脆弱性診断の費用相場と対象別料金、見積もりの考え方を解説

脆弱性診断の費用を対象別に知る

公開料金は市場平均と分けて読む

「脆弱性診断の費用相場」を知りたいとき、最初に確認したいのは自社の対象に近い料金条件です。公開価格を複数集めても、診断対象や成果物が異なるままでは市場平均を算出できません。本記事では、2026年11月15日に公式サイトで確認した料金を、見積もりの読み方を考えるための例として紹介します。掲載パートナーとしての紹介や、診断会社の推薦順位を示すものではありません。

サイバーセキュリティクラウドの例は、公式の脆弱性診断サービス価格ページで確認しました。セキュアスカイ・テクノロジーの例は、公式Webアプリケーション診断ページに掲載された2026年1月1日からの料金体系に基づきます。いずれも確認日時点の表示です。契約時の条件、税額、対象の数え方、最新価格は、依頼先へ改めて確認してください。

この表の40万円と135万円を比べても、同じ作業が安くなったとは判断できません。対象単位がリクエストとページで異なり、含まれる作業も違うためです。自社の対象を各社の単位へ置き換え、必要な作業を加えた見積もりを受け取ってから比較しましょう。「最低料金で始められるか」と「必要な診断を完了するまでいくらかかるか」を分けて考えることが大切です。

WebとAPIは対象の数え方を確認する

Webアプリケーション診断では、ページ数、画面数、リクエスト数などが料金の単位として使われます。一つの画面から検索、登録、添付、更新など複数の通信が発生することもあるため、画面が十個なら十リクエストとは限りません。見積もりを依頼するときは、画面一覧だけでなく、各画面で行う操作と、ログイン後に使う機能を説明してください。

APIについても、URLの数だけで診断対象を確定できるとは限りません。同じ接続先でも参照・登録・更新で処理が異なる場合や、利用者の役割によって確認内容が変わる場合があります。自社が把握している仕様書や機能一覧を渡し、どの操作を一件として数えるのかを診断会社へ確認します。公開価格の対象数を、自社の画面数へ機械的に当てはめないようにしましょう。

セキュアスカイ・テクノロジーの公式料金案内では、起点URLごとの見積もりや、サイト・ログイン機能が複数ある場合の追加費用の可能性も示されています。一つの会社が運営するシステムでも、利用者用と管理者用の入口が分かれていれば、同じ基本料金の範囲に収まるとは限りません。見積書には、採用された対象の数え方と、実際に含めた機能の一覧を添えてもらうと確認しやすくなります。

サーバーとネットワークはIP数を揃える

サーバーやネットワーク機器を対象とするプラットフォーム診断では、IP数などを単位とした料金例があります。先ほどの35万円からという例は5IP分の条件であり、Webアプリケーションの画面や業務機能を同じ範囲まで検査する料金を意味するものではありません。どの対象と層を確認したいのかを、先に分けてください。

見積もりに向けては、対象IP、ホスト名、外部公開の有無、管理している部署を整理します。複数のホスト名が同じIPを使う場合や、診断期間中に接続先が変わる場合もあるため、自社の数えた台数をそのまま料金単位として扱えるか確認が必要です。クラウドの管理画面で設定を点検する作業なども、IPを対象とした検査へ含まれるかを別途確認しましょう。

外部から接続できる対象と、社内ネットワークやVPNの先にある対象では、実施の準備が変わります。接続環境の構築や現地作業、接続試験などが必要になるかを聞き、診断費用と準備にかかる費用を分けて把握してください。ネットワーク上の対象一覧が古いままだと、必要な機器の追加見積もりが後から発生することも考えられるため、管理担当者へ確認してから依頼しましょう。

手動検査と実施条件が料金を変える

同じ対象数でも、診断員が確認する操作の範囲や、対象の仕様によって見積もりは変わります。認証後の機能、利用者の権限差、申請・承認といった業務の流れを検証する場合は、その範囲を具体的に相談します。「手動検査を含む」と書かれていても、自動ツールの指摘を確認する作業と、業務仕様を踏まえて操作を検証する作業が、どこまで含まれるかを確かめてください。

実施の日時や場所も確認事項です。公開前の検証環境へ接続して行うのか、本番環境で負荷やデータ変更を調整して行うのか、現地への訪問が必要なのかを揃えます。夜間や休日、急な日程への対応が必要な場合は、対応可否と追加条件を見積もりに明記してもらいましょう。通常料金の表示だけから、希望する条件すべてに対応できるとは判断しないでください。

方式による違いを整理したい場合は、脆弱性診断サービスの比較と自動・手動診断の選び方も参考になります。ここでの費用比較では、方式の名前に加えて、自社のどの機能を誰が確かめるのかを料金の根拠として確認します。必要な検査が説明されている見積書ほど、社内で予算を承認する際にも目的を伝えやすくなります。

受付開始に向けた準備は、無料の会員登録から進められます。診断の新規受付は現在準備中です。

脆弱性診断の費用を見積もりで比べる

同じ対象一覧で見積もりを依頼する

複数社へ見積もりを依頼するときは、同じ対象一覧と希望条件を渡します。一社には公開ページだけ、別の会社には管理画面まで含めて相談してしまうと、受け取った金額を横並びにできません。最初は自社で分かる範囲を整理し、診断会社との事前調査で対象が変わったら、比較表も更新しましょう。

依頼用の資料には、次の内容を一枚の表にまとめると、前提の違いを見つけやすくなります。秘密情報や本物の顧客データを見積もり段階から渡す必要はありません。接続情報や認証情報が必要な場合は、依頼先の指定する安全な受け渡し方法を確認してください。

• 目的：公開前の確認、定期点検、取引先への説明など、今回の結果を使う判断
• 対象：URL・API・IP、主要機能、一般利用者と管理者などの役割
• 希望する確認：自動検査と手動検証の範囲、対象外にしたい処理
• 実施条件：本番か検証か、希望日程、接続制限、運営側の立ち会い
• 成果物：報告書、説明会、修正後の確認、取引先から指定された提出条件

各社から回答を受け取ったら、金額の横に「対象数」「含む作業」「含まない作業」「追加になる条件」を書きます。対象の単位が違う場合は、依頼側で勝手に換算せず、共通の機能一覧にどこまで対応する見積もりかを確認してください。会社選びそのものの観点は、脆弱性診断会社を比較するときの確認事項で整理しています。

追加費用を含めて支払額を計算する

見積書では、基本料金に何が含まれ、どこから追加になるかを確認します。追加対象の単価だけでなく、何件ごとに追加料金が発生するか、端数をどう扱うかが重要です。報告会、訪問、特殊な接続、再診断などが別料金なら、必要なものを加えてから比較してください。金額が未確定の項目はゼロ円として計上せず、条件を確認する欄として残します。

以下は計算方法を考えるための架空の見積例です。基本料金60万円で30リクエストまで、超過分は10リクエストごとに15万円、報告会8万円、再診断5万円という条件を仮定します。36リクエストを対象にし、報告会と再診断も依頼するなら、税別の小計は60万円＋15万円＋8万円＋5万円＝88万円です。実在する会社の料金や、一般的な相場を示す例ではありません。

この計算では、超過した6リクエストに対して追加の一枠分を使うという前提を置いています。実際の端数処理、最低料金、対象変更時の再見積もりなどは、提供会社へ確認してください。税別の見積もりなら税額を加えた請求総額も確認し、税込みの予算上限と比較します。税込みの予算と税別の小計をそのまま比べないようにしましょう。

社内稟議には、基本料金だけでなく、想定する追加項目を含む合計と、未確定の条件を記載します。実施期間中に対象を増やす可能性があるなら、誰の承認で変更できるかを決めておくと安心です。契約後に必要な機能が対象外と分かって慌てないよう、対象が確定する時点と金額が確定する時点を併せて確認してください。

再診断と報告の条件まで確認する

再診断が含まれるプランでも、指摘をすべて無期限に確認してもらえるとは限りません。対象とする危険度、実施できる回数、申し込みの期限、対象機能や環境が変わった場合の扱いを確認します。初回の診断費用と、修正後に必要となる確認の費用を一緒に把握してください。

報告会については、開催の有無、説明する時間、参加できる人、オンラインか訪問か、追加質問への対応を聞きます。報告書を開発会社へ渡して改修する予定なら、開発担当者が内容を確認できる日程も考えましょう。診断の実施日だけでなく、報告書を受け取る日と、修正を終える予定日を並べることで、再診断を含めた計画を組みやすくなります。

診断で指摘された箇所の修正は、別の作業として予算が必要になることがあります。診断会社へ修正まで依頼できるのか、既存の開発会社が対応するのかを確認し、担当者の工数や改修費を診断費用と分けて管理してください。見積書の総額が同じでも、報告と再確認の条件が違えば、その後に必要な支出や社内作業は変わります。

予算調整では対象外の範囲も残す

必要な診断が予算を超える場合は、優先して確認する機能や、実施時期を分けられるかを相談します。顧客情報を扱う画面、権限を変更する機能、新しく追加した重要な処理など、自社が重視する範囲を説明してください。画面数を減らすことだけを目標にせず、診断の目的に必要な操作が残るよう調整しましょう。

例えば、公開案内のページと認証後の業務機能を持つシステムなら、両者を対象一覧で区別します。予算の都合で一部を次回へ回す場合は、今回確認する範囲、見送る範囲、その間に行う対応、次に確認する予定を記録します。対象外となった部分は診断で確認できていないため、報告書の指摘件数だけでシステム全体の安全性を判断しないようにしてください。

定期的に実施するツールの契約を検討する場合も、利用料金だけでなく、設定を維持する作業や結果を読む担当者が必要です。単発の委託と年間契約を比べる際には、実行できる回数より、同じ対象と目的をどの程度継続して確認できるかを揃えます。自社で担う作業を含めた運用が続くかも、予算調整の判断材料になります。

脆弱性診断の費用は範囲と総額で判断

脆弱性診断の費用は、対象と作業の条件を揃えた総額で比較しましょう。公開料金は予算の検討を始める材料になりますが、その金額が自社へそのまま適用されるとは限りません。対象の数え方、自動・手動で検査する範囲、実施条件、報告と再診断の内容を確認し、必要な追加費用を含めて判断してください。

見積もりを受け取ったら、価格が低い理由や高い理由を、対象一覧と作業内容から説明できるかを確かめます。同じ予算でも、どこを確認し、どこを残すかで診断後に得られる判断材料は変わります。目的に必要な範囲を守り、結果を読む人、修正する人、再確認する予定まで含めて計画することが、費用を生かすためのポイントです。

掲載した会社は、料金の読み方を説明するために取り上げた非提携の公開例です。セキュリティーナビの会社検索・比較・紹介機能は準備中であり、掲載例の会社への紹介をお約束するものではありません。会員向け無料Webサイト診断の新規受付も現在準備中です。会員登録とサイトの所有確認は進められますが、専門会社へ依頼する診断とは確認範囲が異なります。