脆弱性診断の費用はどう決まる？見積もりの前に数えること、3社の比べ方、費用を抑える範囲の決め方（Excel つき）

「脆弱性診断の見積もりを3社から取ったら、50万円、150万円、180万円と、まるでばらばらだった。どれが妥当なのか分からない」。はじめて診断を頼む会社から、こうした相談を受けることがあります。

金額の差には、たいてい理由があります。ある会社はツールだけで診断し、ある会社は手作業の診断を入れている。ある会社は管理画面を範囲に入れ、ある会社は入れていない。再診断が金額に入っている会社と、別料金の会社がある。前提がそろわないまま金額だけを比べると、安い見積もりを選んで、必要な範囲が診断されていなかった、ということが起こります。

この記事は、はじめて脆弱性診断の見積もりを取る、中小企業のシステムの担当者に向けて書いています。次のことを順にまとめます。

• 脆弱性診断の費用が何で決まるか
• 公的な資料に出てくる費用の目安と、その読み方
• 見積もりの前に数えること
• 3社の見積もりを同じ物差しで比べる方法
• 費用を抑える範囲の決め方

脆弱性診断とペネトレーションテストの違いは「脆弱性診断とペネトレーションテストの違い」で説明しています。費用の決まり方と見積書で確認する項目は、SucSak の「脆弱性診断の費用相場は？見積もりの見方と確認する6項目を解説」にもまとまっています。この記事では、見積もりを取る前に自社で数えることと、3社を同じ物差しで比べる手順に重きを置きます。

結論：範囲とやり方をそろえてから、金額を比べる

先に結論を書きます。

1. 脆弱性診断の費用は、主に範囲（リクエスト数・画面数・IP アドレス数）と、やり方（ツールだけか、手作業も入るか）で決まる
2. 公的な相場の調査は見当たらない。IPA は、自社で作った EC サイトの脆弱性診断の費用感を最低年額100万円以上としている
3. 見積もりを頼む前に、診断してほしい画面・機能を一覧にし、同じ一覧を各社に渡す
4. 金額は、手作業の有無と再診断の条件をそろえてから比べる
5. 費用を抑えるなら、金額の安い会社を選ぶのではなく、範囲の選び方で抑える

脆弱性診断の費用は、何で決まるか

範囲：数えるもの

デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン」は、診断の種類ごとに、何を単位に数え、何で費用が変わるかを説明しています。

つまり、何を診断するかを数えないと、費用は決まりません。見積もりを頼むときに「うちのサイトを診断してください」とだけ伝えると、診断会社はサイトを見て範囲を推測するか、ヒアリングから始めることになり、会社ごとに前提がずれます。

やり方：ツールと手作業

IPA の「EC サイト構築・運用セキュリティガイドライン」は、診断のやり方を3つに分けています。

ログインの後に、自分の権限では見られないはずの情報が見られる、といった業務の仕組みに関わる脆弱性は、ツールでは見つけにくいものです。金額の差が大きいときは、まず手作業の診断が入っているかを確かめます。

そのほかに費用が変わるもの

• 診断する環境：本番の環境か、検証の環境か。検証の環境を用意する費用は、診断の費用とは別に、開発会社にかかることがあります
• ログインの仕組み：二要素認証や外部のログインを使っていると、診断の準備に手間がかかることがあります
• 権限の数：一般の利用者、管理者、店舗の担当など、権限ごとに確かめるなら、その分の手間がかかります
• 報告会：結果を説明する場を設けるか
• 再診断：直した後の確認が金額に入っているか、別料金か
• 時期と急ぎ：年末から年度末は診断会社の繁忙期にあたる、と業界団体の資料にもあります。急ぎの依頼は、日程が合わないことがあります

公的な資料に出てくる費用の目安

価格の調査は見当たらない

2026年11月の時点で、経済産業省、IPA、デジタル庁、業界団体の公開資料を調べた範囲では、脆弱性診断の価格を調べて相場として公表したものは見当たりませんでした。インターネット上の「相場」は、多くが診断会社の自社の料金や、その会社の見立てです。参考にはなりますが、自社の範囲に当てはまるとは限りません。

IPA が示す費用感

その中で、条件付きで参考になる公的な数字が2つあります。

• EC サイトのガイドライン：IPA の「EC サイト構築・運用セキュリティガイドライン」（2023年3月）は、自社で作った EC サイトで必須とされる対策のうち、「脆弱性診断の実施」の費用感を、最低年額100万円以上（月額換算で8万円〜）としています。自社で作った EC サイトを前提にした数字です
• 中小企業の事例集：IPA の「中小企業のための 実例で学ぶサイバーセキュリティリスク事例集」（2026年3月）は、Web サイトが改ざんされた事例で、再発防止の費用（ウェブアプリケーション診断）を約100万円としています。ただし、この事例集の被害の事例は、モデルケースとして積算したもので、一部に想定を含むと書かれています

どちらも、特定の前提のもとの数字です。自社の予算を考えるときの「桁の目安」として使い、実際の金額は、自社の範囲で見積もりを取って確かめます。

診断の費用と、被害の費用

同じ事例集では、Web サイトが改ざんされて顧客のカード情報が漏れたモデルケースの想定被害額を、2,420万円としています。内訳は、初期対応に約200万円、弁護士への相談などに約100万円、再発防止の診断に約100万円、一部の顧客との取引停止による利益の損害に約2,000万円などです。

診断の費用は、被害の後にも結局かかります。被害の前に払うか、被害の後に払うかの違いだ、と考えると、予算の話がしやすくなります。

見積もりの前に数えること

画面・機能の一覧を作る

見積もりを頼む前に、診断してほしい画面・機能を1行ずつ書き出します。行ごとに、次のことを書いておくと、診断会社が範囲と手間を見積もりやすくなります。

リクエスト数は、画面の表示、フォームの送信、検索、API の呼び出しなど、サーバーに送る要求の数です。1つの画面に複数のリクエストがあることも多く、数え方は診断会社によって違います。分からなければ空のままで構いません。一覧を見せて、診断会社に数えてもらいます。

外部のサービスに移る画面は、相談する

カードの支払いを決済代行の会社の画面で行っている場合など、自社のシステムの外に移る画面は、自社の判断だけでは診断できません。一覧に「相談する」と書き、診断会社と、どこまでが診断の範囲になるかを確かめます。クラウドのサービスを使っている場合も、そのサービスの決まりで、診断してよい範囲が決まっていることがあります。

プラットフォームは IP アドレスを書き出す

プラットフォームの診断を頼むなら、インターネットから届くサーバーや機器の IP アドレスとドメインを書き出します。デジタル庁のガイドラインは、過去に診断をしていないなら、優先すべきは外部からの診断だとしています。どの IP アドレスが自社のものか、開発会社やネットワークの業者に確かめておきます。

見積もりを頼むときに渡すもの

一覧のほかに、次のことを書いた依頼の文書を、各社に同じ形で渡します。これがそろっていると、診断会社からの質問が減り、見積もりの前提がそろいます。

見積もりの依頼の時点で、開発会社にも同席してもらうと、システムの作りについての質問にその場で答えられます。

3社の見積もりを、同じ物差しで比べる

同じ一覧を渡す

見積もりは、同じ診断対象の一覧を、各社に同じ形で渡して頼みます。範囲がそろえば、金額の差は、やり方と条件の差として比べられます。

金額のほかに確かめる10項目

金額のほかに、次の10項目を ○（満たす）・△（一部）・×（満たさない）で比べます。

1. 診断の範囲が、こちらの一覧と合っている
2. 手作業の診断が入っている（ツールだけではない）
3. 診断する環境と日時が決まっている
4. 報告書に、危険度・再現の手順・直し方が書かれる
5. 結果の説明の場（報告会）がある
6. 再診断（直したことの確認）が入っている
7. 診断する人の資格・経験を示してもらった
8. IPA の「情報セキュリティサービス基準適合サービスリスト」に載っている
9. 秘密保持と、診断で得たデータの扱いが契約に書かれる
10. 診断で使うアカウントと、問い合わせ先が決まっている

× が付いた項目は、その会社に理由を聞きます。安い見積もりに × が多いなら、その差が金額の差です。

例で見る

Excel の記入例（架空の会員制の予約サイト、診断に入れるリクエスト数は65）で、3社の見積もりを比べると、次のようになります。金額は書き方を示すための架空のもので、相場ではありません。

（架空の例）

B社は一番安いものの、手作業の診断と報告会がなく、基準適合サービスリストにも載っていません。この例では、個人情報を扱う画面が多いので、B社は候補から外れます。A社とC社は条件がほぼ同じで、C社は診断の日数が長い分、金額が高い、という差です。この場合は、報告書の見本や、同じ種類のシステムの診断の経験を聞いて決めます。

1リクエストあたりの金額は、リクエストの数え方が会社ごとに違うので、目安として見ます。数え方そのものを各社に聞いて、そろえることも大事です。

見積書で確かめる、前提のずれ

金額と10項目のほかに、見積書の前提の書き方で、後から費用が増えるかどうかが分かります。次のことが書かれているかを確かめ、書かれていなければ聞きます。

見積書に書かれていないことは、契約の前に書面で確かめておくと、後のもめごとを防げます。

ツールの診断が向いている場面

ツールだけの診断が、いつも悪いわけではありません。次のような場面では、費用を抑えた選択肢になります。

• 手作業の診断の合間の確認：年に一度の手作業の診断の間に、ツールで定期的に確かめる
• 入力のない画面が中心のサイト：会社案内など、ログインも入力もない画面が中心のサイト
• プラットフォームの定期的な確認：公開しているサーバーや機器に、新しく見つかった脆弱性がないかを確かめる

反対に、個人情報や決済を扱う画面、権限が分かれている画面を、ツールだけの診断で済ませるのは避けます。ツールの結果には、誤った検出や、実際には攻撃が難しい指摘が含まれることもあるので、結果を読み解ける人が社内か開発会社にいるかも確かめておきます。

費用を抑える、範囲の決め方

費用を抑えたいときは、安い会社を選ぶより、範囲を工夫するほうが安全です。

同じ作りの画面は、代表の1画面

デジタル庁のガイドラインは、診断の対象を決めるときに、同じ作りの画面が複数あるなら代表の1画面だけを対象にする、サイトのトップページからたどれる範囲で行う、といった選び方の方針を決めておくとよいとしています。また、同じシステムを再び診断するときは、前回と違う画面や API を対象にするのが望ましい、としています。

たとえば、商品の詳細の画面が1,000ある EC サイトでも、作りが同じなら、診断の対象を代表の1画面にできます。お知らせの一覧と詳細のように、入力がなく、同じ作りの画面が並ぶところも、代表だけで済むことが多いでしょう。

影響の大きいところから

範囲を絞るときは、狙われたときの影響が大きい画面を優先します。

IPA の EC サイトのガイドラインも、Web アプリの診断の範囲として、最低でもログイン、利用者の情報の登録・変更、商品の検索、注文・決済の画面を診断するよう求めています。

上限を決めて頼む

デジタル庁のガイドラインは、範囲を事前につかむのが難しいので、定期的な診断を頼むときは、上限の IP アドレス数や画面数を決め、その中で優先度を付けて対象を選ぶのが望ましいとしています。実施の規模の目安としては、プラットフォームの診断は10〜30 IP アドレス程度、Web アプリの診断は50〜100リクエスト程度、スマートフォンアプリの診断は10〜20画面程度を挙げています。政府のシステムの定期的な診断の目安ですが、上限を決めて優先度順に選ぶ考え方は、中小企業の予算の決め方にもそのまま使えます。

日程の立て方

診断の費用と同じくらい大事なのが日程です。公開の日が決まっているなら、そこから逆算します。記入例の A社の条件（診断5日、報告書まで10日）で、日程を立てると次のようになります（架空の例）。

合わせると、準備から再診断まで2〜3か月かかります。年末から年度末は診断会社の繁忙期にあたるので、その時期に診断するなら、さらに早めに相談を始めます。

診断の後にかかる費用

診断の費用だけを予算にすると、指摘を直す段階で止まってしまいます。IPA の EC サイトのガイドラインは、危険度「高」の脆弱性は迅速に、「中」は3か月程度を目安に対策することを勧めています。直す作業の費用と期間も、診断の前に見込んでおきます。

• 直す費用：開発会社が指摘を直す作業。保守の契約に入っているか、別の見積もりになるかを確かめる
• 確かめる費用：再診断。見積もりに入っていなければ、別の費用
• 受け入れる判断：直す費用に見合わない低い危険度の指摘は、理由を記録して受け入れることもある。誰が判断するかを決めておく

指摘を1行ずつ書き、危険度から直す期限を出して管理する表は、下の Excel の「指摘の対応管理」のシートに入っています。

予算の取り方

脆弱性診断は、一度で終わる費用ではありません。予算は、次の3つに分けて考えます。

• 公開の前の診断：新しいシステムを作るときの開発の予算に入れる。開発の見積もりの段階で、診断の時期と、指摘を直す期間を日程に入れておく
• 改修のときの診断：大きな改修の予算に、改修した箇所の診断を入れる
• 定期的な診断：公開しているサーバーや機器の診断を、年間の保守の予算に入れる

あわせて、診断で見つかった指摘を直す費用も見込みます。指摘を直す作業が、開発会社との保守の契約に入っているか、別の費用になるかを、診断の前に確かめておきます。

社内で予算を通すときの説明

脆弱性診断の予算は、何かを作る費用ではないので、社内で説明しにくいものです。経営者に説明するときは、次の4つをそろえると話が進みやすくなります。

1. 何を守るか：診断するシステムが扱う情報（顧客の個人情報、カード情報、取引先の情報）と、その件数
2. 起きたときの損害：IPA の事例集では、Web サイトの改ざんでカード情報が漏れたモデルケースの想定被害額が2,420万円。うち約2,000万円は取引停止による利益の損害
3. 外からの求め：取引先や親会社からの求め。IPA の「情報セキュリティ10大脅威 2026」でも、組織への脅威の4位が「システムの脆弱性を悪用した攻撃」
4. 費用と範囲の案：3社の見積もりの比較の表と、範囲を絞った場合の金額

「いくらかかるか」だけでなく、「どこまでを、なぜその範囲で診断するか」を一緒に示すと、範囲を削る話になったときも、何を外すと何が残るかを経営者と一緒に判断できます。

おわりに

脆弱性診断の費用は、範囲とやり方で決まります。金額の差に戸惑ったら、まず範囲がそろっているか、手作業の診断と再診断が入っているかを確かめてください。範囲をそろえるには、診断してほしい画面・機能の一覧を作り、同じ一覧を各社に渡すのが一番の近道です。費用を抑えたいときは、会社の安さではなく、代表の画面の選び方と、影響の大きい画面からの優先順位で抑えます。

そのまま使える「脆弱性診断の準備シート」の Excel を用意しました。診断対象の一覧（優先度が自動で付き、優先度の高い画面を範囲から外すと赤くなります）、3社の見積もりを10項目で比べる表、報告書の指摘を期限つきで管理する表の3つが入っています。

脆弱性診断の準備シートの Excel をダウンロードする

登録は要りません。中身の説明は「脆弱性診断の準備シート」のページにまとめています。開発会社と確認しておきたいセキュリティの項目は「開発会社に確認したいセキュリティの項目」で説明しています。診断の範囲の洗い出しや、指摘への対応のご相談は、クリーヴァでもお受けしています。

出典（2026年11月11日に確認）

• デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン」（2024年2月6日）
• IPA「ECサイト構築・運用セキュリティガイドライン」（2023年3月16日）
• IPA「中小企業のための 実例で学ぶサイバーセキュリティリスク事例集」（2026年3月）
• IPA「情報セキュリティサービス基準適合サービスリスト」
• IPA「情報セキュリティ10大脅威 2026」
• ISOG-J・OWASP Japan 脆弱性診断士スキルマッププロジェクト「ペネトレーションテストについて」（2019年12月）