Written by WizLANSCOPE編集部
目 次
「脆弱性診断を実施したいが、費用がいくらかかるのか見当がつかない」「見積もりを取ったら想像以上に高額で、予算を確保できない」といった悩みを抱える企業・セキュリティ担当者は少なくありません。
脆弱性診断は自社のセキュリティリスクを把握するために欠かせない取り組みですが、診断範囲や手法によって費用が数十万〜数百万円以上と大きく変動するため、予算確保が最初の大きなハードルになりがちです。
そこで本記事では、脆弱性診断の費用相場や価格を左右する要因、価格を抑えるポイントをわかりやすく解説します。
また本記事では、複雑な見積もりや契約手続きが不要なLANSCOPE プロフェッショナルサービスの「脆弱性診断パッケージ」もご紹介します。
初めて脆弱性診断を実施する方や、予算・納期に課題をお持ちの企業・組織の方はぜひご一読ください。
脆弱性診断とは
脆弱性診断とは、Webサイトやアプリケーション、ネットワークなどを調査し、バグや設計上の欠陥（脆弱性）を特定する取り組みです。
多くのサイバー攻撃は、修正されずに放置された脆弱性を悪用してシステムに不正アクセスしたり、マルウェアを感染させたりします。
そのため、企業・組織には、攻撃者に悪用される前に脆弱性を検出し、迅速に修正（パッチ適用など）をすることが求められます。
あらゆるソフトウェアには、開発段階で見落とされた不具合や脆弱性が潜んでいる可能性があり、また、運用を続ける中で新たな脆弱性が発見されることも珍しくありません。
つまり、脆弱性診断は一度実施して終わりにするのではなく、定期的に実施することが重要です。
脆弱性診断を実施する頻度について、より詳しく知りたい方は、下記の記事をあわせてご確認ください。
ツール診断と手動診断の違い
脆弱性診断の手法は、大きく「ツール診断（自動）」と「手動診断」の2つに分けられます。費用や診断精度が異なるため、それぞれの特徴を理解して使い分けることが重要です。
ツール診断は、専用の診断ツールを使用して、あらかじめ設定されたルールに基づいて、システムを自動でスキャン・検査する方法です。
短時間かつ比較的低コストで広い範囲を確認できるため、日常的なチェックや定期診断に適しています。
一方で、システム固有の仕様や複雑な処理に関する脆弱性は、検出が難しいケースがあります。
対して手動診断は、セキュリティの専門家が、システムの設計や仕様を考慮しながら、手作業で脆弱性を調査する方法です。
認証不備や業務処理の仕組みを悪用する攻撃など、ツール診断では検出が難しい高度な脆弱性まで検証できるメリットがあります。
ただし、ツール診断と比べて費用が高くなりやすく、診断日数もかかる傾向があります。
そのため、定期的な日常チェックには「ツール診断」を活用し、個人情報を扱う重要なシステムや新規サービス公開などには「手動診断」を活用するなど、タイミングや目的に応じて使い分けることが推奨されます。
診断方法別の費用相場
脆弱性診断の実施を検討する際に、「診断費用」が論点となるケースは少なくありません。
脆弱性診断の費用は、診断の「範囲」や「手法」によって大きく変動するため、費用相場や見積もりの仕組みを理解し、自社の要件に沿っているかを確認した上で検討することが重要です。
ここでは、ツール診断と手動診断それぞれの費用相場と、価格が変動する要因について解説します。
ツール診断の費用相場
セキュリティベンダーが提供する診断ツールを使用する場合、費用相場は数万円から数十万円程度です。
自動化された診断ツールを用いてスキャンを行うため、専門家の手作業による工数を抑えやすく、比較的低コストで実施できる特徴があります。
ただし、診断対象となるWebページの数やIPアドレスの数が多い場合、診断範囲によっては100万円以上になることもあります。
なお、無料で利用できる簡易的な診断ツールもありますが、セキュリティベンダーが提供する有償ツールと比べると、検出できる脆弱性の種類が限定的な傾向があります。
手動診断の費用相場
手動診断の費用相場は、数十万円から数百万円程度です。
セキュリティの専門家がシステムの仕様や処理内容を個別に確認しながら診断するため、ツールでは検出が難しい複雑な脆弱性を調査しやすいメリットがあります。
一方で、作業時間や専門的な人件費が発生するため、ツール診断よりも高額になる傾向があります。
特に、ログインや決済などの複雑な機能が多い場合や、詳細な報告書の作成、修正後の再診断などをあわせて依頼する場合は、費用が膨らみやすいです。
脆弱性診断の費用が変わる要素
脆弱性診断の費用は、対象となるシステムの規模や診断範囲、診断方法、付随するサポート内容によって変動します。
そのため、見積もりを検討・比較する際は、金額だけでなく、どこまでの診断項目や支援内容が含まれているかを確認することが重要です。
ここでは、費用を左右する代表的な要素を解説します。
診断対象・診断範囲
診断対象や診断範囲は、費用を大きく左右する要素のひとつです。
例えば、Webアプリケーション診断における「対象ページ数や機能数」、ネットワーク（プラットフォーム）診断における「サーバーやIPアドレスの数」など、対象範囲が増えるほど、作業工数は増加し、費用が嵩んでいきます。
また、Webアプリケーションだけでなく、クラウド環境やネットワーク機器まで対象に含める場合も、診断範囲が広がるため全体の費用が高くなる傾向があります。
診断の深さ
ここでいう「診断の深さ」とは、脆弱性診断においてどこまで詳細に調査・検証を行うかを指します。
既知の脆弱性の網羅的な検出や簡易的な現状把握が目的であれば、自動化された診断ツールでの対応が可能なため、費用を低コストに抑えやすいです。
一方で、ログインや決済といった複雑な機能、システム固有のロジックに潜む問題まで詳しく検証する場合は、セキュリティの専門家が実際にシステムを操作しながら機能や挙動を一つひとつ確認する必要があるため、工数が発生し、そのぶん費用も高くなります。
報告書・再診断などのサポート内容
報告書やサポート内容も、費用に影響する要素のひとつです。
例えば、診断結果をまとめた報告書の詳細度や、専門家による報告会の実施、検出された問題への具体的な改善方法の提案、診断後の問い合わせ対応といったサポート範囲は、ベンダーやプランによって異なり、費用にも反映されます。
また、脆弱性を修正した後に問題が解消されたかを確認する「再診断」も、同様に費用へ影響する要素です。
脆弱性診断は「問題を発見して終わり」ではなく、「検出された脆弱性を確実に修正し、安全な状態にすること」が本来の目的です。
そのため、万が一脆弱性が検知された場合に、修復後の再検証（再診断）までをベンダーに依頼するのか、あるいは自力で行う体制があるのかを事前に整理しておくことは、診断の目的を達成する上でも重要な考慮ポイントといえます。
このように、脆弱性診断を検討する際は、「費用」だけでなく、自社に必要な要素が含まれているかを検討することが重要になります。
では、具体的にどのような項目を整理した上で脆弱性診断を選べばいいのかを、次の見出しで確認していきましょう。
ミスマッチを防ぐための脆弱性診断サービスの選び方
脆弱性診断サービスを選ぶ際は、費用だけでなく、自社が確認したい範囲に対応しているか、および必要な精度で診断を実施できるかを確認することが重要です。
ここでは、脆弱性診断サービスを比較検討する際に見るべき主なポイントを4つ紹介します。
- 診断できる対象
- 診断できる範囲
- 診断精度・診断方法
- 報告書のわかりやすさ
- ベンダー実績・サポート体制
それぞれの項目において、あらかじめ自社が求める要件を整理しておくことで、実施後の要件の過不足やミスマッチを防ぎやすくなります。
それぞれのポイントを詳しくみていきましょう。
診断できる対象
脆弱性診断は、ベンダーやプランによって対応できる診断対象が異なります。
Webアプリケーションやネットワーク（プラットフォーム）、サーバー、OS、クラウド環境、ソースコードなど、まずは自社でセキュリティ状況を把握したい対象を洗い出しましょう。
そのうえで、検討しているサービスが必要な診断対象に対応しているかを確認することが重要です。
診断できる範囲
診断対象（Webアプリケーションなど）が決まったら、次に「その対象のどこからどこまでを診断するか」という具体的な診断範囲（規模）を確認しましょう。
例えば、Webアプリケーション診断では「画面遷移数（遷移数・機能数）」、ネットワーク診断では「IPアドレス（ホスト）数」や「ドメイン数」などが、診断範囲を決める基準として用いられます。
検討しているプランや見積もりで、どの程度の範囲までカバーできるのかを把握しておくことが重要です。
診断したい範囲がプランの上限を超えると、追加費用が発生したり、一部の重要な機能が診断対象から外れたりする可能性があるため、診断範囲の数え方や上限についても、事前に確認しておきましょう。
診断精度・診断方法
前述の通り、診断方法によって診断の精度や特徴は異なります。
そのため、検討しているサービスがツール診断のみか、あるいは専門家による手動診断にも対応しているかを確認することが重要です。
例えば、広範な領域を効率的に確認したい場合はツール診断、認証や権限管理といった複雑な仕様・ロジックまで深く調査したい場合は手動診断など、目的に応じてどの手法が適しているかは変わります。
どちらを選択すべきか判断が難しい場合は、ツール診断と手動診断の双方に対応しているベンダーを検討することも一つの方法です。自社の要件やシステム環境に適した診断方法について、専門家に相談することができます。
報告書のわかりやすさ
診断対象の量が多かったり、診断内容が複雑であったりする場合、その分、報告書も専門性が高い難解な内容になりやすい傾向があります。
一方で、その報告書をもとに修復作業を進めたり、社内で状況を共有したりする場合、内容を十分に理解できないために、その後の対応が滞ってしまう問題も生じやすいです。
そのため、診断結果だけでなく、脆弱性の危険度や影響範囲、具体的な修復手順まで分かりやすく記載されている報告書が納品されるかどうかは、事前に確認しておくべきポイントのひとつです。
また、経営層向けのエグゼクティブサマリーと、開発・運用担当者向けの詳細情報が整理されている報告書が用意されている場合、診断後の社内報告や修復対応をよりスムーズに進めやすくなります。
ベンダーの実績・サポート体制
診断を担当するエンジニアの経験や保有資格、自社と同業種・同規模のシステムにおける診断実績も、品質を見極める重要な判断材料のひとつです。
また、診断結果の納品後に検出された脆弱性について個別に相談できる窓口があるか、具体的な修復方法の提案や修正後の再診断に対応しているかなど、診断完了後のサポート体制についても事前に確認しておくことが推奨されます。
ここまで解説した通り、脆弱性診断は実施して終わるものではありません。
診断によって見つかった課題を解消し、「脆弱性が放置されていない安全な状態」を維持するためにも、修復手順の提示や再診断への対応状況など、実施後のサポート範囲を確認し、自社が適切な対応を取れる体制を整えられるかを検討することが大切です。
脆弱性診断の費用を抑える方法
脆弱性診断を実施したくても、予算の確保が難しく、なかなか実施に踏み切れないケースも少なくありません。
そこで本記事では、脆弱性診断にかかる費用を抑えるために、事前に検討しておきたい3つのポイントを紹介します。
- 診断範囲を限定する
- ツール診断と手動診断を使い分ける
- 複数のベンダーから見積もりを取り、比較する
脆弱性診断の費用を抑えるには、単に価格の安さだけで判断するのではなく、自社に必要な診断範囲や手法を整理したうえで、目的や予算に合ったプランを選ぶことが大切です。
それぞれのポイントについて、詳しく見ていきましょう。
診断範囲を限定する
前述の通り、脆弱性診断は対象となるWebページや機能、サーバー、IPアドレスなどの数が多いほど、確認に必要な作業量が増え、費用も高くなる傾向があります。
そのため、すべてのシステムを一括で診断するのではなく、重要度やセキュリティ上のリスクが高い部分から優先して実施する方法が有効です。
例えば、ログイン機能や決済機能、個人情報を入力・管理する画面、管理者向けのページなどは、万が一攻撃を受けた際の影響が大きいため、優先的に診断を実施することが推奨されます。
ただし、診断範囲を限定しすぎると、対象外とした部分に脆弱性を見落とすリスクが残ります。
対象を絞り込む場合は、除外する部分のリスクを十分に整理し、必要に応じて段階的に診断範囲を広げていく計画を立てることが重要です。
ツール診断と手動診断を使い分ける
脆弱性診断の費用と品質を両立されるためには、「ツール診断」と「手動診断」を適切に使い分けることが重要です。
ツール診断は、一般的な脆弱性を短時間で広く確認できるため、比較的費用を抑えやすい特徴があります。
一方、手動診断は、ツールだけでは検出が難しい複雑な脆弱性を見つけられる反面、専門家の手作業が発生するため、費用が高くなる傾向があります。
費用を抑えるには、例えば一般的な設定不備や既知の脆弱性はツールで確認し、認証や権限管理、決済処理など、システム固有の仕組みについては手動で詳しく調査するといった方法が効果的です。
診断方法を適切に使い分けることで、診断の網羅性と精度を確保しながら、作業量や費用を抑えることにつながります。
複数のベンダーで見積もりを比較する
脆弱性診断は、同じシステムを対象とする場合でも、セキュリティベンダーによって料金や診断方法、報告書の内容、診断後のサポート範囲が異なります。
そのため、1社だけで判断せず、複数の会社から見積もりを取得して内容を比較することが重要です。
見積もりを比較する際は、提示された合計金額だけでなく、診断対象となるページ数や機能数、ツール診断と手動診断のそれぞれの範囲、報告書の構成、修復後の再診断が含まれているかといった内訳まで確認する必要があります。
一見すると安価に見えるプランであっても、報告書作成や再診断がオプション（別料金）扱いになっている場合があるため、追加費用を含めた「総額」で比較検討することが重要になります。
なお、初めて脆弱性診断を実施する場合は、診断対象や実施内容があらかじめパッケージ化された「定額サービス」を検討することもひとつの方法です。
あらかじめ診断対象や料金が明確に定義されているパッケージサービスであれば、専門的な知識が十分でない場合でも他社とのサービス内容を比較しやすく、社内の予算取りや稟議を通しやすいというメリットもあります。
初めての脆弱性診断なら「セキュリティ健康診断パッケージ」
初めて脆弱性診断を検討する場合、「何をどこまで診断すればよいのか」「どの程度の予算を確保すればよいのか」がわからず、サービス選びに迷うこともあるでしょう。
初めてだからといって、必要以上に診断範囲を広げたり、手動診断を多く取り入れたりすると、その分コストも高くなります。
初めての脆弱性診断では、まず重要なポイントに絞って自社のセキュリティリスクを確認するのもひとつの方法です。
そこでおすすめなのが、LANSCOPE プロフェッショナルサービスの「セキュリティ健康診断パッケージ」です。
「セキュリティ健康診断パッケージ」は、Webアプリケーション、ネットワーク、Microsoft 365を対象に、「ここだけは押さえておきたい」という重要なポイントに絞って診断するサービスです。
従来の脆弱性診断パッケージと比べて診断項目を厳選することで、低コストかつ短期間で利用できるよう設計されており、診断開始から報告書の納品まで最短5営業日で対応可能です。
診断範囲もあらかじめ設定されており、Webアプリケーション健康診断は「MOTEXが選定する重要画面5画面まで」、ネットワーク健康診断は「指定した1IPまで」、Microsoft 365健康診断は「1テナントまで」が対象です。
各サービスの診断範囲・診断手法・価格は以下の通りです。
| 診断対象 | 診断範囲 | 診断手法 | 価格 |
|---|---|---|---|
| Webアプリケーション | 5画面 | 手動＋ツール | 300,000円 |
| ネットワーク | 1IP | ツール | 200,000円 |
| Microsoft 365 | 1テナント（31項目） | ツール | 360,000円 |
診断範囲や項目を重要なポイントに絞り、診断対象に応じてツールも活用することで、費用を抑えながらセキュリティ上のリスクを確認できる点が特長です。
また、診断後には結果をまとめた報告書が提供されるほか、報告書の内容について質問できる問い合わせサポートも用意されています。
そのため、「初めて脆弱性診断を受けるので、まずは重要なリスクを確認したい」「できるだけ予算を抑えて脆弱性診断を実施したい」といった企業にも利用しやすいサービスです。
サービス詳細についてより詳しく知りたい方は、下記のページをご確認ください。
より広い範囲を診断したい場合は「脆弱性診断パッケージ」
「セキュリティ健康診断パッケージ」で設定されている範囲を超えて診断したい場合や、より多くの項目を対象に診断したい方に向けて、「脆弱性診断パッケージ」もご用意しています。
LANSCOPE プロフェッショナルサービスの「脆弱性診断パッケージ」は、提供するセキュリティサービスの中から、企業の課題解決につながるものを厳選し、一定の仕様・価格で提供するパッケージ製品です。
例えば、Webアプリケーションは10画面、ネットワークは10IPを対象とするパッケージが用意されており、セキュリティ健康診断パッケージよりも広い範囲を診断できます。
また、サービス内容や提供条件は「パッケージ権利書 兼 仕様書」にまとめられており、製品購入の形式で提供されます。価格も一律で設定されているため、事前に必要な予算を把握しやすく、一般的な業務委託形式と比べて契約手続きの負担を軽減できる点も特長です。
購入後は、権利書に記載された利用期間内で診断時期を調整できるため、システムの開発状況や社内スケジュールに合わせて実施できます。
まずはコストを抑えながら重要なポイントを確認したい場合は「セキュリティ健康診断パッケージ」を検討し、診断したい範囲や項目がパッケージの対象を超える場合は「脆弱性診断パッケージ」もあわせて検討するとよいでしょう。
まとめ
本記事では「脆弱性診断の費用」をテーマに、費用相場や費用が変わる要素、費用を抑えるための方法などを解説しました。
本記事のまとめ
- 多くのサイバー攻撃では、修正されずに放置された脆弱性が悪用されるため、定期的に脆弱性診断を実施し、悪用される前に迅速に対策を講じることが重要
- セキュリティベンダーが提供する診断ツールを利用する場合の費用相場は数万円～数十万円程度であり、専門家による手動診断の費用相場は数十万円から数百万円程度
- 脆弱性診断の費用は、「診断対象・診断範囲」「診断の深さ」「報告書・再診断などのサポート内容」などによって変動する
- 脆弱性診断の費用を抑えるアプローチとしては、「診断範囲を限定する」「ツール診断と手動診断を使い分ける」「複数の会社から見積もりを取得して比較する」といった方法が有効
診断対象を必要以上に広げたり、すべての項目を手動で診断したりすると、費用が高額になる可能性があります。一方で、費用を優先して診断内容を絞りすぎると、重要な脆弱性を見落とすリスクが残ります。
そのため、システムの重要度や取り扱う情報、想定されるリスクを踏まえて優先順位をつけ、自社に必要な診断範囲や手法を見極めることが重要です。適切な診断内容を選ぶことで、必要なセキュリティ水準を確保しながら、費用を抑えやすくなります。
しかし、初めて脆弱性診断を依頼する場合、「どこまで診断すればよいのか」「どの診断手法を選べばよいのか」「どの程度の費用がかかるのか」などを自社だけで判断するのは難しいこともあります。
LANSCOPE プロフェッショナルサービスでは、初めて脆弱性診断を実施する企業でも利用しやすいよう、重要なポイントに絞って低コスト・短期間で診断できる「セキュリティ健康診断パッケージ」を提供しています。
Webアプリケーション、ネットワーク、Microsoft 365を対象に、診断範囲や項目があらかじめ設定されているため、「まずはコストを抑えて、自社のセキュリティリスクを確認したい」という場合にもおすすめです。
また、より広い範囲・項目を診断したい場合には、「脆弱性診断パッケージ」も用意しています。自社で診断範囲や手法を一から検討することが難しい場合は、こうしたパッケージの活用もぜひご検討ください。
おすすめ記事
