Webアプリ脆弱性診断の費用相場【2026年版】｜見積もりが3倍変わる理由

「脆弱性診断を受けたい。ただ、いくらかかるのか見当がつかない」

セキュリティ担当の方から、最も多くいただくご相談です。

タイトルの「3倍」とは、こういうことです。同じサイトの診断を複数の会社に相談すると、A社は100万円、B社は300万円——依頼先によって見積額に3倍ほどの開きが出ることが、この業界では珍しくありません。 どちらかがぼったくっているわけでも、どちらかが手抜きと決まっているわけでもないのに、です。

金額の差が大きすぎて、何を基準に選べばよいのか分からなくなってしまう。これは担当者の方の理解不足ではなく、この業界の見積もりの仕組みそのものが、外から見えにくい構造になっているためです。

この記事では、公開されている料金情報をもとに費用相場を整理したうえで、なぜ金額がここまで変わるのかという「相場の構造」を解説します。予算を確保する前、あるいは相見積もりを取る前にお読みいただくことで、見積書の数字が何を意味しているのかを判断できるようになります。

まず結論：脆弱性診断の費用相場

費用は「どの診断手法を使うか」で大きく変わり、そのうえで「対象がどれだけ複雑か」で変わります。この2段階で整理します。

① 診断手法別の費用目安

まず、どの手法を選ぶかで価格帯そのものが変わります。

② 対象別の費用目安（手動・ハイブリッド診断の場合）

上の表のうち、多くの企業が検討することになる手動診断・ハイブリッド診断を前提とした場合の、対象別の目安が次のとおりです。

※上記はユービーセキュア社の費用解説記事をはじめとする複数の公開情報をもとにした一般的な目安であり、実際の金額は診断範囲・手法・成果物によって変動します。

ここまでは、多くの記事で目にする情報かと思います。問題は、この表を見ても自社の予算を確定できないことです。「ECサイトだから100万円くらい」と見込んで見積もりを取ると、300万円の見積書が返ってくることが珍しくありません。

なぜそうなるのか。理由は3つあります。

なぜ同じサイトで見積もりが3倍以上変わるのか

冒頭の「A社100万円・B社300万円」のような会社間の差は、主に次の3つの要因の掛け合わせで生まれます。

理由①：人間の技術者が手を動かすか、ツールを回して終わりか（最大の要因）

価格差の最大の正体はこれです。 脆弱性診断の費用の大部分は、技術者の人件費です。ツールを実行して結果を出力するだけなら安く提供できますが、技術者が手を動かして検証する工程が入った瞬間に、その時間分のコストが積み上がります。

では、人が入ると何が変わるのか。診断で見つけられるものを3つの層に分けると分かりやすくなります。

第1層：既知の脆弱性・設定不備 — ツールで見つかる

SQLインジェクションやクロスサイトスクリプティング（XSS）といった典型的な脆弱性、既知の脆弱性（CVE）、サーバ設定の不備。パターンが決まっているため、ツールによる機械的な検査で広く洗い出せます。

第2層：権限まわり（認可・アクセス制御）— 人がやるしかない

「一般ユーザーが管理者の機能を使えてしまわないか」「会員Aが会員Bの情報を見られてしまわないか」という検証です。ツールは「この操作がこのユーザーに許されるべきかどうか」という業務上のルールを知らないため、原理的に自動判定できません。権限の異なる複数のアカウントを使い、技術者が実際に試す必要があります。

第3層：業務の流れの悪用（ビジネスロジック）— 人がやるしかない

「決済金額を書き換えて送信できないか」「購入手続きの確認画面を飛ばせないか」「同時に2回送信して二重処理させられないか」。一つひとつの操作は正常なのに、組み合わせると成立してはならない操作の検証で、これも対象の業務仕様を理解した人間にしかできません。

つまりこうなります。

同じ「Webアプリケーション脆弱性診断」という名前でも、中身がツール実行までなのか、人手の検証まで含むのかで、価格は数倍変わります。 見積書を並べて金額だけ比べる前に、まず「人がどこまで手を動かすのか」を確認してください。これが揃っていない見積書同士の比較は、そもそも同じ商品の比較になっていません。

なお、第2層・第3層に相当する言葉が見積書にあるかどうかは、「アクセス制御」「認可」「ビジネスロジック」という単語で確認できます。

また、診断項目の網羅性を判断する客観的な物差しとして、OWASPが公開しているASVS（Application Security Verification Standard）があります。「OWASP Top 10に準拠」と書かれている診断サービスは多いのですが、OWASP Top 10は最も重大な10カテゴリを挙げた啓発向けの文書であり、検証項目の一覧ではありません。どこまで検証したかを示す基準としては、ASVSのどのレベルをどの程度カバーしたかという情報の方が具体的です。

理由②：課金の「単位」が会社によって違う

人がどこまで入るかを揃えても、まだ価格差は残ります。次の要因は課金方式です。

（a）カウント制 — 診断対象の量（ページ数、画面遷移数、パラメータ数、HTTPリクエスト数、API数、FQDN数など）を数えて課金

（b）定額制 — 対象の複雑さを区分し、区分ごとの定額で課金

カウント制では「何を数えるか」が会社ごとに違うため、同じサイトでも見積額が変わります。

実例を見てみましょう。脆弱性診断の大手であるセキュアスカイ・テクノロジー社は、料金体系を公開している数少ない企業の一つです。同社は2026年1月1日から料金を改定し、Webアプリケーション診断の基本料金を「10HTTP(S)リクエストまたは5API＝40万円」に一本化、追加は10リクエストまたは5APIごとに30万円としています（出典は文末参照）。

この体系で試算すると、こうなります。

※公開されている基本料金・追加料金から機械的に試算したものです。実際の見積もりは対象の内容により異なります。

同じ会社の同じ診断でも、リクエスト数次第で40万円にも310万円にもなるわけです。これは同社の価格設定に問題があるという話ではありません。むしろ料金を明示している点は誠実で、業界では例外的です。ここで押さえていただきたいのは、カウント制では「診断対象を数え終わるまで金額が確定しない」という構造そのものです。

そして、発注側にとって厄介なのは、自社サイトのHTTPリクエスト数を事前に把握している担当者はほとんどいないということです。ページ数なら数えられますが、1ページあたりのリクエスト数は画面の作りによって大きく変わります。つまり、見積もりを取るまで金額の見当がつかない状態が生まれます。

理由③：成果物とアフターサポートの範囲が違う

同じ診断でも、納品されるものと、その後の支援範囲に差があります。

• 報告書の内容 — 検出された脆弱性の一覧だけか、修正手順や優先順位まで含むか

• 報告会 — 標準で含まれるか、有料オプションか

• 再診断 — 修正後にもう一度確認してもらえるか、その費用は

• 質問対応 — 報告書を読んで生じた疑問に、いつまで答えてもらえるか

これらは基本料金に現れないことがあるため、比較の際に見落とされがちです。

セキュアスカイ・テクノロジー社の例では、報告会は1回15万円である一方、再診断とQAサポートは無償と公開されています。「何が含まれ、何が別料金か」の構成は会社ごとに大きく異なるため、基本料金ではなく総額で比較する必要があります。

「安く済ませたはずが高くついた」よくある3つのパターン

パターン1：誤検知の精査に社内工数が溶ける

ツール診断は安価ですが、検出結果には誤検知（実際には問題ないのに脆弱性として報告されるもの）が一定量含まれます。100件の指摘のうち実際に対応が必要なものが20件だった場合、残り80件が誤検知かどうかを判断する作業が発生します。この判断には専門知識が必要で、社内にセキュリティ技術者がいない場合、開発チームの時間を大きく消費します。

診断費用が50万円安くても、エンジニアが数週間その対応に取られれば、実質的なコストは逆転しかねません。見積もりを比較する際は、「検出結果の精査まで含まれるか」「実際に攻撃が成立することを確認したうえで報告されるか」を確認する価値があります。

パターン2：オプションの積み上げで総額が膨らむ

基本料金が安く見えても、報告会、再診断、時間外対応、特急対応などがすべて別料金の場合、最終的な総額は当初の見積もりから大きく増えることがあります。「基本料金」ではなく「このプロジェクトで最終的にいくら払うか」で比較してください。

パターン3：範囲が広がって追加請求が発生する

カウント制の場合、契約後に診断対象の実数が想定を超えると追加費用が発生します。特に開発中のシステムでは、見積もり時点と診断実施時点で画面数が変わることは珍しくありません。見積書に範囲変更時の取り扱いが明記されているかを確認しておくと、後のトラブルを避けられます。

見積もりを取る前に整理しておきたい5項目

逆に言えば、次の5点さえ整理できていれば、診断会社は精度の高い見積もりを短時間で出せます。相見積もりを取る際は、全社に同じ情報を渡すことで、比較可能な見積書が揃います。

① 診断対象の範囲

対象のURL、主要な機能の数。「会員登録から購入完了まで」のように業務単位で伝えると認識のズレが起きにくくなります。

② ログインの種類（権限）がいくつあるか

「管理者と一般ユーザー」「会員と非会員」のように、ログインの種類が複数あるかどうかです。

なぜこれが重要かというと、情報漏えい事故で実際に多いのが「他人のデータが見えてしまう」タイプの不備だからです。たとえば「URLの数字を1つ変えたら、他の会員の注文履歴が表示された」「一般社員のアカウントで、管理者用の画面が開けてしまった」——どちらも典型的な実例です。

この種の不備は、ツールでは見つけられません（ツールは「誰に何が見えてよいか」という御社のルールを知らないため）。複数のアカウントを使って人が実際に試す必要があり、ログインの種類が多いほど確認の組み合わせが増えます。だから権限の数で工数と費用が変わるのです。見積もり時に正確に伝えるほど、後の追加費用を防げます。

③ 決済機能・個人情報の有無

決済処理や個人情報を扱う画面があるかどうか。リスクの大きさが変わるため、診断の深さの判断材料になります。

④ 技術構成

React・Vueなどを使ったSPA（シングルページアプリケーション）か、APIを多用しているか、SSO（シングルサインオン）があるか。特にSPAは、診断ツールが画面を正しく巡回できるかに影響するため、事前共有が重要です。

⑤ 診断の目的

「取引先や監査法人に提出する必要がある」「リリース前に確認したい」「定期的な健康診断として」など。目的によって必要な成果物（報告書の形式、証跡の有無）が変わります。

この5項目は、そのまま社内の稟議資料の骨子にもなります。

ツール診断と手動診断、結局どちらを選ぶべきか

料金体系の話の前に、まず決めるべきはこちらです。どちらの価格帯の商品を買うのかが決まらないうちに、金額を比較しても意味がありません。

判断の目安はシンプルです。

• 決済・個人情報・複数の権限があるシステム → 手動の検証を含む診断を選ぶ。このタイプのシステムで被害が大きい事故（情報漏えい・不正操作）の原因は、ツールでは見つからない第2・3層に潜んでいることが多いためです

• ログイン機能のない静的なサイト、まず現状を知りたい段階 → ツール診断で十分なことが多い。安価に始めて、結果を見てから深い診断を検討すれば無駄がありません

• 理想は使い分け — 日常的にはツールで監視し、大きな機能追加や年1回の節目に手動診断を入れる。この組み合わせが費用対効果のバランスに優れます

手動診断を選んだ場合：カウント制と定額制

手動診断を含むサービスを選ぶ場合、料金体系は前述の2方式に分かれます。それぞれの向き不向きは次のとおりです。

対象が小さく範囲が確定しているなら、カウント制の方が安く収まることが多いです。10リクエスト程度の単機能なフォームであれば、定額制の最小区分より安価になるでしょう。

一方、複数の権限があり、決済や個人情報を扱い、SPAやAPIが絡むような一般的な業務システムでは、カウント制は金額が読みにくくなります。予算を先に確保する必要がある場合や、年間の定期診断として計画したいという場合も、定額制の方が計画を立てやすくなります。

【当社の立場について】 参考情報として明記しますが、当社ranryuのWebアプリケーション脆弱性診断は「手動の検証を含むハイブリッド型」であり、料金は後者の定額制（スコープ区分型）を採用しています。診断対象のリクエスト数やパラメータ数を数えるのではなく、対象の複雑さと必要な証跡の水準から区分を判定し、区分ごとの定額でご提示しています。これは「見積もりが早く出せること」と「診断後に追加請求が発生しないこと」を重視した設計です。上記の比較は当社の立場を含んだものであることを前提にお読みください。

よくあるご質問

Q. 脆弱性診断は法律上の義務ですか？

A. すべての企業に一律で課される法的義務ではありません。ただし、クレジットカード情報を扱う場合のPCI DSS、金融機関におけるFISC安全対策基準など、業界基準として求められるケースがあります。また近年は、取引先から取引条件として診断結果の提出を求められる事例が増えています。法的義務よりも、取引上の要件として必要になる場面が多いのが実情です。

Q. 初めて実施する場合、どのくらいの予算を見ておくべきですか？

A. 対象によって幅があります。手動診断を含む場合の目安は、ログイン機能のないコーポレートサイト・LPで30万〜80万円前後、会員機能や決済のあるECサイトで100万〜200万円前後、複数の権限がある業務システム・SaaSで200万円以上です。「まず現状のリスクを把握したい」という段階であれば、自動スキャン中心の安価なプランから始め、結果を見て深い診断の要否を判断する進め方もあります。いきなり最上位の診断を選ぶ必要はありません。

Q. 一度診断すれば、しばらく安心できますか？

A. 診断結果は「診断を実施した時点」のものです。システムに変更を加えれば新たな脆弱性が生まれる可能性があり、新しい攻撃手法や脆弱性情報は日々公開されています。そのため、大きな機能追加のタイミングと、年1回程度の定期的な実施を組み合わせるのが一般的です。近年は継続的な監視・診断を求める動きが強まっており、金融庁のガイドラインでも外部公開資産の継続的な把握が言及されています。

Q. ツール診断だけでは不十分でしょうか？

A. 目的によります。既知の脆弱性や設定不備を広く洗い出す用途であればツール診断は有効で、コスト効率にも優れています。一方、アクセス制御（権限まわり）やビジネスロジックの不備は、ツールでは原理的に検出が困難です。決済機能や個人情報を扱うシステムでは、これらの領域まで検証する診断を検討されることをおすすめします。

Q. 見積もりを依頼すると費用はかかりますか？

A. 一般的に、見積もり自体は無償で対応する会社がほとんどです。ただしカウント制の場合、正確な見積もりのために診断対象の調査工数が発生するため、回答までに時間がかかることがあります。

Q. 診断中にサービスが停止することはありませんか？

A. 多くの診断会社は低負荷・非破壊型の検査を行うため、通常は停止しません。ただし古いOSやミドルウェアを使用している環境では予期しない影響が出る可能性もあるため、事前のバックアップと、業務影響の少ない時間帯の指定を行うのが一般的です。診断会社との事前確認事項として押さえておいてください。

まとめ

脆弱性診断の費用が分かりにくいのは、担当者の方の知識不足ではなく、人がどこまで手を動かすか・課金方式・成果物の範囲という3つの変数が、会社ごとに異なるまま「脆弱性診断」という同じ名前で提供されているためです。

見積もりを比較する際は、次の3点を確認してください。

1. 人がどこまで手を動かすか（ツールの実行までか、権限まわり・業務ロジックの手動検証まで含むか）

2. 何を単位に課金しているか（ページ数か、リクエスト数か、複雑さの区分か）

3. 総額でいくらか（報告会・再診断・質問対応は含まれるか）

この3点を揃えて比較すれば、金額の差が「安い・高い」ではなく「何が含まれているかの差」として見えるようになります。

概算のご相談を承っています

「自社の場合いくらになるのか」を知りたい場合は、お問い合わせフォームよりご相談ください。本記事の「見積もりを取る前に整理しておきたい5項目」をお問い合わせ内容欄にご記入いただければ、概算の目安をご案内します。

診断対象が固まっていない段階でも構いません。「何から始めるべきか」のご相談も承っています。

※ご相談はサイト上部の「お問い合わせ」よりお気軽にどうぞ。

この記事の監修

竹花 樹 — 株式会社ranryu / 情報処理安全確保支援士（登録セキスペ）　登録番号 019507

本資格の登録情報は、IPAが運営する情報処理安全確保支援士検索サービスにてどなたでもご確認いただけます。

株式会社ranryuは、経済産業省が策定した「情報セキュリティサービス基準」に適合し、独立行政法人情報処理推進機構（IPA）が公開する「情報セキュリティサービス基準適合サービスリスト」の脆弱性診断サービスに登録されています（登録番号 021-0017-20）。

参考にした公開情報（2026年8月時点）

セキュアスカイ・テクノロジー：Webアプリケーション診断（基本料金40万円/10リクエスト・公式サイト） https://www.securesky-tech.com/service/assessment/web-application/

GMOサイバーセキュリティ byイエラエ：脆弱性診断の費用・価格 https://gmo-cybersecurity.com/column/assessment/assessment-price/

ユービーセキュア：脆弱性診断の費用・相場解説 https://minnano.ubsecure.jp/security-vulnerability-diagnosis-cost

OWASP ASVS（Application Security Verification Standard） https://owasp.org/www-project-application-security-verification-standard/

関連記事

脆弱性診断サービスの選び方【2026年版】— 比較すべき7つの判断軸　https://www.ranryu-secure-solution.com/column/vulnerability-assessment-selection