脆弱性診断の見積もりを取ってみると、会社によって金額が大きくちがって驚いた、という声をよく聞きます。「何にお金がかかっているのか」「どこを比べればいいのか」がわかりにくいのが、脆弱性診断の費用です。
このコラムでは、脆弱性診断の費用が何で決まるのかと、見積もりを比べるときに確かめたいこと、費用をおさえるコツをまとめます。
費用を決める5つのこと
1. 診断の種類
Webサイト、API、スマホやパソコンのアプリ、サーバーやネットワーク機器、ソースコードなど、何を診断するかによって、調べ方も必要な時間も変わります。たとえば、スマホのアプリと、そのアプリが使う API を両方調べるときは、2つの診断を組み合わせることになります。
2. 対象の規模
同じ種類の診断でも、対象が大きいほど時間がかかります。Webサイトなら画面や入力フォームの数、API なら機能（エンドポイント）の数、ネットワークなら IP アドレスの数などが目安になります。
ここで気をつけたいのが、規模の数え方は会社によってちがうことです。画面の数で数える会社もあれば、サーバーへのやり取り（リクエスト）の数で数える会社もあります。見積もりを比べるときは、金額だけでなく、何をいくつとして数えているかもあわせて見てください。
3. 診断の条件
次のような条件でも、手間が変わります。
- ログインが必要か（ログインしたあとの画面も調べるか）
- 利用者の種類がいくつあるか（一般の会員・管理者など、権限ごとに確かめる必要がある）
- 本番の環境で行うか、検証用の環境で行うか
- 夜間や休日に行う必要があるか
4. 調べ方
脆弱性診断には、大きく分けて、ツールで自動的に調べる方法と、専門のエンジニアが手で確かめる方法があります。
ツールによる診断は、決まったパターンの弱点を短い時間で広く調べられるため、費用をおさえやすいのが特長です。一方で、「ほかの会員の情報が見えてしまう」「1回しか使えないはずのクーポンが何度でも使える」といった、サイトの仕組みや権限にかかわる弱点は、ツールでは見つけにくく、人が仕組みを理解したうえで確かめる必要があります。こうした弱点は、Webアプリケーションの弱点のランキング「OWASP Top 10」でも上位に入っています。
手で確かめる範囲が広いほど費用は上がりますが、見つけられる弱点の種類も広がります。どちらがよいかは、サイトの性質や、守りたい情報の重さによって変わります。
5. 報告とその後の対応
診断のあとの報告やフォローも、費用に含まれているかどうかが会社によって変わります。
- 報告書にどこまで書かれているか（見つかった弱点の再現の手順や、直し方まで書かれているか）
- 直したあとに、もう一度確かめる「再診断」が含まれているか
- 報告書の内容を直接説明してもらえる場があるか
- 危険な弱点が見つかったときに、診断の途中でも知らせてもらえるか
見積もりを比べるときのチェックリスト
金額だけで比べると、「安いと思ったら、調べる範囲が狭かった」「再診断は別料金だった」ということが起こりがちです。次の点をそろえて比べるのがおすすめです。
- どの画面・機能・IP アドレスが対象に入っているか（入っていないものは何か）
- 規模を何で数えているか（画面の数か、リクエストの数か）
- ツールで調べる範囲と、手で確かめる範囲
- ログインしたあとの画面や、管理者の画面も調べるか
- 報告書の見本を見せてもらえるか
- 再診断が含まれているか、別料金か
費用をおさえるコツ
大事なところから調べる
すべてを一度に調べなくても大丈夫です。個人情報やお金を扱う画面、ログインや会員登録の機能など、狙われたときの影響が大きいところから優先して調べる方法もあります。
資料を用意しておく
画面の一覧や API の仕様書、利用者の種類（権限）の一覧があると、規模を正しく見積もれるため、余計な見積もりの幅を持たせずに済みます。手元にない場合も、打ち合わせで一緒に確認できます。
タイミングを選ぶ
公開した後や、大きく作り変えた後に弱点が見つかると、直すための費用も大きくなります。公開の前や、大きな改修の後に診断を入れておくと、直す手間をおさえられます。
まずは、おおよその費用を知ることから
SecureHatters の診断メニューごとの費用の目安と、費用が変わる条件は、料金の目安のページにまとめています。
「規模がわからない」「画面の数を数えたことがない」という場合も、お打ち合わせで一緒に確認します。お問い合わせから、お気軽にご相談ください。