脆弱性診断の費用相場、手動・ツール・月額の違いと選び方

脆弱性診断の費用相場｜手動・ツール・月額の3種類を比較

「脆弱性診断」として売られているものは、大きく3つに分かれます。調べる深さも、値段も、向いている会社も違います。まず全体を表で見てください。

金額は、公開されている解説記事（出典はページの下）を2026年11月に確かめたおおよその目安です。公的な機関がまとめた相場の統計は、当社が調べた範囲では見つかりませんでした。税の扱いや含まれる作業は会社ごとに違います。

診断の種類そのものの説明は、脆弱性診断とは にまとめています。

手動の脆弱性診断・ペネトレーションテストの費用が高い理由

手動診断の値段は、ほぼ「専門家の人数 × かかる日数」で決まります。診断員は、画面を1つずつ開き、入力欄に細工した文字を入れ、他人の情報が見えないか、値段を書き換えられないかを、考えながら試します。終わったら、見つけた問題の再現の手順と直し方を報告書に書きます。

この作業は機械に置きかえにくく、できる人も限られています。そのため、画面1つあたり2万〜5万円が目安とされ、画面が20あれば数十万円、50あれば100万円を超える計算になります。

ペネトレーションテストは、さらに「実際に侵入できるか」「入られたらどこまで届くか」を、攻撃者と同じ手順で確かめるものです。筋書きを作り、何日もかけて試すので、手動診断より高くなります。

高いのには理由があります。ログインの奥の不正や、業務の流れの穴は、人が考えて試さないと見つかりません。ここは自動のツールでは代わりになりません。

脆弱性診断の見積もりは何で決まるか

見積もりの金額が会社によって倍以上違うことは珍しくありません。多くは、前提にしている範囲が違うためです。次の5つがそろっているかを確かめると、比べやすくなります。

• 画面・機能の数：Web の診断は、画面の数や、やり取り（リクエスト）の数で数えます。数え方は会社ごとに違います。
• サーバーの数：サーバーやネットワーク機器の診断は、台数（IP アドレスの数）で数えます。1台あたり数万〜20万円程度とする解説があります。
• ログインした後を含むか：会員ページや管理画面まで調べると、画面が増え、権限ごとの確認も必要になり、費用が上がります。
• 報告書と報告会：技術者向けの報告書だけか、経営者向けの要約や説明の会がつくか。
• 再診断：直した後にもう一度確かめる作業が、含まれているか、別料金か。

見積もりを頼むときは、対象の URL、画面のおおよその数、ログインの有無、ほしい報告書の形を1枚に書いて、全社に同じものを渡すのが近道です。

見積もりに出にくい費用｜再診断・報告会・毎年の繰り返し

最初の見積もりの金額だけで決めると、後から増えることがあります。よくあるのは次の3つです。

もう1つ、見落としやすいのが直す費用です。診断は見つけるところまでで、直す作業は制作会社や保守会社への別の依頼になるのが普通です。診断の予算とは別に、直す分の余裕を見ておいてください。

ペネトレーションテストが必要な会社、自動診断から始めてよい会社

正直に言うと、どの会社にも人による診断が要るわけではありません。逆に、自動診断だけでは足りない会社もあります。

人による診断（手動診断・ペネトレーションテスト）を考えたほうがよい場合

• ログインした後の画面で、決済や、お客さまの個人情報を扱っている（通販サイト、会員サイト、予約や申し込みの仕組みを自社で作った場合など）
• 取引先との契約や、業界の決まりで、第三者による診断やペネトレーションテストが求められている
• 自社で開発した Web の仕組みを、新しく公開する、または大きく作り変えた

月額の自動診断から始めてよい場合

• 会社の紹介サイトや WordPress のサイト、メールやファイルのサーバーが中心で、自社で作った複雑な仕組みがない
• これまで一度も診断をしたことがなく、まず「外から見て開いている入口」と「古いままのソフト」を知りたい
• 取引先から「セキュリティの確認を」と言われたが、方法までは指定されていない

攻撃のよくある入口は、更新されていないソフトや、開けたままの入口です。こうした問題は自動診断で見つかり、毎日見ていれば早く気づけます。まず自動診断で土台を整え、必要な部分だけ人による診断を頼むと、費用をおさえやすくなります。

当社の Security Ready は、月額の自動診断です。月2,980円（税抜）からで、最初の1回は無料で試せます。ただし、人による診断の代わりにはなりません。ログインした後の深い検査や、業務の流れの不正の検査はしません。そこが必要な会社は、診断会社に頼んでください。

取引先から指定がある場合は、まず「どの種類の診断か」「報告書に何が書かれていればよいか」を取引先に確かめてください。評価制度への対応を求められた場合は、セキュリティ対策評価制度 ★3 の準備 も参考になります。

契約前に診断会社へ聞くこと

見積もりを受け取ったら、契約の前に次の順で確かめてください。メールでそのまま聞いて構いません。

1. 1

   どこまで調べるか

   対象の URL とサーバーの一覧を書面でもらいます。ログインした後の画面を含むか、含むなら何画面かを確かめます。

2. 2

   人が見るのか、ツールだけか

   「手動診断」と書いてあっても、ツールの結果を人が確認するだけのこともあります。人が手で試す範囲を聞きます。

3. 3

   再診断は含まれるか

   回数、期限（診断から何日以内か）、対象になる危険度を聞きます。別料金ならその金額も。

4. 4

   報告書の見本を見る

   見本をもらい、直し方まで書かれているか、専門家でなくても読めるかを見ます。取引先に出せる形かも確かめます。

5. 5

   診断中の影響

   診断でサイトが遅くなったり止まったりするおそれがあるか、実施する時間帯、本番と別の環境が要るかを聞きます。

6. 6

   来年の費用

   2回目以降の料金、画面が増えたときの追加の単価を聞きます。月額のサービスなら、最低の契約期間と解約の方法も。

無料でできる脆弱性診断と、その限界

お金をかける前に、無料で確かめられることもあります。

• かんたんな公開情報のチェック：当社の 30秒かんたんチェック は、ドメインを入れるだけで、証明書、https、なりすましメール対策、忘れられたサブドメインを確かめます。登録は要りません。公開されている情報を読むだけなので、弱点の診断そのものではありません。
• 無料の診断ツールを自分で動かす：OWASP ZAP は、無料で公開されている Web の診断ツールです。Nessus Essentials も無料ですが、5台までで、仕事以外の利用（学習など）に限られています。会社で使うには有料版（1年 4,790ドル）が必要です。
• 有料サービスの無料のお試し：月額の自動診断には、最初の1回や一定の期間を無料にしているものがあります。当社は1社1台1回、お支払い情報なしで試せます。

無料のツールの限界は、道具ではなく人の側にあります。設定を誤ると、自社のサイトに負担をかけたり、他人のサーバーを調べてしまったりします。結果は英語の専門用語で大量に出て、どれが本当に危ないかを自分で見分ける必要があります。担当者に時間と知識があるなら良い選択ですが、そうでなければ、結果を普通の言葉で受け取れる方法のほうが続きます。

どの方法でも、「何も見つからなかった」は「安全の保証」ではありません。調べた範囲と日付の中で、見つからなかったという意味です。