脆弱性診断の費用を調べると、数十万円の例から百万円を超える例まで見つかります。しかし、価格だけを横に並べても正しい比較にはなりません。ある会社はURL数、別の会社はHTTPリクエスト数や機能数、ページ数、IP数を単位にし、手動診断、報告会、再診断の有無も違うからです。
先にそろえるべきなのは「どこを、どの権限で、どこまで調べ、何を受け取って完了とするか」です。この記事では、WebサイトやWebアプリの脆弱性診断を事故前に発注する担当者向けに、見積条件と受入条件を12項目へ整理します。すでに改ざんや情報漏えいの疑いがある場合は、診断発注より先にWebサイトのインシデント対応手順で初動と証拠保全を確認してください。
先に結論：相場は金額ではなく診断単位をそろえて比べる
費用は、対象単位×数量、診断の深さ、実施条件、成果物、再診断で決まります。同じ「10ページ」でも、閲覧だけの公開ページと、ログイン後に複数権限で申請・承認・決済を行う機能では工数が違います。低い金額を探す前に、各見積を次の共通式へ直します。
概算費用＝基本料金＋対象単位の追加＋認証・API等の追加＋日程・場所の追加＋報告・再診断
公開価格は予算の入口にはなりますが、自社の正式見積ではありません。対象表と成果物を同条件にして初めて、価格差が「範囲の差」なのか「品質・支援の差」なのかを説明できます。
脆弱性診断で何を確認するのか
Webアプリケーション診断は、認証、認可、セッション、入力、業務ロジック、APIなどの弱点を、許可された範囲で確認します。OWASP Web Security Testing Guideは、入口やパラメータを把握する受動的な確認と、実際に検査値を送る能動的な確認を分けています。
| 種類 | 主な対象 | 向く判断 | 混同しない点 |
|---|---|---|---|
| Webアプリ診断 | 画面、機能、API、認証・認可 | 実装上の弱点を洗い出す | サーバー設定全体とは別 |
| プラットフォーム診断 | IP、OS、ミドルウェア、公開サービス | 構成・既知脆弱性を確認する | 業務ロジックは別途確認 |
| ペネトレーションテスト | 合意した攻撃経路や重要資産 | 侵入・影響の現実性を検証する | 網羅的な項目診断と同義ではない |
| インシデント対応 | 事故・侵害が疑われる環境 | 拡大防止、証拠、復旧を判断する | 平時の診断発注とは別工程 |
診断項目を契約へ落とす土台には、OWASP ASVS 5.0も使えます。「OWASP準拠」とだけ書かず、対象バージョン、章・要件、除外項目、手動確認の範囲まで記載します。
見積依頼前に固定する12項目
口頭説明を会社ごとに変えると、見積の前提がずれます。次の12項目を一つの依頼表にして、全候補へ同じ版を渡します。サイト構成や管理権限が不明なら、先に既存サイトの資産・権限・環境を整理してください。
| 項目 | 依頼書に書くこと | 未確定時の扱い |
|---|---|---|
| 1.目的と期限 | 公開前、年次確認、取引条件、改修確認など | 決定に使う場面を確認 |
| 2.対象種別 | Webアプリ、API、IP、クラウド、モバイル | 別見積へ分ける |
| 3.対象単位 | URL、リクエスト、機能、API、IPと数量 | 事前調査で確定 |
| 4.認証経路 | 一般、会員、管理者、承認者などの役割 | テストアカウントを準備 |
| 5.観点と深度 | ツール、手動、業務ロジック、コード確認 | 対象外を明記 |
| 6.環境・データ | 検証/本番、テストデータ、外部連携 | 実データ利用を避ける |
| 7.日程・負荷 | 実施時間、停止不可時間、負荷上限 | 夜間等を別条件化 |
| 8.実施ルール | 送信元、許可、禁止操作、停止・連絡条件 | 合意まで能動診断しない |
| 9.成果物 | 速報、報告書、証拠、対策案、報告会 | 見本と記載粒度を確認 |
| 10.重大度 | 尺度、業務影響、改修期限、例外承認 | 点数だけで決めない |
| 11.再診断 | 対象、回数、期限、再報告書、QA | 追加料金を確認 |
| 12.情報管理 | NDA、再委託、保管場所、保持期間、処分 | 契約前に回答を得る |
費用を大きく動かす6つの条件
1. 対象の数え方
トップページから到達できるURL数ではなく、入力・確認・完了、検索条件、ファイルアップロード、APIなど、異なるリクエストと機能を数えます。複数ドメイン、複数の起点URL、GraphQLやWebSocketは別条件になりやすいため、見積単位をそのまま記録します。
2. ログイン後の役割
一般利用者、取引先、承認者、管理者で見える情報や操作が違う場合、認可の確認経路が増えます。アカウント数だけでなく、「A社の利用者がB社の情報を見られないか」「担当者が承認者の操作をできないか」のような役割間の境界を示します。
3. ツールと手動確認の深さ
自動診断は既知パターンを広く確認しやすい一方、業務ロジックや権限回避などは人が仕様を理解して判断する場面があります。OWASP WSTGの説明も、自動化と熟練者による文脈確認を重ねる考え方を示しています。方式名ではなく、どの観点を誰が最終判定するかを比べます。
4. 実施環境・時間・場所
本番環境、外部サービス、決済、メール、在庫などへ影響し得る場合は、負荷上限、除外操作、実施時間、連絡先が増えます。オンサイト、休日・夜間、短納期は追加条件になりやすいため、通常リモート診断と分けます。
5. 報告書と説明支援
検出名と点数だけの一覧か、再現条件、画面・通信証拠、影響、修正案、経営向け要約、報告会まで含むかで成果物が変わります。開発会社へ安全に渡せる証拠粒度と、秘密情報を伏せた共有版の要否も決めます。
6. 改修後の再診断
再診断が基本料金に含まれるか、対象重大度、回数、期限、報告書の有無を確認します。「報告書を受け取った日」ではなく、重要項目を修正し、再診断で受入条件を満たした日を完了候補にします。
公式掲載価格は単位と含有物が違う
次は2026年9月1日に各社公式サイトで確認した掲載例です。これはおすすめ順位や市場平均ではありません。単純平均や順位付けには使わない方針です。価格改定や個別条件があるため、実際の発注前に必ず再確認します。
| 公式掲載元 | 掲載例 | 単位・条件 |
|---|---|---|
| サイバーセキュリティソリューションズ | 10URL例：ライト30万円、標準60万円 | 基本料＋1URL単価。6か月以内の再確認条件を掲載 |
| セキュアスカイ・テクノロジー | 基本40万円 | 10HTTP(S)リクエストまたは5API。追加、報告会等は別単位 |
| コンピューターサイエンス | 1サイト50万円 | ページ数やユーザー権限で変動 |
| サイバーセキュリティクラウド | 標準135万円から | 40ページを含み、計画書・報告書・再診断等を掲載 |
同じ10という数字でも、URL、リクエスト、機能、ページでは範囲が違います。各社の数量を自社の対象表へ対応付け、含む・含まない・条件付き・未確認の4状態で比較します。更新や保守も含めて考える場合は、ホームページ更新費用の範囲と分けて見積もります。
診断対象表は画面一覧ではなく入口と権限で作る
画面名だけでは、API、Cookie、POSTデータ、ファイル、外部連携が抜けます。IPAの2024年度診断仕様は、URL・POST・Cookieに加えJSON/XML、WebSocket、WebAPIも対象候補にしています。IPAの仕様例を参考に、入口、入力、権限、処理、外部連携を一行にまとめます。
| 対象ID | 入口・処理 | 権限 | データ・外部連携 | 診断可否 |
|---|---|---|---|---|
| WEB-01 | 問い合わせ入力→確認→送信 | 未ログイン | 個人情報、メール通知 | 検証環境・テストデータ |
| WEB-02 | 会員資料の表示・ダウンロード | 一般会員／管理者 | 顧客別ファイル | 権限横断を確認 |
| API-01 | 注文登録API | 取引先トークン | 在庫・基幹連携 | 負荷・登録上限あり |
対象IDは見積、作業計画、速報、報告書、改修票、再診断で共通にします。これにより「報告書の脆弱性がどの機能の話か」「再診断で何を確認したか」を追跡できます。
実施ルールと停止条件を診断前に合意する
能動的な診断は、許可された対象・時間・方法だけで行います。IPAの2025年度調達仕様も、連絡経路、作業計画、スケジュール、品質管理を個別に合意する構成です。同仕様をそのまま必須条件にする必要はありませんが、発注書の抜け確認に使えます。
- 診断元IP、実施者、開始・終了連絡、緊急連絡先
- 対象外ドメイン、外部SaaS、決済、メール送信、削除・大量登録などの禁止操作
- 負荷、エラー率、業務影響、個人データ露出、侵害兆候を検知した時の停止線
- テストアカウント・テストデータの作成者、識別方法、終了後の削除
- 検証環境の利用可否と、本番実施時に一度だけ確認する検証済み復旧点
候補作成のたびにサイト全体を保存する運用は置きません。実際の診断実施時は、対象システムの責任者が必要性を判断し、同時点のファイルとDBなど一つの検証済み復旧セットを管理します。サイト移管やDNS変更を伴う場合は、ホームページ移管の手順を別工程にします。
報告書は点数ではなく改修判断に使えるかで受け入れる
CVSS v4.0は、脆弱性そのものの特性だけでなく、脅威や利用環境を踏まえる指標を定義しています。同じ基本点でも、公開範囲、扱うデータ、悪用状況、代替策、業務停止影響で改修順は変わります。
| 確認欄 | 合格条件 |
|---|---|
| 対象 | 対象ID、URL・リクエスト、権限、確認日時が追跡できる |
| 判定 | 検出内容、再現条件、影響、誤検知確認、尺度の版が分かる |
| 証拠 | 秘密情報を必要以上に含めず、開発者が修正箇所を特定できる |
| 対策 | 暫定策と恒久策、優先度、担当、期限、例外承認者を置ける |
| 再診断 | 修正対象、再確認結果、残存リスク、受入日が記録される |
改修作業を診断会社、開発会社、保守会社の誰が行うかも見積とは分けて決めます。変更・受入・公開の責任分担はホームページ制作の発注後の進め方へつなぎます。
依頼先は登録名だけで決めず、証拠を同条件で比べる
IPAの情報セキュリティサービス基準適合サービスリストは候補確認の一材料になります。ただし、IPA自身が適合性を再確認・検証しているわけではないという注意書きもあります。掲載の有無だけで品質を断定せず、次を確認します。
- 自社と近い対象種別・認証・API・業務ロジックの実施経験
- ツール結果を診断員がどう確認し、誤検知・見逃しを管理するか
- 作業計画、連絡、停止、速報、品質レビューの方法
- 報告書見本、再現性、修正相談、再診断の条件
- NDA、再委託、診断データの保管場所・保持期間・処分
公開価格が安くても、必要な認証経路や再診断が別料金なら総額は上がります。反対に高い見積でも、対象が広い、手動確認が深い、報告・再診断まで含むなら、単純に割高とは言えません。比較表には「差額の理由」を一行で残します。
相談時に渡す一枚の依頼書
最初の相談では、機密情報や本番パスワードを送らず、次の概要だけを一枚にまとめます。
- 診断目的、希望時期、公開・契約などの期限
- 対象URL、システム構成、機能・API・IPの概数
- ログイン役割と主要な業務フロー
- 検証環境、本番制約、外部連携、テストデータの可否
- 希望する診断観点、成果物、報告会、再診断
- 社内決定者、技術窓口、緊急連絡先、見積回答期限
依頼書と対象表の版を固定し、質問と回答を全候補へ反映してから改訂見積を受け取ります。保守・更新と一緒に相談したい場合はホームページ保守・運用支援、対象整理から必要な場合は相談窓口を利用できます。
まとめ
脆弱性診断の費用は、金額だけでは比較できません。目的、対象種別、対象単位、認証経路、診断深度、環境、日程、実施ルール、成果物、重大度、再診断、情報管理の12項目を共通化し、公開価格もURL・リクエスト・機能・ページ・IPなどの単位付きで読みます。
発注完了は契約日ではなく、許可範囲で安全に診断し、報告書を受け入れ、重要項目を改修し、必要な再診断で残存リスクと受入日を記録できた時です。本候補はローカル作業のみで、本番反映、サイト全体保存、記事単位フルバックアップは行っていません。
