確認した範囲では公的な相場は無い。費用は「何を・どこまで・どの方法で」で決まる
取引先のセキュリティチェックシートに「直近の脆弱性診断の実施時期」の欄があった、開発会社から一度診断を受けたほうがいいと言われた。そうしたきっかけで費用を調べると、「数万円から数百万円」という幅の広い数字が並び、自社の場合にいくら見ておけばよいのかが分かりません。
先に結論を書きます。
- 確認した範囲では、脆弱性診断の一般的な相場を示した公的資料はありません。IPA・経済産業省の資料で見つかった費用の目安は、自社構築の EC サイトについての「最低年額 100 万円以上」だけです
- 料金は、診断の種類、対象の範囲、ツールか手動かで決まります。数える単位 (リクエスト・ページ・IP) も会社ごとに違います
- 料金を公開している会社の例では、手動を含む Web アプリケーション診断が 40 万円・135 万円から、プラットフォーム診断が単体で 25 万円・35 万円からです (税抜・税別、2026 年 10 月 24 日確認)
- 確認した公開料金には修正作業が含まれておらず、修正は依頼する側の仕事になります。診断の予算と一緒に、直す体制を決めておきます
この記事は、自社の Web サービスや業務システムを外部の開発会社に作ってもらい運営している企業の担当者に向けて書いています。なお、FIXIT は脆弱性診断のサービスを提供していません。特定の診断会社を勧めることもせず、選ぶときの手がかりとして IPA のリストの読み方を示します。
脆弱性診断の種類と、費用を数える単位
経済産業省の 情報セキュリティサービス基準 第 4.1 版 は、脆弱性診断サービスを「Web アプリケーション脆弱性診断」「プラットフォーム脆弱性診断」「スマートフォン／タブレット端末アプリケーション脆弱性診断」の 3 つに分けています。費用を数える単位は、この区分ごとに違います。
| 区分 | 主な対象 | 費用を数える単位の例 |
|---|---|---|
| Web アプリケーション診断 | ログイン・会員登録・検索・決済などの画面と API | リクエスト数、ページ数、API の数、FQDN の数 |
| プラットフォーム診断 | 公開しているサーバー・OS・ミドルウェア・ネットワーク機器 | IP アドレス・FQDN の数 |
| スマートフォン / タブレット端末アプリ | アプリ本体と、アプリが通信するサーバー | 確認した料金ページには料金の記載なし |
Web アプリケーション診断
Web サイトや Web サービスの機能を、入力値の扱いや認証・権限の確認の甘さといった観点で調べる診断です。料金を公開している会社では、リクエスト数かページ数で数える例と、Securify のように FQDN の数で数える例がありました。ログイン後の画面、決済、管理画面、API が増えるほど料金は上がります。
プラットフォーム診断
インターネットに公開しているサーバーやネットワーク機器について、古いバージョンの OS・ミドルウェア、不要に開いているポート、設定の誤りを調べる診断です。料金は IP アドレスか FQDN (ホスト名) の数で数えます。Web サーバー 1 台とメールサーバー 1 台のように、対象を台数で把握しておくと見積もりが早く進みます。
スマートフォンアプリと API の診断
API は、Web アプリケーション診断の料金に含めて数える会社と、API ごとに見積もる会社があります。スマートフォンアプリについては、今回確認した料金ページにアプリ単体の診断料金は載っていませんでした。アプリを対象にするなら、問い合わせで見積もる前提で予算を考えます。
ペネトレーションテストとの違い
同じ基準は、ペネトレーションテストを脆弱性診断の一種として、攻撃者が実際に侵入するときと同様の手法でセキュリティ機能を回避し、攻撃の目的を達成できるかの観点から試験するサービスと定義しています。IPA が公開している「脆弱性診断内製化ガイド」(IPA の中核人材育成プログラムのプロジェクトがまとめたもの) も、両者の目的を次のように分けています。
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 既知の脆弱性や設定の誤りを網羅的に把握する | 侵入・権限昇格・情報の持ち出しが成立するかを実証する |
| 見つけ方 | 対象の範囲を網羅的に調べる | 攻撃のシナリオに沿って調べる。網羅的に見つけるものではない |
| タイミング | リリースの前後、定期的に | 大規模なリリースの前や年次など、要所で |
今回確認した会社では、ペネトレーションテストの料金は公開されておらず、問い合わせで見積もる形でした。
公開されている料金の例
料金を公開している診断会社のページから、料金体系の例として並べます。推薦ではなく、各社の品質を比べたものでもありません。確認日はいずれも 2026 年 10 月 24 日で、料金は変わることがあります。
手動を含む診断の公開料金
| 会社・サービス | 料金 | 数える単位 | 料金に含まれるもの | 報告会 | 税の表記 |
|---|---|---|---|---|---|
| セキュアスカイ・テクノロジー Web アプリケーション診断 | 基本 40 万円 (10 リクエストまたは 5 API)、追加 30 万円 / 10 リクエストまたは 5 API | リクエスト・API | 報告書、速報、再診断 (危険度 Medium・High が対象、1 案件 1 回) | 15 万円 / 回 | 税抜 |
| セキュアスカイ・テクノロジー プラットフォーム診断 | 基本 25 万円 (3 IP または 3 FQDN)、追加 6 万円 / 1 IP または 1 FQDN | IP・FQDN | 報告書、速報、再診断 (危険度 Medium・High・Critical が対象、1 案件 1 回) | 15 万円 / 回 | 税抜 |
| サイバーセキュリティクラウド Web アプリケーション標準診断 | 135 万円〜 (40 ページ分を含む)、追加 20 万円 / 10 ページ | ページ | 診断実施計画書、簡易報告書、報告書、再診断、修正確認診断報告書 | 関東 5 万円、関東以外 10 万 5,000 円 (1 回 2 時間以内) | 税別 |
| サイバーセキュリティクラウド プラットフォーム脆弱性診断 | 35 万円〜 (5 IP 分を含む) | IP | 診断実施計画書、簡易報告書、報告書 | 同上 | 税別 |
出典は セキュアスカイ・テクノロジーの Web アプリケーション診断・プラットフォーム診断 と、サイバーセキュリティクラウドの料金ページ です。表の外にも、条件で料金が変わる注記があります。
- セキュアスカイ・テクノロジーの料金はリモート診断の場合です。起点の URL が複数あると起点ごとの見積もりになり、サイトやログイン機能が複数あると別に費用がかかる場合があります。Web アプリケーション診断と併用すると、プラットフォーム診断の基本料金は 15 万円、追加は 1 IP または 1 FQDN あたり 5 万円です
- サイバーセキュリティクラウドには、過去に診断を受けたアプリの部分改修向けに 40 万円 (税別) の特急診断があり、こちらは報告会のオプションを使えません。API 診断は「API によって料金が異なります」と問い合わせの扱いです
要点
同じサイトでも、リクエストで数える会社とページで数える会社では、表の数字をそのまま比べられません。比べるときは、対象の一覧を同じ形で渡し、各社に数えてもらった見積もりで並べます。
ツール (SaaS) 型の公開料金
ツールで自動的に診断する SaaS 型のサービスは、年間契約の料金で示されることがあります。Securify の料金ページ では、脆弱性診断の Starter が月額 5 万円・年間 60 万円 (1 IP・FQDN)、Basic が月額 10 万円から・年間 120 万円から (標準 3 IP・FQDN) です。12 ヶ月の年間契約が基本で、手動診断と個別の支援は別の見積もりになります。消費税を含む請求総額は見積書で案内すると書かれています。
公開料金からの計算例
自社の対象に当てはめる練習として、セキュアスカイ・テクノロジーの公開料金で計算してみます。Web アプリケーション診断の対象が 30 リクエスト、公開しているサーバーが 5 IP とすると、次のようになります。
| 内訳 | 金額 (税抜) |
|---|---|
| Web アプリケーション診断 (基本 10 リクエスト + 追加 20 リクエスト) | 100 万円 |
| プラットフォーム診断 (併用の基本 3 IP + 追加 2 IP) | 25 万円 |
| 報告会 1 回 | 15 万円 |
| 合計 | 140 万円 |
公開料金だけを使った机上の計算 (リモート診断の料金) で、実際の見積もりは対象の数え方や条件で変わります。
公的資料にある費用の目安
IPA の「EC サイト構築・運用セキュリティガイドライン」は、参考情報として、自社構築の EC サイトで必須として求められる対策の費用感を示しています。そのうち脆弱性診断の実施は「最低年額 100 万円以上 (月額換算では、8 万円～)」です。
この数字は脆弱性診断一般の相場ではなく、コーポレートサイトや社内システムにそのまま当てはまるものでもありません。同じガイドラインは、事故対応費用を支出した中小の EC サイト運営事業者について、1 社あたりの平均額を約 2,400 万円としています (IPA の調査)。こちらも EC サイトに限った数字ですが、診断の費用を社内で説明するときの比較材料になります。
見積もりでそろえて比べる項目
比べるときは、次の項目を同じ表に並べます。
- 税抜か税込か
- 数える単位と、自社の対象の数え方
- 報告書と速報の有無、報告書の納期
- 再診断が含まれるか。含まれるなら回数と、対象になる危険度
- 報告会の有無と料金
- オンサイト作業が要るか。要るなら料金と交通費
- 起点の URL やログイン機能が複数あるときの扱い
- 診断にかかる日数
ツール診断と手動診断、無料ツールでどこまで分かるか
IPA の EC サイトのガイドラインは、診断の方法をツール・手動・その組み合わせの 3 つに分け、手動による診断はツールに比べて費用が高額になる一方、ツールでは見つけられない脆弱性を発見できると説明しています。
ツール診断が見つけにくいもの
前述の内製化ガイドは、ツールだけで診断する低価格のサービスについて、業務の流れに依存した欠陥や複雑な設定の誤りを見落としやすく、誤検知も含まれやすい点に注意を促しています。そのうえで、まずツールで広く調べ、誤検知が疑われる部分やツールで検出しにくい部分を手動で補う組み合わせを一般的な形として挙げています。
ツール診断で足りるかは、対象によります。会員情報や決済を扱う画面、権限によって見える情報が変わる画面がある Web サービスでは、手動を含む診断を検討します。
FIXITじゃあ、安いツール診断で済ませるのはダメってこと？
Kanameダメとは限りません。ログインや決済の画面があるなら、そこだけ手動を入れた見積もりも取っておきます。
無料ツールを使うときの注意
無料で使えるツールとして代表的なのが、オープンソースの ZAP です。IPA は「安全なウェブサイトの作り方」の別冊として、危険度の高い脆弱性など 13 の診断項目を示した「ウェブ健康診断仕様」を公開しています。ただし IPA 自身が、検査パターンを絞り込んだものなので、脆弱性が検出されなくても安全宣言にはつながらないと明記しています。
自社で試すなら、次の点を守ります。
- 検査するのは自社が管理し、保守の委託先など関係者の了解を得た対象に限ります
- 本番環境ではなく、まず検証環境で試します。検査の通信で、データが登録されたりサーバーの負荷が上がったりすることがあります
- 「検出なし」を、取引先への「診断済み」の回答に使いません
取引先に脆弱性診断を求められたときに、先に確認すること
取引先から「脆弱性診断を受けてください」と言われたら、見積もりを頼む前に、何を求められているかを取引先に確認します。ここを曖昧にしたまま申し込むと、必要以上に高い診断を買ったり、足りずに差し戻されたりするおそれがあります。
- 種類。Web アプリケーション診断か、プラットフォーム診断か、ペネトレーションテストか
- 対象。どのシステム、どのサイトについての診断か
- 実施者。第三者 (外部の診断会社) による診断が必要か
- 時期。「直近 1 年以内」のように、いつまでの診断なら認められるか
- 提出物。報告書の提出が要るのか、実施の有無と時期を答えれば足りるのか
チェックシートで問われる形
セキュリティチェックシートでは、「脆弱性診断を受けたことがあるか、あればその時期」の形で聞かれることがあります。保守を外部に委託しているシステムなら、まず委託先に、過去の診断の有無と時期を聞きます。回答の書き方は セキュリティチェックシートの答え方 を参照してください。
SCS 評価制度 ★4 の技術検証
経済産業省の方針に基づき IPA が運営する SCS 評価制度では、★4 の第三者評価に技術検証 (脆弱性検査) が含まれます。制度構築方針によると、対象はインターネットに公開している機器のうち、悪用されると組織内部に侵入されるリスクが高い VPN 装置やルータなどで、直近の脆弱性検査の結果を証跡として提出することで代えることも検討されています。★3・★4 の申請受付は 2027 年 3 月に始まる予定です。詳しくは SCS 評価制度の記事 で解説しています。
EC サイトを運営している場合
IPA の EC サイトのガイドラインは、構築時の要件として、公開前に原則として第三者による脆弱性診断を受けることを求めています。診断はプラットフォーム診断と Web アプリケーション診断の 2 種類で、Web アプリケーション診断は最低でもログイン、利用者情報の登録・変更、商品検索、注文・決済の画面を対象にします。見つかった危険度「高」「中」の脆弱性は、対策してから公開するよう求めています。
これは IPA のガイドラインの要件で、法律が直接定めた義務とは別のものです。ただし、取引先や決済の契約で同じ水準を求められることもあるため、契約の文面も確認しておきます。
求められている範囲が規程の整備や情報資産の棚卸しを含む体制全体に及ぶ場合の進め方は、情報セキュリティコンサルの選び方 で整理しています。
見積もりを頼む前に用意するもの
見積もりの精度は、渡す情報で決まります。次のものをそろえておくと、診断会社とのやりとりが短く済みます。
- 対象の URL の一覧、画面遷移、機能の一覧
- 画面数やリクエスト数の概算と、ログイン後の画面の範囲
- 公開しているサーバーの IP アドレス・FQDN
- 権限ごとのテスト用アカウント (一般会員・管理者など)
- 診断するのが検証環境か本番環境か
- API の仕様書
- 希望する時期と、取引先への提出期限
外部の開発会社に作ってもらったシステムでは、構成・IP アドレス・検証環境・テスト用アカウントは開発会社が持っていることがあります。診断会社に問い合わせる前に、開発会社にこれらの情報を出してもらえるかと、診断の日程に立ち会えるかを相談しておきます。
診断会社の選び方
会社選びの手がかりになるのが、IPA が公開している「情報セキュリティサービス基準適合サービスリスト」(最終更新 2026 年 10 月 9 日) で、IPA の EC サイトのガイドラインも、第三者に依頼する場合はこのリストの脆弱性診断サービスに載っている事業者を選ぶよう推奨しています。役割は次のように分かれています。
| 役割 | 担い手 |
|---|---|
| 基準を策定する | 経済産業省 (情報セキュリティサービス基準) |
| 適合を審査し登録する | 各審査登録機関 |
| リストを公開する | IPA |
リストには脆弱性診断サービスの区分があり、ペネトレーションテストは脆弱性診断サービスのオプションとして、ペネトレ欄に星印で示されます。掲載期間は、審査登録機関が定める登録有効期間か 2 年間のうち短い方です。IPA は、掲載された事業者とサービスについて、いかなる保証も意味しないとしています。リストは「基準に沿った体制で提供しているか」を見る入口として使い、そのうえで次の点を各社に確認します。
- 報告書のサンプル。再現の手順と、修正の方針まで書かれているか
- 修正後の再診断と、報告書についての質問への対応
- 同じ範囲で 2〜3 社から取った見積もりを、「見積もりでそろえて比べる項目」の順に並べたときの違い
どのくらいの頻度で受けるか
すべての企業に一律の頻度を定めた法令は、確認した範囲では見当たりません。EC サイトは IPA の EC サイトのガイドライン、それ以外は脆弱性診断内製化ガイドによる目安です。
| 対象 | 目安 |
|---|---|
| EC サイト | 公開前に診断。新機能の追加や改修のたびに Web アプリケーション診断。改修が無くても四半期に 1 回プラットフォーム診断 |
| EC サイト以外 (一般的なタイミング) | リリースの前後と、システム構成を変えたとき |
取引先から時期を指定されていれば、それに合わせます。診断はある時点の状態を調べるもので、診断と診断の間に公表された脆弱性情報への対応は、診断とは別に、日々の脆弱性管理で行います。その仕組みは 脆弱性管理を ISMS で回す で扱っています。
診断のあとに要るのは、見つかった問題を直す人
費用を調べる段階で、診断のあとのことも決めておきます。報告書が届いた時点では、まだ何も直っていません。
危険度ごとの対応の目安
IPA の EC サイトのガイドラインは、危険度は一般に「高」「中」「低」の 3 段階で分類されるとしたうえで、公開前の診断では「高」「中」を対策してから公開するよう求めています。運用中の診断では、「高」は迅速に、「中」は 3 ヶ月程度を目途に対策するよう推奨しています。EC サイト向けの目安ですが、修正の段取りを組むときの基準として使えます。
修正は依頼する側の仕事で、費用は診断料金の外
確認した公開料金には修正作業が含まれておらず、修正は依頼する側の仕事になります。社内に開発者がいなければ、保守を担う開発会社に頼みます。その費用は保守の見積もりになり、指摘の数や直す箇所で変わります。保守費用の内訳は システム保守費用の相場と根拠 にまとめています。
社内のエンジニアが AI コーディングエージェントで修正する場合は、AI コーディングエージェントがセキュリティ作業を断るとき で、指摘を渡すときの伝え方を解説しています。
FIXITえっ、診断にお金を払っても、直してはくれないの？
Kaname診断会社は直しません。直すのは依頼する側です。診断を運用に乗せるなら、申し込む前に、指摘を誰が直すかまで決めておきます。
保守の担当がいない、開発会社が対応しないとき
保守の契約が切れている、開発会社と連絡が取りにくい、引き受けてもらえない。こうした状態で診断を受けると、報告書は直せない問題の一覧になってしまいます。
保守だけを別の会社に移す判断と進め方は システム保守の引き継ぎ で解説しています。引き継ぎ先を探す段階なら、FIXIT の 開発会社の乗り換え・システム引き継ぎ で、システムと保守の状況を伺う 30 分の相談から始められます。脆弱性診断ではなく、いまのシステムを誰がどう直せるかを整理するための時間です。
再診断を見積もりに入れる
修正で脆弱性が解消したかは、再診断で確認します。修正に時間がかかると再診断の時期も後ろにずれるため、再診断の回数と対象に加えて、受けられる期限があるかも見積もりの段階で確認します。
コツ
取引先に「診断済み」と答えるとき、取引先によっては、指摘への対応状況まで聞かれることがあります。報告書と一緒に、指摘ごとの対応状況と再診断の結果を残しておくと、次の回答にそのまま使えます。
まとめ
見積もりを頼む前に、取引先に求められている種類・対象・実施者・時期・提出物を確認し、対象の画面数と IP の数を数えてください。数が分かれば公開料金から概算でき、同時に、指摘を誰が直すかも決められます。
FIXIT の支援 — 診断の前の整理と、診断のあとの修正
FIXIT は脆弱性診断を提供しておらず、診断会社の紹介や手配もしていません。AI 駆動開発のクリエイティブスタジオとして受け持てるのは、診断の前と後です。
診断のあと、指摘を直す人がいない場合は、開発会社の乗り換え・システム引き継ぎ で保守を引き継ぎます。引き継ぐ場合は、並行期間に修正からリリースまでを一巡させてから保守の窓口を移します。そのあとは、保守の作業として修正を受け持てます。
取引先から求められているのが診断だけでなく、規程や体制を含むセキュリティ対策全体の場合は、情報セキュリティコンサルタント で、何を守るか、どのシステムを優先して診断するかの整理から支援します。単発のコンサルは 30〜100 万円 (税抜) が目安です。サイトを 1 つ診断したいだけであれば、コンサルを挟まず、この記事の手順で診断会社に見積もりを頼むほうが早く済みます。どちらに当てはまるか分からない段階でも、お問い合わせ からご相談いただけます。