脆弱性診断の費用はいくら？見積もりが変わる要素と安く頼むコツを解説

脆弱性診断の費用は、公開価格の例で、ツールを使う診断が1IPアドレスあたり6万円⁠、1アプリケーション24万円です（いずれも税別）⁠。人が調べる診断はさらに上がり、IPAは2022年⁠の資料で、専門家によるECサイトの診断に通常100万円以上かかると書いています。

今日やることは、見積もりの前に対象を数えることです。外に出しているサイトの数、ログインの有無、おおよその画面数、社外に見えるIPアドレスの数を表にします。表があれば、同じ条件で複数社に聞けます。

公開されている価格はいくら？

脆弱性診断の相場を示す公的な統計は、私たちが調べた範囲では見つかりませんでした。各社が公開している価格の例を並べます。

最後の例は、50画面なら初期20万円＋200万円でした。同じ例で、ネットワーク診断はIPアドレスあたり8万円⁠、侵入テストは20万円です。古い数字ですが、画面数とIP数で積み上がる形は読み取れます。

上の表は、条件の違うものを並べた参考です。安い順に見て選ぶものではありません。範囲も、調べ方も、報告の中身も違います。

IPAの無償診断の募集ページには「通常100万円以上⁠の費用がかかる専門家によるECサイトの脆弱性診断⁠」⁠とあります。2022年⁠の事業で、すでに募集は終わっています。

見積もりはどんな要素で変わる？

金額を動かす要素は7つです。見積もり依頼の前に、自社の答えを用意しておきます。

1. 画面数かリクエスト数

Webアプリは、調べる画面の数で積み上がります。単位は会社によって違います。「画面遷移」「画面」⁠の⁠ほ⁠か⁠、リクエスト数を単位にする例⁠もあります。リクエストは、ボタンを押したときなどにサーバーへ送る1回⁠の通信のことです。

同じサイトでも、数え方が違えば数字が変わります。「30画面」⁠と書かれたら、確認画面や完了画面を別に数えるのかを聞きます。

2. IPアドレスの数

サーバーやネットワーク機器は、IPアドレスごとの料金が基本です。社外から見えるアドレスを数えます。把握できていなければ、回線の契約書と保守会社に確かめます。

3. ツールか、人の手か

公開価格でも差が出るところです。ツールで何を確かめられるかは、製品と設定で変わります。業務の流れに沿った確認が要るときは、人の確認が入るかを聞きます。

どちらが正解とは言えません。会社案内のサイトと、取引先の情報を預かるシステムでは、必要な深さが違います。

4. ログインの権限の数

一般ユーザー、担当者、管理者のように権限が分かれていれば、確かめる組み合わせが増えます。アカウントの用意も発注側の仕事です。

5. 環境

本番で調べるか、検証環境で調べるかです。検証環境が無ければ、作る費用が別に要ります。本番で調べるなら、データのバックアップと、実施する時間帯の調整が必要です。PFUの案内にも、必要に応じたバックアップなどの準備と関係者への事前連絡が流れとして書かれています。

6. 報告会

報告書をメールで受け取るだけか、説明の場を持つかです。同社の案内では、オンラインの報告会がオプションです。社内に読める人がいないなら、削らない項目です。

7. 再診断

直したあとにもう一度確かめる費用です。JTPの例は、3カ月以内の再診断を4割引としていました。40万円なら24万円⁠の計算です。条件は会社ごとに違うので、回数と期間を見積もりに書いてもらいます。

どうすれば費用を抑えられる？

単価の交渉より先に、調べる対象を減らします。

使っていないものを閉じる

調べる前に閉じれば、その分の費用がかかりません。キャンペーンが終わったサイト、試験用のサーバー、使わなくなった保守用の入口が対象です。

実例もあります。IPAの中小企業のための事例集（2026年3月）⁠に⁠は⁠、診断を受けて、使っていないサービスを停止した50名以下⁠の製造業の例が載っています。閉じるものが分からなければ、外から資産を洗い出すASMツールの比較も手がかりになります。

重要な機能に絞る

会社案内の100ページより、問い合わせフォームとログインの画面に費用を使います。優先するのは次の機能です。

• ログインと、パスワードの再設定
• 個人情報や図面を表示、ダウンロードする機能
• ファイルのアップロード
• 問い合わせや注文のフォーム
• 管理画面

同じ型の画面が並ぶ一覧なら、代表の画面だけを対象にできないかを聞きます。ただし、絞った分の画面は調べていません。範囲を報告書に残します。

ツールと人の手を組み合わせる

全体をツールで調べ、重要な機能だけを人が確かめる形です。段階を踏むなら、外の機器のプラットフォーム診断から始める方法もあります。

Webサイトの簡易な診断なら、IPAのウェブ健康診断仕様⁠の13項目⁠に沿って頼めるかを聞くのも1つ⁠の手です。資料は、できるだけ低いコストで実施できるよう項目を絞ったものと説明しています。安全宣言にはつながらない点も同じ資料に書かれています。

時期をまとめる

大きな改修の直前に診断すると、改修後に調べ直しになります。改修の直後に合わせれば、1回⁠で済みます。複数のサイトを別々に頼むより、まとめて相談したほうが話が早い場合もあります。

製造業の場合はいくらになる？

たとえば、社員50名ほど⁠の部品メーカーが、次のものを外に出している場合で計算します。

• 会社案内のサイトと、取引先向けのログイン付きサイトが1つずつ
• 外から見えるIPアドレスが3つ（サイトのサーバー、VPN機器など）

PFUの公開価格をそのまま当てはめると、3つ⁠のIPアドレスで18万円⁠、取引先向けのサイトを1アプリとして24万円で、計42万円（税別）⁠で⁠す⁠。ツールによる診断の場合の計算で、実際の金額は見積もりで変わります。

取引先向けサイトを人の手で調べるなら、金額は上がります。先の2018年⁠の例では20画面で100万円でした。図面を預かるサイトなら、そこに予算を寄せ、会社案内はツールに任せる考え方があります。

工場の設備は、この計算に入れていません。IPAの制御システムのセキュリティリスク分析ガイド第2版⁠によると、本番環境の検査は障害の恐れがあり、模擬環境なら構築の費用と期間が追加で必要です。別の予算で考えます。

削らないほうがよい費用は？

次の3つは、削ると診断の意味が薄くなります。

とくに忘れやすいのが、修正の費用です。診断の見積もりに入っているかを確かめます。入っていなければ、制作会社や保守会社への別の発注になります。診断の予算を取るときに、修正の予備も一緒に確保します。

報告書の読み方と直す順番は、脆弱性診断の報告書の見方⁠に書きました。

補助金は使える？

脆弱性診断そのものが補助の対象になるかは、制度と回によって確かめる必要があります。この記事を書いた時点で、確かな形で案内できる情報はありませんでした。

IPAのサイバーセキュリティお助け隊サービスの案内には、デジタル化・AI導入補助金の対象とすることが書かれています。お助け隊は監視などをまとめたサービスで、診断とは別のものです。

見積もりの依頼には何を書く？

次の内容を送れば、同じ条件で返ってきます。脆弱性診断サービスの比較で候補を絞り、2〜3社⁠に同じ文面で頼みます。

侵入できるかまで試す検査は、見積もりの考え方が別です。ペネトレーションテストの比較を見る前に、ペネトレーションテストが必要な会社の条件⁠で要否を確かめてください。診断の種類から整理したいときは、セキュリティ診断の種類と頼む順番と、セキュリティ診断のカテゴリ⁠が入口です。