サイバーセキュリティ / 工程6 費用・見積把握
脆弱性診断・ペネトレーションテストの費用と見積の考え方
脆弱性診断やペネトレーションテストを検討すると、最初に知りたいのは費用です。ただ「いくらですか」と尋ねても、対象や範囲が決まっていなければ正確な金額は出ません。診断費用は対象システムの種類、画面や機能の数、手法の深さで大きく変わります。このページでは、見積金額が何で決まるのか、依頼前に何をそろえておくと精度の高い見積が出るのかを整理します。
見積金額を左右する要素
診断費用は主に、対象システムの種類（Webアプリ、ネットワーク、クラウド設定など）、対象の規模（画面数・機能数・ホスト数）、診断手法の深さ（自動診断中心か、手動による深い検査やペネトレーションテストまで行うか）で決まります。範囲が広く深いほど工数が増え費用も上がるため、やみくもに広げず、優先順位の高い対象から診断するのが費用対効果の高い進め方です。具体的な金額は前提次第で変動します。
脆弱性診断とペネトレーションテストの違い
両者は混同されがちですが目的が異なります。脆弱性診断は既知の弱点を網羅的に洗い出し、どこに穴があるかを把握するもの。ペネトレーションテストは実際の攻撃者の視点で侵入を試み、穴が本当に悪用できるか、どこまで到達されるかを検証するものです。深さが違うため費用も異なります。まず全体の穴を把握したいのか、特定システムの実害可能性を確かめたいのかで、必要な診断と費用感が変わります。
精度の高い見積を取るために
正確な見積には、診断対象の一覧、システムの構成や規模、診断の目的（網羅把握か実害検証か）をそろえることが近道です。これらが曖昧だと見積に幅が出て、比較もしにくくなります。GXOでは見積の前に対象と目的を一緒に整理し、優先度の高い範囲から段階的に診断する案も含めて費用を提示します。補助金の活用可否についても、金額や締切ではなく、対象になり得るかの観点から診断窓口をご案内できます。
費用・見積把握に役立つページ
- サイバーセキュリティ サービス概要 — 診断を含む各サービスの支援範囲を確認できます。
- 体制・運用・監視の要件定義 — 見積の前提となる範囲と目的を固められます。
- 支援・診断ベンダーの選定軸 — 見積を比較する際の判断軸を整理します。
- ペネトレーションテスト — 攻撃者視点で侵入可能性を検証する診断の詳細です。
- 補助金の活用可否診断 — 診断費用が補助対象になり得るかを確認できます。
- 見積依頼 — 対象を整理したうえで診断の見積を依頼できます。
よくある質問
脆弱性診断の費用はどう決まるのですか？
対象システムの種類、画面や機能の数などの規模、診断手法の深さで決まります。範囲が広く深いほど工数が増え費用も上がります。具体的な金額は前提条件で変動するため、診断対象と目的をそろえてから見積を取ると精度が高まります。GXOでは前提整理から伴走します。
脆弱性診断とペネトレーションテスト、どちらを頼むべきですか？
まず全体の穴を網羅的に把握したいなら脆弱性診断、特定システムが実際に侵入されるかを攻撃者視点で確かめたいならペネトレーションテストが適します。目的が違うため費用も異なります。両者を組み合わせる場合もあるため、目的を整理したうえで必要な範囲を見積もります。
補助金は使えますか？対象になり得るか知りたいのですが？
補助金の制度内容や対象要件はその時々で変わり、細かい条件があるため、このページでは断定しません。診断費用が補助の対象になり得るかは個別の状況によります。活用可否を確認したい場合は、補助金の診断窓口から現状に即した可能性を整理することをおすすめします。