脆弱性診断の予算は、診断・修正・再診断の3つに分けて考えると、発注後の見落としを減らせます。この記事で確認したWebアプリケーション診断の公開例は、税抜40万円、120万円〜、135万円〜。ただし、リクエスト数やページ数が異なるため、この幅をそのまま自社サイトの見積額にはできません。

診断は専門会社へ、見つかった問題の修正は社内の開発者や開発会社へ依頼します。wrenが相談を受けるのは、後者の修正・開発です。ここでは、診断を発注する前に確認する条件と、修正の見積もりに必要な情報を整理します。

脆弱性診断の公開料金3社を比較する

調査時点: 2026年10月（確認日: 2026年10月23日）。以下は各社の公式ページに掲載されたWebアプリケーション診断の例です。市場全体の平均・中央値ではなく、同条件の安さを順位付けした表でもありません。金額はすべて税抜です。

会社・サービス公開料金と対象再診断・追加費用の条件
セキュアスカイ・テクノロジー：Webアプリケーション診断基本40万円。10HTTP(S)リクエスト又は5API、報告書作成を含む再診断はMedium・Highの指摘を対象に1案件1回無償。追加10リクエスト又は5APIは30万円。報告会15万円／回
JRシステム：Webアプリケーション診断参考価格120万円〜。30リクエストまで、報告書作成を含む再診断36万円〜、報告会15万円〜。30リクエストを超えると10リクエストごとに追加料金
サイバーセキュリティクラウド：Webアプリケーション標準診断135万円〜。診断対象40ページ分を含む再診断・修正確認診断報告書を含む。追加10ページごとに20万円

出典：SSTの料金・条件、JRシステムの参考価格、サイバーセキュリティクラウドの価格表。SSTは2026年1月からの料金で、起点URLが複数の場合は起点ごとの見積もりです。APIの内容やログイン機能の数などでも変わります。各社の適用条件と最新料金は発注前に確認してください。

たとえばJRシステムの掲載下限額を足すと、診断120万円＋再診断36万円＝156万円（税抜）です。報告会や修正作業を加える前の金額です。一方、再診断込みのプランでも、対象の指摘や回数には条件があります。初回診断の金額だけで予算を確定しないことが大切です。

同じサイトでも診断費用が変わる理由

見積もりを揃えるには、会社名とURLだけでなく、調べたい機能を伝えます。ログイン前の商品ページと、ログイン後の注文履歴や管理画面では、必要なアカウントも確認する権限も異なります。

確認項目見積もり依頼で伝えること
対象の種類Webアプリ、API、サーバー・ネットワークのどこを調べるか
機能と権限会員・管理者などの役割、決済・注文・ファイル出力などの機能
診断する環境本番か検証環境か、実行可能な時間、停止やデータ変更への制約
診断方法ツールと手動の範囲、認証後の操作や業務手順を含むか
成果物と確認再現手順、報告会、修正相談、再診断の期限・回数・対象

1ページから複数のAPIを呼ぶシステムもあります。「画面が10枚だから10リクエスト」と換算せず、画面一覧・操作手順・API仕様を渡し、各社に対象を数えてもらいます。SSTの公式説明でも、ツールの結果を手動で確認する工程と、手動で調べる工程が分けられています。自動スキャンの月額と、専門会社が範囲を合意して実施する診断料は、そのまま比較できません。

診断対象の所有者・運用者の許可も必要です。外部の決済サービスや共用基盤まで、自社の判断だけで検査対象に含めないようにします。

診断後の修正費用は、指摘件数だけでは決まらない

修正費用の一律の金額は出せません。同じ1件でも、サーバー設定の変更で済む場合と、認可処理を複数のAPIで作り直す場合では、作業が違うからです。診断報告書の危険度は優先順位を考える材料であり、そのまま工数や料金にはなりません。

HTMLとSVGのコードが表示された開発画面の実写写真
修正では、コードの変更に加えて影響する機能の確認が必要です。 写真はHTML・SVGの開発画面の参考例で、wrenの作業画面や脆弱性の実例ではありません。 写真：Florian Olivo / Unsplash（Unsplash License）。
修正の種類（一般例）費用を左右する確認事項
設定の変更設定を管理する場所、変更権限、他サービスへの影響、戻し方
ライブラリ・PHPなどの更新対応版の有無、互換性、CMSや拡張機能との組み合わせ
アプリのコード修正共通処理か個別処理か、関連するAPI・画面、テストの有無
構成や認可設計の変更データ移行、利用者への影響、停止時間、段階的な切り替えの要否

見積もりには、調査と再現、修正、回帰テスト、本番反映、再診断への対応を分けて記載してもらいます。再診断で別の問題が見つかった場合や、仕様変更が必要になった場合の追加費用の扱いも確認します。

古いPHPやフレームワークの更新を伴うときは、PHPのサポート期限とバージョンアップの進め方も参考になります。安全な更新先と、業務機能が動くかの検証をセットで考えます。

EC加盟店は診断の実施と修正を予定に入れる

2026年10月23日に確認したクレジットカード・セキュリティガイドライン6.1版（2026年3月）の33〜34ページは、EC加盟店にカード情報の保持・非保持を問わず脆弱性対策を求めています。Webアプリケーションについては、脆弱性診断又はペネトレーションテストの定期実施と、必要な修正対応を記載しています。

「カード情報は決済代行業者に任せているから、自社サイトの対策は不要」とは判断できません。一方で、この記述を「すべてのEC事業者が同じ有料診断を年1回購入する義務」と読み替えることもできません。利用するカートや構築方法、委託先の担当範囲を整理し、具体的な実施方法や頻度、提出する証跡は契約するカード会社・決済代行業者と確認します。

見積もり段階で、プラットフォーム提供者が対応する部分と、自社が変更したテーマ・アプリ・連携機能を分けて伝えると、誰が修正するかを決めやすくなります。定期診断の日程だけでなく、結果を受けて直す期間も確保してください。

報告書を受け取ってから修正完了まで

指摘を整理する

診断会社と対象・再現条件を確認。事業者が緊急度と担当を決める

修正を見積もる

開発担当がコード・環境・検証範囲を調べ、追加調査と実装を分ける

修正して検証する

検証環境で対策と主要機能を確認。本番反映と戻し方も準備する

再診断で確かめる

合意した環境で診断会社が確認。本番への適用状況と残る課題を記録する

Fig. 01 — 診断会社と開発担当の役割を分け、再診断までの担当と期限を合意します。

見積もり依頼には、診断報告書、対象URLと環境、使用技術とバージョン、ソースコードの所在、修正期限を揃えます。実際のコードや認証情報の受け渡し方法は、秘密保持とアクセス権限を決めた後で合意します。問い合わせフォームにパスワードや個人情報を貼り付ける必要はありません。

修正の記録は、指摘IDに対応するIssue・PR・検証結果・反映日を結び付けて残します。報告書の指摘と実装が対応していれば、再診断の依頼時にも変更箇所を説明できます。日常の更新・権限管理はWebサービスのセキュリティ対策、継続する体制づくりはSRE顧問の担当範囲で説明しています。

なお、すでに侵害が疑われる場合は、通常の診断予約や改修だけで進めず、証拠保全と被害の切り分けが必要です。情報漏洩時の初動対応を参照してください。

wrenに相談できる修正・開発の範囲

wrenは脆弱性診断の専門サービスを提供していません。診断は専門会社へ依頼し、報告されたコードや設定の修正については、受託開発の相談として承ります。対象技術、ソースコードにアクセスできるか、元の開発会社との分担を確認して対応範囲を決めます。

当社のコーポレートサイトでは、問い合わせAPIにサーバー側の入力検証と、確認メールに埋め込む値のHTMLエスケープを実装しています。こうした処理も、入力欄の表示だけでは確認できず、データを受け取って出力するまでのコードを調べる必要があります。これは自社サイトで確認できる実装例であり、第三者診断の合格や顧客案件の修正実績を示すものではありません。

開発相談フォームには、対象システムの概要、診断報告書の有無、希望期限をお知らせください。報告書の機密部分は最初の問い合わせに含めず、共有方法を相談してからお送りください。