脆弱性診断の費用は「範囲・画面数・手法」で決まる──相見積もりの金額だけで選ばないための発注のしかたと、比べ方の表

この記事は、顧客サイトの脆弱性診断の費用がどう決まるかと、制作会社が発注・見積もり比較をするときの型を扱います。

「診断、いくらかかりますか」に答えられない

「リニューアルの前に、脆弱性診断を入れたいと言われた。でも、いくらかかるのか、どこに頼めばいいのか分からない」

顧客から診断を求められる場面は、増えています。
けれど、診断会社から取った見積もりを並べると、金額の幅が大きく、どれが妥当なのか判断できません。

金額の差の多くは、診断の範囲と手法の差です。
同じ条件で比べていない見積もりは、安いほうを選んでも、守りたいものが守れない原因になります。

脆弱性診断の費用とは、診断する範囲と画面数と手法の掛け算に、報告と再診断の扱いを足したものである

黒字化の外科医です。脆弱性診断の費用の決まり方と、発注のしかたを解剖します。

費用の構造を先に知るべき理由は、三つあります。

第一に、範囲を決めないと、見積もりがそろわないから。
経済産業省の「情報セキュリティサービス基準」は、脆弱性診断サービスを、Webアプリケーション脆弱性診断、プラットフォーム脆弱性診断、スマートフォン／タブレット端末アプリケーション脆弱性診断に分けています。サイトだけか、サーバーまで見るのかで、別の仕事になります。

第二に、画面数と機能の数が、作業量を決めるから。
IPAの「ウェブ健康診断仕様」（「安全なウェブサイトの作り方」別冊）も、全ての画面を調べるのが難しいサイトがあるとして、診断対象のページ数に上限を設け、ログインや問い合わせなど対象画面の定義を置いています。診断会社の見積もりも、この「どの画面を見るか」で変わります。

第三に、報告と再診断の扱いで、総額が変わるから。
指摘を直したあとに、直ったかを確かめる再診断が含まれるか。報告書は誰向けの書き方か。ここを見落とすと、あとから追加費用が出ます。

なお、診断の相場を示す公的な統計は、確認できませんでした。だからこの記事では、金額ではなく「比べ方」と「自社の手間の計算」で示します。

今すぐ試せる：診断の見積もり依頼書を作るプロンプト

私はWeb制作会社の経営者です。顧客サイトの脆弱性診断を外部に依頼するための、見積もり依頼書を作ってください。

【前提】
・サイトの種類（コーポレート／EC／会員サイトなど）：〔　〕
・使っているCMSやフレームワーク：〔　〕
・ログインや会員機能の有無：〔　〕
・入力フォームのある画面（問い合わせ、申込み、検索など）：〔　〕
・診断したい範囲（Webアプリのみ／サーバーも）：〔　〕
・診断する環境（本番／検証環境）：〔　〕
・希望の時期と、公開日：〔　〕

1. 診断対象の画面・機能の一覧表を作る（画面名、URL、入力項目の有無、ログインの要否）。
2. 診断会社に確認すべき質問を10個にまとめる。
3. 見積もりを比べるための比較表の項目を作る。

金額の相場は書かないこと。

診断発注工場：比べ方の表と、自社の手間の計算

見積もりを比べる10項目

□ 範囲：Webアプリのみか、サーバー（プラットフォーム）も含むか
□ 対象：画面・機能の数と、一覧が添付されているか
□ 手法：ツールによる自動診断か、人の手による診断か、その組み合わせか
□ 環境：本番か検証環境か。本番なら、止まったときの取り決め
□ 日程：診断の期間と、作業する時間帯
□ 報告書：経営者向けの要約と、技術者向けの詳細の両方があるか
□ 危険度：指摘の重さを、どの基準で判定するか
□ 再診断：修正後の確認が含まれるか、回数は何回か
□ 体制：技術責任者の資格・実績、報告書を別の人がレビューするか
□ 適合リスト：IPAの「情報セキュリティサービス基準適合サービスリスト」に掲載があるか

最後の適合リストは、経済産業省の基準に適合すると審査登録機関が認めたサービスを、IPAが掲載しているものです。
ただしIPAは、掲載されたサービスを保証するものではないと明記しています。選ぶときの一つの材料として使います。

自社にかかる手間の計算

診断費用のほかに、制作会社の手間がかかります。ここを見積もりに入れていない会社が多いのです。

自社の工数 ＝ 対象画面の一覧作成 ＋ 検証環境の用意 ＋ 診断会社との調整・立会い ＋ 指摘の修正 ＋ 再診断の対応

例：
対象画面の一覧作成：6時間
検証環境の用意：8時間
調整・立会い：4時間
指摘の修正：16時間（指摘の数で変わる）
再診断の対応：4時間
合計：38時間

時間単価7,600円の会社なら：38時間 × 7,600円 ＝ 288,800円

この288,800円は、診断会社への支払いとは別にかかる、自社の原価です。
顧客への見積もりは「診断費用（外部）」と「診断対応費（自社）」の2行に分けて出します。

▶ 制作会社の「時間単価」は、年収から逆算する──人件費の係数、稼働率、目標の利益で決める、見積もりの土台になる1時間の値段

顧客に出す見積もりの書き方

1. 脆弱性診断（外部の診断会社による）：〇円
   範囲：Webアプリケーション〇画面、再診断1回を含む
2. 診断対応費（当社）：〇円
   内容：対象一覧の作成、検証環境の用意、立会い
3. 指摘事項の修正：診断結果を見てから、別途お見積り

修正費を最初から一式で入れないのがコツです。指摘の数は、診断するまで分かりません。

なお私は弁護士ではありません。診断の契約や責任の範囲は、実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

構造的なリスク

逆説を指摘しておきます。

診断を入れると、自社が作ったサイトの指摘が、顧客の目に触れます。
そこで「作った会社の責任だから無償で直して」と言われる場面が出てきます。

だから、診断の前に、修正の扱い（契約時の仕様の範囲か、その後の変更か）を顧客と決めておきます。納品前のチェックで自社が潰せる範囲は、先に潰しておくのが一番の守りです。

▶ 納品前のセキュリティチェックリスト、制作会社の標準化キット──確認項目表、レビューの手順、顧客向け「安全性の説明書」、AIレビュー用プロンプト

よくあるQ&A

Q. 安い自動診断だけで十分か？

サイトの種類によります。ログインや決済のない小さなサイトと、会員情報を持つサイトでは、求める深さが違います。比べ方の表で、範囲と手法をそろえてから判断してください。

Q. 本番で診断していいか？

診断は、データの登録やメールの送信を伴うことがあります。検証環境が用意できるなら、そちらを優先します。本番でやるなら、作業時間と止まったときの連絡先を、顧客と診断会社の三者で決めておきます。

Q. 診断とペネトレーションテストは、どちらを頼むべきか？

目的が違います。違いと選び方は、こちらで扱いました。

▶ ペネトレーションテストと脆弱性診断の違いと、自社で受けるか外注するか──情報セキュリティサービス基準で読む判断の表と説明の型

最後に

脆弱性診断の費用は、範囲と画面数と手法で決まります。

見積もりを同じ条件にそろえ、自社の手間まで原価に入れた会社だけが、診断を赤字の付き合いではなく、保守の仕事にできるのです。

毎年の点検に診断を組み込む方法は、こちらにまとめました。

▶ 年次のセキュリティ点検を、保守の定例にする──棚卸し・診断・設定の見直し・報告の4工程と、1サイトあたりの工数の計算、点検報告書の型

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #脆弱性診断 #セキュリティ診断 #見積もり #発注 #情報セキュリティ #制作会社経営 #中小企業 #保守契約 #IPA