脆弱性診断の費用相場【2026年】種類別の料金と依頼先の選び方

脆弱性診断の費用は「何を、どこまで」で決まる

「脆弱性診断っていくらかかるんですか？」と聞かれたとき、正直な答えは「数万円から数百万円まで」です。幅が広すぎて参考にならない、と思われるかもしれませんが、これには理由があります。

脆弱性診断は、診断する対象（Webアプリ、サーバー、スマホアプリ、クラウド）と、診断のやり方（ツールで自動、専門家が手動）の組み合わせで、まったく別のサービスになるからです。会社案内のサイトに付いた問い合わせフォームを機械的にチェックするのと、会員情報や決済を扱うECサイトを専門家が何週間もかけて調べるのとでは、作業量が桁違いです。

この記事では、公開されている各社の料金情報や相場の解説をもとに、2026年11月時点の費用感を種類別に整理しました。そのうえで、見積もりが変わる要因と、依頼先の選び方を解説します。

なお、Swaaab自身は脆弱性診断を実施していません。AI導入やシステム開発でセキュリティを設計する立場として、診断が必要な場面では提携する専門会社をご紹介しています。この記事も「依頼する側」の目線で書いています。

---

脆弱性診断の種類

まず、よく使われる区分を押さえておきます。

対象による分類

• Webアプリケーション診断：Webサイトの問い合わせフォーム、ログイン、会員ページ、EC機能など、利用者が操作する部分を調べる。SQLインジェクションやクロスサイト・スクリプティングなど、IPA「安全なウェブサイトの作り方」で扱われる脆弱性が中心

• プラットフォーム診断（ネットワーク診断）：サーバーやネットワーク機器のOS、ミドルウェア、開いているポート、設定の不備を調べる

• スマートフォンアプリ診断：iOS・Androidアプリの通信や端末内のデータの扱いを調べる

• クラウド設定診断：AWS、Azure、Google Cloudなどの設定ミス（公開範囲、権限）を調べる

やり方による分類

• ツール診断：診断ツールで自動的に検査する。安く速いが、誤検知や見落としがある

• 手動診断：専門の技術者がツールの結果を確認しつつ、手作業で検査する。ログイン後の画面や、業務の流れに依存する不備（権限のチェック漏れなど）も見つけやすい

• ペネトレーションテスト：「社内ネットワークに侵入して機密情報にたどり着けるか」のように、攻撃者の目線で目的達成まで試す。脆弱性を網羅的に洗い出す診断とは目的が違う

---

脆弱性診断の費用相場一覧

複数の診断会社・専門メディアが公開している相場情報を突き合わせると、おおよそ次の幅に収まります。あくまで目安で、特定の会社の価格表ではありません（2026年11月時点）。

| 診断の種類 | 費用の目安 | 主な見積もりの単位 | |---|---|---| | ツール診断（自社でSaaS・ツールを使う） | 無料（オープンソース）〜月額数千円〜数万円 | ドメイン・FQDN数、月額・年額 | | Webアプリ診断（ツール中心、診断会社が実施） | 10万〜30万円程度 | 画面数・リクエスト数 | | Webアプリ診断（手動、小〜中規模） | 数十万〜150万円程度 | 画面数・リクエスト数 | | Webアプリ診断（手動、大規模） | 150万〜300万円以上 | 画面数・リクエスト数 | | プラットフォーム診断 | 小規模（IP数件程度）で10万〜30万円程度から | IPアドレス数 | | スマホアプリ診断 | 片OSで50万〜150万円程度 | 画面数・機能数・OS数 | | クラウド設定診断 | 30万〜80万円程度（詳細な診断はさらに上） | アカウント数・サービス数 | | ペネトレーションテスト | 50万〜数百万円以上 | シナリオ・期間 |

Webアプリ診断は、画面数やリクエスト数（サーバーに送る操作の種類）をもとに見積もる会社が多いです。ただし1画面・1リクエストあたりの単価は会社ごとの差が大きく、公開情報でも数千円から数万円までばらつきがあります。単価だけで比べず、総額と診断範囲をセットで見てください。

ツールの価格の具体例

自社でツールを使う場合の参考として、公式サイトで価格が公開されている例を挙げます（2026年11月時点）。

| ツール | 価格 | 備考 | |---|---|---| | ZAP（旧OWASP ZAP） | 無料 | オープンソースのWeb診断ツール。使いこなすには知識が必要 | | Burp Suite Professional | 499米ドル（1ユーザー・年額） | 専門家が手動診断で使う定番ツール | | Securify（脆弱性診断 Starter） | 月額5万円（1 IP/FQDN、年間契約） | 継続的に自動診断するクラウドサービス |

無料のツールでも診断自体はできますが、結果の読み解き（誤検知か本物か、どれくらい危険か）には専門知識が要ります。「ツールを回したが、レポートの意味がわからず放置」では意味がないので、社内に詳しい人がいない場合は、診断会社のツール診断＋解説付きのプランを選ぶほうが結果的に安く済むことがあります。

---

見積もりの金額が変わる要因

同じ「Webアプリ診断」でも見積もりが大きく違うのは、主に次の要因によります。

1. 診断範囲（画面数・IP数）

いちばん大きい要因です。会社案内サイトでフォームが1つだけなら範囲は小さく、会員登録・マイページ・管理画面・決済まであると一気に増えます。「全部」ではなく、個人情報や決済を扱う画面に絞るだけで費用は大きく下がります。

2. 手動かツールか

手動診断は技術者の作業時間がそのまま費用になります。ツール診断と手動診断を組み合わせた「ハイブリッド」で、重要な画面だけ手動にするプランを用意している会社もあります。

3. ログインや権限の種類

一般会員、管理者、店舗スタッフなど、権限の違うユーザーごとに「見えてはいけない情報が見えないか」を確認すると、その分だけ工数が増えます。逆に言えば、情報漏えいの事故はこの「権限のチェック漏れ」で起きることが多いので、削りすぎないほうがいい部分です。

4. 再診断の有無

診断で見つかった脆弱性を修正したあと、直ったかを確かめる再診断が料金に含まれるか、別料金かは会社によって違います。「報告から3ヶ月以内に1回まで無料」のような条件付きのことが多いので、見積もり時に確認してください。

5. 報告書とサポート

脆弱性の一覧だけか、危険度の評価・修正方法・経営層向けの要約まで付くか。報告会の有無、修正方法についての質問を受け付けてくれるかでも差が出ます。

6. 日程と環境

土日・夜間の診断、短納期、本番環境での実施（業務への影響に配慮が必要）などは追加費用になりやすい項目です。

---

費用を抑えるコツ

• 対象を絞る：まずは個人情報・決済・ログインのある画面から。静的なページは後回しでいい

• ステージング環境を用意する：本番と同じ構成のテスト環境で診断すれば、夜間対応などの追加費用を避けやすい

• 定期的な診断はツール、重要な節目は手動：日常的な確認はツール診断の月額プラン、新機能の公開前や大きな改修後は手動診断、と使い分ける

• 基本対策を先に済ませる：CMSやプラグインが古いまま診断を受けると、既知の脆弱性が大量に見つかるだけで終わってしまいます。更新やWAFの有効化など、基本的な対策は先に済ませておきましょう（Webサイトのセキュリティ対策、WordPressのセキュリティ対策）

また、そもそも攻撃される部分を減らすという選択肢もあります。管理画面やデータベースを公開サーバーに置かない静的サイト（SSG）にすると、診断が必要な範囲はフォームや外部連携の部分に絞られます。

---

依頼先の選び方

IPAの「情報セキュリティサービス基準適合サービスリスト」を確認する

診断会社選びで最初に使いたいのが、IPAが公開している情報セキュリティサービス基準適合サービスリストです。経済産業省が定めた「情報セキュリティサービス基準」に適合していると審査登録機関に確認されたサービスの一覧で、「脆弱性診断サービス」の区分があります。

IPAはリストに載っていることが品質を保証するものではない、としていますが、一定の基準（技術者の要件、品質管理の体制など）を満たしているかの目安にはなります。官公庁の調達でも参照されているリストです。

比較するときのチェックポイント

| 確認項目 | 見るべきポイント | |---|---| | 診断範囲 | 画面・IP・機能のうち、どこまでが見積もりに含まれるか | | 手法 | ツールのみか、手動を含むか。手動の場合、どの画面が対象か | | 診断基準 | IPA「安全なウェブサイトの作り方」やOWASPなど、何を基準に診断するか | | 報告書 | サンプルを見せてもらえるか。修正方法まで書かれているか | | 再診断 | 料金に含まれるか。回数と期限 | | 実績と体制 | 同じ業種・規模の実績、担当技術者の経験 | | 事前の調整 | 診断日程、サーバー会社への事前連絡、障害時の連絡体制 |

診断の前に確認しておくこと

レンタルサーバーやクラウドを使っている場合、サービスの規約で診断（大量のアクセス）の事前申請が求められていることがあります。申請なしで診断すると、攻撃と判断されて通信が遮断されることもあるので、利用中のサービスの規約を確認し、必要なら診断会社と調整してください。

また、診断の結果見つかった脆弱性を誰が直すのかも事前に決めておくべきです。制作会社や開発会社との保守契約に、診断結果への対応が含まれているかを確認しておきましょう。

---

脆弱性診断が必要なタイミング

• 新しいWebサービスやアプリを公開する前

• 会員機能・決済・個人情報を扱う機能を追加したとき

• システムの大きな改修・リニューアルのあと

• 取引先や親会社からセキュリティ対策の証明を求められたとき

• 年1回などの定期点検

逆に、会社案内だけの静的なサイトで、フォームも外部サービスを使っているような場合は、まず基本対策とツール診断で十分なことも多いです。会社全体として何から手をつけるべきかは中小企業のセキュリティ対策ガイドを参考にしてください。

---

まとめ

• 脆弱性診断の費用は、ツール診断なら無料〜数十万円、手動のWebアプリ診断で数十万〜数百万円が目安

• 金額を左右するのは、診断範囲（画面数・IP数）、手動かツールか、権限の種類、再診断と報告書の内容

• 対象を個人情報・決済・ログインのある画面に絞り、基本対策を先に済ませると費用を抑えやすい

• 依頼先はIPAの「情報セキュリティサービス基準適合サービスリスト」を起点に、報告書のサンプルと再診断の条件で比べる

SwaaabのAIセキュリティ対策支援では、AI導入やシステム開発でのセキュリティ設計、社内ルールづくり、社員研修を行っています。脆弱性診断やペネトレーションテストが必要な場合は、ご要望を整理したうえで提携する専門会社をご紹介し、診断範囲の決め方や結果への対応もあわせてご支援します。「どの診断が必要なのかわからない」という段階でも構いませんので、お問い合わせからご相談ください。