脆弱性診断の費用はいくら？うちは何にいくら払えばいいかの決め方

2026年10月13日に公開された、中小企業のセキュリティの悩みを集めた調査（シンミドウ 2026年10月13日）によると、取引先からセキュリティのチェックシートへの回答や、脆弱性診断の報告書を求められても、社内に答えられる人がいないという相談が多く見られました。Yahoo!知恵袋のセキュリティの質問は、7 月（10 日から）の 28 件が、10 月は 1〜10 日だけで 83 件に増えています。

「診断を受けてください」と言われて調べてみると、出てくる金額はばらばらで、何に払えばいいのか分からない。この記事は、そんな方のために書きました。

先に答えを言います。脆弱性診断の費用は「どこまで見るか」「人の手かツールか」「1 回か続けるか」の 3 つで決まります。従業員 10〜100 人の会社なら、まず 0 円の外からの点検で今の状態を知り、ログイン画面やカード決済があるサイトだけ、一段深い診断を足せば十分です。相場の数字を覚える必要はありません。

脆弱性診断の値段は、3つのことで決まる

脆弱性（ソフトやサイトの弱点）を探す診断の値段は、次の 3 つの組み合わせで決まります。同じ名前のサービスでも、ここが違えば中身は別物です。

1. どこまで見るか

一番大きいのは、見る範囲です。外から誰でも見られる所だけを見るのか、会員がログインした後の画面まで見るのか、サイトを動かしているソースコードの中身まで見るのか。奥に行くほど、見る量も手間も増え、値段が上がります。会員のマイページやカード決済の画面がないサイトなら、ログインした後を見る必要はそもそもありません。

2. 人の手で見るか、ツールで見るか

ツールで自動で見る診断は、短い時間で広く見られるので安くなります。人の手で見る診断は、専門家が画面を 1 つずつ操作して確かめるので、画面やページの数が増えるほど高くなります。経済産業省の基準に合った診断サービスは、IPA（情報処理推進機構）が一覧にして公開しています（IPA 情報セキュリティサービス基準適合サービスリスト 2026年10月9日更新）。人の手の診断を頼むときは、この一覧から探すと安心です。

3. 1回だけか、続けて見るか

1 回の診断は、その日のサイトの写真のようなものです。弱点は毎月のように新しく見つかるので、写真を撮った翌月には状態が変わっていることもあります。続けて見る仕組みは月ごとの費用になりますが、1 回あたりは安く、変化にすぐ気づけます。

相場の数字より先に「見る範囲」を決める

相場の数字より先に、見る範囲を決めてください。同じ「脆弱性診断」でも、見る画面の数、ログインした後を含むか、ソースコードまで見るか、直したあとの再診断が入っているかで、見積もりは何倍も変わります。金額の幅だけを覚えると、安い見積もりが「外側だけ」、高い見積もりが「中身まで」だったときに、比べ方を間違えます。

見積もりを取るときは、次の条件をそろえてから頼んでください。

• 外から見える所だけか、ログインした後の画面も含むか
• ソースコードの中身まで見るか
• 何画面・何ページを見るか
• 報告書に「直し方」まで書かれるか
• 直したあとにもう一度確かめる再診断が入っているか

この 5 つがそろえば、金額を比べる意味が出てきます。逆に、どの会社にも同じ 5 つを伝えれば、出てきた金額をそのまま並べて比べられます。

VibeGuardの場合の値段（2026年11月3日時点）

判断の材料として、私たちが運営する VibeGuard の値段を、料金のページのとおりに載せます（2026年11月3日時点・すべて税別）。どこまで見るかで、値段がどう分かれるかの一つの例として見てください。

詳しい結果や毎日のモニタリングは、DNS の設定か指定のファイルの設置で所有者確認が済んだサイトだけが対象です。攻撃者と同じ手口で実際に侵入を試すペネトレーションテストは、この表には入っていません。必要な場合は、扱う会社に見積もりを取ります。

うちは何にいくら払えばいいか。サイトの中身で決める

払う先は、会社の人数ではなく、サイトで何を預かっているかで決めます。次の表で、自社に当てはまる行を 1 つ選んでください。

カード決済のあるネットショップは、カード会社などでつくるクレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」6.1版（日本クレジット協会の資料のページ）で、脆弱性診断かペネトレーションテストを定期的に行い、必要な修正をすることが求められています。この行に当てはまる会社は、「受けるかどうか」ではなく「年に何回、どこまで」で考えてください。

お金を払う前に、0円でできることがある

IPA の 2024 年度の調査（IPA 2025年2月14日 速報版）では、不正アクセスを受けた中小企業のうち 48.0% が「脆弱性を突かれた」と答えています。半分近くは、すでに知られている弱点が侵入口になっていたということです。

私は著書の第6章で、やるべきことは昔から大きく変わっていない、差がつくのは続けられるかどうかだ、と書きました。お金を払う前に、次の 2 つは 0 円でできます。

• サイトの CMS（WordPress などのサイト管理の仕組み）とプラグイン（後から足す機能）を、自動でアップデートされる設定にしておく
• 問い合わせフォームや会員登録の入力欄を見直し、使っていない情報を集めない

持っていない情報は漏れませんし、古い弱点を残していなければ、診断で見つかる問題もそれだけ減ります。診断の費用を、本当に必要な所に回せます。

今日やること

1. 自社のサイトに「ログイン画面」「カード決済」「個人情報を集めるフォーム」があるかを、紙に書き出す
2. 上の表で、自社に当てはまる行を 1 つ決める
3. 会社のドメインのメールアドレスで、無料診断を 1 回申し込み、今の状態を知る

今の状態が分かれば、見積もりを取るときにも「ここを見てほしい」と言えます。それだけで、払うお金の無駄はかなり減ります。

よくある質問

脆弱性診断の費用は、何で変わりますか？

主に 3 つで変わります。どこまで見るか（外から見える所だけか、ログインした後の画面やソースコードまでか）、人の手で見るかツールで見るか、1 回だけか続けて見るか、です。同じ「脆弱性診断」という名前でも、この 3 つが違えば値段は大きく変わります。

従業員 20 人の会社でも、高い診断を受けるべきですか？

会社の人数ではなく、サイトで何を預かっているかで決めます。会社案内と問い合わせフォームだけのサイトなら、まず無料の外からの点検と CMS の自動アップデートで十分です。会員のログインやカード決済がある場合は、ログインした後の画面まで見る診断を年に 1 回足します。

見積もりを比べるときは、どこを見ればいいですか？

金額の前に「見る範囲」をそろえます。外側だけか、ログインした後の画面を含むか、ソースコードまで見るか、何画面・何ページか、報告書に直し方が書かれるか、直したあとの再診断が入っているか。この条件が同じでないと、金額だけ比べても意味がありません。

VibeGuard のスポット診断と、ペネトレーションテストは何が違いますか？

スポット診断（1 回 98,000 円・税別、2026年11月3日時点）は、外側・設定・ソースコード・ログインした後の画面を 1 回でまとめて見て、改善提案と PDF のレポートを出すものです。攻撃者と同じ手口で実際に侵入を試すペネトレーションテストは別のもので、扱う会社に見積もりを取ります。

何にいくら払うかは、今の状態を知ってから決めれば十分です。まず一度、会社のドメインのメールアドレスでVibeGuard の無料診断を受けてみてください。深い診断が要るかどうかを判断するときは、料金のページの表と照らし合わせてください。

書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』。

出典

• シンミドウ 中小企業のセキュリティの悩みの調べ 2026年10月13日
• IPA 情報セキュリティサービス基準適合サービスリスト（2026年10月9日更新）
• IPA「2024年度中小企業等実態調査結果」速報版 2025年2月14日
• 日本クレジット協会 クレジットカード・セキュリティガイドライン 資料のページ（6.1版）
• 江藤正親『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』
• VibeGuard 料金（2026-11-03 確認）
• VibeGuard 無料診断（2026-11-03 確認）