脆弱性診断の費用はいくら？対象・手法別の相場と9社の公開料金【2026年】
この記事を読むと分かること
「取引先のセキュリティチェックシートに、脆弱性診断の実施状況を書く欄があった」。「リリース前に診断を受けるよう言われたが、見積もりを取る前にいくらかかるのか見当がつかない」。脆弱性診断の費用を調べるきっかけは、このような状況から生まれます。
脆弱性診断の費用は、ツール診断なら1回無料〜数十万円、セキュリティの専門家が手作業で調べる手動診断なら1回数十万〜数百万円が相場です。金額は、何を診断するか（Webアプリ・サーバー・スマホアプリ）と、ツールか手動かの手法、画面数やIP数で数える診断の範囲で決まります。この記事では、手法と対象ごとの相場、料金を公式サイトで公開している診断サービスの実額、見積もりで確認する点を整理しました。
セキュリティ対策全般の相談先と各社の導入事例は、セキュリティコンサルおすすめ12選にまとめています。この記事では、脆弱性診断を依頼する前に予算の当たりをつけるための金額を解説します。
この記事に出てくる金額は2種類あります。「相場」と書いた金額は、編集部が複数の公開情報を比べて整理した目安です。「公開されている料金」と書いた金額は、4章で紹介する9社が公式サイトに出している料金をそのまま抜き出したもので、1つの金額は1社の1つのプランの料金です。「編集部が調べた範囲では」と書いた金額は、相場と言えるほど公開情報が一致していない個別の例を指しています。会社ごとの料金は、4章「料金を公開している脆弱性診断サービス9社の公開料金」の表にまとめています。
1. 脆弱性診断の費用相場はいくらか
脆弱性診断の費用は、ツール診断が1回無料〜数十万円、手動診断が1回数十万〜数百万円が相場です。脆弱性診断は、Webサイトやサーバー、スマートフォンアプリに攻撃の入口になる欠陥がないかを調べる検査を指します。ツール診断は、診断ソフトやクラウドのサービスが自動でWebサイトやサーバーを調べる方法で、月額で契約して同じ対象を何度も診断する使い方が中心です。手動診断は、セキュリティエンジニアが攻撃者の視点で画面やログインの仕組みを1つずつ調べる方法で、対象ごとの見積もりで金額が決まる会社が多く、料金を公開している会社もあります。
| 手法と対象 | 費用の目安 | 金額を決める単位 |
|---|---|---|
| ツール診断（1回） | 無料〜数十万円が相場 | 診断するサイト数（URL・FQDN） |
| ツール診断（月額で契約） | 公開されている料金では、月額16,500円（税抜）のプランや月額19,800円（税別）のプランの例 | 診断するサイト数・IP数と、検査項目の数 |
| 手動診断（1回） | 数十万〜数百万円が相場 | 画面数・リクエスト数・IP数 |
| Webアプリケーション診断（手動を含む） | 編集部が調べた範囲では、30万〜150万円の例と、手動で50万〜300万円の例 | 画面数・リクエスト数 |
| 手動診断のうち プラットフォーム診断 | 1IPあたり5万円からが目安。上限は15万〜20万円の例 | IP数・ホスト数 |
| 手動診断のうち スマートフォンアプリ診断 | 上限は300万円程度が目安。下限は50万〜80万円の例 | アプリの機能数と対応OSの数 |
脆弱性診断の費用相場
ツール診断は、無料で使える診断ツールから、有料のサービスでも1回数十万円までが相場です。無料のツールは、診断の結果を読み解いて対策を決める人が社内に必要です。有料のツール診断は、既に知られている脆弱性を機械的に探す方法なので、短時間で終わり、同じ対象を何度も診断する使い方に向いています。
手動診断は、1回あたり数十万〜数百万円が相場です。ログインや決済のような、画面の遷移を追わないと見つからない問題を調べるため、専門家の作業時間が長くなるほど見積もりの金額が上がります。金額の幅が広い理由は、診断する画面数やリクエスト数で工数が変わるためです。編集部が調べた範囲では、画面数が20程度の小規模なサイトで数十万円から、100画面の規模では100万円を超える例があります。
費用相場、料金、価格は、呼び方が違うだけで決まり方は同じです。ツールか手動かと、診断する範囲の2つで金額が決まります。セキュリティ対策全体の費用の考え方は、セキュリティコンサルの費用相場で解説しています。
公開されている料金の例
相場の目安とは別に、4章で紹介する9社の公式サイトから、料金を抜粋しました。表の1行は、1社の1つのプランの料金です。自社の状況に近い行が、見積もりの前の目安になります。
| 頼む範囲 | プランの中身 | 公開されている料金 |
|---|---|---|
| Webサイト1つをツールで月に何度も診断する | 診断サイト数1、月35回までの自動診断。年払い | 月額16,500円（税抜） |
| Webサイト1つをツールで1回診断する | 1URLを1回診断。報告会は別料金 | 121,000円（税込） |
| コーポレートサイトをツールで診断し、結果をエンジニアが精査する | 1ドメイン定額。コーポレートサイトやキャンペーンサイト向け | 297,000円（税込） |
| Webアプリをツールと手動で診断する（範囲を絞る） | 専門家が対象を選び、危険度の高い脆弱性を中心に診断 | 60万円〜（税抜） |
| Webアプリをツールと手動で診断する（40ページ分） | 40ページ分を含む。10ページ追加ごとに20万円 | 1,350,000円〜（税別） |
| サーバー・ネットワーク機器を診断する | 3IPまたは3FQDNを含む基本料金。1IP追加ごとに6万円 | 25万円（税抜） |
2. 対象別の料金相場
脆弱性診断の金額は、何を診断するかで数え方が変わります。Webアプリケーションは画面数やリクエスト数、サーバーやネットワーク機器はIP数、スマートフォンアプリは機能の数と対応OSの数が単位です。この章では、対象ごとに費用の目安と、公開されている料金の例を分けて整理しました。この章の公開されている料金は、各社が公開している1つのプランの料金です。
Webアプリケーション診断は1回いくらか
Webアプリケーション診断は、編集部が調べた範囲で、1回30万〜150万円の例と、手動で50万〜300万円の例があります。金額は、診断する画面数（画面の遷移の数）か、画面から送られるリクエストの数が見積もりの単位です。ログイン、会員登録、検索、決済のように、入力を受け付ける機能が多いほど画面数とリクエスト数が増え、金額が上がります。
公開されている料金では、「10リクエストまで40万円（税抜）、10リクエスト追加ごとに30万円」と、画面数の代わりにリクエスト数で区切るプランを公開している会社があります。1ドメインを定額297,000円（税込）で診断するプランを公開している会社もあり、こちらはコーポレートサイトのような、ログインのないサイトが対象です。見積もりを依頼する前に、診断したいサイトの画面数と、ログインの有無を数えておくと、各社の単位に当てはめて比べやすくなります。
プラットフォーム診断は1IPあたりいくらか
サーバー、OS、ネットワーク機器の設定を調べるプラットフォーム診断は、1IPあたり5万円からが目安です。上限は1IPあたり15万円の例と20万円の例があり、診断するIPの数（ホストの数）で金額が変わります。
公開されている料金では、3IPまたは3FQDNを含む基本料金25万円（税抜）に、1IPを追加するごとに6万円を足すプランを公開している会社があります。5IP分を含む基本料金を350,000円〜（税別）と公開している会社もあります。IP数が少ないうちは基本料金の割合が大きいため、診断したいIPが数台なら、基本料金に何IP分が含まれるかを先に見るのがおすすめです。
スマートフォンアプリ診断はいくらか
iOSとAndroidのアプリを診断するスマートフォンアプリ診断は、1回あたり下限が50万円または80万円、上限が300万円程度の例があります。アプリ本体に加えて、アプリが通信するAPI（サーバー側の処理の入口）まで診断に含めるかで金額が変わります。上限の300万円を1OSあたりの金額として示す会社もあるため、iOSとAndroidの両方を診断する場合は、2OS分の金額かどうかを見積もりで確かめておくと安心です。
API診断とクラウド設定診断はいくらか
API診断は、公開されている料金では、Webアプリケーション診断と同じ単位（10リクエストまたは5API）で基本料金40万円（税抜）とする会社があります。追加も同じ単位で30万円（税抜）です。この会社は、API診断は内容に応じて基本料金から金額が変わる可能性があると明記しているため、APIの本数と内容を伝えて見積もりを取ることが必要です。AWSやAzureのようなクラウド環境の設定を診断するクラウド設定診断は、Webアプリケーション診断とは別のメニューで見積もられる場合があります。Webアプリケーション診断の見積もりを依頼するときに、クラウドの設定診断を含めるかどうかを伝えておくと、あとから追加の見積もりを取り直す手間が減ります。
3. ツール診断と手動診断で料金はどう違うか
ツール診断は月額で契約して何度も診断でき、手動診断は1回ごとに数十万〜数百万円の見積もりで金額が決まります。公開されている料金では、ツールは月額16,500円（税抜）のプランから公開されています。違いは金額と、見つかる脆弱性の種類にあります。ツール診断は、既に知られている脆弱性のパターンを機械的に探す方法です。手動診断は、権限の設定の不備やビジネスロジック（業務の手順に沿った処理）の抜けのように、人が画面の流れを追わないと見つからない問題まで調べます。料金の形は、公開されている料金を見ると次の4つに分かれます。
- ツールの月額・年額は、診断するサイト数と検査項目の数で金額が決まります。公開されている料金では、1サイトを月35回まで診断できる月額16,500円（税抜）のプランや、検査項目5項目で月額19,800円（税別）のプランが公開されています。年間契約を条件にするプランと、1か月から使えるプランがあります
- 手動診断の1回あたりは、画面数・リクエスト数・IP数で見積もります。公開されている料金では、10リクエストまでの基本料金40万円（税抜）や、40ページ分を含む1,350,000円〜（税別）のように、含まれる単位の数と追加の単価を示している例があります
- 1ドメイン定額のパックは、画面数を数えずに金額が決まります。公開されている料金では、1ドメイン297,000円（税込）や、FQDNあたり28万円のように、サイト全体をツールで診断してエンジニアが結果を精査する形で定額にしている例があります
- ハイブリッド診断（ツールと手動の組み合わせ）は、ツールで広く調べたあと、専門家が重要な部分を手動で調べる形です。公開されている料金では、専門家が対象を選んで危険度の高い脆弱性を中心に診断するプランが60万円〜（税抜）です。ツールと手動を組み合わせた標準の診断を1,350,000円〜（税別）と公開している例もあります
ツール診断は短時間で何度も診断でき、結果をエンジニアが精査するプランなら、報告書を取引先に出す用途にも使えます。向いているのは、月に1回以上コードを更新していて、修正のたびに診断をやり直したい会社です。月額で契約すれば、プランの回数の範囲で修正と再診断を繰り返せます（月35回までのプランと、回数の制限がないプランがあります）。手動診断が向いているのは、ログインや決済の画面があってリリース日が決まっている会社と、取引先から手動診断の結果の提出を求められている会社です。
4. 料金を公開している脆弱性診断サービス9社の公開料金
脆弱性診断の料金を公式サイトに公開している会社のうち、プランの単位と条件まで確かめられた9社について、プランごとの料金と、最低契約期間を並べました。公開されている料金には、ツールを月額で契約するプランと、Webアプリケーションやサーバーを1回ごとに診断するプランがあります。診断の範囲と深さが違うため、金額を並べるだけでは比べられません。診断したい対象、画面数かIP数、ツールか手動かをそろえて見積もりを取るのが、比べるときの前提です。
| サービス名（会社名） | 手法 | 公開されている料金 | 最低契約期間・最低件数 |
|---|---|---|---|
| ネットde診断 for Webアプリ（GMOサイバーセキュリティ byイエラエ） | ツール | 月額16,500円（税抜）。診断サイト数1、診断回数は月35回まで | お問い合わせでご確認ください （支払いは年払い） |
| Webアプリ診断 フォーカス診断（GMOサイバーセキュリティ byイエラエ） | ハイブリッド | 60万円〜（税抜）。専門家が対象を選定し、危険度の高い脆弱性を中心に診断 | お問い合わせでご確認ください |
| Webアプリケーション標準診断（サイバーセキュリティクラウド） | ハイブリッド | 1,350,000円〜（税別）。診断対象40ページ分を含む。追加は10ページごとに20万円。再診断は報告書提出後1か月以内に1回無料。報告会は関東エリア50,000円（税別）、それ以外105,000円（税別）。部分改修向けの特急診断は400,000円（税別） | お問い合わせでご確認ください |
| プラットフォーム脆弱性診断サービス（サイバーセキュリティクラウド） | ハイブリッド | 350,000円〜（税別）。診断対象5IP分を含む | お問い合わせでご確認ください |
| WEBアプリケーション診断 Lightプラン（SOMPO CYBER SECURITY） | ツール＋精査 | 1ドメイン定額 297,000円（税込）。認証ステップより先のページは対象外 | お問い合わせでご確認ください |
| Webアプリケーション診断（セキュアスカイ・テクノロジー） | API | 基本料金40万円（税抜）。10HTTP(S)リクエストまたは5APIまで、報告書作成を含む。追加は30万円/10リクエストまたは5API。再診断は1案件1回無償。報告会は15万円/回（税抜） | お問い合わせでご確認ください |
| プラットフォーム診断（セキュアスカイ・テクノロジー） | 表記なし | 基本料金25万円（税抜）。3IPまたは3FQDNまで、報告書作成を含む。追加は6万円/1IPまたは1FQDN。報告会は15万円/回（税抜） | お問い合わせでご確認ください |
| SecureCheckup（ユービーセキュア） | ツール | 300,000円/1FQDN。再診断はオプションで158,000円/1FQDN | お問い合わせでご確認ください |
| Securify 脆弱性診断 Starter（スリーシェイク） | ツール | 月額5万円。年間60万円/1IP・FQDN。診断回数の制限なし（契約したIP・FQDNの範囲内） | 12か月の年間契約 |
| VAddy Professional（ビットフォレスト） | ツール | 月額19,800円または年額198,000円（税別）。検査項目5項目、初期費用0円 | 最低利用期間なし（1か月から） |
| AIクイック・ツール診断（レイ・イージス・ジャパン） | ツール＋精査 | FQDNあたり28万円。3か月以内の再診断付き | お問い合わせでご確認ください |
| AIリモート脆弱性診断（レイ・イージス・ジャパン） | ハイブリッド | FQDNあたり138万円。3か月以内の再診断付き | お問い合わせでご確認ください |
| WebSite Scouter 診断1回（さくらのサイバーセキュリティ） | ツール | 121,000円（税込）。1サイト（1URL）を1回診断。年間診断無制限は363,000円（税込）。報告会は1回110,000円 | お問い合わせでご確認ください |
※並びは順不同です。料金の税込・税抜は各社の表記のままで、表記の無いものはそのまま載せています。手法の欄は各社の表記に合わせ、ハイブリッドはツールと手動の組み合わせ、ツール＋精査はツールで診断した結果をエンジニアが精査する形です。診断の対象はサービス名のとおりで、サービス名に対象の無い行はWebアプリケーションを指しています。セキュアスカイ・テクノロジーの2つの診断は、クラウドサービスの cloudpack（アイレット株式会社）経由でも同じ料金で提供されています。確認日は記事末尾の注記にあります。
脆弱性診断のあとに、社内の体制づくりや取引先への回答まで相談したい場合の頼み先は、セキュリティコンサルおすすめ12選で、依頼した会社の声とあわせて1社ずつ紹介しています。
5. 脆弱性診断の料金を左右する5つの要素
同じWebアプリケーション診断でも、見積もりの金額は会社によって開きます。見積もりの金額は、主に次の5つで変わります。
- 診断する範囲と規模が広いほど、費用は上がります。Webアプリケーションは画面数かリクエスト数、サーバーはIP数かホスト数、APIはエンドポイントの数で数えるのが基本です。公開されている料金では、40ページ分を含む基本料金に10ページごとの追加料金を足す例や、10リクエストごとに30万円（税抜）を足す例があります
- ツールか手動かと、診断の深さで、同じ対象でも相場の段が変わります。ツール診断は1回無料〜数十万円、手動診断は1回数十万〜数百万円が相場です。手動診断の中でも、危険度の高い脆弱性に絞るプランと、全項目を調べるプランで金額が分かれます
- 報告会と再診断が料金に含まれるかで、支払う総額が変わります。公開されている料金では、報告会を1回15万円（税抜）のオプションにしている会社と、関東エリアで50,000円（税別）とする会社が見られました。再診断は、報告書提出後1か月以内の1回を無料にしている会社と、1FQDNあたり158,000円の有料オプションにしている会社があり、会社によってルールが違います
- 納期を短くすると、追加の料金がかかる場合があります。手動診断は、ヒアリングから報告会までを含めて数週間〜1.5か月程度が目安です。公開されている料金では、過去に診断を受けたWebアプリの部分改修を3営業日以内に報告する特急のプランを400,000円（税別）と公開している例があります
- 提出先が求める基準に合う診断かで、頼めるプランが変わります。IPA（情報処理推進機構）の「安全なウェブサイトの作り方」や、経済産業省の情報セキュリティサービス基準に準拠していることを、公式サイトで打ち出している会社が見られました。取引先への提出が目的なら、提出先が求める基準を先に伝えると、見積もりの条件がそろいます
見積もりを依頼するときに用意する情報は、診断したいサイトのURL（FQDN）、画面数かリクエスト数のおおよその数、ログインの有無、サーバーやネットワーク機器ならIP数、報告書の提出先です。用意した5点の情報を伝えると、各社が同じ条件で金額を出せるため、届いた見積もりを並べて比べられます。
6. 対象と規模でどこに頼むといくらか
脆弱性診断は、診断したい対象と規模で、向いている料金の形が変わります。ログインのない、情報提供が中心のコーポレートサイトなら、公開されている料金で、1URLを1回診断する121,000円（税込）のプランがあります。1ドメイン定額297,000円（税込）のプランも候補です。自社の状況に近い行から、頼む形と金額の目安を確かめられるように整理しました。表の金額は、1章と2章の相場と、4章の公開されている料金から引いています。
| 自社の状況 | 向いている診断の形 | 料金の目安 | 向いている会社 |
|---|---|---|---|
| ログインのない、情報提供が中心のコーポレートサイト | ツール診断か、1ドメイン定額でエンジニアが精査するプラン | 公開されている料金では、121,000円（税込）のプランや297,000円（税込）のプランの例 | 問い合わせフォーム以外に 入力する機能がない会社 |
| ログイン・決済のあるECサイトや会員サイト | 手動診断か、ツールと手動を組み合わせたハイブリッド診断 | 編集部が調べた範囲では、30万〜150万円の例と、50万〜300万円の例 | 会員登録か決済の機能があり、 リリース日が決まっている会社 |
| サーバーやネットワーク機器が数台から数十台 | プラットフォーム診断 | 1IPあたり5万円からが目安。公開されている料金では、3IPを含む基本料金25万円（税抜）の例 | 診断したいIPが、 基本料金に含まれる3〜5IPを 超えるかを数えられる会社 |
| iOSとAndroidのスマートフォンアプリ | スマートフォンアプリ診断（アプリ本体と連携するAPI） | 1回あたり50万円または80万円から300万円程度の例 | iOSとAndroidの両方を配信し、 API連携まで診断する 予算を確保できる会社 |
| 取引先への提出や監査への対応が目的 | 提出先が求める手法（手動か）と報告書の形式に合わせた診断 | 手法で決まる。手動なら1回数十万〜数百万円が相場 | 提出の期限が決まっていて、 提出先が求める手法 （ツールか手動か）を 確認できている会社 |
| 開発のたびに確かめたく、年に何度も診断したい | ツールの月額契約と、リリースの節目に手動診断 | ツールは公開されている料金で月額16,500円（税抜）から。節目の手動診断は1回数十万円から | 月に1回以上コードを更新していて、 診断の結果を読む担当者を 社内に置ける会社 |
取引先への提出が目的で予算が30万円以内なら、公開されている料金では、1ドメイン297,000円（税込）のプランやFQDNあたり28万円のプランが範囲に入ります。どちらもツールで診断してエンジニアが結果を精査する形です。提出先が手動診断を求めている場合は、範囲を絞った手動診断の60万円〜（税抜）の例から見積もりを取ります。診断の前に、取引先が求めているものが脆弱性診断の結果なのか、ISMSのような認証なのか、社内規程の整備なのかを切り分けると、頼む範囲を絞れます。ISMSのような認証を求められている場合の頼み先は、ISMSの取得を支援するISMSコンサルの比較にまとめています。切り分け方は取引先からセキュリティ対策を求められたときの対応にまとめています。
7. 自社で診断できる人を雇う場合との比較
Webアプリケーション1つを年に1〜2回診断する会社では、専門家を1人雇うより、1回ごとに外部へ任せる方が、使った分の支払いで済み、費用を見通しやすくなります。1回数十万円の手動診断を年2回依頼しても、合計は100万円台までです。厚生労働省の職業情報提供サイト（job tag）にある「セキュリティエキスパート（脆弱性診断）」の職業分類の年収609.8万円を下回ります。この年収は令和7年賃金構造基本統計調査をもとにした数字で、脆弱性診断の担当者を含む職業分類全体の値です。雇う場合は月約50.8万円（年収を12で割った額）のほかに、社会保険料の会社負担がかかり、採用と教育にも期間が必要です。
| 頼み方 | 年間の費用の目安 | 費用のほかにかかるもの |
|---|---|---|
| 脆弱性診断の専門家を1人雇う | 約609.8万円（職業分類の年収）に、社会保険料の会社負担を加えた額 | 採用の費用と期間、診断ツールの利用料、教育と管理の手間 |
| 手動診断を年1〜2回外部に頼む | 1回数十万〜数百万円の相場に回数をかけた額 | 診断対象の情報の準備、報告書を受けて修正する社内の作業時間 |
| ツールの月額契約と、節目に手動診断 | ツールは公開されている料金で年額198,000円（税別・検査項目5項目）や年間60万円（1IP・FQDN）の例。手動診断は1回数十万円から | ツールの結果を読んで修正の優先順位を決める担当者の時間 |
雇う場合を1時間あたりで見ると、この職業分類の一般労働者（フルタイムの労働者）の賃金は1時間当たり2,954円（残業代と賞与を含む）です。手動診断の見積もりを診断の日数で割った1日あたりの金額と並べると、時間の単価では雇う方が安く見えます。一方、脆弱性診断の作業はリリースの前後に集中しやすいため、雇った専門家の時間を1年を通して診断に使い続けるのは難しく、外部に頼めば診断した分の支払いで済みます。
job tag には、脆弱性診断を専門に行う人は日本全体で数百人程度と考えられる、との記述があります。同じ職業分類のハローワーク求人統計では、有効求人倍率は1.96（令和7年度）で、求人が求職者を上回っています。雇った専門家に毎日のシステムの監視や社内からの問い合わせ対応まで任せたい場合でも、採用までの間は、ツールの月額契約と外部の手動診断で脆弱性診断を進められます。
8. 見積もりと契約の前に確認すること
再診断は、報告書の提出後1か月以内の1回を無料とする会社と、1FQDNあたり158,000円の有料オプションにする会社があります。報告会は1回15万円（税抜）とする会社も見られました。見積書の合計金額は、含まれるリクエスト数、再診断の有無、報告書の形式をそろえてから比べます。同じ40万円でも、含まれる内容が違えば追加で支払う金額が変わるため、見積もりを取るときと契約の前に、次の7つを確認しておくと安心です。
- 診断の範囲は、画面数・リクエスト数・IP数のどの単位で数えるかが会社によって違います。公開されている料金では、10リクエスト単位で追加する例と、10ページ単位で追加する例があるため、自社のサイトを各社の単位で数え直した金額で比べるのが前提です
- ツールか手動か、手動ならどこまで調べるかが、見積もりの金額を決めます。危険度の高い脆弱性に絞るプランと全項目を調べるプランでは金額が分かれるので、取引先に提出する場合は、提出先が求める深さを先に伝えることが必要です
- 修正したあとの再診断が料金に含まれるかは、会社によってルールが違います。公開されている料金では、報告書の提出後1か月以内に1回無料とする例、3か月以内の再診断を含む例、1FQDNあたり158,000円の有料オプションにする例が見られました。再診断を含めた総額で比べると安心です
- 報告会と報告書の形式は、別料金になる場合があります。公開されている料金では、報告会を1回15万円（税抜）とする会社と、関東エリアで50,000円（税別）とする会社があります。報告書のサンプルを見て、社内や取引先にそのまま出せる形かを確かめることが大事です
- 納期はヒアリングから報告会までを含めて数週間〜1.5か月程度が目安で、短くすると追加の料金がかかる場合があります。リリースの日程が決まっている場合は、診断の着手日と報告書の提出日を見積書に書いてもらうとスムーズです
- 年間契約か1回ごとの契約かで、年間に支払う形が変わります。ツールのサービスは12か月の年間契約を条件にする例と、1か月から使える例があります。年に何回診断するかを決めてから、年間の総額で比べることが必要です
- 診断中のアクセスが本番環境に影響しないか、実施の時間帯を指定できるかは、先に確かめておくと安心です。診断環境を「検証」と「本番」から選ぶプランを公開している会社があるため、本番環境で診断する場合は、実施の時間帯と社内への連絡の手順を契約前に決めておくとスムーズです
費用を抑えるには、診断する範囲を絞る（ログインや決済のある画面を優先する）、ツール診断と手動診断を使い分ける、同じ条件で2〜3社の見積もりを比べる、の3つが基本です。範囲を絞るときは、取引先に提出する報告書に必要な範囲まで削らないことが大事です。
料金以外に見ておく点（自社に近い規模と困りごとの事例、診断後の体制づくり）は、セキュリティコンサルの選び方にまとめています。
9. 脆弱性診断の費用に関するよくある質問
無料の脆弱性診断ツールだけで済ませられますか？
無料の脆弱性診断ツールで済ませられるのは、結果を読み解いて対策を決める担当者が社内にいる場合です。無料のツールが見つけるのは、既に知られている脆弱性のパターンに当てはまる問題で、実際には問題のない項目が検出される誤検知も含まれます。取引先への提出や、ログインや決済のある本番環境の診断では、専門家が結果を精査するプランか、手動診断がおすすめです。精査つきのプランは、公開されている料金でFQDNあたり28万円や1ドメイン297,000円（税込）の例があります。
ECサイトの脆弱性診断は義務ですか？費用はいくらですか？
ECサイトは、経済産業省のガイドラインで、構築時と運用時に脆弱性診断を実施するよう求められています。クレジットカード情報を扱うECサイトは、カード情報を自社で保持しない仕組みにするか、カード業界の基準であるPCI DSSに準拠するかのどちらかが求められます。費用は、会員登録やカート、決済と入力を受け付ける画面が多いため手動を含む診断が中心で、編集部が調べた範囲では1回30万〜150万円の例と、手動で50万〜300万円の例があります。
脆弱性診断はどのくらいの頻度で受け、年間でいくらかかりますか？
年1回の定期診断に加え、リリース前と大きな改修のあとに1回ずつが目安です。手動診断を年1回依頼する年間費用は、1回数十万〜数百万円の相場と同じ金額です。年に何度も診断する会社は、ツールの月額契約（公開されている料金で月額16,500円（税抜）から）で修正のたびに診断し、リリースの節目に手動診断を専門会社に任せると、年間の費用を抑えられます。
ペネトレーションテストと脆弱性診断は費用がどう違いますか？
ペネトレーションテストは、編集部が調べた範囲で、1回200万〜1,000万円以上の例があります。金額はシステムの規模で変わり、ペネトレーションテストは攻撃者として実際に侵入できるかを試すテストで、脆弱性診断は弱点の有無を網羅的に洗い出す検査です（手動でも1回数十万〜数百万円が相場）。チェックシートに「脆弱性診断の実施状況」とあれば脆弱性診断で足りるため、項目名を確かめてから見積もりを取ると、必要以上の範囲を依頼せずに済みます。
AWSなどクラウド上のシステムの診断は別料金ですか？
クラウド上のWebアプリの診断も、Webアプリケーション診断の料金で見積もる会社があります。クラウドの設定そのもの（アクセス権限や公開範囲の設定）を調べるクラウド設定診断は、Webアプリケーション診断とは別のメニューで見積もられる場合があります。AWSやAzureの環境で診断を受ける場合は、クラウド事業者が診断に制限や申請のルールを設けていないかを、診断会社に確認することが必要です。
10. まとめ
脆弱性診断の費用は、ツール診断なら1回無料〜数十万円、手動診断なら1回数十万〜数百万円が相場です。Webアプリケーション診断は30万〜150万円の例と手動で50万〜300万円の例があり、プラットフォーム診断は1IPあたり5万円からが目安です。ツールか手動かの手法と、画面数・リクエスト数・IP数で数える診断の範囲、この2つで金額が決まります。
自社の金額を知るには、診断したい対象、画面数かIP数、報告書の提出先の3つを書き出してから、4章の表の会社の公式サイトで料金の単位を確かめ、2〜3社に同じ条件で見積もりを取るのが近道です。届いた見積もりは、再診断と報告会まで足した総額で比べると、料金の形が違っても判断しやすくなります。診断のあとに社内の体制づくりまで相談したい場合の頼み先は、セキュリティコンサルおすすめ12選にまとめています。取引先からの要請に、予算の見通しを持って応える参考にしてみてください。