「取引先から脆弱性診断を求められた。でも、予算をいくら取ればいいのか分からない…」
「2社に見積もりを頼んだら、金額が全然違った…」
先に答えを言います。
人が手で見る一般的なWebアプリの脆弱性診断は50万〜150万円が目安で、実際に侵入できるかまで試すペネトレーションテストは50万円から数百万円です。
金額の差を生むのは、診る画面の数、ツールか人か、報告書と再診断の中身です。
本記事では、種類別の相場と出どころ、見積もりの中身、診断のあとにかかる費用を、診断と改修を受けている開発会社が解説します。
この記事の要点
- 自社サービス・アプリの脆弱性診断は、ソフィエイトが範囲を伺うところから受けます。コードと権限まで確かめ、最短10営業日で報告、再診断1回つきです
- 外の相場では、Webアプリを人が見る診断が50万〜150万円、ツールだけなら10万〜30万円です（cloudpack、2026年4月）
- ペネトレーションテストは、Webアプリで50万〜500万円以上と幅が広くなります（CREX、2025年11月）
- 見積もりは「画面の数×1画面の単価」で決まり、比べるときは再診断と直し方が入っているかを見ます
| 診断の種類 | 費用の相場 | 出どころ |
|---|---|---|
| Webアプリ（ツールで診断） | 10万〜30万円 | cloudpack |
| Webアプリ（人が手で診断） | 50万〜150万円 | cloudpack |
| Webアプリ（10〜20画面を手で） | 20万〜100万円 | ITトレンド |
| サーバー・ネットワーク（IP10個まで） | 10万〜30万円 | cloudpack |
| スマホアプリ（iOSかAndroidの1つ） | 50万〜150万円 | cloudpack |
| ペネトレーションテスト（Webアプリ） | 50万〜500万円以上 | CREX |
出どころ：cloudpack（KDDIアイレット）「脆弱性診断の費用相場」2026年4月17日更新、ITトレンド「セキュリティ診断の費用」2026年6月18日更新、CREX「ペネトレーションテストの費用相場」2025年11月4日更新、ITトレンド「ペネトレーションテストの費用相場」2026年10月21日更新。
脆弱性診断の費用の悩み：こんなことありませんか？
相場を調べる人の多くは、予算の取り方と、見積もりの比べ方で止まっています。
取引先に求められたが、予算の目安が分からない
取引先のセキュリティチェックシートに「第三者の脆弱性診断を受けていますか」という質問が入っていた。予算を取るには金額が要るのに、何十万円なのか何百万円なのかも分からない。
この場面で要るのは、診断の種類ごとの「帯」です。次の章の表で、自社がどの帯に入るかが分かります。
見積もりが会社によって大きく違う
同じシステムで頼んだのに、会社によって金額がまるで違う。高いほうが丁寧なのか、安いほうが抜けているのか、金額だけでは判断できません。
差の多くは、診る範囲と深さ、報告書と再診断の中身の違いから生まれます。何を比べればよいかは「見積もりで確かめる6つ」の章にまとめました。
診断のあとに、いくらかかるか分からない
報告書を受け取ったら、見つかった穴を直す費用がかかります。直したかを確かめる再診断が、別料金の会社もあります。
診断の金額だけで予算を組むと、直す段階で止まります。診断のあとの費用は、後半の章で分けて書きます。
止まる所はこの3つ
- 予算が組めない：何十万か何百万か分からない
- 比べられない：同じ内容でも金額がそろわない
- あとが見えない：直す費用と再診断が読めない
費用はいくら？種類別の相場
人が手で見るWebアプリの診断なら、50万〜150万円が目安です。ツールだけの診断なら10万〜30万円で、ペネトレーションテストになると数百万円まで上がります。
表の数字は、診断会社とIT製品の比較サイトが公開している相場です。各社は自社のサービスも売っているので、帯の目安として使い、実際の金額は見積もりで確かめます。
Webアプリの診断：ツールか人かで5倍違う
同じWebアプリでも、ツールと人の診断では帯が大きく違います。ツールは既に知られている穴を速く広く探し、人はログインしたあとの権限や業務の流れを確かめます。
「URLの番号を変えると、ほかの利用者のデータが見える」のような権限の穴は、ツールではほとんど見つかりません。お客さんの個人情報や決済を扱う画面があるなら、人が見る診断の帯で予算を取ります。2つの診断の違いは脆弱性診断とは？やり方とツール・手動の違いで解説しています。
サーバー・スマホアプリ：数える単位が違う
サーバーやネットワークの診断は、IPアドレスの数で見積もります。cloudpack の目安では、IPが10個までなら10万〜30万円、10〜50個なら30万〜100万円です。
スマホアプリは、OSの数で見積もります。iOSかAndroidの1つで50万〜150万円、両方なら100万〜250万円です。アプリがつながるサーバー側のAPIが範囲に入っているかは、見積もりで確かめます。
相場のつかみ方
- 公開ページだけ：ツールで10万〜30万円
- ログイン後も見る：人の診断で50万円から
- アプリもある：OSごとに50万円から
- 侵入まで試す：数百万円を見ておく
まず、自社のシステムが「公開ページだけか、ログインした先もあるか」を確かめてください。それだけで、10万円台か50万円台かが決まります。
ペネトレーションテストの費用が高い理由
ペネトレーションテストは、穴を並べるのではなく「実際に情報を抜けるか」まで試すので、人の手間が増えて高くなります。
脆弱性診断の問いは「どこに穴があるか」です。ペネトレーションテストの問いは「その穴から、顧客情報や管理者の権限まで届くか」です。攻撃の筋書きを決め、穴をつないで侵入を試すため、診断より長い時間を腕のある人が使います。
ITトレンドの目安（2026年10月21日更新）では、Webアプリ1つなら数十万円、社内ネットワーク全体や複数のシステムをまとめると数百万円規模です。CREX の目安では、Webアプリで50万〜500万円以上と、診断より幅が広くなります。
初めて点検するなら、先に脆弱性診断で穴を洗い出して直し、そのあとにペネトレーションテストで「届かないか」を試す順にすると、費用の無駄が出ません。どちらを先に頼むかは、ペネトレーションテストとは？脆弱性診断との違いで詳しく書いています。
金額は何で決まる？見積もりの中身
見積もりは「診る範囲×深さ×報告と再診断」の掛け算で決まります。どれか1つが違えば、同じシステムでも金額は変わります。
範囲：画面・APIの数で決まる
人が手で見るWebアプリの診断は、画面の数かリクエストの数で見積もります。ITトレンドの目安では、1画面あたり2万〜5万円です。ログイン前の数ページだけか、会員向けと管理用の画面まで入れるかで、数が大きく変わります。
深さ：ツールか人か、権限の種類はいくつか
同じ画面の数でも、ツールで流すだけか、人が操作して確かめるかで単価が変わります。一般の利用者・管理者・代理店のように権限の種類が多いほど、確かめる組み合わせが増え、手間がかかります。
報告と再診断：直し方まで書くか
報告書が「穴の一覧」で終わるか、再現の手順と直し方まで付くかで、作る手間が違います。直したあとに確かめる再診断が金額に入っているかも、会社ごとに違います。
準備：検証用の環境とアカウント
本番で試せない検査には、検証用の環境が要ります。診断用のアカウントや、社外から入るための通信の許可も必要です。用意が遅れると診断の日程が延び、作業の日数が増える会社もあります。
掛け算の3つと、日数を増やす準備
- 範囲：画面・API・IPの数
- 深さ：ツールか人か、権限の数
- 報告と再診断：直し方と再確認の有無
- 準備：検証の環境とアカウント
見積もりを頼む前に、画面の数と権限の種類だけでも書き出しておくと、各社の金額が同じ前提でそろいます。
試算：Webサービス1つの診断はいくら？
人が手で見る診断なら、20画面のWebサービスで40万〜100万円です。ITトレンドの「1画面あたり2万〜5万円」に画面の数を掛けて出しています。
| 画面の数 | 計算 | 費用の目安 |
|---|---|---|
| 10画面（公開ページ中心） | 10×2万〜5万円 | 20万〜50万円 |
| 20画面（会員の画面あり） | 20×2万〜5万円 | 40万〜100万円 |
| 50画面（管理画面まで） | 50×2万〜5万円 | 100万〜250万円 |
50画面の100万〜250万円は、ITトレンドの「30〜50画面で100万〜300万円」ともおおむね合います。
当社の脆弱性診断の料金は、脆弱性診断のページに載せています。画面やAPIの数で変わるので、範囲を伺ってから見積もりを出します。料金には、60分のヒアリング、結果のご説明、報告から3か月以内の再診断1回が入っています。
ペネトレーションテストは、上の試算に、攻撃の筋書きを決めて試す手間が加わると考えてください。
見積もりで確かめる6つ
金額を並べる前に、次の6つがそろっているかを確かめます。そろっていない見積もりは、安く見えてもあとから足されます。
- 範囲：対象の画面・API・アプリの版・IPが具体的に書かれているか
- 深さ：ツールと人の割合、ログインした先と権限まで見るか
- 報告書：再現の手順・危険度・直し方が1件ずつ付くか
- 再診断：直したあとの確認が何回まで入り、いつまでに受けられるか
- 追加の決まり：診断中に画面が増えたとき、いくらかかるか
- 本番への配慮：本番を止めないか、試す時間をどう決めるか
6つを同じ表にして各社に埋めてもらうと、金額の差がどこから来ているかが見えます。外に頼むか自社でやるかで迷っている場合は、脆弱性診断は外注か内製か｜診断が必要なシステムの見極め方を先に読むと、診る範囲を絞れます。
注意：「一式」の見積もりは中身を聞く
「脆弱性診断一式 ○○万円」だけの見積もりは、範囲と再診断の有無が読めません。画面の数と、報告書の見本（目次だけでよい）を出してもらってから比べてください。
診断のあとにかかる費用：直す・再診断・定期
診断で穴が見つかれば、直す費用がかかります。予算は「診断＋直す＋再診断」で組みます。
直す費用は、穴の数と直す手間で決まる
直す費用は、診断の金額とは別に、開発の手間として見積もります。設定の変更で済む穴もあれば、コードの作りから変えるものもあり、手間はそれぞれ違います。
過去の案件では、約3万行のシステムで約90件を指摘しました。重大度で分け、先に塞ぐものと次の改修でよいものに並べ、直す順番と手間を報告書にまとめて渡しています。穴ごとに手間が付いていれば、直す費用の合計もその場で出せます。当社に直しまで頼む場合は、修正費から診断費の一部を差し引いています。
再診断：金額に入っているかを確かめる
直したあとに、本当に塞がったかを確かめるのが再診断です。最初の見積もりに1回入っている会社と、別料金の会社があります。当社の診断には、報告から3か月以内の再診断が1回入っています。
定期の点検：変えるたびに穴は増える
診断は「その時点」の点検です。機能を足すたびに、新しい穴が入る余地があります。リリースのたびに確かめ直すか、年に何回かと決めて見るかで、毎年の費用が変わります。
ソフィエイトの見立て
プロのエンジニアがふつうに開発しても、穴は必ずあります。気を付けて作っている大手でも、情報漏えいは起きています。0にするのは現実的ではありませんが、できるだけ塞いでおくべきです。
エンジニアでない人がAIでそれらしく作ったシステムなら、穴はたくさんある前提で範囲を決めてください。システムだけでなく、運用のルールからも漏れるので、そちらも合わせて作ります。ここはAIだけでは手当てできません。
AIや外注で作ったコードを出す前に、ソースコードから確かめる方法はソースコード診断とは？脆弱性診断との違いで解説しています。
費用を抑える3つの方法
費用を抑えるコツは、安い会社を探すことではなく、人が見る範囲を絞ることです。
人が見る範囲の絞り方
- ツールで広く洗う：公開ページは安く済ませる
- 大事な画面は人が見る：お金と個人情報に絞る
- 時期を合わせる：大きな改修の直後に診る
公開ページの既に知られている穴は、ツールの診断で足ります。人が手で見る範囲は、ログイン・決済・個人情報・管理画面のように、漏れたときの痛手が大きい画面に絞ります。人が見る画面の数が半分になれば、試算の表のとおり費用も半分になります。
診る時期も効きます。仕様が固まる前に診ると、直したあとにまた変わり、診断をやり直すことになります。大きな改修が終わった直後、公開の前に入れると、1回の診断で済みます。
よくある質問
無料で脆弱性診断はできますか？
公開ページの既に知られている穴なら、無料のツールで確かめられます。当社も、公開ページのURLから外に見える弱点を確かめる無料のチェックを用意しています。ログインした先と権限の穴は、人が手で見る有料の診断で確かめます。
診断にはどれくらいの期間がかかりますか？
当社の脆弱性診断は、報告まで最短10営業日です。ITトレンドの目安では、100画面を超える大きなシステムを人が全部見る場合、数週間から数か月かかります。
診断とペネトレーションテスト、先に予算を取るのは？
一度も診断を受けていないなら、脆弱性診断です。取引先の要件で「侵入テスト」と指定されているときや、決済・個人情報を扱い穴を直し終えている場合に、ペネトレーションテストへ進みます。
稟議には何を書けば通りますか？
診る範囲（画面の数と権限の種類）、帯の根拠（この記事の表と出どころ）、診断のあとの直す費用と再診断の扱い、の3つです。当社は診断を始める前に、稟議に使える見積書を出しています。
まとめ：範囲を決めて、診断と直す費用で予算を組もう
人が手で見る一般的なWebアプリの脆弱性診断は50万〜150万円が目安で、ツールだけなら10万〜30万円、ペネトレーションテストは50万円から数百万円です。金額は、診る範囲・深さ・報告と再診断で決まり、人が見る場合は「画面の数×1画面2万〜5万円」でおおよそ出せます。
見積もりは、範囲・深さ・報告書・再診断・追加の決まり・本番への配慮の6つをそろえて比べます。予算は診断だけでなく、見つかった穴を直す費用と再診断まで入れて組みましょう。
自社のシステムがいくらになるかは、脆弱性診断のページで料金と進め方を確かめられます。公開ページのURLを入れるだけの無料チェックから始めることもできます。
