脆弱性診断の費用を比較する：対象・試験範囲・再診断の整理

Webサービスを公開するときや構成を変更したとき、どこまで診断すればよいか迷うことがあります。脆弱性診断は対象URLの数だけでは作業量を決められません。認証後の画面、利用者の権限、外部連携、試験できる環境を整理して、診断内容と費用を比較します。

この記事は法人の検討担当者に向けた一般的な確認ガイドです。特定の事業者の推奨順位や効果を示すものではありません。掲載写真は説明用のイメージで、実際の導入事例や特定の提供会社の実績ではありません。

第一部：よくある状況と比較前の背景

比較を始める前に、今回解決したい課題を一つの文章にし、必須条件と希望条件を分けます。担当者が便利と感じる機能でも、管理部門や実際の利用者が必要とする条件とは異なることがあります。現場担当、管理者、承認者が参加して確認し、導入後に誰の作業が残るのかを明らかにしましょう。現在の困りごとを整理せずにサービス名だけを比べると、導入後に追加の作業や契約が必要になることがあります。

診断結果に問題が見つからなかったとしても、将来の安全を保証するものではありません。試験時点の対象と方法の範囲で得られた結果として扱います。実データを使う必要がある場合は、提供範囲と取扱いを事前に確認してください。

第二部：相談を進める具体的な手順

手順1

対象のシステムと公開範囲、画面やAPI、役割ごとの権限を一覧にします。対象外の部分も明記し、委託先へ実施権限を与えられるか確認します。

手順2

本番と検証環境のどちらで試験するか、負荷やデータ変更を伴う試験の扱い、実施時間、緊急停止の連絡先を合意します。

手順3

報告会、修正相談、再診断の回数と期限を確認します。発見事項を担当者へ割り当て、修正した根拠と残る課題を管理します。

第三部：費用構成と選択条件の比較

以下は相場表ではなく、各社に同じ条件で確認するための整理表です。標準範囲と追加契約の境界を確認してください。

見積もりには、初期費用、継続費用、従量費用、追加作業、税の取扱い、最低契約期間を分けて記載してもらいます。同じ依頼条件を各社へ伝え、通常時と件数が増えた場合の二通りで確認すると比較しやすくなります。本稿では未確認の相場や削減額を示していません。掲載時期にかかわらず、実際の金額、対象地域、提供条件は依頼時の正式な見積書で確認してください。

第四部：契約前と開始後の確認

口頭で聞いた説明と契約書に違いがある場合は、署名する前に確認します。「対応可能」「支援する」といった言葉だけでは、無料で実施する範囲や完了の条件は分かりません。成果物、納期、確認方法、修正回数、追加費用の承諾手順を文書にします。試用や相談の段階でも、自社や顧客の実データを必要以上に渡さず、匿名化したサンプルで確認できないか相談しましょう。

導入・委託の開始後は、担当者が変わっても運用できるよう、窓口、権限、作業手順、承認の記録を残します。問題が起きたときに連絡する先と、急ぐ判断を誰が行うかを決めておきます。定例の報告では、完了した作業、未解決の事項、今後の変更予定を分けて確認します。報告書を受け取るだけで終わらせず、社内の担当者へ対応事項を割り当てることが大切です。

変更と契約終了も含めた運用設計

事業の拡大や拠点の変更、担当者の交代があると、当初の条件が合わなくなることがあります。見直しの時期と変更手続き、利用量が増減した場合の料金を確認してください。解約時には、データや資料の出力、引継ぎ支援、返却、削除、残存する契約期間を確認します。移行先が決まってからでは期限に間に合わない場合もあるため、契約前から終了時の手順を把握しておきましょう。

社内で残す比較表には、金額のほか、確認した日、担当窓口、根拠となる資料、未確認の条件を記載します。資料に記載がない項目を推測で埋めず、質問として依頼先へ返してください。条件の異なる提案は無理に順位を付けず、違いを説明できる形で残すと、承認者が判断しやすくなります。実際の試験で分かったことと、営業説明だけの項目を区別することも役立ちます。

依頼先へ渡す確認メモ

• 目的：現在の困りごと、対象部署、今回の委託で達成したい状態。
• 対象：件数、利用者、機器や資料、対象外とする部分。
• 分担：自社で用意する情報、承認者、依頼先が実施する作業。
• 日程：準備、試験、開始、定例確認、変更申請の締切。
• 検収：成果物、確認する担当者、不備がある場合の修正方法。
• 契約：料金、更新、解約、データや資料の返却・削除。

よくある質問

Q. 診断と侵入テストは同じですか。

A. 目的やシナリオ、対象、実施方法が異なる場合があります。名称だけで判断せず、実施する試験と成果物を確認しましょう。

Q. 料金が最も低い会社を選べばよいですか。

A. 対象と作業範囲が同じか確認してください。最低料金の条件や追加作業、社内に残る工数を含めて比べる必要があります。

Q. 比較する際に実データを渡す必要がありますか。

A. 最初は匿名化した例や条件表で確認できないか相談します。実データが必要な場合は、提供する範囲、取扱い、返却と削除を先に確認してください。

参考資料

制度や情報管理の一般的な確認先として、下記の公式案内を参照します。個別の料金や提供範囲は各社の正式な条件で確認してください。

• IPA：情報セキュリティ対策：制度または情報管理の一般的な案内。個別の価格・納期・効果の根拠ではありません。