セキュリティ診断の費用は何で変わる？診断範囲・見積もり・再診断の比較

セキュリティ診断の費用は、診断する対象の数（画面・IP・アカウント）と、人手で調べる範囲、報告書・再診断、作業の条件で変わる。

デジタル庁のガイドラインは脆弱性診断の費用の単位を示すが、金額の目安は示していない。我々は、見積額を次の4つの条件に分けて読むことを勧める。

セキュリティアセスメントの基本と、ほかの診断との使い分けは「セキュリティアセスメントとは？評価項目・脆弱性診断やASMとの違い」で説明している。

セキュリティ診断の費用を左右する診断範囲と見積もり単位

見積もりの単位は、Webアプリ診断なら画面数やAPIなどのリクエスト数、プラットフォーム診断ならIPアドレス数だ。根拠はデジタル庁の『政府情報システムにおける脆弱性診断導入ガイドライン』（以下、デジタル庁のガイドライン）だ。

経済産業省の『ASM導入ガイダンス』は、脆弱性診断の対象は把握済みのIT資産で、未把握の資産を見つけるのはASMの役割だと整理している。依頼する側が一覧に書かなかった資産は、見積もりにも診断にも入らない。

Webアプリの脆弱性診断費用と画面数・機能数

Webアプリ診断では、1画面にある検索やログインなど入力を送る操作を何リクエストと数えるかを見積もりで確かめる。スマホアプリ診断は、ストアに公開するAndroid向けとiOS向けのアプリ本体に加え、サーバーとの通信も対象になる。

同じガイドラインは、機能の確認に十分な権限を持つアカウントで診断することを必須とし、アクセス元を絞った管理画面の診断は任意としている。そのため、ログイン後の画面と管理画面を含めるかを先に決め、利用者の種類ごとに診断用アカウントを用意する。ログイン前の公開ページだけで見積もると、会員の情報を扱う機能が範囲から外れる。

ネットワークのセキュリティ診断費用とIP数・機器数

プラットフォーム診断は、インターネットから届く機器を調べる外部診断と、社内LANの機器を調べる内部診断に分かれる。どちらもIPアドレス数で費用が変わり、現地での作業には追加費用がかかることがある。

対象にはWebサーバーのほか、VPN機器やネットワークにつながる複合機も入る。攻撃の起点として狙われているためだ。公開しているIPアドレスを機器ごとに数え、外部か内部かを分けて伝えると、見積もりの単位がそろう。

クラウド・組織のセキュリティ評価の範囲と費用条件

クラウドの設定の点検は、IPアドレスの数では範囲を表せない。アクセス権限や保存先の公開設定は、クラウドのアカウントの中にあるためだ。我々は、アカウントの数と、点検に使う基準を範囲として書くことを勧める。基準の例には、CISがクラウド事業者やOS向けに公開している設定の推奨事項（CIS Benchmarks）がある。

組織の体制の評価は、規程や教育、事故への備えを調べる。IPAは『中小企業の情報セキュリティ対策ガイドライン』の付録で、費用をあまりかけずに実行できる25項目の自社診断のチェックシートを公開している。外部に評価を頼むなら、自社だけか、グループ会社や取引先まで含めるかで範囲が変わる。

セキュリティ診断の費用差：手動・ツール診断と報告書・再診断

対象の数が同じ見積もりでも、人手で調べる範囲と、報告書・再診断に含まれる作業が違えば、工数が変わり、費用に差が出る。

セキュリティ診断の費用を左右する手動・ツールの検査範囲

デジタル庁のガイドラインは、Webアプリの脆弱性を仕様に起因するものと実装に起因するものに分け、他人のデータを読み書きできる、管理者の機能を誰でも使える、といった仕様の不具合は、ツールの自動診断では見つけにくいとしている。政府の調達では、人手の診断とツールの結果の確認が必須とされている。

見積もりの工数の内訳では、どの種類の脆弱性を人手で調べるのかを確かめる。人手の範囲が書かれていない見積もりは、手動診断を含む見積もりと金額を比べられないと我々は考える。

ペネトレーションテスト（侵入試験）は、経済産業省の「情報セキュリティサービス基準」で、脆弱性診断のうち、攻撃者と同様の手法でセキュリティ機能を回避して攻撃の目的を達成できるかを試験するサービスと定義されている。目的が違うので、脆弱性診断だけの見積もりとは別の行で比べる。

脆弱性診断の報告書・再診断の費用と追加条件

報告書について、デジタル庁のガイドラインは次の6項目の記載を必須としている。

• 検出した脆弱性の概要
• 深刻度
• 影響
• 対策の方法
• 検出したすべてのパラメータ
• 検出したときの入力文字列

影響は、悪用できることを可能な範囲で実証し、画面の記録などの証跡を添えるとしている。報告会は推奨にとどまる。再診断は、改修した脆弱性を対象に、報告書の納品から最低1か月以内の期間に1回以上行えるようにすることが必須とされている。

見積もりでは、再診断の回数、受け付ける期限、対象が改修した脆弱性だけかを確かめる。期限を過ぎた後の扱いも、発注前に聞いておく。

人手で調べる仕様の不具合のうち、他人のデータを読み書きできてしまう不備がなぜ起きるかは、BOLAの解説で確かめられる。

セキュリティ診断の費用を比較する見積もり表と追加料金

見積もりは、範囲・方法・成果物の行をそろえた表に書き写してから金額を並べ、追加料金の条件は発注前に尋ねる。

脆弱性診断の見積もりでそろえる比較項目

比較表の行は次のとおり。

政府の調達では、同じ基準で脆弱性診断サービスとして認められた事業者であることも条件だ。IPAは適合したサービスの一覧を公開しているが、掲載にあたって基準への適合を再確認していないと断っている。

セキュリティ診断の追加費用と診断対象外の確認

デジタル庁のガイドラインは、診断が通信帯域の圧迫やサービスの停止、試験データの残存、大量のメール送信を起こしうるとして、休日・夜間に診断するなら発注時に明記するよう求め、帯域の制限は要請に応じてできることを任意の要件としている。発注前に次の点を依頼先に尋ねる。

1. 休日・夜間の作業、現地での作業は追加料金になるか
2. 診断の通信量を制限できるか
3. 診断中にWAFやIPSを止める必要があるか
4. 検証環境で行う場合、診断用アカウントや試験データの準備を誰がするか
5. 対象の数が見積もりより増えたとき、単価はいくらで、どこまで受け付けるか

WAFやIPSについて、デジタル庁のガイドラインは脆弱性の存在を隠すおそれがあるため無効にして診断することを推奨している。止められないなら、その条件で見つけられる範囲を依頼先に確かめる。

費用を抑えるために範囲を絞るなら、デジタル庁のガイドラインの優先順位が目安になる。初めての診断ではインターネットから届く箇所を優先し、改修の後は、フォームやAPIの入力の処理、画面を動的に作る処理、認証やファイルの登録に変更があれば診断することが望ましいとしている。

定期診断で対象を事前に決めにくい場合は、上限のIPアドレス数や画面数を決めて調達する方法を挙げている。目安はプラットフォーム診断で10〜30IPアドレス、Webアプリ診断で50〜100リクエスト、スマホアプリ診断で10〜20画面程度だ。似た作りの画面は代表の1画面だけを対象にするなど、選び方も先に決める。

セキュリティ診断の費用見積もり前にそろえる資産一覧

見積もりの依頼には、URL・IPアドレス、機能、管理者、診断できる時間帯を対象ごとに1行で書いた資産一覧を添える。IPAの中小企業向けガイドラインには資産管理台帳のサンプルがあり、その形式から始められる。

デジタル庁のガイドラインは管理対象の例に、グローバルIPアドレスとドメイン名、OSとミドルウェア、WAFなどのセキュリティ製品、VPN機器や複合機を挙げている。

一覧に載せた資産の管理者には、診断の前に知らせる。同じガイドラインは、システムの責任者、開発・運用の担当、監視の担当、クラウド事業者などのインフラ提供者への事前の周知と、診断してよいかの確認を求めている。インフラ提供者が禁じている診断項目は避ける。

一覧が古いと、把握していない公開サーバーやクラウドのアカウントが範囲から漏れる。担当者への聞き取りで足りない場合、同じガイドラインはASMなどを使って一覧を定期的に見直すことを勧めている。

資産一覧を添えて見積もりを取り、各社の見積もりを上の比較表に書き写して、空いた行を依頼先に問い合わせる。金額の差がどの条件から来ているかを社内で説明できる。