脆弱性診断・ペネトレーションテストの費用相場【2026年版】

脆弱性診断やペネトレーションテストの費用感がつかめず、見積もりを取る前に足踏みしてしまう中小企業は多い。結論から言えば、Webアプリケーションの脆弱性診断はツール型の自動診断であれば10万〜30万円程度、専門家による手動診断では50万〜200万円程度が一つの目安になる。さらに踏み込んで、実際に攻撃者のように侵入を試みるペネトレーションテストになると、100万〜500万円程度まで幅が広がるのが実勢である。金額に大きな幅があるのは、診断対象の規模（画面数やAPI数）、診断手法（自動か手動か）、報告書の粒度、再診断の有無といった要因が絡み合うためだ。以下では、種類ごとの違いと、見積もりの妥当性を見極めるポイントを整理する。

ひとくちに「脆弱性診断」と言っても、対象や手法によって呼び方も費用も異なる。代表的な診断の種類を整理すると次のようになる。

同じ「脆弱性診断」という名前でも、見積額が数倍違うことは珍しくない。主な要因は次の5つである。

- 画面数・入力フォーム数：診断対象のURLや機能が増えるほど工数が増え、費用も比例して上がる
- IPアドレス数・サーバー台数：ネットワーク診断は対象IPの数で見積もりが変わる
- 診断手法（自動か手動か）：手動診断は専門家の工数がかかる分、自動診断より高くなる
- 再診断の有無：指摘事項を修正した後の再診断が見積もりに含まれるかどうかで総額が変わる
- 報告書の粒度・報告会の有無：経営層向けの要約や口頭説明会がセットになっていると費用が上乗せされる

見積書を比較する際は、金額だけでなく前提条件をそろえることが欠かせない。特に、診断対象を「画面単位」で数えるか「機能単位」で数えるかによって、同じサイトでも見積額が大きく変わる。また、指摘事項の深刻度をCVSS（共通脆弱性評価システム）のようなスコアで示しているか、専門用語だけでなく非エンジニアにも読める要約がついているかも確認したい。中小企業のITリスク対策ガイドでも触れているとおり、セキュリティ投資は一度きりで終わらせず、継続的な点検の一部として位置づけることが望ましい。プライバシーマークやISMSの認証取得を検討している場合は、Pマーク・ISMS取得の費用相場もあわせて確認すると、審査要件との重複や優先順位が見えやすくなる。

- まずは無料または低コストのツールで自社サイトの基本的な脆弱性を把握する
- OS・CMS・プラグインを最新版に更新し、既知の脆弱性を放置しない
- 個人情報や決済情報を扱う画面がある場合は、優先的に手動診断の対象にする
- 過去にセキュリティインシデントや不正アクセスの兆候があれば、ペネトレーションテストの実施を検討する
- 診断結果を踏まえた対策の実施体制（誰が直すか、いつまでに直すか）を先に決めてから発注する
- ランサムウェア対策など基礎的な防御策も並行して見直す

脆弱性診断が「既知の弱点を網羅的に洗い出す健康診断」だとすれば、ペネトレーションテストは「実際に侵入を試みて、どこまで被害が広がるかを検証する実地訓練」に近い。診断範囲は狭くなるが、複数の脆弱性を組み合わせた攻撃シナリオまで確認できる点が特徴だ。大手企業との取引開始や上場準備でセキュリティ体制の証明を求められる場合、あるいは重要な顧客データを扱うシステムを新規に立ち上げる場合は、脆弱性診断に加えてペネトレーションテストの実施も検討したい。なお、診断や対策だけでは防ぎきれないインシデント発生後の損害に備える手段として、サイバー保険の基礎も選択肢に入れておくと安心感が増す。