Webサイトのセキュリティ対策を検討するとき、「脆弱性診断はいくらか」「WAFを入れれば十分か」「保守会社へ何を頼むべきか」と迷う企業は少なくありません。診断、WAF、更新、監視、事故対応は目的が異なるため、一つだけ導入しても、すべてのリスクをなくすことはできません。
結論からいえば、費用は守る情報、サイトの機能、アクセス量、診断範囲、監視時間、復旧目標で決まります。小規模サイトの基本対策は月額数千〜数万円から、継続的な自動診断は月額5万円以上の公開プランがあり、専門家による手動診断や24時間監視は要件により数十万〜数百万円以上になる場合があります。
本記事では、2026年9月28日時点のIPA、AWS、Cloudflare、Securifyなどの公式情報を確認し、脆弱性診断、WAF、運用保守の費用と役割を整理します。相場だけでなく、優先順位、見積もりの読み方、外注先の選び方、事故に備えた運用まで具体的に解説します。
Webサイトのセキュリティ対策費用の全体像
診断、予防、監視、復旧を分け、初期費用と継続費の両方を予算化します。
セキュリティ対策費は、現状を調べる費用、攻撃を防ぐ費用、異常を検知する費用、問題発生時に対応する費用に分かれます。脆弱性診断は問題を見つける作業であり、修正そのものではありません。WAFは通信を検査して攻撃を防ぐ仕組みですが、アプリケーション内部の不備を直すものではありません。
初期費用には、資産の棚卸し、セキュリティ診断、WAF導入、設定、テスト、ログ設計、手順作成などがあります。既に問題が見つかった場合は、改修、バージョン更新、サーバー移行、マルウェア除去が追加されます。
継続費には、WAFや監視サービスの月額、ログ保存、更新作業、脆弱性情報の確認、定期診断、アカウント管理、バックアップ、インシデント対応があります。サービス利用料が低くても、設定と運用をする担当者が必要です。
一般的な目安として、企業サイトの基本保守と監視は月額1万〜10万円程度、クラウドWAFはアクセス量やプランに応じて月額数千円から数十万円以上、ツール型の継続診断は月額5万円以上の公開料金があります。専門家による手動診断は画面数、API数、認証、業務ロジックで変わり、個別見積もりが中心です。
EC、会員、予約、採用応募など個人情報を扱うサイトは、一般的な会社案内サイトより対策範囲が広くなります。管理画面、API、決済、外部連携、ファイルアップロードを含めて確認します。売上や業務が止まるサイトでは、監視と事故対応の体制も必要です。
費用を比較するときは、初年度と次年度以降を分けます。初年度は診断、初期設定、改修が集中します。次年度はWAF、監視、更新、定期診断、訓練が中心です。3年間の総保有コストを作り、アクセス増加や機能追加も試算してください。
IPAのガイドは、安全なウェブサイトの構築と運用で、SQLインジェクション、XSS、CSRF、アクセス制御など複数の問題へ対応する必要性を示しています。特定の製品を入れるだけで完了とせず、開発、設定、運用を組み合わせます。
見積書では、「セキュリティ対策一式」ではなく、対象URL、画面、API、診断方法、WAFの範囲、監視時間、ログ、報告書、再診断、改修、緊急対応を分けます。範囲をそろえなければ、金額を正しく比較できません。
守る対象と対策の優先順位
すべてを同じ強さで守るのではなく、情報、機能、事業影響から優先順位を決めます。
最初にWeb資産を棚卸しします。公開サイト、管理画面、API、サブドメイン、テスト環境、クラウド、DNS、ドメイン、証明書、外部サービスを一覧にします。担当者が把握していない古いサイトやテスト環境も攻撃対象になるため、使っていなければ停止します。
次に扱う情報を分類します。氏名、住所、電話番号、メール、決済関連、健康、採用情報、社内資料など、漏えい時の影響を考えます。公開情報だけのサイトでも、改ざんやマルウェア配布、問い合わせメールの盗難は起こり得ます。
機能ごとのリスクも見ます。ログイン、検索、フォーム、ファイルアップロード、決済、会員ページ、管理画面、APIは確認の優先度が高い部分です。外部サービスへ接続する場合は、認証情報とデータの流れを整理します。
事業影響は、機密性、完全性、可用性で考えます。情報が漏れる、内容が書き換えられる、サービスが止まるという三つの影響を評価します。ECでは停止による売上損失、採用では応募情報、メディアでは改ざんによる信用低下が重要です。
現在の対策も確認します。ソフトウェア更新、バックアップ、多要素認証、権限、ログ、WAF、監視、診断、事故対応手順があるかを一覧にします。導入済みかだけでなく、最後に確認した日と担当者を記録してください。
優先順位は、影響度と発生可能性で決めます。管理画面がインターネットへ公開され、共通パスワードを使っているなら、早急に修正します。利用していないプラグイン、古いサーバー、公開された秘密情報も先に対応します。
IPAのECサイト向けガイドは、対策に時間がかかる場合の応急処置としてWAFを例示しています。ただし、WAFは根本修正の代わりではありません。脆弱性を修正し、WAFを追加の防御として使います。
予算が限られる場合は、重要資産の棚卸し、更新、バックアップ、強い認証、ログ、連絡体制から始めます。その上でWAF、診断、監視を追加します。高価な製品を入れても、管理者権限が共有されていればリスクは残ります。
経営者、事業責任者、開発、運用、法務、広報の役割を決めます。事故時には技術だけでなく、顧客連絡、当局報告、サービス停止の判断が必要です。責任者不在は復旧を遅らせます。
脆弱性診断の種類と費用
自動診断と手動診断は代替関係ではなく、目的と範囲に応じて組み合わせます。
自動診断は、ツールでWebサイトやAPIを定期的に検査する方法です。頻繁に実行しやすく、開発中や更新後の確認に向きます。一方、業務ロジック、権限、複雑な認証など、人の判断が必要な問題をすべて検出できるわけではありません。
Securifyの公式料金では、Webアプリケーション診断のSTARTERが月額5万円、年間60万円、1 IPまたはFQDNです。BASICは月額10万円から、年間120万円から、3以上のIPまたはFQDNが対象です。診断回数は制限なしと掲載されています。
手動診断は、専門家が仕様と操作を理解し、認証・認可、業務ロジック、入力、APIなどを確認します。費用は画面数、リクエスト数、API、役割、診断日数、報告内容で決まり、公開価格より個別見積もりが多い分野です。
プラットフォーム診断は、OS、ミドルウェア、ネットワーク機器、クラウド設定などを対象にします。Webアプリケーション診断だけでは、サーバーの設定不備や不要なポートを十分に確認できません。守る資産に合わせて両方を検討します。
ペネトレーションテストは、実際の攻撃者に近い視点で、複数の弱点を組み合わせて目的達成が可能かを検証します。一般的な脆弱性診断より目的とシナリオが重要で、費用も高くなりやすい作業です。診断との違いを見積書で確認してください。
見積もりでは、診断対象、除外範囲、アカウント数、診断環境、時間帯、攻撃的テスト、API仕様、報告書、報告会、再診断を確認します。対象画面数だけで安さを比較すると、重要なAPIや権限が除外されることがあります。
本番環境で診断する場合は、サービス停止やデータ変更のリスクを管理します。事前にバックアップ、連絡先、停止条件を決め、可能ならテスト環境を用意します。診断会社へ本番データを渡す場合は、安全な受け渡しと削除も確認します。
診断後は、危険度だけでなく、影響、再現条件、修正方法、修正期限、担当者を管理します。報告書を受け取って終わりにせず、修正後の再診断まで計画します。修正費は診断費に含まれないことが一般的です。
実施時期は、公開前、大きな機能追加後、定期的な確認、事故後が候補です。更新が多いサービスは、開発工程に自動診断を組み込み、年1回などの手動診断で補完する方法があります。
WAFの料金と導入時の注意点
WAFの利用料だけでなく、ルール設計、誤検知対応、ログ監視の運用費を含めます。
WAFはWebアプリケーションの前面で通信を検査し、既知の攻撃パターンや不審なアクセスを遮断します。SQLインジェクションやXSSなどへの追加防御として有効ですが、アプリケーションの脆弱性を修正するものではありません。
AWS WAFは、Web ACL、ルール、処理したリクエスト数に基づく従量課金です。公式の料金例では、Web ACL 1つ、ルール19件、月1,000万リクエストで合計30米ドル／月と示されています。CloudFrontなど関連サービス、ログ、追加機能の料金は別です。
AWS Marketplaceのマネージドルールを使う例では、WAF料金とルール提供者の料金が加わります。公式例では、AWS WAFが21米ドル、Marketplaceが32米ドル、合計53米ドル／月です。実際の費用はリージョン、アクセス、ルール、ログで変わります。
Cloudflare WAFの公式ページには、Proが年払いで月額20米ドル、月払いで25米ドル、Businessが年払いで月額200米ドル、月払いで250米ドル、Enterpriseはカスタム価格と掲載されています。利用できる機能はプランごとに確認してください。
マネージドWAFは、サービス会社がルール更新や監視を支援する方式です。月額はクラウド製品の利用料より高くなりますが、誤検知対応、レポート、専門家の判断を含む場合があります。監視だけか、ルール変更と事故対応まで含むかを確認します。
導入時は、まず検知モードでログを確認し、正常な利用を止めないかを試す方法があります。いきなり全ルールを遮断にすると、フォーム、API、決済が止まる可能性があります。重要な機能をテストし、例外は理由と期限を記録します。
WAFのログは、攻撃の傾向と誤検知を判断するために必要です。保存期間、検索、通知、個人情報の扱い、ログ量による費用を確認します。ログを誰も見ない状態では、設定改善と事故調査に使えません。
CDN型WAFではDNSや通信経路を変更する場合があります。既存CDN、証明書、キャッシュ、送信元IP、アクセス制限への影響を確認します。クラウド型では権限、構成管理、料金アラートも必要です。
WAFで防げない問題もあります。盗まれた正規アカウント、管理画面の誤操作、業務ロジックの悪用、公開されたAPIキー、内部不正などです。多要素認証、権限、秘密管理、診断、監視を組み合わせます。
運用保守・監視・事故対応の費用
監視通知を受けた後、誰が判断し、どこまで復旧するかを契約で決めます。
運用保守には、CMS・テーマ・プラグイン・サーバーの更新、バックアップ、アカウント管理、証明書、ログ、脆弱性情報の確認が含まれます。更新は事前バックアップと動作確認を行い、不具合時に切り戻せる状態で実施します。
死活監視はサイトが表示されるかを確認します。改ざん検知、マルウェア検査、エラーログ、WAF通知、容量、証明書期限などは別の監視です。監視対象と間隔を一覧にし、通知先と対応者を決めます。
月額費用は、平日日中のみか、24時間365日かで大きく変わります。自動通知が24時間動くことと、技術者が夜間も復旧することは別です。一次回答、調査開始、復旧目標、緊急連絡の条件を確認してください。
バックアップは、頻度、世代、外部保管、暗号化、復元テストが重要です。サイトの更新頻度に合わせ、どの時点まで戻せればよいかを決めます。バックアップが同じサーバーだけにあると、サーバー全体の侵害時に使えない可能性があります。
事故対応には、封じ込め、証拠保全、原因調査、復旧、パスワード変更、顧客連絡、再発防止が含まれます。通常保守の月額に何時間まで含むか、デジタルフォレンジックは別契約かを確認します。
事故発生後に初めて会社を探すと、環境把握と契約に時間がかかります。重要サイトは、緊急連絡先、承認者、停止判断、外部専門家を事前に決めます。年1回程度、連絡訓練と復元確認を行う方法もあります。
ログ保管費も見落としやすい項目です。Web、WAF、認証、サーバー、クラウドのログをどこへ何日保存するかを決めます。長期保管は事故調査に役立ちますが、容量と個人情報管理の費用が増えます。
保守会社へ軽微修正やコンテンツ更新も依頼する場合は、セキュリティ作業と分けて見積もります。月の作業時間が同じ枠だと、ページ更新に使い切り、緊急作業が別料金になることがあります。
運用レポートには、更新、検知、遮断、異常、バックアップ、未対応リスクを含めます。「問題なし」だけではなく、何を確認し、何が残っているかを記録します。
セキュリティサービスの料金比較
診断、WAF、運用支援は目的が違うため、価格だけで同列に選びません。
以下は2026年9月28日に各社の公式ページで確認した内容です。掲載順は優劣を示しません。為替、アクセス量、税、追加機能で費用は変わるため、契約前に最新情報と見積もりを確認してください。
| サービス | 公式掲載料金 | 主な用途 | 料金確認時の注意 | 公式URL |
|---|---|---|---|---|
| Securify Webアプリケーション診断 | STARTER 月額5万円・年間60万円、BASIC 月額10万円〜・年間120万円〜 | 継続的な自動脆弱性診断。WordPress診断も掲載 | IP/FQDN数、対象、サポート、修正・手動診断の有無を確認 | Securify公式料金 |
| AWS WAF | 従量制。公式例はWeb ACL 1つ、19ルール、月1,000万リクエストで30米ドル／月 | AWS上などのWebアプリを通信レベルで防御 | CloudFront等、ログ、マネージドルール、Bot Controlは別途確認 | AWS WAF公式料金 |
| Cloudflare WAF | Pro 年払い月額20米ドル／月払い25米ドル、Business 年払い月額200米ドル／月払い250米ドル、Enterpriseはカスタム | CDN上でWAF、ルール、脅威情報を活用 | プラン機能、ドメイン数、追加サービス、運用担当を確認 | Cloudflare WAF公式 |
| 専門家によるWebアプリ診断 | 多くは要問い合わせ | 認証、認可、業務ロジック、APIなどを手動確認 | 対象画面・API、日数、再診断、報告会、改修費を確認 | IPA登録サービス一覧 |
Securifyは自動診断を継続的に実施するサービスです。月額料金が明確ですが、専門家による手動診断や改修と同じものではありません。日常的な検出と、重要な節目の手動確認を分けて検討します。
AWS WAFは従量制で、アクセス量とルール数が費用へ影響します。クラウドを自社で運用できる体制があれば柔軟ですが、設計、ログ監視、誤検知対応の人件費を含める必要があります。
Cloudflareは定額プランを公開しています。WAFだけでなくCDNなど複数機能を含むため、必要機能と制限を確認します。DNS変更やキャッシュの影響をテストし、設定を管理する担当者を決めます。
専門家による手動診断は、対象と深さで費用が変わるため、要問い合わせが一般的です。比較するときは同じ画面、API、権限、診断方法を各社へ伝えます。安い見積もりで重要範囲が除外されていないかを確認してください。
製品料金とは別に、導入、設定、監視、改善、事故対応が必要です。自社で運用するか、マネージドサービスへ任せるかで総額が変わります。3年間の費用と社内工数を並べます。
セキュリティ会社の選び方
製品名や資格だけでなく、対象範囲、検証方法、事故時の体制を具体的に確認します。
最初に、自社と似たシステムの経験を確認します。コーポレートサイト、EC、会員、予約、API、クラウドでは必要な専門性が異なります。業界名だけでなく、認証、決済、外部連携など似た機能の経験を聞きます。
診断会社には、診断員の体制、使用するツール、手動確認、品質管理、報告書、再診断を質問します。自動ツールの結果をそのまま提出するのか、誤検知を専門家が確認するのかで価値が変わります。
WAF導入会社には、ルール設計、検知モード、テスト、誤検知、例外、ログ、通知、更新を確認します。製品を導入して終わりではなく、サイト変更に合わせて運用できるかが重要です。
監視・保守会社には、受付時間、一次回答、技術者の対応時間、緊急連絡、復旧作業、追加費用を聞きます。「24時間監視」と「24時間有人対応」を区別してください。
情報管理も選定条件です。本番アカウントや個人情報を扱う場合、秘密情報の共有方法、端末、アクセス権、ログ、再委託、契約終了時の削除を確認します。共通アカウントをメールで共有する運用は避けます。
見積書では、対象、前提、対象外、担当者、成果物、追加単価を確認します。「WAF導入一式」「診断一式」だけでは比較できません。資産数、URL数、API数、アクセス量、対応時間を明記してもらいます。
修正支援の有無も重要です。問題を見つけても、開発会社が修正できなければリスクは残ります。診断会社、開発会社、運用会社の連絡経路と、修正後の再診断を決めます。
事故対応の経験は、守秘義務に配慮しながら、体制、手順、初動、復旧、報告の考え方を聞きます。事故を完全に防げると断言する会社ではなく、予防、検知、封じ込め、復旧を説明できる会社を選びます。
相見積もりでは、同じ資産一覧、対象機能、希望時期、監視時間、復旧目標を渡します。価格だけでなく、範囲、体制、報告、引き継ぎを採点します。
契約終了時に、設定、ログ、報告書、アカウント、ルールを受け取れるかも確認します。特定会社しか運用できない状態を避け、社内にも責任者と記録を残してください。
導入から継続改善までの進め方
資産棚卸しから始め、診断、修正、防御、監視、訓練を一つの循環にします。
第1段階は資産棚卸しです。ドメイン、サブドメイン、IP、クラウド、管理画面、API、テスト環境、外部サービス、担当者を一覧にします。所有者不明の資産は調査し、不要なら停止します。
第2段階はリスク評価です。扱う情報、機能、利用者、アクセス、停止時の影響を整理します。重要度の高い資産から対策し、必要な監視と復旧目標を決めます。
第3段階は基本対策です。ソフトウェア更新、多要素認証、権限、バックアップ、秘密管理、HTTPS、不要機能の停止を行います。診断前に明らかな問題を直すと、診断費を重要な確認へ使えます。
第4段階は診断です。自動診断と手動診断の範囲を決めます。本番影響、テストアカウント、連絡先、停止条件を共有します。結果は危険度だけでなく、事業影響と修正難易度で優先順位を付けます。
第5段階は修正と再診断です。担当者と期限を設定し、改修後に問題が解消したかを確認します。すぐ修正できない場合は、WAFや機能停止などの暫定対策を行い、期限を管理します。
第6段階は防御と監視です。WAF、ログ、アラート、改ざん検知、死活監視を設定します。通知先、判断者、対応手順を決め、誤検知と見逃しを定期的に見直します。
第7段階は事故対応準備です。緊急連絡、封じ込め、証拠保全、復旧、顧客連絡、外部専門家を手順にします。バックアップから復元できるかを試し、机上訓練を行います。
第8段階は継続改善です。機能追加、アクセス増、脅威、組織変更に合わせて資産と対策を更新します。月次で検知と未対応リスク、四半期や年次で診断・訓練・契約を見直します。
予算計画では、製品利用料、導入、診断、改修、監視、保守、ログ、訓練、緊急対応を分けます。事故対応の予備費も検討してください。診断で多数の問題が見つかる可能性を考え、改修費をゼロにしないことが重要です。
成果は「攻撃がゼロ」だけで測れません。更新完了率、重大脆弱性の修正時間、多要素認証率、復元テスト、アラート対応時間、未対応リスクを管理します。数字は改善判断に使い、形式的な達成だけを目的にしません。
公開前の受け入れ確認も記録します。フォーム、ログイン、決済、ファイルアップロード、権限別画面を実際の操作で確認し、WAFやアクセス制御によって正常な利用が止まっていないかを確かめます。検査用のアカウントとデータは本番利用者から分け、確認後に削除してください。
新しい機能を追加するときは、企画段階で扱う情報と権限を確認します。完成後にまとめて診断するだけでなく、設計レビュー、コードレビュー、自動検査を開発工程へ入れると、修正範囲を小さくできます。外部サービスを導入する場合は、提供会社の障害・終了時の代替手順も決めます。
経営向けの報告では、攻撃件数だけで不安をあおりません。重要資産、重大な未対応リスク、修正期限、事故時の影響、必要予算を簡潔に示します。技術担当には再現条件と対応手順を共有し、対象者に合う情報へ分けることが重要です。
よくある質問
Webサイトのセキュリティ対策はいくらかかりますか？
基本保守と監視は月額1万〜10万円程度、WAFは月額数千円から数十万円以上、自動診断は月額5万円以上の公開プランがあります。手動診断や24時間対応は対象により個別見積もりです。初期設定、改修、ログ、事故対応も含めて確認してください。
WAFを入れれば脆弱性診断は不要ですか？
不要にはなりません。WAFは通信を検査して攻撃を防ぐ追加防御です。アプリケーション内部の認証・認可、業務ロジック、設定不備をすべて解消するものではありません。診断と修正を組み合わせます。
無料の診断ツールだけで十分ですか？
公開情報や基本的な問題の確認には役立ちますが、認証後の画面、API、業務ロジック、誤検知の判断には限界があります。サイトの重要度に応じて専門家による診断を検討してください。
診断費用に修正も含まれますか？
通常は別です。診断は問題の検出と報告、修正は開発作業です。修正支援、再診断、報告会が含まれるかを見積書で確認します。
本番サイトへ診断しても安全ですか？
診断方法により負荷やデータ変更の可能性があります。診断会社と攻撃的テスト、時間帯、停止条件を決め、バックアップと連絡体制を準備します。可能なら本番に近いテスト環境も使います。
24時間監視なら夜間も復旧してもらえますか？
監視通知が24時間動くことと、技術者が修正することは別です。有人対応、一次回答、調査開始、追加料金を契約で確認してください。
小規模な会社案内サイトでも対策は必要ですか？
必要です。問い合わせ情報、管理者アカウント、改ざん、マルウェア配布、サーバー悪用のリスクがあります。資産規模に合う更新、バックアップ、認証、監視から始めます。
セキュリティ会社へ相談する前に何を準備しますか？
ドメイン、サーバー、CMS、機能、API、アクセス量、扱う情報、管理者、現在の対策を整理します。希望する診断範囲、監視時間、復旧目標、予算もまとめると見積もりを比較しやすくなります。
まとめ
Webサイトのセキュリティ対策費用は、診断、WAF、更新、監視、事故対応の範囲で決まります。製品料金だけで判断せず、導入、設定、ログ、運用、改修を含む年間総額で比較してください。
脆弱性診断は問題を見つけ、WAFは攻撃を防ぐ追加防御、運用保守は安全な状態を維持する仕事です。それぞれの役割を理解し、サイトの重要度に合わせて組み合わせます。
最初に資産、情報、機能、事業影響を整理します。明らかな更新不足や弱い認証を直し、診断、修正、防御、監視、訓練を循環させてください。
外注先は、価格や製品名だけでなく、対象範囲、検証、誤検知対応、障害時の体制、報告、引き継ぎで選びます。事故を完全に防ぐ保証ではなく、発生可能性を下げ、早く検知・復旧できる体制を作ることが重要です。
まずはHPの達人に相談する
Webサイトの診断、WAF、運用保守のどこから始めるべきか迷う場合は、HPの達人がサイト構成と事業への影響を整理します。現在のサーバー、CMS、機能、扱う情報、運用体制を確認し、過不足のない対策をご提案します。
参考・出典
以下の情報は2026年9月28日に各公式ページで確認しました。料金、仕様、制度は変更される場合があります。
