脆弱性診断の費用は何で決まるか｜価格構造と変動要因

脆弱性診断の費用は、対象数、診断深度、手動比率などの仕様で変わるため、金額だけでなく条件を揃えて比較します。総額が異なる理由を読むには、何を対象にし、どこまで確認し、どの成果物を含めるのかを同じ順番で確認することが必要です。

ここで扱う公共調達の金額は、特定案件の調達実額です。民間の受託診断の価格水準や一般的な相場と同一視せず、入札制度、参加資格、仕様の前提が異なることを踏まえて、見積比較の条件を整理します。

脆弱性診断の費用構造とは

脆弱性診断の費用構造とは、サービス名ではなく、発注仕様に含める対象、確認の深さ、実施方法、成果物の組み合わせで総額が変わる構造です。一つの単価や総額だけでは、対象外の範囲や追加条件を読み取れません。

見積総額に含まれる条件を分ける

見積総額を確認するときは、対象を数える条件と、診断後に受け取る成果物の条件を分けます。対象には、公開画面だけを含めるのか、認証後画面や管理機能まで含めるのか、ネットワーク上の資産をどの単位で扱うのかといった違いがあります。対象名が同じでも、数え方や除外範囲が異なれば、総額は同じ条件を示しません。

成果物では、報告書の範囲、説明の有無、改修後に確認する条件を別々に確認します。再診断や報告会が総額に含まれるか、回数や期限に条件があるかを確認しなければ、初回の金額だけでは比較できません。見積書を読む順番としては、総額より先に、対象、確認方法、成果物、追加条件を追う方が差分を把握しやすくなります。

対象と成果物を一つの欄にまとめると、変更が生じたときに何が増減したのかを追えません。対象の定義、確認の範囲、成果物の条件を分けて記録し、依頼先からの質問と回答も同じ資料に残します。これにより、見積の更新後も、総額が変わった理由を仕様の差分として確認できます。

単価の見かけだけで比較できない理由

画面、IP、ホスト、人による確認の範囲は、同じ単位として並べられません。たとえば画面単位の見積とネットワーク上の資産単位の見積では、対象を数える基準が違います。単価のように見える数字があっても、対象の定義、診断深度、成果物が違えば、同じ条件で比較したことにはなりません。

公共調達でも、同じ発注者が同じ仕様書で募った入札で金額が大きく開くことがあります。これは一つの金額を一般的な相場として読むのではなく、仕様、参加条件、入札の前提を確認する必要があることを示す材料です。民間の受託診断では、対象の変更や契約条件も異なり得るため、特定案件の金額をそのまま当てはめません。

比較の前に、異なる単位を同じ表へ無理に並べないことも重要です。画面単位、IP単位、時間を基準にした条件は、対象と成果物の対応を明らかにしなければ正規化できません。発注者側の比較表では、同じ単位で確認できない項目を別欄にし、総額の差だけで結論を急がないようにします。

費用を変える要因を整理する

費用を変える要因は、主に対象数、診断深度、手動比率、実施上の制約です。対象が多いほど必ず同じ割合で費用が変わるとは限らず、対象の重要度、認証後の領域、実施時間、連携先との境界などを含めて、発注仕様として確認します。

対象数と診断深度を確認する

対象数は、単に画面やIPを数える作業ではなく、何を一つの対象として扱うかを決める作業です。Webアプリケーションでは画面、機能、認証後画面を分け、プラットフォームではIP、ホスト、ネットワークの境界を分けます。対象を増やすかどうかは、業務上の重要度、扱う情報、管理者、実施の制約も踏まえて決めます。

診断深度は、対象数とセットで確認します。同じ数の画面でも、認証後の機能を含めるか、どの範囲を確認するかによって条件は異なります。対象ごとに確認したい内容と対象外を明記し、見積書の記載と社内の対象一覧が対応しているかを確認します。これにより、総額の違いを数だけで説明する誤解を避けられます。

サービス変更の予定がある場合は、変更前と変更後のどちらを対象にするかも確認します。見積依頼時の対象一覧が古いままだと、依頼先ごとに異なる前提で条件が作られるおそれがあります。対象数を増やすか減らすかだけでなく、対象の役割と対象化する時点を共有します。

手動比率と実施体制を確認する

手動比率は、自動的な確認と人による確認をどのように分けるかに関する条件です。手動で確認する範囲は、対象の種類、診断深度、認証後画面の有無、必要な成果物と関係します。見積を比較するときは、手動で確認するという言葉だけで判断せず、どの対象で、どの範囲を、どのような前提で確認するかを質問します。

実施体制については、利用が集中する時間帯を避ける必要があるか、連絡先を誰にするか、対象変更を誰が判断するかを確認します。体制の条件が異なる場合、同じ対象数でも依頼内容は一致しません。発注者側の制約を共有し、依頼先ごとに同じ条件が見積へ反映されているかを見ることで、総額だけでは分からない違いを整理できます。

実施方法に関する条件は、金額の大小を示すための項目ではありません。発注者が必要とする確認を、対象と結び付けて説明できるようにする項目です。依頼先に確認する際は、手動の有無だけで終えず、対象、成果物、実施上の制約を合わせて記録します。

国土地理院が令和7年10月16日に実施した「令和7年度Webアプリケーション脆弱性監査業務」では、同一発注者・同一仕様書に対する入札額は1,300,000円、1,800,000円、9,000,000円で、いずれも税抜です。最も高い金額は最も低い金額の約6.9倍でした。予定価格2,150,000円は税抜、落札価格1,300,000円は税抜、契約金額1,430,000円は税込であり、これらは別の金額です（出典: 国土地理院「令和7年度 一般競争入札結果情報（物品・役務等）」、2026-09-11確認）。

この入札額の開きは、同じ発注者が同じ仕様書で募った特定の公共調達における事実です。一般的な相場、民間の受託診断の価格水準、特定の提供者の優劣を示すものではありません。案件ごとに入札制度、参加資格、対象範囲、仕様が異なるため、民間の見積比較では同一仕様シートを作り、対象と成果物の条件を別途確認します。

地方税共同機構が令和7年5月23日に実施した「令和7年度セキュリティ診断等業務委託」でも、同一発注者・同一仕様書に対する税抜入札額は16,163,000円、19,360,000円、29,100,000円で、最も高い金額は最も低い金額の約1.80倍でした。落札価格は16,163,000円、税抜です（出典: 地方税共同機構「入札結果等に係る情報」、令和7年5月26日公表、2026-09-11確認）。

この金額も特定案件の公共調達実額であり、別の案件や民間の受託診断へ換算できる数字ではありません。二つの案件の金額を同じ条件の比較表に並べるのではなく、同一仕様書内の入札額の開きとして読みます。発注者は、金額の開きだけを結論にせず、対象数、診断深度、手動比率、成果物を確認する必要があります。

同一仕様シートで比較する

同一仕様シートで比較することは、見積を依頼する前に対象と成果物の条件を同じ欄に記録することです。総額を並べる前に、各見積が何を含み、何を含まないかを確認できる状態を作ります。

認証後画面・再診断・報告会を比較条件に入れる

認証後画面、再診断、報告会は、総額だけを見ると見落としやすい条件です。認証後画面については、どの利用者区分のどの機能を含めるかを記載します。再診断については、回数だけでなく、改修後のどの範囲を確認するのか、対象変更があった場合にどう扱うのかを確認します。

報告会は、実施の有無、参加者、説明する範囲、質問への対応を見積条件に残します。必要な成果物が依頼先ごとに異なる場合、金額だけを並べても比較の前提が揃いません。六つの軸に記入できない条件があれば、追加欄を作って確認します。比較表は順位を付けるためではなく、条件差を見える形にするために使います。

再診断を確認する場合は、初回に確認した全範囲を再度扱うのか、改修した部分を中心に扱うのかを区別します。報告会も、説明だけを受ける場なのか、質問への対応を含むのかで条件が異なります。曖昧な欄を残したまま比較せず、依頼先への確認事項として整理します。

見積を読む順番を決める

見積を読む順番を決めることは、総額の前に仕様差、対象外、追加条件、出典の読み方を確認することです。金額が記載された資料を使う場合も、何の案件で、どの条件の数値なのかを近くに示し、別の課金単位や範囲の数値と混ぜません。

価格例を掲載する場合の出典の読み方

価格例を読むときは、出典名、確認日、対象範囲、件数、税表示、調達条件を近くに置きます。予定価格、落札価格、契約金額は同じ意味ではないため、同じ案件でも混同しません。また、同一の発注者と仕様書に対する入札額の開きは、同じ案件内の事実として読むものであり、異なる案件の金額を横並びにして平均や中央値を作るためのものではありません。

公共調達の記録は、発注者が仕様を揃える重要性を考える材料になります。一方で、民間の見積に同じ金額が当てはまることを示す資料ではありません。発注者は、公開された金額に引き寄せて仕様を決めるのではなく、自社の対象、深度、実施条件、成果物を定めたうえで、同じ仕様の見積を比較します。

出典を確認する際は、発注機関、件名、入札日、税表示、数値が何を指すかを一緒に読みます。落札価格だけを抜き出すと、予定価格や契約金額と混同するおそれがあります。金額に触れる資料では、調達条件と確認日を近くに置き、数字の意味を単独で広げないことが必要です。比較の根拠は文書で残します。

よくある質問

脆弱性診断の相場は一つに決められるか

対象数、診断深度、手動比率、含まれる作業が異なるため、一つの金額で判断しません。公共調達の実額は特定案件の調達実額であり、民間の受託診断の価格水準と同一視しません。公開された金額を読む場合も、対象範囲、時点、税表示、出典を確認します。

安い見積を選んでもよいか

金額だけでなく、対象、手動での確認、認証後画面、再診断、報告会の条件が同じかを確認してから判断します。ある条件が見積に含まれていない場合、総額の違いは作業範囲の違いかもしれません。比較表に条件差を残し、質問への回答を確認してから選定します。

再診断や報告会は別に確認すべきか

総額に含まれるか、回数や期限に条件があるかを見積書で確認します。再診断は改修後にどこまでを確認するか、報告会は説明の範囲や参加者を確認します。条件を別欄にしないと、対象数や診断深度が同じでも、成果物の範囲が違うことを見落とします。

まとめ

脆弱性診断の費用は、対象数、診断深度、手動比率、認証後画面、再診断、報告会などの仕様で変わります。公共調達の実額は特定案件の事実として読み、相場や民間の価格水準と同一視しません。発注では、総額より先に条件を同一仕様シートへ記録し、対象、方法、成果物、金額の順に見積を確認します。

発注の全体像はセキュリティ診断の発注ガイド、種類の違いは脆弱性診断とペネトレーションテストの違い、範囲の整理はWebアプリ診断の対象範囲で確認できます。費用に関する記事は費用の記事一覧とブログ一覧へ進めます。