目次 主要な脆弱性診断２種（Webアプリケーション診断・プラットフォーム診断）とその違いとは 脆弱性診断の費用相場の考え方と「費用の決まり方」 よくあるケースと費用感 できるだけ安く、でも失敗せず依頼する「4つのポイント」 脆弱性診断実施の稟議・社内説明で押さえたいポイント 脆弱性診断をスムーズに進めるために、見積依頼前に整理しておくこと 自社に合う脆弱性診断を選ぶには、まず対象整理から始めることが重要

　

---

企業におけるＩＴシステムの脆弱性（ぜいじゃくせい）診断の費用の考え方は、「何（診断対象機器や診断の項目）を診断するべきか」「どこまでを対象にするのか」の決定によって大きく異なります。
ひとくちに脆弱性診断といっても、診断対象や診断方法が違えば見積金額も変わります。漠然と見積金額だけを見るのではなく、見積もりを依頼する前に診断対象や診断項目、診断方法を整理しておくことが欠かせません。

この記事では、企業におけるＩＴシステムを対象とした脆弱性診断の費用を考えるときに押さえておきたいポイントを、社内調整や発注実務の視点まで交えて分かりやすく解説します。

1.主要な脆弱性診断２種（Webアプリケーション診断・プラットフォーム診断）とその違いとは

脆弱性診断の費用を考えるとき、最初に整理しておきたいことは「何を診断するのか」という点でしょう。
一般的な脆弱性診断には、以下のように大別することができます。

• Webアプリケーション脆弱性診断
• プラットフォーム診断
• クラウド設定診断（CSPM）
• ソースコード診断

本記事では、企業ITシステムと関わりの深い「Webアプリケーション診断」と「プラットフォーム診断」に注目してみましょう。
同じ「脆弱性診断」でも、診断箇所も、発見するべきリスクも、必要な工数も違います。これらの要因が、費用感の差につながります。

まずは、それぞれがどのような診断なのかを整理しておきましょう。

Webアプリケーション診断とは

Webアプリケーション診断は、企業のウェブサイトや宿泊予約などのWebサービスのうち、利用者が実際に操作するアプリケーション部分を対象とする診断です。
たとえば、ログイン機能、入力フォーム、検索機能、会員登録、決済機能、管理画面などが主な対象になります。

この診断では、画面や機能の動き、入力値の扱い、権限の制御などを確認しながら、アプリケーション層に潜む脆弱性を検査します。
代表的な脆弱性としては、SQLインジェクション、クロスサイトスクリプティング（XSS）、認可不備、セッション管理の不備などがあります。

たとえば、本来は利用者本人以外が見られないはずの情報に別ユーザーがアクセスできてしまうことや、入力欄を悪用されて不正なプログラムが実行される、といった深刻な問題は、Webアプリケーション診断で重点的に確認したいポイントでしょう。
会員サイト、予約サイト、ECサイト、問い合わせフォーム付きの企業サイトなど、顧客情報の入力やアカウント認証が関わるWebサービスでは必須の診断といえます。

プラットフォーム診断とは

プラットフォーム診断は、サーバーやネットワーク機器などのITインフラ基盤部分を対象にした診断です。
たとえるなら、Webサイトやシステム全体を支える土台に問題がないかを確認するイメージです。

診断対象には、外部公開サーバー、ファイアウォール、VPN機器、ルーター、ロードバランサーなどが挙げられます。
プラットフォーム診断では、不要な通信ポートが公開されていないか、利用中のOSやミドルウェアに既知の脆弱性が残っていないか、といった点を診断検査していきます。
たとえば、使っていない通信ポートが外部に公開されている、パッチ未適用のミドルウェアが残っている、といったリスクはプラットフォーム診断で把握しやすい内容でしょう。

Webアプリケーションそのものよりも、ITシステムにおける公開基盤やネットワークの状態を確認したい場合には、プラットフォーム診断が中心になります。

Webアプリケーション診断とプラットフォーム診断、どちらを選ぶべきか？

Webアプリケーション診断とプラットフォーム診断のどちらが必要かは、企業保有するITシステムの状況によって変わるでしょう。

たとえば、会員機能や入力フォームなどからWebサービスの脆弱性を突かれることで顧客情報の漏洩などが危惧される場合は、顧客影響のリスクを踏まえ、Webアプリケーション診断を優先することを推奨します。
一方で、VPNやファイアウォールといった外部に公開されたネットワーク機器は攻撃の対象となる機会も多いため、導入から脆弱性の確認を実施できていない場合には、優先してこれらを含むプラットフォーム診断を実施するのが良いでしょう。

また、実際にはどちらか一方だけの診断で十分とは限らない場合もあるでしょう。
たとえば、外部公開しているWebサービスであれば、アプリケーション側の問題とプラットフォーム基盤側の問題の両方を確認するべきケースも少なくありません。

だからこそ、脆弱性診断をひとまとめに考えるのではなく、自社ITシステムの構成を踏まえ、まずはどのリスクを見たいのか、どこまでを診断対象にするべきなのかを切り分けることが大切でしょう。
この整理ができていると、脆弱性診断の費用も考えやすくなり、見積もりの比較もしやすくなります。

脆弱性診断サービスの詳細はこちら

2.脆弱性診断の費用相場の考え方と「費用の決まり方」

前章にあるように脆弱性診断の費用を考えるときは、単純に「いくらが相場か」だけを見るのではなく、自社ITシステムの構成を踏まえ、どのリスクを見たいのか、どこまでを診断対象にするべきなのかを整理することが大切なポイントです。
診断対象や確認範囲が違えば、診断にかかる工数は大きく変わるため、見積時の費用にも幅が出やすくなります。

特に、Webアプリケーション診断とプラットフォーム診断では、費用の決まり方が異なる傾向があるようです。
ここでは、それぞれの費用がどのような要素で変わるのかを整理します。

Webアプリケーション診断、プラットフォーム診断に共通する要素

まずは、Webアプリケーション診断とプラットフォーム診断のどちらの費用にも共通して影響がある要素です。

改修後の再診断の有無

初回診断だけ実施か、改修後の再診断まで含めるのかによって、見積もりの中身は変わります。
改善確認まで含めたい場合は、その前提で費用を見ておく必要があるでしょう。

診断方法

診断サービスを利用時、インターネット経由での診断とするのか、ベンダー側の作業員が現地訪問よる診断とするかによって現地作業分の工数が増える分、作業費用が増加場合もあるようです。

Webアプリケーション診断の費用は何で決まるか

Webアプリケーション診断の費用は、ツールでの診断か有人での手動診断かによって確認に必要な情報が変更になる場合がありつつも、主にWebページの画面数や機能の数によって変わることが一般的なようです。
また、機械的な確認だけでなく、実際の挙動を追いながら手動で丁寧に確認する範囲（手動診断の深さ）が広いほど、必要な工数と費用が増える仕組みが多いようです。

画面数と機能数

閲覧だけのシンプルなページか、入力フォームや決済など複数の機能があるかによって確認項目（工数）が大きく変わるようです。

ログインや認証機能の有無

ログイン後のマイページや、権限別の表示切り替えまで含む場合は認証・認可の挙動を追うため工数が増える傾向があるようです。
また、アプリケーションが用いる認証方式によっては、ベンダー側で対応できないケースも存在するため、事前に利用している診断方式についても確認することをおすすめします。

決済機能の有無

重要度が非常に高く、入力値の扱いや遷移の整合性を慎重に確認するため、診断の負荷が上がりやすいです。

API連携機能の有無

外部サービスや他システムとのAPI連携がある場合は、画面だけでなく通信や連携部分まで考慮が必要になるようです。

管理画面機能の有無

管理画面は一般画面よりも権限が強く操作が集中するため、問題があった場合の影響が大きくなります。対象に含めるかで費用感は変わりやすいでしょう。

プラットフォーム診断の費用は何で決まるか

プラットフォーム診断の費用は、主に対象となる基盤上にある機器のIPアドレス数と診断時のアクセス方法によって決まるようです。

対象IPアドレス数・サーバー数

外部から確認すべきIPアドレスやサーバー台数が増えるほど、確認すべきOSや公開設定が増え、費用も上がるでしょう。

ネットワーク機器数・公開範囲

ファイアウォールやVPN機器、ロードバランサーなどが対象に含まれ、こちらも対象となる機器台数が増えるほど診断工数も増える傾向があるようです。

	費用を左右する要素
共通	再診断有無、診断方法
Webアプリケーション診断	主にWebページの画面数や機能の数、利用している機能の種類
プラットフォーム診断	主に対象となる基盤上にある機器のIPアドレス数

3.よくあるケースと費用感

費用感の具体的なイメージをつかみやすいように、クロス・ヘッドの知見を踏まえた4つの参考事例をご紹介します。
対象の規模や構成によって費用感の幅があることがお分かりいただけるかと思います。一例としてご参考にしていただけますと幸いです。

A社のケース：取引先へのセキュリティ対応状況の回答

業種	製造業
課題	取引先へのセキュリティ対応状況の回答のため、外部公開しているITシステムの設定不備や既知の脆弱性がないかを最低限確認したい
診断内容	公開サーバー（1台）、VPN/FW（２台）を対象に、OS・ミドルウェアの既知脆弱性、基本的な設定不備を確認
費用	5万円前後

B社のケース：会員向けポータルサイトの脆弱性確認

業種	人材サービス業
課題	会員向けのポータルサイトを提供しており、有事に備え、ポータルサイトのWebアプリケーションの脆弱性を確認したい。
診断内容	Webアプリケーション（1FQDN）を対象に、SQLインジェクションや、クロスサイトスクリプティング（XSS）などに関する脆弱性を診断
費用	60万円前後

C社のケース：BCP対策の一環としての網羅的な診断

業種	建設業
課題	BCP対策の一環として、基幹システムに対する網羅的な脆弱性の課題を洗い出したい
診断内容	リモートでの基幹システムサーバー（35台）、ERPアプリケーション（2FQDN＋画面数＝50ページ）
費用	400万円前後

参考事例を見るときのポイント

これらの事例から分かる通り、脆弱性診断の費用は、対象サーバーや機器の数、外部公開範囲の広さ、クラウド利用の有無、診断の深さ、再診断の有無、報告書や報告会の範囲といった条件で変動します。
費用感を考えるときは、自社がどのケースに近いかを整理することが大切でしょう。

脆弱性診断サービスの詳細はこちら

4.できるだけ安く、でも失敗せず依頼する「4つのポイント」

脆弱性診断は発注の仕方によって費用に差が出やすい一方で、安さだけを優先すると本来確認すべき範囲が抜けてしまうリスクがあります。
費用を下げるコツは、「必要な部分まで削ることではなく、不要な広がりをなくして適切な範囲で依頼すること」ではないでしょうか。

費用を抑えやすい4つのアプローチ

①対象範囲を整理する

全画面を一律に見るのか、重要な機能に絞るのかを明確にします。
対象が曖昧なまま相談すると、ベンダー側はリスク回避のために広めの前提で見積もらざるを得ず、費用が膨らみやすくなるようです。

②優先順位をつける（重要範囲に絞る）

予算に限りがある場合は、すべてを一度に実施するのではなく、重要な範囲（例：認証機能、決済機能、外部公開サーバーなど）から着手し、段階的に実施するのが現実的でしょう。

③事前情報をまとめる

対象URL、画面一覧、ログイン有無、対象IP、利用中のOS・ミドルウェアなどを事前にまとめて共有すると、ベンダー側の確認工数が減り、見積もりもスムーズになるでしょう。

④納期に余裕を持つ

「急ぎで来月中に実施したい」といった短納期案件は人員調整コスト等が発生し、高めの見積もりになりやすいようです。
可能な限り早めに相談を始めましょう。

除外しない方がよい「2つのポイント」

①重要な機能・資産の除外

Webアプリケーション診断における「認証・決済・管理画面」、プラットフォーム診断における「外部公開資産」など企業のビジネス継続に直結するITシステムは攻撃対象になりやすく、影響も大きいでしょう。
ここを外して費用だけを下げても診断の意味が薄れる可能性があります。

②改修後の再診断（是正確認）

初回診断だけを実施して終わりにすると、改修後に本当に問題が解消されたか確認できない可能性があります。
是正確認の対応まで見据えるのであれば、再診断の有無は安易に削らない方が安心でしょう。

相見積もりは「価格」以外も比較する

脆弱性診断の費用を抑えたい場合、相見積もりを取ることは有効な手段の１つでしょう。
ただし、比較すべきなのは金額だけではありません。見積金額に差があるときは、何が含まれていて、何が含まれていないのかを確認することが大切でしょう。

見積金額に差があるときは、以下の項目を比較してみてはいかがでしょうか。

• 診断範囲
• 診断手法
• 成果物の内容
• 再診断の有無
• 報告会や質問対応などのサポート範囲
• 診断結果を踏まえた是正や通常時の運用に向けての支援や対応可否

一見安く見える見積もりでも、対象範囲が限定される、報告書が英語版や簡易的内容になる、再診断が別料金となることがあるようです。
価格だけで選ばず、自社の目的に合った内容になっているかを確認することが失敗を防ぐ近道ではないでしょうか。

5.脆弱性診断実施の稟議・社内説明で押さえたいポイント

情報システム部門やセキュリティ担当が脆弱性診断実施の必要性を理解していても、決裁者や関係部門にとっては「なぜ今やるべきなのか」理解を得にくいことがあります。
稟議を通すためには、単に「脆弱性診断を実施したい」ではなく、「脆弱性診断を実施しない場合のリスクやセキュリティ問題発生時の想定対応コスト」を提示し、投資としての妥当性を説明することが効果的ではないでしょうか。

費用対効果（実施しない場合のリスクコスト）の視点

診断費用は見積書に明確に出ますが、未実施による潜在的損失は普段見えにくいため比較の軸から抜けやすいようです。
もし脆弱性が原因で重大事故（セキュリティインシデント）が起きれば、以下のような甚大なコストが発生する可能性があります。

• 直接的な対応コスト
  技術的な影響調査、システムの復旧対応、公表対応、関係先や利用者への連絡・対応工数、保障費用
• 事業継続への影響
  サービス停止による機会損失、通常業務や開発計画の中断
• 見えない間接被害
  ブランド毀損や信用低下、取引先や監査部門への説明・対応負担

事故発生時の被害が大きくなりやすい環境（個人情報や決済を扱う、外部公開している等）では、診断費用は「支出」ではなく「損失回避のための必要コスト」として説明すると社内合意を得やすくなるでしょう。

稟議書に入れたい最低限の項目

脆弱性診断実施の稟議書では、費用だけを書くのではなく、何のために、何を対象に、どこまで実施するのかが伝わる構成にしておくことが重要でしょう。
最低限、以下のような項目を入れておくと整理に役立つでしょう。

• 診断対象
  どのWebサービス、サーバー、ネットワーク機器を対象にするのか
• 実施目的
  リリース前確認、改修後確認、定期点検、監査対応、取引先要件対応など
• 想定リスク
  情報漏えい、不正アクセス、改ざん、サービス停止など、何を未然に防ぎたいのか
• 実施範囲
  どこまでを診断対象に含めるのか
  例：ログイン機能、管理画面、API、外部公開IP、VPN機器など
• 概算費用
  なぜその費用になるのかがわかるよう、対象や範囲との関係が見える形で記載する
• 実施時期
  リリース前、四半期内、監査前など、実施タイミングの理由を明確にする
• 成果物
  報告書、報告会、再診断結果など、何が得られるのか

これらが整理されていると、単なるセキュリティ施策ではなく、目的を持った必要な投資として社内で説明しやすくなるようです。
また、決裁者にとっても、診断の実施意義と費用の妥当性を判断しやすくなるでしょう。

6.脆弱性診断をスムーズに進めるために、見積依頼前に整理しておくこと

脆弱性診断をスムーズに進めるには、見積依頼前に自社の環境やサービス提供状況をシンプルに整理しておくことが大切でしょう。
対象が曖昧なまま相談すると、やり取りが増えたり、診断範囲が広めに見積もられたりして、結果として社内調整がしにくくなる可能性があります。
完全に揃っていなくても、まずは以下ようなの「大枠の情報」を準備したうえでベンダーに相談することをおすすめします。

見積依頼前の準備情報チェックリスト

Webアプリケーション診断の場合

• 対象URL（複数あるか、どこからアクセスするか）
• 対象画面一覧・主要機能（会員登録、問い合わせ、検索、決済、ファイルアップロードなど）
• ログイン情報の有無（ログイン後のマイページまで診断対象に含めるか）
• 管理画面の有無、API連携の有無

プラットフォーム診断の場合

• 対象IPアドレス一覧（外部公開されているIPアドレスがいくつあるか）
• 対象サーバー台数（Webサーバー、アプリサーバーなどが何台あるか）
• ネットワーク構成・公開範囲（FWやVPNなどのネットワーク機器を対象に含めるか）
• 利用中のOS・ミドルウェアの種類、対象拠点やクラウド環境の有無

見積書を受け取るときにベンダーへ確認したい質問

見積書を受け取るときは、金額だけを見るのではなく、何が含まれているのかを確認することが重要です。
そのため、見積依頼の段階で、次のような点をベンダーに確認しておくと安心でしょう。

• どこまでが見積もり範囲か（ログイン後画面や管理画面は含まれているか）
• 改修後の再診断（是正確認）の費用は含まれているか、それとも別料金か
• 報告書の提出だけでなく、報告会の実施や質疑応答のサポートはあるか
• 自社の目的や環境を踏まえたとき、本当にこの診断種別（アプリ/プラットフォーム）が適切か

依頼時点で「この範囲は含まれるのか」「改修後の確認は別費用なのか」「自社の目的に合った診断種別はどれか」を確認しておくと、後からの認識ずれを防ぎやすくなるでしょう。

7.自社に合う脆弱性診断を選ぶには、まず対象整理から始めることが重要

ここまで解説したとおり、脆弱性診断の費用を正しく比較し、自社にとって過不足のない診断を選ぶためには、まず「診断種別」と「対象範囲」を整理することが最も重要でしょう。

「プラットフォーム診断だけで十分なのか、Webアプリケーション診断まで見るべきか判断に迷う」
「社内調整のための大枠の費用感が知りたい」
という場合は、まず診断種別の切り分けから相談するのが現実的でしょう。

クロス・ヘッドでは、安価に導入しやすく予算に合わせて小さく始められるプラットフォームセキュリティ診断サービスを提供しています。
診断は1台からでも可能ですので、初めての方でも、無理なくセキュリティ対策を始めることが可能です。

また、個別の環境に合わせたWebアプリケーション診断などのご相談にも柔軟に対応しています。
まずは現状分かる範囲の情報をベースに、診断種別の切り分けからお気軽にご相談ください。

脆弱性診断サービスの詳細はこちら

 

　

---

クロス・ヘッド関連サービス

---

※Cloud Compassはクロス・ヘッド㈱が運営するクラウドサービスです。