実施できるため比較的安価となります。

手動診断はセキュリティエンジニアがシステムの用途や実装、ビジネスロジックを理解した上で行うため、ツール診断との組み合わせが有効であり、より柔軟な診断が可能で、詳細なレポートが提供されますが、比較的高額となります。

「ツール診断」の脆弱性診断は、「手動診断」と比較すると安価でできる一方、正しくスキャンできているか判定する必要があります。特にモダンな実装をしているWebサイトでは、ツール診断をしづらい機能が存在していることもあります。また、「ツール診断の」調査結果ではサイト用途や特性などは考慮されず、汎用的な調査結果が報告されます。一方で、「手動診断」はセキュリティエンジニアに、脆弱性診断をまるっと任せられて、診断結果に対する対策方法のアドバイスなどをもらえるというメリットがあります。

関連記事：脆弱性診断ツールの種類や選び方のポイント

ツール診断の費用相場

無料～数十万円

ツール診断は、様々なセキュリティベンダーから提供されています。脆弱性診断の内容は、診断ツールによって大きく異なりますが、費用だけに焦点を当てると、数万円の月額課金で使える診断ツールや、無料で実施できる簡易的な診断ツールなどもあります。
指定した範囲の脆弱性診断を、迅速に行いたい場合には非常に有用なため、初期診断として活用することに適しています。

無料で試せる診断ツールと、その限界

費用をかけずに始める方法もあります。代表的なのがOWASP ZAPやOpenVASといったOSS（オープンソースソフトウェア）の診断ツールです。ライセンス費用はかからず、自社の環境にインストールすれば診断を実行できます。

ただし、無償で使えるのはツール本体だけで、運用にかかる工数は自社負担です。検出結果には過検知が含まれるため、どれが本当に対処すべき脆弱性かを判断する知識が必要になります。日本語のドキュメントやサポート窓口もないため、専任の担当者がいない組織では、導入しても結果を活かしきれないことがあります。

商用ツールでも、無料トライアルや無料プランを用意しているものがあります。実際の管理画面と診断結果を確認したうえで判断できるため、いきなり契約するより失敗が少なくなります。当社のネットde診断 Liteは、1ヶ月間無料で体験いただけます。

有料の脆弱性診断ツールの価格帯

有料のツール診断は、月額数千円台から選択肢があります。診断できるドメイン数や機能に制限はありますが、専門知識がなくても使えるよう設計されているものが多く、専任のセキュリティ担当者がいない中小企業でも導入しやすい価格帯です。

GMOイエラエのGMOサイバー攻撃 ネットde診断は、用途と予算に応じて次の3つから選べます。

• ネットde診断 Lite（月額4,280円〜／1ドメイン）
  安価に常時監視したい、専任の担当者がいない企業向け。設定不要で最短1分から始められ、危険な状態になるとアラートが届きます。
• ネットde診断 for Webアプリ（月額16,500円〜）
  改修頻度が高く、自社で診断を回したい企業向け。定額で「修正→再診断」を繰り返し実施でき、ログイン後の画面にも対応します
• ネットde診断 ASM（月額40,000円〜）
  保有するドメインが多く、資産の把握から始めたい企業向け。組織全体の外部公開資産を自動で棚卸しし、リスクを可視化します。

社内に判断できる人がいない場合は、価格の安さだけで選ばず、日本語のサポートがあるか、検出結果にどう対応すべきかまで示されるかを確認してください。安価なツールを導入しても、結果を読めなければ対策は進みません。

手動診断の費用相場

数十万円～数百万円

手動診断は、サイバー攻撃対策（サイバーセキュリティ）の専門家がシステムやアプリケーションに対して実際に手を動かしながら、脆弱性の有無を確認していく脆弱性診断の方法です。費用はツール診断より高くなりますが、ツールでは検出が難しい脆弱性やシステム固有の問題を検知することに非常に有用です。
システムやアプリケーションをエンジニアの手で確認していくため、ツール診断では検知できない該当システム固有の脆弱性や問題を検知することに適しています。また、検知した脆弱性の詳細な説明や、適切な対策を講じるなど後続対応へのスムーズな連携ができる点も利点です。
しかし、手動診断は診断を実施するセキュリティエンジニアの経験にも依存することもあります。そのため、脆弱性の知見がある企業や専門家のサービスを見極めることが重要になります。また、診断結果のレポート作成や診断後の対応は何を提供してくれるのかを確認することが重要です。

内製化(ツール)と外部委託(手動)はどちらが費用対効果が高いか

診断を内製化するか外部に委託するかは、診断回数で判断が分かれます。
ツール診断は定額制のものが多く、診断回数を増やしても費用が変わりません。手動診断は都度見積りのため、実施するたびに費用が発生します。

年間の診断回数	費用の考え方	向いている方法
年1回程度	手動診断1回分（数十万円〜）で収まる。	手動診断（外部委託）
年2〜4回	手動診断は回数分だけ費用が増える。 ツールの年額と比較して逆転する場合がある。	診断範囲によって判断が分かれる
毎月〜毎週	手動診断では現実的な予算に収まらない。 定額制のツールは回数を増やしても総額は変わらない。	ツール診断（内製化）

改修のたびに診断したい、リリースのサイクルが速いといった場合は、回数を重ねるほどツールの定額制が有利になります。逆に、年に1回の精密な確認や、監査・取引先への提出用の第三者評価が目的であれば、手動診断を1回実施する方が費用対効果は高くなります。

内製化で見落としやすいコスト

ツールの利用料だけを比べると内製化が安く見えますが、実際には次の工数が自社にかかります。

• 診断対象の設定と、診断スケジュールの管理
• 検出結果の確認と、過検知の切り分け
• 対応の優先度づけと、開発部門への修正依頼
• 修正後の再診断と、その結果の確認

外部委託の場合、これらの多くは委託先が担います。内製化の判断は「ツール利用料 vs 委託費用」ではなく、「ツール利用料＋自社の人件費 vs 委託費用」で比較してください。 社内に判断できる人がいない状態でツールだけ導入すると、検出結果が放置され、費用をかけた意味がなくなります。

現実的な方法としては、両者を組み合わせることです。
日常的な監視はツールで内製化し、年1回や大規模改修の前だけ手動診断を外部委託する形です。この場合、手動診断の対象を重要なシステムに絞れるため、全体を委託するより費用を抑えられます。

脆弱性診断の見積もりに必要な情報

これまでで、脆弱性診断方法をざっくりと解説しました。手動診断による脆弱性診断の費用は、診断範囲やその他の要因によって大きく異なります。

脆弱性診断の費用にかかる見積もりを正確に出すためには、診断範囲の設定や対象となるシステムの数、診断後のサポート内容など、複数の要素を考慮することが必要です。

診断対象の範囲・規模（リクエスト数・画面数・FQDN数）

脆弱性診断の見積もりは、提供サービスによって変化はあるものの、診断対象の範囲・規模で算出されることが一般的です。例えば、リクエスト数・画面数・FQDN数（完全修飾ドメインの数）・IPアドレス数などの要素に基づいています。一般的に診断対象の規模に応じて費用が高くなる傾向があります。

規模による変動の目安として、Webアプリケーション診断では画面数が20程度の小規模なサイトで数十万円から、100画面規模になると100万円を超えることがあります。ただし、同じ画面数でも、入力フォームや認証機能が多いサイトほど検査すべきリクエスト数が増えるため、画面数だけで金額が決まるわけではありません。

APIを診断範囲に含める場合は、エンドポイント単位で費用が加算される見積り方が一般的です。同じ画面数のWebサイトと比べて高くなる傾向があるのは、APIごとにパラメータの組み合わせを検証する必要があるためです。

ネットワーク診断やプラットフォーム診断では、IPアドレス数やホスト数が基準になります。1ホストあたりの単価が設定されていることが多く、対象が増えれば比例して費用も上がります。

正確な金額は診断範囲の設定によって変わるため、複数のベンダーから見積りを取る際は、同じ範囲・同じ条件で依頼して比較することが重要です。範囲の定義が異なる見積りを金額だけで比べると、安く見えたサービスが実は診断範囲を絞っていた、ということが起こります。

診断の深さ

個人情報やクレジットカード情報など、取り扱いに注意すべき情報を扱っているかによっても、求められる脆弱性診断の深さは異なります。脆弱性診断を行うWebアプリケーションにある既知の脆弱性を探すだけでなく、手動診断で実施するような、システム固有の問題も特定するかによって費用は変更されます。

診断結果に対するサポートの有無

脆弱性診断の結果に応じて、どのようなサポートが提供されるかによって見積もり金額は変わってきます。どのようなサポートが自社にとって必要か考えておくことが重要です。サポートの内容の例としては、診断結果に対する質問受付や対策後の再診断などがあげられます。

脆弱性診断を実施した際には、脆弱性診断の結果に基づいて是正対応が必要となる場合があります。その際に、質問を受け付けるサポートがあると是正対応をスムーズに進めることができます。また、脆弱性を修正後の確認で再診断が必要です。再診断の料金は別費用となる場合もあります。

関連記事：脆弱性診断(セキュリティ診断)とは？必要性など基礎から解説

脆弱性診断の納期

費用と並んで確認しておきたいのが納期です。診断方法によって、依頼から結果を受け取るまでの期間は大きく異なります。

ツール診断は即時

SaaS型の診断ツールは、契約後すぐに利用を開始できます。診断対象を登録すればその場でスキャンを実行できるため、待ち時間はほぼありません。ネットde診断も、ご契約後すぐにご利用いただけます。

手動診断は3営業日から

手動診断の納期は、診断範囲の決め方によって変わります。診断箇所を専門家に任せる形であれば、事前調査を省略できるため3～5営業日程度が一般的です。一方、監査向けなどで対象URLを事前にすべて洗い出して合意する形では、事前のクローリング調査が必要になり、対象規模に応じて期間が変動します。

見積りにも期間がかかる

見落としやすいのが見積りの期間です。診断範囲を人日やサイト単位で決めるプランは即日から数営業日で見積りが出ますが、対象URLをリクエスト単位で確定させるプランでは、事前のクローリング調査に2週間〜1ヶ月程度かかることがあります。急ぎの場合は、資料をもとにした概算見積りに対応できるベンダーもあるため、相談してみてください。

短納期で進めたい場合の考え方

公開日が決まっていて診断の時間が限られている場合は、次の順序で進めると現実的です。

1. まずツール診断で全体をスキャンし、基本的な脆弱性を洗い出して修正する
2. 修正が済んだ状態で、重要な機能に絞って手動診断を依頼する

この進め方であれば、手動診断の対象を絞れるため納期を短縮でき、費用も抑えられます。ツールで検出できる範囲を先に潰しておくことで、専門家の工数を本当に必要な検証に充てられます。

ただし、監査や取引先への提出用に「診断範囲を明示した報告書」が必要な場合は、事前に範囲を合意するプロセスが不可欠です。この場合は納期を短縮できないため、スケジュールに余裕を持って依頼してください。

脆弱性診断の選定ポイント

複数のサイバー攻撃対策（サイバーセキュリティ）企業や専門家から見積もりが出揃った後、最終的にどの脆弱性診断にするか、選定のポイントを紹介します。

大前提として、脆弱性診断を行う実施目的を明確にすることが、脆弱性診断を選定するためには重要な要素となります。なぜ脆弱性診断を行おうとしているのかを明確にしたうえで、以下の選定のポイントを参考に、自社に必要な脆弱性診断を選定しましょう。

診断の精度・深さ

診断の精度や深さを求める場合には、脆弱性診断の中で、どの程度深掘りしてシステム固有の調査をしてくれるかを確認します。例えば、診断対象のシステム用途を考慮して、どのような観点で診断をしてくれるのか、確認しましょう。

ガイドラインの適合

選定に際しては、経済産業省が定めた情報セキュリティサービス基準に適合しているサービスか、業界団体が出しているガイドラインの基準を満たしているか、などの確認も行いましょう。審査登録機関により、経済産業省が定めた情報セキュリティサービス基準に適合することが確認されたサービスは、IPAから「情報セキュリティサービス基準適合サービスリスト」として公開されています。

業界標準であるIPA「安全なWebサイトの作り方」やOWASP（Open Web Application Security Project）やASVS（Application Security Verification Standard）を基準にした脆弱性診断を行っているかなど、診断の基準を確認することも重要です。脆弱性診断の信頼性の担保につながります。

関連記事：ECサイトのセキュリティ対策をIPAガイドラインの要件を基に徹底解説

実績の確認

手動診断の場合は、脆弱性診断を行ってくれるセキュリティ専門家の脆弱性を検出する能力を測るため、CTF（Capture The Flag）等のセキュリティコンテストにおける上位入賞実績、国内外の脆弱性届出数などの実績を確認することも、診断の精度を図る際に有効です。

継続的に診断するか、単発で診断するか

脆弱性診断は一度きりではなく、継続的に行うことが重要です。脆弱性は日々発見され、1日で数百見つかる新たな脆弱性が放置されてしまい、サイバー攻撃の被害にあう可能性を生み出してしまいます。

理想的なセキュリティ対策は、定期的なツール診断と、単発での手動診断を組み合わせることです。どのタイミングで脆弱性診断を行うべきか計画を立て、自社の実施目的やリスク管理基準に応じた脆弱性診断を選択しましょう。

おすすめの診断プラン

本記事では、脆弱性診断の価格相場や、自社にとって必要な脆弱性診断サービスを選定するポイントを解説しました。脆弱性診断にかかる見積もりを正確に算出するためには、診断範囲の設定や対象となるシステムの数、診断後のサポート内容など、複数の要素を考慮することが必要です。
そうは言っても、サイバー攻撃対策に日々従事している専門家でないと、自社にあった脆弱性診断を選定することは一筋縄ではいきません。GMOサイバーセキュリティ byイエラエでは、サイバー攻撃対策に関する知識の有無にかかわらず、お客様が自社にとって最適な脆弱性診断を選べるように複数のサービスを提供しています。