脆弱性診断の案件単価はいくら？
常駐・スポットの
形と求められる経験

脆弱性診断だけの案件単価は、公的資料にもHeydayのデータにも、集計がない。この記事で言えるのは、「セキュリティ/SOC/CSIRT」タグ全体の分布（単価上限の中央値75万円、単価つき166件）と、他社の公開値、検索時点の個別案件の例までだ。診断の単価を一つの数字で示すことは、しない。

そのうえで、案件の形（常駐・リモート・スポット）、求められる経験、副業やスポットで請けるときの契約と法律の入口を整理する。法律と契約に関する記述は一般的な説明で、法的助言ではない。

この記事で出せる数字と、出せない数字

Heydayのタグは、脆弱性診断やペンテスト（pentest）の語を検出の対象に含むが、診断だけを取り出した集計はない。件数が少ない集計を表に載せると、読んだ人がその数字を相場だと受け取ってしまうため、載せない。

脆弱性診断とペネトレーションテストの違い

呼び方と範囲は、会社や案件ごとに違う。案件票に「ペンテスト」とあっても、中身は脆弱性診断に近いことがある。一般的な違いは次のとおり。

診断の対象は、Webアプリ、ネットワークとサーバー（プラットフォーム）、スマホアプリなどに分かれる。どちらも、対象の管理者から許可を得て、範囲を決めて行うことが前提になる。許可の扱いは、後半の「副業・スポットの注意」で説明する。

案件の形と、診断が発注される背景

案件の形は、大きく3つある。それぞれの割合を示すデータは、Heydayにはない。

• 常駐・準委任。 診断を行う会社やSIerの診断チーム、事業会社のセキュリティ部門に入る。診断の実施、報告書の作成、修正後の再確認が主な仕事になる
• リモート。 Webアプリのように、ネットワーク越しに実施できる対象は、遠隔で行いやすい。社内ネットワークの診断は、現地での作業が必要になることがある。タグ全体のリモート可率は56.5%（可否の記載があった214件が母数）で、診断だけのリモート可率は分からない
• スポット。 期間と範囲を区切った単発の診断。期間と範囲は案件ごとに決まる

案件票を読むときは、最初に、診断を「する」仕事か、診断の「結果を受けて直す」仕事かを見分けてほしい。後者は、脆弱性の修正、パッチの適用、設定の見直しといった運用や開発に近い仕事で、求められる経験が変わる。

診断が発注される背景として、公表されている動きを3つ挙げる。

• IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）の組織向けで、「システムの脆弱性を悪用した攻撃」は4位（前年は3位）（IPA）
• クレジットカード・セキュリティガイドライン6.0版（2025年3月取りまとめ）は、EC加盟店に、システムとWebサイトの脆弱性対策を求めている（出典：クレジット取引セキュリティ対策協議会の取りまとめを伝えるECのミカタの記事）
• 経産省と国家サイバー統括室が整備を進めるSCS評価制度は、任意の制度で、★4以上は技術検証を含む第三者評価とされている。申請の受付開始は2027年3月頃の見込みとされ、確定ではない（出典：IPA「SCS-100」、2026年8月28日。PDF。受付時期は解説記事による）

制度や取引先の要請が、診断を発注する理由になる、という構図だ。

案件票に見る単価：タグ全体の分布と、他社の公開値

他社が公表しているセキュリティエンジニア全体の平均単価も並べる。診断だけの数字ではなく、集計の時点も母集団も定義も違う。レバテックの単価は、参画者の受取額（税込）の上限表記とされる。

（出典：INSTANTROOM（PR TIMES）、レバテックフリーランス、フリーランススタート。各社の自社集計）

診断の個別の例もある。レバテックフリーランスの掲載案件には、脆弱性診断で上限が月50〜90万円程度のもの（月90万円まで、月60万円までなど）があった。検索した時点の掲載例で、募集が終了した案件を含み、代表値ではない。この範囲は、Heydayのタグ全体のp25からp75（65〜90万円）と重なる。ただし、例が少数なので、診断の分布だと言うことはできない。

月額単価を12倍した数字は、年収ではない。この記事では、年収の数字は出さない。

求められる経験：Web・ネットワーク・スマホ

診断の対象によって、土台になる経験が違う。

診断で使われるツールの例には、Webアプリ向けのプロキシツール（Burp Suiteなど）、ポートスキャナ（Nmapなど）、脆弱性スキャナがある。スキルシートにツール名を書くときは、使った場面を添えたほうが、できることが伝わる。

もう一つ、報告書がある。検出した脆弱性を、再現手順、影響、対策案の形で、開発者が読んで直せるように書けることは、診断の成果物の質に直結する。開発の経験は、直す側の目線で報告を書ける点で、診断に活きる。

未経験から診断に近づく道は、セキュリティエンジニアは未経験からSESで目指せる？のルートBにまとめた。診断を含むセキュリティ職種全体の単価の見方は、セキュリティエンジニアのSES単価を参照してほしい。

資格の効き方

診断系の資格には、攻撃側の実技を問うもの（OSCPなど）や、倫理的ハッキングの知識を問うもの（CEHなど）がある。ただし、これらの資格が単価にどう効くかを示す追跡データは、Heydayにない。

情報処理安全確保支援士を含む資格の位置づけは、情報処理安全確保支援士はフリーランスで意味ないのかに書いた。案件票やスキルシートでは、資格の名前より、診断の対象、手法、報告書の経験を具体的に書くほうが、できることが伝わる。

副業・スポットで診断を請けるときの注意

この記事の中心は、常駐・準委任などで案件に参画する形の診断だ。副業で個人が診断を請ける場合は、契約の個別性が高い。次の点を押さえてほしい。

許可された範囲だけを診断する。 診断は、攻撃者と同じ手法を使う。対象システムの管理者の許可なく行うと、不正アクセス行為の禁止等に関する法律などに触れるおそれがある。許可は、権限のある人から文書で得る。口頭の了解だけで始めない。法令の条文は、e-Gov法令検索で確認できる。

文書で取り交わす項目。 対象（URL、IPアドレス、環境）、範囲と除外するもの、期間と時間帯、実施元のIPアドレス、連絡先と中止の条件、取得したデータの扱いと廃棄を決めておく。診断の影響で対象に負荷がかかる、アカウントがロックされるといったことも起こりうるので、影響が出たときの連絡と責任の範囲も決める。

クラウド上の対象。 クラウド事業者が、診断を行うときのルール（事前の連絡の要否、禁止する行為）を定めていることがある。事業者の最新の規約を確認する。

契約の形。 準委任は、原則として作業の遂行に対して報酬を払う契約で（成果に対して払う型もあるとされる）、請負は、報告書などの成果物の完成に対して払う契約と整理される。診断の報告書を納める形なら、成果物の定義、再診断の扱い、責任の範囲を決める。契約形態の見分け方はSES偽装請負チェックリストが使える。企業側が契約形態をどう比べるかは、セキュリティ人材をSES・業務委託・派遣で入れる違いと費用にまとめている。

副業の場合。 本業の会社の就業規則（副業の可否、競業、秘密保持）を確認する。本業で知った情報を、副業の診断に持ち込まない。

よくある質問（FAQ）

Q. 副業で脆弱性診断はできますか？

できるかどうかは、本業の就業規則と、診断を請ける契約で決まる。診断は、許可された対象にだけ行う。前の節の項目を文書で取り交わし、契約は専門家に確認してほしい。

Q. 脆弱性診断の単価はいくらですか？

診断だけの単価は、集計がなく、一つの数字では言えない。Heydayのセキュリティ/SOC/CSIRTタグ全体では、単価上限の中央値が75万円、p75が90万円だった（2026年3〜8月受信・重複除去前、単価つき166件）。個別の例では、診断で上限が月50〜90万円程度のものがあった。いずれも提示単価の上限で、手取りではない。

Q. ペネトレーションテストの案件はありますか？

案件票にペンテストの語を含む行は、タグの検出の対象に入っている。ただし、ペンテストだけの件数と単価は、集計していない。案件ごとに、診断の範囲と求める経験が違うので、案件票で確認する。

Q. 未経験から診断に入る道はありますか？

入れるとは約束できない。開発やインフラの経験を土台に、現職でセキュリティの観点の業務を担当し、学習用の環境で再現と修正を試す道が考えやすい。詳しくは、未経験からSESで目指す3つのルートに書いた。

個別に相談したいとき

診断の経験が、案件票のどの条件に当てはまるか。診断に近づくために、どの案件で何を積めるか。状況を伺ったうえで、案件票の読み方を含めてお伝えする。企業側がセキュリティ人材を探す事情は、セキュリティ人材・体制の相談窓口にまとめている。

関連記事

• SOCアナリストの単価と未経験からの入り方
• セキュリティエンジニアのSES単価