脆弱性診断の会社は、価格の前に「診断の範囲、手動か自動か、再診断の有無、報告書の中身」をそろえて比べて選びます。
今日やることは、診断したいものを1枚に書き出すことです。外から見える機器のIPアドレス、会員や取引先がログインする画面、ファイルを受け取る機能を並べます。この1枚を各社へ渡すと、見積もりが同じ条件で返ってきます。
見積もりの金額が会社ごとに大きく違うのはなぜ？
同じ「脆弱性診断」でも、調べる対象と人の手のかけ方が違うからです。デジタル庁の脆弱性診断導入ガイドライン（2024年1月31日改定）は、診断を次の3種類に分けています。
- プラットフォーム診断：サーバーやネットワーク機器が対象
- Webアプリ診断：Webアプリケーションや Web API が対象
- スマートフォンアプリ診断：Android と iOS/iPadOS のアプリが対象
政府情報システム向けの参考文書で、民間に遵守を求めるものではありません。ただ、発注者が何を確かめるかが具体的に書かれているので、中小企業の見積もり比較にも使えます。読み方は発注者が読む公的資料の使い方にまとめました。
金額の相場は、公開された統計を確かめられませんでした。参考になるのは、IPAが2022年の募集で「通常100万円以上の費用がかかる専門家によるECサイトの脆弱性診断」と書いた例くらいです。ECサイトの話なので、対象が違えば金額も変わります。
見積もりをそろえるには何を聞けばいい？
次の表の順に各社へ聞くと、金額の差がどこから来ているのか分かります。
| 比べる点 |
各社に聞くこと |
公開資料の例 |
| 範囲 |
上限のIP数、画面やリクエストの数 |
定期診断は 10〜30IP、50〜100リクエスト程度 |
| 方法 |
ツールと手動の分担、担当者の人数と期間 |
ツールの結果も手動で精査する |
| 環境 |
本番か検証環境か、実施の時間帯 |
夜間・休日の実施は発注時に明記する |
| 再診断 |
回数、期間、範囲、追加料金 |
納品後1か月以内に1回以上 |
| 報告 |
報告書の項目、見本の有無、報告会 |
深刻度、影響、対策方法などを記載 |
右の列は、いずれも先のデジタル庁のガイドラインにある政府向けの基準です。同じ水準を求める必要はありません。範囲を削るなら、どこを削ったのかが見える状態にしておきます。
対象が多くて予算に収まらないときは、上限を決めて優先度の高いものから選ぶ方法があります。同じ作りの画面が複数あれば代表する1画面に絞る、次回は前回と違う画面を調べる、という決め方もガイドラインに書かれています。
手動の診断はどこまで必要？
手動の範囲を決める2つの目安
- ログインした利用者ごとに、見えるものが変わる機能があるか
- ファイルのアップロードや外部サービスとのID連携など、注意が要る機能があるか
ガイドラインは政府情報システムについて、ツールによる自動診断だけでは不十分で、専門家の手動診断との併用が不可欠としています。Webアプリの弱点には人の手でなければ見つけにくいものが多く、見つけられるかは担当者の知識と経験に左右されるからです。
製造業なら、たとえば販売代理店が見積もりや図面を受け取るログイン画面を考えてください。この場合に確かめたいのは「A社のIDでB社の図面が見えないか」です。ガイドラインが挙げる「他人のデータを読み書きできる」不備にあたります。画面の意味が分かる人が確かめる項目なので、ログインできる診断用のアカウントを用意し、取引先ごとの権限を調べる範囲に入っているかを聞きます。
逆に、製品紹介だけで入力欄の少ないサイトなら、同じ深さは要らないかもしれません。安い自動診断も、古いソフトや設定の不備を定期的に確かめる用途では役に立ちます。ただ、問題が出なかった結果を「安全」と読まないでください。IPAのウェブ健康診断仕様も、調べる型を絞った診断は安全宣言につながらないと明記しています。
侵入できるかまで試すペネトレーションテストは別の検査です。IPAのリストでも脆弱性診断の追加の選択肢として分けて載っています。違いと候補はペネトレーションテストの比較で確かめられます。どちらが要るかは、診断の目的を伝えて各社に聞きます。
再診断が付いているか、なぜ確かめる？
再診断は、直した箇所が本当に直ったかを確かめる工程です。初回の報告で終わると、自社や制作会社の修正が正しかったのか分かりません。
ガイドラインは、改修した脆弱性への再診断を、報告書の納品から最低1か月以内の期間に1回以上できるようにすることを必須としています。見積もりでは次の4点を確かめます。
- 料金に含むのか、別料金なのか
- 回数と、受け付ける期間
- 直した箇所だけか、関連する箇所まで見るのか
- 修正に時間がかかったときに期間を延ばせるか
修正を外部の制作会社に頼む会社は、とくに期間に注意が要ります。制作会社の予定まで含めて、期間内に直せるかを先に聞いておきます。
報告書の見本ではどこを読む？
契約の前に、機密を伏せた見本を見せてもらいます。ガイドラインが報告書に求める項目は次の6つです。
- 検出された脆弱性の概要
- 深刻度
- 影響
- 対策方法
- 脆弱性を検出したすべてのパラメータ
- 検出した際の入力文字列
見るのは項目の有無だけではありません。社長や総務の人が読んで、何が起きるのか分かる文章かを確かめます。ガイドラインも、サイバーセキュリティに1年程度従事した職員が読める平易さを目安に挙げています。
深刻度の根拠も見ます。CVSS という世界共通の評価を使うか、独自の基準なら何に基づくかを確認します。ガイドラインは、CVSS の基本評価は技術的な性質を示すものなので、それだけで直す順番を決めないよう書いています。「緊急」の項目でも、自社の環境でどの程度の問題かを聞ける報告会があると助かります。作業した担当者が同席するかも確かめましょう。
会社そのものはどう確かめる？
候補を探す入口は、IPAの情報セキュリティサービス基準適合サービスリストです。2026年10月9日掲載の版があり、経済産業省の基準に適合すると審査登録機関が認めたサービスが載っています。運営元の審査登録制度のサイトによると、2026年10月時点で脆弱性診断サービスは189件、うちペネトレーションテストの選択肢があるものは69件です。
掲載は品質の保証ではない
IPAは、掲載が事業者やサービスのいかなる保証も意味しないと明記しています。候補を絞る材料として使い、次の点は各社に直接確かめます。
- 診断する人が、どの役割で、何名、どの期間に関わるか
- 資格、コンテストの成績、脆弱性の報告実績を示せるか
- 検出した弱点や預けた情報を、どう管理して、いつ消すか
- 再委託があるか、あるなら委託先はどこか
診断の結果は、自社の弱点の一覧そのものです。価格が安くても情報の扱いが説明できない会社には預けないほうがよいでしょう。各社の違いは脆弱性診断サービスの比較で見られます。
自社に判断できる人がいないなら、発注の前後を手伝う会社を探す手もあります。セキュリティコンサルの比較で支援の範囲を見て、診断する会社と評価する会社を分けるかどうかも決めておきます。
契約の前に決めておくことは？
診断は疑似的な攻撃を行うので、システムに影響が出るおそれがあります。ガイドラインは、サービス停止、データの破損、大量のメール送信、テストデータの残存、監視の警報などを例に挙げています。
- 本番か検証環境か。本番ならバックアップを取り、時間帯を決める
- 影響を受ける関係者への周知。社内の担当者、開発会社、監視の担当など
- クラウドやレンタルサーバーの規約で禁止された項目がないか
- 止まったときの連絡先と判断する人
- 秘密保持と、作業データの消去
工場の受発注とつながるシステムなら、生産の予定も確かめます。操業の時間帯に重ならないよう、発注の時点で時間帯を指定します。
訪問や電話で診断を勧められたときは、この記事の比較に入れる前に相手を確かめてください。セキュリティ診断の訪問営業への対応に手順を書きました。無料の診断から始めるなら、受ける前に確かめる3つの点が先です。診断の全体像は脆弱性診断・セキュリティ診断のカテゴリにまとめています。
