数千万円の賠償か、数万円の診断か。ホームページ脆弱性診断の費用相場と「損をしない」選び方

「自社のホームページは大丈夫だろうか」という漠然とした不安を抱えつつも、セキュリティ対策への投資に踏み切れない経営者やIT担当者は少なくありません。その最大の障壁は、対策にかかる「コスト」の不透明さにあります。

結論から申し上げれば、ホームページの脆弱性診断は、やり方次第で数百万円の差が生じます。しかし、安易に安さだけで選べば、重大なリスクを見逃すことになり、結果として数千万円、時には数十億円規模の損害賠償を背負うことにもなりかねません。

本記事では、ホームページ脆弱性診断の具体的な費用相場から、なぜ料金にこれほどの差が出るのか、そして自社にとって最適な診断をどのように選ぶべきかという実務的なポイントを、リスクの現実と共にお伝えします。

1.ホームページ脆弱性診断の費用相場｜手法別「2つの価格帯」

脆弱性診断の費用は、大きく分けて「ツールによる簡易的な診断」と「専門家が深く関与する詳細な診断」の2つの価格帯に分類されます。

なぜこれほどまでに価格差があるのか、まずはそれぞれの内容と相場感を正しく把握することが、コスト最適化の第一歩となります。

1-1.ツール診断：5万円〜50万円で手軽にリスクを可視化

一般的に「ツール診断」や、効率化された「簡易診断（健康診断プラン）」と呼ばれる手法の相場は、1ドメインあたり5万円から50万円程度です。

この価格帯の診断は、主に自動化ツールを使用して既知の脆弱性をスキャンします。例えば、株式会社ロードマップが提供する「ホームページ健康診断」では、1ドメインあたり500,000円（初回診断）という価格設定がなされています。この手法のメリットは、短納期（通常5営業日程）で報告レポートが提供される点にあります。

また、定期的な監視を含むプランもあり、継続的な安全性を維持するために以下のような料金体系が提示されるのが一般的です。

• 月1回の定期診断:年間1,800,000円
• 3ヶ月に1回の定期診断:年間1,200,000円
• 6ヶ月に1回の定期診断:年間900,000円

これらは、特定の攻撃手法に絞った「観点重視」の診断を行うことで、工数を抑えつつ重大なリスクを早期に発見することに重点を置いています。

1-2.手動診断：30万円〜500万円以上で潜む脆弱性を徹底排除

一方で、セキュリティエンジニアが一つひとつのリクエストに対して手動で攻撃を試みる「通常診断（網羅的診断）」の場合、費用は30万円から、大規模なサイトでは500万円以上に達することも珍しくありません。

この手法は「網羅性」を極めて重視します。例えば、50ページのサイトを診断する場合、全てのページ、全ての入力項目に対して診断項目を一つずつ実行していくため、膨大な工数が必要となります。

診断タイプ	費用相場（1ドメイン）	特徴
ホームページ健康診断	約50万円	観点重視。脆弱性を1つ見つけたらその項目は終了し、スピードとコストを優先
通常診断（網羅的診断）	約500万円	網羅性重視。全てのページを最後まで診断し、漏れを徹底的に排除

手動診断は、ログイン後の操作や複雑な処理を含むWebアプリケーション、あるいは個人情報を大量に扱う基幹システムなど、高い安全性が求められるサイトに適しています。

2.なぜ料金に差が出るのか？見積もりを左右する3つの決定要因

同じ「脆弱性診断」という名称であっても、提供会社やプランによって見積額が10倍以上変わることがあります。この差を生む要因を理解していないと、過剰な投資をしたり、逆に必要な診断が漏れたりする恐れがあります。

見積価格を大きく左右するのは、主に「範囲」「深さ」「サポート」の3点です。

2-1.1.診断対象の「ページ数」と「機能の複雑性」

最も分かりやすい要因は、診断対象となるボリュームです。多くの診断会社では、診断対象の「リクエスト数（画面数や機能数）」に応じて見積を算出します。

通常診断（網羅的診断）では、ページ数や遷移数が増えるほど工数が積み上がるため、価格が高騰します。対して、低価格な診断プランでは、遷移数やページ数に依存せず一律の価格で提供されるケースもあります。これは、全てのページを網羅するのではなく、攻撃者に狙われやすいポイントをエンジニアが選定して診断を行うためです。

2-2.2.診断の「深さ」と「専門家の介在レベル」

診断の「深さ」とは、どの程度徹底的に調査を行うかを指します。

• 効率重視型（健康診断など）:脆弱性を一つ発見した段階でその項目の診断を終了し、次の項目へ移ります。これにより時間を大幅に短縮し、低コスト化を実現しています。
• 網羅重視型（通常診断）:途中のページで脆弱性を発見しても、全ページにわたって最後まで診断を継続します。ページ単位での漏れはなくなりますが、その分膨大な時間がかかります。

また、使用するツールも影響します。オープンソース（KaliLinux,OWASPZAPなど）を中心に構成してコストを抑えるケースもあれば、高価な商用ツール（BurpSuiteProfessionalなど）を併用して精度を高めるケースもあります。

2-3.3.再診断や報告会などの「アフターサポート」の充実度

診断が終わった後の対応も費用に影響します。

単に診断レポートをPDFで送付するだけであれば安価に済みますが、エンジニアによる詳細な「報告会」を実施する場合、別途1回10万円程度の費用が発生することが一般的です。また、指摘された脆弱性を修正した後に再度診断を行う「再診断」がプランに含まれているかどうかも、最終的なコストを左右する重要なチェックポイントです。

3.失敗しない診断会社の選び方｜3つの判断基準でコストを最適化

相場が分かったところで、次に重要なのは「どのレベルの診断が自社に必要なのか」を判断することです。全てのサイトに500万円の網羅診断が必要なわけではありません。

自社の状況に合わせた最適なプランを選ぶための3つの基準をご紹介します。

3-1.自社サイトの「資産価値」に見合った診断プランを選ぶ

まず考えるべきは、そのホームページが攻撃を受けた際の「損害の大きさ」です。

• コーポレートサイト（会社案内）:個人情報の取得が問い合わせフォームのみであれば、まずは外部からの調査に重点を置いた「健康診断」レベルから始めるのが費用対効果に優れます。
• ECサイト・会員制サイト:クレジットカード情報や大量の個人情報を扱う場合、ログイン後の挙動も含めた網羅的な「通常診断」を検討すべきです。

資産価値に見合わない安価な診断を選んでしまうと、万が一の際に「診断を受けていたのに防げなかった」という事態を招き、社会的信用の失墜を免れません。

3-2.費用対効果を最大化する「診断頻度」の目安

セキュリティは「一度やれば終わり」ではありません。OSやミドルウェアの新たな脆弱性は日々発見されています。

そのため、1回あたりの診断費用を抑えつつ、定期的に実施する方が、長期的にはリスクを低減できます。例えば、大規模な改修時のみ網羅診断を行い、それ以外は3ヶ月〜6ヶ月に1回の頻度で簡易的な定期健診を受けるという「ハイブリッド戦略」が、多くの企業で採用されています。

3-3.隠れた追加費用に注意！見積書で確認すべきチェック項目

見積書を比較する際は、以下の項目が含まれているか、あるいは別途費用なのかを確認してください。

1. 環境準備費用:診断用のテスト環境が必要な場合、その構築費用がかかるか。
2. 報告会費用:レポートの解説を対面やオンラインで行う場合の費用。
3. 再診断費用:問題修正後の確認診断が含まれているか。
4. アフターサポート:電話やメールでの技術的な相談が可能か。

URLの情報だけで診断を開始できる手軽なサービス（ホームページ健康診断など）は、手続きの労力が少なく、隠れた工数コストを抑えることができます。

4.放置のリスクは数千万円？情報漏洩による「損害賠償」の現実

「診断に50万円も払えない」と考える前に、対策を怠った際の結果を直視する必要があります。ひとたび情報漏洩が発生すれば、その損害額は診断費用の比ではありません。

過去の事例に基づく賠償額の相場を以下の表にまとめました。

時期	漏洩事業者・情報の種類	規模	賠償額（想定・実績含む）
平成15年	某大手コンビニ（カード情報）	約115万人	57億5,000万円
平成21年	某大手証券金融（顧客情報）	4万9,000人	4億9,000万円
平成26年	某大手教育・出版業	2,895万人	144億7,500万円
2019年	某美容サイト（テスト環境流出）	–	対応費120万円＋月数千万円の売上減

被害は直接的な損害賠償だけにとどまりません。以下のような「二次被害」が企業の首を絞め続けます。

• ブランド毀損:検索エンジンでの警告表示やブラックリスト登録により、流入が激減します。
• 事故対応費用:超割り増しの調査費、システム再構築費が発生します。
• 風評被害の継続:ネット上に「情報漏洩を起こした企業」という事実が永遠に残り、人材確保や融資にも悪影響を及ぼします。

2019年の弊社調査事例では、委託業者のミスによるサーバ乗っ取りで、わずか1件の事故に対し400万円の対応費用が発生したケースもあります。数十万円の診断を惜しんだ結果、その何倍もの代償を支払うことになるのがセキュリティの現実です。

より詳細なリスク分析と、コストを抑えつつ最大の効果を得る手法については、以下のホワイトペーパーにまとめています。

Webサイト脆弱性診断レポート：情報漏洩の賠償リスクと低コストで始めるセキュリティ対策の全手法

5.予算内で最大限の対策を！診断費用を賢く抑える2つの工夫

限られた予算の中でセキュリティレベルを向上させるには、戦略的なアプローチが必要です。「安かろう悪かろう」に陥らないための工夫を解説します。

5-1.診断範囲に「優先順位」をつけ、無駄な工数を削る

全てのページを一律に診断するのではなく、リスクの高い箇所にリソースを集中させます。

具体的には、以下の項目に優先順位をつけます。

• 外部公開情報:WordPressの設定不備や、意図せず公開されているファイルがないか。
• サーバ外の調査:自社が関知できない通信経路での改ざんリスク（SSL/TLS設定など）や、ブラックリスト登録の有無を確認します。

このように「攻撃者が容易に利用できるポイント」に絞って簡易診断を行うことで、網羅診断の10分の1程度のコストで重大なリスクの多くを検出することが可能です。

5-2.無料ツールと有料サービスを使い分けるハイブリッド戦略

自社にIT知識のあるエンジニアがいる場合は、オープンソースツールを活用して日常的なセルフチェックを行い、専門的な判断が必要な箇所だけを有料サービスに依頼する手法も有効です。

主に使用されるツール例:

• OWASPZAP:Webアプリの脆弱性スキャン
• WPScan:WordPress専用の診断
• OpenVAS:ネットワーク診断

ただし、ツールの結果を正しく解釈し、具体的な対策案に落とし込むには高度な専門知識が必要です。診断レポートに対処方法まで詳細に記載してくれるサービスを活用することで、自社エンジニアの工数を削減し、結果としてトータルコストを抑えることができます。

6.まとめ｜「安物買いの銭失い」を避け、確かな安全への投資を

ホームページの脆弱性診断は、単なるコスト（費用）ではなく、企業を守るための「投資」です。

費用相場は、簡易的なもので50万円前後、網羅的なもので500万円以上と幅がありますが、大切なのは自社のサイトが抱えるリスクと資産価値に見合った手法を選ぶことです。

• まずは現状を知りたい:低価格・短納期の「ホームページ健康診断」で、重大な欠陥がないかを確認。
• 個人情報を厳重に扱う:工数はかかっても、全ての穴を塞ぐ「通常診断」を実施。
• 継続的な安全を:定期診断プランや監視サービスを活用し、新たな脅威に備える。

万が一事故が起きた際の賠償額や社会的信用の損失を考えれば、適切な診断を受けることは、最も賢明な経営判断と言えるでしょう。

「何から手をつければいいか分からない」という方は、まずはURL一つで始められる簡易診断から検討してみてはいかがでしょうか。その一歩が、数千万円の損失を防ぐ境界線になるかもしれません。