脆弱性診断の費用相場：見積もりの幅はどこから出るのか

脆弱性診断の費用は、ツール中心の診断で30万円あたりから、専門家が手を動かす診断で100万円あたりからが、各社の公開している目安です。ところが同じ「Webアプリケーション診断」という名前で、30万円の見積もりと300万円の見積もりが並ぶことがあります。桁がひとつ違うのに、どちらも間違った見積もりではありません。何を数えているかが違うだけです。

公開されている費用の目安

診断を提供している事業者が、自社サイトで相場を公開しています。それをもとにした目安が次の表です。

表1：診断方式別の費用の目安（国内事業者が公開している情報をもとにした市場の目安）

自分で無料のスキャナを回す形はこの表の外です。ここに並べたのは、事業者に依頼したときの金額になります。

同じ方式でも幅があるのは、事業者が想定している対象規模が違うためです。規模を揃えると、数字はもう少し落ち着きます。

表2：対象規模別の費用の目安

下の段はページ数ではなく機能の複雑さで決まるので、ページ数の帯とは重なります。ここまでが1回あたりの金額で、年に1回実施するなら、そのまま年間の費用になります。

見積もりの幅を作っているもの

金額が会社ごとに違うのは、次の4点をどう置いたかの差です。

何を診るか

ひとくちに脆弱性診断と言っても、Webアプリケーションの作りを見るのか、OS やミドルウェアの設定と既知の欠陥を見るのか、スマートフォンアプリを見るのか、クラウドの権限設定を見るのかで、まったく別の作業になります。上の相場表はWebアプリケーション診断のもので、対象の層が変われば別の見積もりが立ちます。

何を単位に数えるか

画面数で数えるのか、リクエスト数で数えるのか、FQDN の数で数えるのかによって、同じシステムでも見積もりの母数が変わり、ログイン後の画面が多いサービスでは、ここだけで倍近く動きます。

どこまで深く見るか

金額をいちばん動かすのがここで、深さにもいくつかの軸があります（次の節）。

診断のあとに何が付くか

報告書を出して終わりなのか、質問に答えてくれるのか、修正後の再診断が含まれるのか。ツールの出力をそのまま渡す形と、人が偽陽性を落として再現手順まで付ける形とでも、人件費が変わります。再診断が別料金だと、直してから確かめるまでにもう一度予算が要ります。

見積もりを比べるときは、金額の前にこの4つが同じ条件になっているかを確かめたほうが早いです。

深さを決めているもの

どのアカウントと役割を用意するか

ログインしないで到達できる画面だけを対象にするのか、テスト用のアカウントを発行してもらって認証後の画面遷移まで追うのか。さらに、一般の利用者と管理者、契約が別のテナント同士のように、いくつの役割を用意するかで作業量が変わります。多要素認証やシングルサインオンが絡むと、その準備自体にも手間がかかります。

他人の権限に手が届かないかを確かめるか

他人の ID を指定して他人の情報が見えないか、一般の資格のまま管理者向けの機能に入れないか。この種類は仕様書が無くても、アカウントを2つ用意して見比べれば確かめられます。ただし役割の組み合わせの数だけ試すことになるので、用意する役割が増えるほど作業量が増えます。

その業務でしか決まらない規則を含めるか

価格や数量を書き換えて注文が通ってしまう、手順を飛ばして確定まで進めてしまう。通信の形としては正常なリクエストで、その業務でそれが許されているかどうかでしか欠陥と判定できません。仕様や運用の前提を共有するほど精度が上がる部分で、手動診断の費用が上がる理由のひとつです。

複数の手順にまたがる処理を追うか

カートから決済、確定までのように、いくつものリクエストが状態を持って続く流れは、1本ずつ叩く形では踏めません。

どこまでの操作を許すか

テスト用のデータを作ったり書き換えたりする操作は、認証後の診断では普通に行います。別に取り決めることが多いのは、取り消せない操作と、負荷をかけて可用性を試す種類のほうです。本番で実施するのか、同等の環境を用意するのか、その環境を誰が用意するのかでも金額が動きます。

どこまで内部の情報を渡すか

外から触るだけで進めるのか、仕様書や設計、API の定義、ソースコードまで渡すのか。渡す情報が増えるほど、外から叩くだけでは届きにくい箇所に手が届きます。同時実行の競合や暗号の使い方などは、その典型です。

診断と診断の間に、何が起きているか

年に1回の診断は、実施した時点の状態を確かめる作業です。裏を返すと、次の診断までのおよそ1年は確かめていないことになります。

この期間に起きることは3種類あります。ひとつは、資産のほうが増えることです。部署ごとに立てたサブドメイン、検証用に公開したままのサーバー、統合した子会社のドメイン。前回の診断のときには存在しなかったので、報告書には載っていません。

もうひとつは、脆弱性のほうが増えることです。コードを1行も変えなくても、使っているミドルウェアに新しい脆弱性が公表されれば、昨日まで問題として認識されていなかったサーバーが、今日から既知の攻撃対象になります。診断当日に「問題なし」だった構成が、3か月後に攻撃可能になっていることは珍しくありません。

3つめは、システム自体が変わることです。機能を足す、設定を変える、権限の付け方を見直す、外部のサービスと繋ぐ。外から見て分かるのはその一部で、権限の境界や業務ごとの規則がどう変わったかは、外形からは判断できません。

診断が無駄という話ではありません。深く見るには人の手が要ります。ただ、深く見る作業と、間を空けずに見る作業は別の仕事で、片方をもう片方で代用できないというだけです。

継続的に見るほうの価格帯

外部に公開されている資産を継続的に見つけて監視する形は、アタックサーフェスマネジメント（ASM）と呼ばれます。こちらは月額で提供されていて、金額の出方が変わります。

国内で価格を公開しているサービスを見ると、セルフサービス型は月額数万円から、担当者による運用支援が付くサービスは月額10万円を超えるものがあります。ただし価格を公開していないサービスも多く、その場合は問い合わせるまで金額が分かりません。

表3：1回の診断と、継続監視で確認するもの

継続監視の側で「候補」と書いたのは、検出と実証が別の工程だからです。実際に攻撃が成立するかを確かめる工程は PentaTrail では CTEM 側の機能で、条件に合うものだけが対象になります。ASM の範囲は発見と検出までです。

同じ「セキュリティにいくら払うか」という問いに、価格帯の違う2つの答えがあることになります。 帯は重なる部分もあるので、金額だけを並べても選べません。比べるべきは金額そのものではなく、その金額で何が確かめられるのかのほうです。

継続監視で見えるのは、認証の手前まで

PentaTrail を含む外部観測型の ASM は、基本的にログインせず到達できる範囲を継続監視します。ログインが必要な画面については、そこに認証の壁があることまでは分かりますが、中に入って画面遷移を追うところまではやりません。

PentaTrail も同じで、認証が要るパスは「ここは認証が要る」と記録して、その先には入りません。実際に攻撃が成立するかを確かめる工程も、遠隔から非破壊で行う設計なので、データを書き換える経路は踏みません。仕様を預かっているわけでもないため、上に挙げた「その業務では許されないはずの操作」も判定の対象外です。会員向けの機能や管理画面の中身を確かめたいなら、認証情報を預けて実施する診断が別に要ります。

社内からしか到達できないシステム、ソースコードや使っているライブラリの一覧、社員の端末、ID 基盤やクラウドの管理画面は、外から観測する形では扱えません。別に連携を用意しない限り対象外です。資産の発見も、登録したドメインを起点に外形から辿る方式なので、関係が外から見えない別のドメインは、こちらから足していただく必要があります。

つまり継続監視が扱っているのは、攻撃者が最初に触れる面です。入口の数と状態は毎日変わるので継続的に見る形が向いていて、認証を通った先の作り込みは、変更のたびに深く見る形が向いています。同じ「診断」という言葉で呼ばれていても、この 2 つは守っている場所が違います。

どう組み合わせるか

どちらか一方を選ぶ問題ではなく、順番で考えるほうが実務に合います。

外部に公開されている資産の全体を対象に診断範囲を決める場合、そもそも外から見えている資産の一覧が揃っておらず、対象が決まらないと見積もりも立ちません。継続監視は対象を自分で見つけるところから始まるので、範囲を決める材料になります。

一覧ができて、どこが重要かの見当が付いてから、深く見るべき箇所に人手の診断を当てる。この順なら、診断の見積もりも「全部見てください」ではなく範囲を決めた形で頼めるので、金額が予測しやすくなります。ただし把握していなかった資産が出てくれば範囲は広がるので、必ず安くなるとは限りません。

値段を比べる前に、範囲が決まっているか

見積もりの幅は、業界の相場が曖昧だから出るのではなく、何をどこまで見るかが会社ごとに違うから出ます。金額を横に並べても比較にはならず、単位と深さと診断後のサポートを揃えて初めて、高い安いの話ができるようになります。

その範囲を決めるには、外から見えているものの一覧が先に要ります。順番が逆のまま進んだ見積もりは、後から膨らみがちです。

PentaTrail は ASM を月額40,000円、CTEM を月額68,000円で提供していて、金額も含まれる範囲も登録前に公開しています。14日間は無料で、自社のドメインを入れると外から見えている資産の一覧が出ます。

• 料金の詳細
• アタックサーフェスマネジメント（ASM）とは
• CTEMとは：従来の脆弱性管理との違いと使い分け

費用レンジは、2026年8月4日時点で国内の脆弱性診断事業者が公開していた価格情報をもとに整理しています。対象範囲や診断方式により、実際の見積もりは異なります。PentaTrail の金額は公式の提供価格です。