セキュリティ保守費用の内訳｜パッチ適用・脆弱性診断・事故対応を1行にしない

セキュリティの保守費用について確かめたくなるのは、たいてい見積書に「セキュリティ対応　一式　月額◯万円」と書かれているのを見つけたときです。金額そのものは大きくない。ただ、この1行が何を約束しているのかが分からない。パッチは当ててくれるのか、脆弱性診断は入っているのか、事故が起きたら誰が動くのか。聞けば「含まれています」と返ってくるけれど、含まれているのが3つのうちどれなのかは、その返事からは分かりません。

この記事は、その1行を3つに割るための手順書です。値下げ交渉の話はしません。パッチ適用（定常運用）・脆弱性診断（定期検査）・インシデント対応（緊急対応）は、発生する頻度も、費用の決まり方も、責任の重さも違う別々の商品であるという前提から、手元の見積書をどう読み直すかだけを扱います。

TL;DR｜1行の「セキュリティ対応」には、性質の違う3つが入っている

• セキュリティの保守は、性質の違う3つの作業の総称です。 毎月必ず発生する定常運用（パッチ適用）、実施回数を自分で決められる定期検査（脆弱性診断）、いつ起きるか決められない緊急対応（インシデント対応）。この3つは、費用の決まり方が根本的に違うため、同じ月額へまとめると検証できなくなります
• 3つは互いの代わりになりません。 診断を受けても脆弱性は塞がらず、パッチを当てても設定不備は見つからず、どちらをやっても事故がゼロにはなりません。「診断をやっているから安心」という説明は、3つのうち1つの話をしています
• 月額に混ぜて成立するのは定常運用だけです。 診断は「何を何回」で価格が決まり、緊急対応は事後にしか量が決まりません。この2つを定額へ押し込めると、実施されなかったときも、逆に大きく稼働したときも、金額の説明ができなくなります
• 「安い」ほうが危険なことがあります。 診断が入っていない、パッチの適用基準がない、事故対応の単価も上限も書かれていない。この3つが同時に成立していると、平時のコストは最小ですが、事故が起きたときの金額を発注側が制御できません
• セキュリティ保守費に、公的な相場はありません。 この記事でも「月額◯円が妥当」という数字は出しません。代わりに、公開されている脆弱性診断の価格表から、価格が何で決まっているのか（ページ数・リクエスト数・IP数・URL数・OS数・回数・再診断の有無）を取り出します
• 判断は「高い／安い」ではなく、説明済み／要確認／高リスク／判断不能の4状態で持ってください。 そして分解した結果、現行ベンダーの継続がいちばん合理的という結論になることは普通にあります。この記事はベンダーを疑うための道具ではなく、いま何を買っているのかを社内で説明できる状態にするためのものです

まず手元の見積書から、対象になる行を全部書き出すところから始めます（拾う語の一覧は後掲のステップ1にあります）。この記事は、その行を3つに割る手順です。

なぜ3つが1行になってしまうのか

理由は単純で、3つとも日本語で「セキュリティ対応」と呼べてしまうからです。発注側が「セキュリティは大丈夫ですか」と聞き、ベンダーが「対応しています」と答え、見積書に「セキュリティ対応　一式」と書かれる。この会話のどこにも嘘はありませんが、確定した内容もありません。

もうひとつの理由は、3つを分けて書くとベンダー側の説明が長くなることです。「パッチ適用は月額に含む、脆弱性診断は年1回で別費用、インシデント対応は時間単価で上限なし」と書けば、発注側から必ず質問が来ます。1行にまとめておけば質問は来ません。ここに悪意があるとは限らず、過去に誰からも聞かれなかったから1行のままになっているというのが実態に近いことも多いです。

問題は、この1行のままだと発注側に次の判断がひとつもできないことです。

• 金額が妥当かどうか（何個分の作業なのか分からない）
• 他社と比べられるかどうか（比べる単位がない）
• 事故が起きたときに追加費用が出るかどうか（範囲が書かれていない）
• 減らしてよい費用かどうか（減らすと何が起きるか分からない）

保守費全体を4区分（実費・人の作業・システムの作業・待機）へ分解する手順は、保守見積書を4区分へ分解する手順にまとめています。この記事は、そのうち「セキュリティ」と名前のついた行だけを、さらに3つへ割る作業を扱います。

見積書では、この3つがどう書かれているか

実際の見積書で使われる行項目名と、そこから確定すること・確定しないことを整理します。

いちばん確認の優先度が高いのは、上から4行目の「脆弱性対応」です。この言葉は「脆弱性を見つける作業（診断）」と「脆弱性を塞ぐ作業（パッチ適用・改修）」の両方を指せてしまいますが、この2つは別の会社が別の料金体系でやることも珍しくありません。

経済産業省とIPAが発行した「サイバーセキュリティ経営ガイドライン Ver 3.0」（2023年3月発行）も、この2つを1つの文のなかで区別して書いています。同ガイドラインの指示5「サイバーセキュリティリスクに効果的に対応する仕組みの構築」の対策例には、「脆弱性診断等の検査を実施して、システム等の脆弱性の検出、及び対処を行う」とあります。検出と対処が並記されているのは、片方をやればもう片方が済むわけではないからです。

3つの区分｜定常運用・定期検査・緊急対応

3つを並べると、費用の決まり方がまったく違うことが分かります。

見積書では、①が「セキュリティ更新」「アップデート対応」「パッチ適用」、②が「脆弱性診断」「セキュリティ診断」、③が「インシデント対応」「緊急対応」と書かれます。手元の見積書と照合するときは、この対応を使ってください。この記事では、性質を表す名前（定常運用・定期検査・緊急対応）と、見積書に実際に出る作業名（パッチ適用・脆弱性診断・インシデント対応）の両方を使いますが、①②③の番号は最後まで同じ区分を指します。番号が同じなら同じものです。

この3つは、片方をやればもう片方が不要になる関係ではありません。診断は「いま何が空いているか」を教えてくれますが、塞ぐ作業は別です。パッチは「公表された穴」を塞ぎますが、設定不備や自社が作り込んだ実装の欠陥はパッチでは塞がりません。そしてどちらをやっても、事故の確率はゼロにはなりません。

IPAの「情報セキュリティ10大脅威 2026」［組織］（公開日2026年1月29日、最終更新日2026年5月21日）でも、1位が「ランサム攻撃による被害」、4位が「システムの脆弱性を悪用した攻撃」と、平時に塞ぐ話と事故が起きた後の話が別々の脅威として並んでいます（いずれも2016年の初選出以来、繰り返し選ばれています）。

①定常運用（パッチ適用）｜毎月発生することが前提の費用

パッチ適用が「毎月発生する定常業務」であることは、公表資料から確認できます。

IPAは「重要なセキュリティ情報」として、危険度の高い脆弱性の注意喚起を随時公開しています。この一覧を2026年8月19日時点で確認したところ、「Microsoft 製品の脆弱性対策について」は、2024年度が12件（2024年4月〜2025年3月）、2025年度が12件（2025年4月〜2026年3月）と2年連続で毎月1件ずつ掲載されており、2026年度も4月・5月・6月・7月・8月と5か月続いています。掲載総件数は、2025年度が39件、2026年度が16件（2026年8月19日時点）です。

母数のほうも見ておきます。IPAが公開している「脆弱性対策情報データベース JVN iPedia の登録状況［2025年第4四半期（10月〜12月）］」（公開日2026年1月21日）によれば、2025年に登録された脆弱性対策情報は41,742件です。同レポートがCVSSv3の値に基づいて集計した深刻度別内訳では、危険度が高い側の「緊急」（14.7%）と「重要」（35.5%）を合わせて50.2%を占めます（この足し算は当社の計算です）。

41,742件を365日で割ると1日あたり約114件になります（この割り算は当社の計算です）。もちろん、そのすべてが自社のシステムに関係するわけではありません。重要なのは件数の絶対値ではなく、「今月は該当なしでした」という月がまず来ないという前提が置けることです。

そのうえで、パッチ適用の費用を実際に生んでいる作業は、当てる操作そのものではありません。

見積書を読むときは、この5つのうちどこまでが月額に含まれているかを見てください。とくに検証と、当てた結果動かなくなった箇所の改修は、パッチ適用の月額に含まれないことが多い項目です。更新適用そのものと更新後の改修をどう切り分けるかは、保守契約の範囲を4状態で判定する手順で境界の書かれ方を扱っています。

②定期検査（脆弱性診断）｜回数と範囲で価格が決まる

脆弱性診断は、3つのなかで唯一、公開価格から価格の決まり方をそのまま読み取れる領域です。

公開されている価格表を3件確認しました（いずれも2026年8月19日取得）。金額そのものより、何を単位に課金しているかを見てください。

この表から読み取れることが5つあります。

1. 「診断1回いくら」という単位は存在しない。 単位はページ数・リクエスト数・IP数・URL数・OS数のどれかで、提供元によって違います。単位が違う見積もりの総額を並べても比較になりません。

2. 回数は独立した価格要素である。 アイティーエムの価格表では、同じ1URLに対して「年間2回チケット 242,000円」と「年間回数無制限 363,000円」が別プランとして並んでいます（いずれも税込）。同一ベンダー・同一税区分の比較なので、回数を無制限にするための追加分が明示されている数少ない例です。

3. 再診断が含まれるかは分かれる。 同じサイバーセキュリティクラウドでも、標準診断には再診断と修正確認診断報告書が含まれる一方、特急診断には含まれません（同社サイトの各プラン「このプランに含まれるもの」欄）。脆弱性が見つかっても、直したあとに直ったことを確認する費用が別建てになる設計は普通にあります。FJcloud-Vはさらに期限で切っており、「脆弱性診断結果報告書の提出より30日以内の期間中は、診断結果に関するご質問への回答と、再試験（同内容）の実施が可能です」としたうえで、報告書の提出から30日経過後に再診断を申し込む場合を別料金（税抜181,000円／件）としています。直すまでの日数が費用に効くという読み方になります。

4. 手法と対象で桁が変わる。 アイティーエムのSiteScan2.0（課金単位は1IP）は年1回チケットが88,000円（税込）ですが、同社のWebSiteScan Pro は「手動診断」と明記されたうえで1リクエストあたり55,000円（税込）です。診断する対象も手法も違うため、同じ「診断」という言葉でも比較できる対象ではありません。見積書に「脆弱性診断」とだけ書かれているとき、この違いは金額に現れません。

5. 報告と現地作業は別料金のことがある。 サイバーセキュリティクラウドの共通オプションでは、報告会が関東エリア50,000円・それ以外105,000円、オンサイト作業が1日目 関東エリア100,000円・それ以外155,000円で、2日目以降は1日あたり55,000円が追加されます（いずれも税別）。同社は、特急診断には報告会オプションを利用できないこと、関東エリア以外のオンサイト作業には別途交通費がかかることも明記しています。FJcloud-Vには申し込み1回あたりの初期費用（税抜181,000円／件）があります。「報告まで込みですか」は、価格を左右する質問です。

適用条件として、これらはいずれも各社が公開している定価であって、業界の相場ではありません。 実際の見積もりは診断対象の規模・複雑さ・認証の有無で変わりますし、FJcloud-Vのページには「本サービスは2026年10月より価格改定を予定しております」と明記されています。数字をそのまま自社の見積もりの妥当性判定に使わないでください。ここで使うのは金額ではなく、価格を決めている変数のリストです。

診断の見積もりを取るときに、こちらから渡すもの

もうひとつ、価格表からは見えにくい実務上の前提があります。診断の見積もりは、発注側が対象範囲を定義しないと出ません。

FJcloud-Vの脆弱性診断サービスの申し込み手順（2026年8月19日取得）を見ると、正式な申し込みの前に、診断方法ごとのヒアリングシートの記入、Webアプリケーション診断であれば診断対象システムの画面遷移図、ネットワーク診断であればネットワーク構成図の提出が求められます。そのうえでWebアプリケーション診断はクローリング（対象の巡回）を実施し、その結果を踏まえて診断内容と日程が確定します。同ページには、クローリング実施後に申し込みを辞退した場合、一律55,000円（税込）が請求されることがある旨も書かれています。診断期間は「診断内容、お客様環境によっては、診断期間が10〜20営業日程度かかる可能性があります」とされています。

つまり、診断を発注するときに発注側が用意する必要があるものは次のとおりです。

保守ベンダーが「診断も込みでやります」と言うとき、この準備作業を誰がやるのかも確認する価値があります。対象一覧の維持は、実質的に①の定常運用側の作業だからです。

なお、機械的なスキャンを継続実施する費用は、人手の診断とは桁が違います。AWSの「Amazon Inspector の料金」ページに掲載されている料金の例（米国東部（バージニア北部）、2026年8月19日取得）では、サーバー1台をスキャンし続ける費用がSSMエージェントベースで1.258 USD／インスタンス／月です（東京リージョンの価格は当社では未確認です）。桁が違うのは、やっていることが違うからです。**継続スキャンと年次の手動診断は代替関係にありません。**片方が入っているからもう片方が不要、という説明が出てきたら、その理由を確認してください。

③緊急対応（インシデント対応）｜事前に量が決まらない費用

3つのうち、月額へまとめるのがいちばん無理があるのがこれです。

日本ネットワークセキュリティ協会（JNSA）調査研究部会 インシデント被害調査WGの「インシデント損害額調査レポート 第2版」（JNSA公開ページの掲載日 2024年2月9日）には、複数のインシデントレスポンス事業者へのヒアリング結果として、事故原因・被害範囲の調査費用が16社分（A社〜P社）掲載されています（同レポート図表Ⅲ-1-1、PDF15ページ）。

このデータでいちばん重要なのは金額ではなく、レポート自身が付けている注記です。同レポートは、この表の直前で「見積りの単位に違いがある」ことに留意するよう書いています。実際、16社の「初動対応」の欄に並んでいる単位は次のとおりばらばらです。

• 金額のみ（例：100万円）
• 台あたり（例：90万円/台、10万円/台）
• 期間あたり（例：200万円/1週間、300〜500万円/5営業日、100万円/5営業日）
• 時間あたり（例：15,000円〜/時間）
• 「別途契約」「個別見積りにて対応」「お客様でご対応」

フォレンジック調査（残された証拠を解析し、事故原因と被害範囲を特定する調査）の欄では、PCとサーバーを分けて記載している事業者で、PCが1台あたり72万円〜180万円、サーバーが1台あたり120万円〜300万円という台数単価が並びます。PCとサーバーを分けずに一括で書いている事業者では、300万円〜／台という記載もあります。ファスト・フォレンジック（最低限必要なデータのみを抽出して解析する手法）の欄にも「〜50台まで」といった台数上限が付いています（上限を超えた場合の扱いは、同レポートには記載がありません）。そして「過去経験した高額事例」の欄には、1,000万円から約5億円までが記載されています。

同レポートは、初動対応とフォレンジック調査について「高度な専門性を要するため、一般的には、インシデントレスポンス事業者と呼ばれる専門の事業者に委託するのが通例」とも書いています。つまり、保守ベンダーが月額の範囲で全部やってくれる作業ではない可能性が高い、ということです。ここは適用条件に注意が必要で、この表は事業者ヒアリングの結果であって、相場表ではありません。

事故が起きたときの総額の水準は、警察庁の統計からも確認できます。警察庁サイバー警察局「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（令和８年３月）によれば、令和７年のランサムウェア被害報告件数は226件で、被害組織へのアンケート結果として「復旧に総額 1,000 万円以上を要した組織の割合は全体の５割を超えている」と記載されています。復旧期間についても「１か月未満で復旧した組織の割合は全体の５割強に留まる」とあります。同資料は、被害企業の規模別で中小企業が約6割を占めるとも記載しています。規模が小さいから対象外、という前提は置けません。

前年の同資料（警察庁サイバー警察局「令和６年におけるサイバー空間をめぐる脅威の情勢等について」令和７年３月）では、令和５年との比較として「1,000 万円以上の費用を要した組織は 37％から 50％に増加」「調査・復旧に１か月以上を要した組織…は、44％から 49％に増加」と記載されています。令和７年版のほうは幅表現のため前年からの増減までは読み取れませんが、同版も「令和６年に引き続き、ランサムウェア被害に関する調査費用、復旧費用が高額化しており」「被害が長期化する傾向にあり」と記述しています。下がる方向の材料は出ていない、という読み方が妥当です。

侵入経路についても、令和７年版は「侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である」とし、攻撃者が「未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して」侵入すると書いています。未修正の脆弱性が経路として名指しされている点は、①の定常運用の費用を削る判断をするときに見ておく価値があります。

以上から、緊急対応について見積書に求めるべきものは金額の安さではありません。単価と、課金の開始条件と、上限です。これがない見積書は、事故が起きたときに発注側が金額を制御できません。

公的ガイドラインも、平時と緊急時を別項目にしている

3分割が発注側の都合だけの整理ではないことは、公的なガイドラインの構成からも確認できます。

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver 3.0」（2023年3月発行）は、経営者がCISO等へ指示すべき事項を「重要10項目」としてまとめ、それを5つのグループへ分けています。

注目すべきは、平時の対策（3.2）と、インシデント発生に備えた体制（3.3）が別グループになっていることです。指示7の見出しは「インシデント発生時の緊急対応体制の整備」で、対策例には「緊急連絡網（システム運用、セキュリティベンダなどの連絡先）、社外を含む情報開示の通知先一覧を整備し、対応に従事するメンバーに共有しておく」「速やかな各種ログの保全や感染端末の確保等の証拠保全が行える体制を構築するとともに、関係機関との連携による調査が行えるよう指示する」といった項目が並びます。指示7はまた、インシデント対応について「適宜実践的な演習を実施させる」ことも求めています。

ここから、見積書へ跳ね返る論点が3つ出てきます。

1. 緊急連絡先は保守契約の一部である。 「セキュリティベンダなどの連絡先」を整備しておけと書かれている以上、保守ベンダーの緊急連絡経路と受付時間が契約に書かれていなければ、この体制は成立しません
2. 証拠保全は事故対応の最初の作業である。 ログの保全ができていないと調査自体ができず、結果として調査費用が膨らみます。ログの保存期間と保存場所が保守の範囲に入っているかは、費用の話として確認する価値があります
3. 演習には費用がかかる。 実施するなら、月額に含まれるのか都度なのかを決める必要があります

同ガイドラインの指示5には、外部委託に関してもうひとつ重要な記述があります。「サービスを外部委託する場合でも、脆弱性診断や監視サービス等の提供事業者からの報告内容を適切に理解し、対策に反映するスキルを備えた人材が必要となることを認識し、必要な人材の確保・育成に取り組む必要がある」。診断を外注しても、報告書を読んで対応方針を決める工数は発注側に残るということです。診断費用だけを見て予算を組むと、この分が抜けます。

1行を3つへ割る手順

ここからは手を動かす作業です。見積書と契約書（あれば業務仕様書・受託条件明細も）を用意してください。

ステップ1｜対象になる行を全部書き出す

「セキュリティ」という言葉が入っている行だけでは足りません。次のいずれかを含む行を全部拾ってください。拾った行が何を確定させ、何を確定させないかは、前掲の行項目名の表と照合できます。

セキュリティ／脆弱性／パッチ／アップデート／更新／監視／WAF／ウイルス／マルウェア／不正アクセス／診断／インシデント／障害／緊急

このとき、行が1つも見つからない場合も記録してください。それは「セキュリティ対応が含まれていない」ことを意味するのではなく、より大きな「運用保守　一式」の行に溶けている可能性が高い状態です。その場合はステップ2に進む前に、内訳の提示を依頼してください。

ステップ2｜3つのどれかに割り当てる

書き出した行を、次の表に沿って割り当てます。どれにも割り当てられない行は「不明」として残してください。消してはいけません。

ステップ3｜3つそれぞれに「量」と「頻度」を書き込ませる

割り当てた区分ごとに、ベンダーへ次を書いてもらいます。ここが分割作業の本体です。

ステップ4｜抜けている区分を確認する

3つのうち、書かれていない区分が出てくるのが普通です。抜けている区分については、次の2つのどちらなのかを確認してください。

• 対象外（この保守契約では実施しない）
• 含まれているが見積書に書かれていない（実施しているが行が立っていない）

この2つは金額が同じでも意味がまったく違います。前者なら誰が代わりに実施するのかを決める必要があり、後者なら書いてもらえば済みます。

分割ワークシート

そのまま埋められる形にすると次のようになります。

埋め終わったときに、「不明」の列に金額が残っていないことが目標です。分割の依頼と確認質問をまとめて送りたい場合は、保守見積書の無料診断（登録不要）の「保守・運用」モードに手元の見積書の内容を入力すると、対応範囲・対応時間・改修の扱いについて確認事項が整理されます。結果を見るまでメールアドレスの入力も不要です。

ベンダー側の言い分が正当と言えるケース

3つに分かれていない見積書がすべて問題というわけではありません。よくある説明ごとに、正当と言える条件を整理します。

WAF（不正な通信を遮断する仕組み）、EDR（端末の異常を検知するソフト）、監視サービスなどの利用料は、ベンダーへの役務ではなく他社への支払いです。実費と役務の分離については保守見積書を4区分へ分解する手順で詳しく扱っています。

右端の列に当てはまったからといって、不当だと決まるわけではありません。「要確認」というだけです。 セキュリティの費目では、条件を満たしていない状態よりも、満たしているかどうかを誰も確認していない状態のほうが多く見つかります。左の列を満たしているなら、統合されていること自体は問題ではありません。逆に言えば、どれにも当たらない場合、統合されている理由はベンダー側にもないことが多く、分割を依頼して断られるケースはあまりありません。

確認が必要なケース｜4状態への仕分け

金額の妥当性を判定する前に、いまの状態を4つに仕分けます。ここで「高い／安い」の判断はしません。

この4状態は、システム保守費用の相場と妥当性や保守見積書を4区分へ分解する手順と同じ枠組みです。ただしセキュリティの費目は「書かれていない＝実施されていない」可能性が高いため、この記事では「記載なし」を「判断不能」ではなく「高リスク」側に置いています。

区分ごとの判定基準は次のとおりです。

「高リスク」が1つでもある状態で相見積もりに進まないでください。 比較しようのない見積書がもう1枚増えるだけになります。まず現行ベンダーへ分解を依頼するほうが、切り替えコストをかけずに検証できます。

同じ月額でも中身が違う｜比較シート

分解が終わったら、複数社の見積もりを1枚に並べます。**金額欄はいちばん最後に埋めてください。**先に金額を入れると、そこから逆算して条件を都合よく読んでしまいます。

セキュリティに関する部分だけを取り出すと、そろえる条件は18行です。これに金額2行（月額・年額）を加えた20行の表になります。

現行ベンダーの列を必ず作ってください。 目的は乗り換えではなく、いまの契約に何が入っていて何が入っていないかを確定させることです。現行の列が埋まらないうちは、他社の数字を並べても比較になりません。

埋め終わったときの判定は、次の3つのどれかになります。

初回でいちばん多いのは2つめです。これは失敗ではありません。どの行が埋まらないかが分かった時点で、分解作業は目的を達しています。

「安い」ほうが危険なケース

セキュリティの保守費は、削っても短期的には何も起きません。だから削られやすく、削られたことに気づきにくい費目です。次の状態が同時に成立していたら、金額の低さは有利な条件ではありません。

1.【②脆弱性診断】診断が一度も入っていない。 外部から見て何が空いているかを、誰も確認していない状態です。パッチを当てていても、設定不備や実装上の欠陥は残ります。

2.【①パッチ適用】パッチが「随時」だけで、基準も期限もない。 「随時」は「やらない」と書き分けができません。深刻度がどのレベルなら何日以内に当てるのか、という取り決めが必要です。

3.【①パッチ適用】検証環境がない。 当てるか、壊すか、当てないかの三択になり、実務上は「当てない」に倒れがちです。検証環境の費用は、パッチ適用の費用の一部として見るのが妥当です。

4.【③インシデント対応】事故対応の単価も上限も書かれていない。 平時の月額は最小になりますが、事故が起きた瞬間から金額の制御が効きません。前掲のJNSAレポートで示された単位のばらつき（時間／台／週／営業日、あるいは「別途契約」「個別見積りにて対応」）を思い出してください。事後に単位を決める交渉は、こちらが不利な状況で行うことになります。

5.【③インシデント対応】ログが保存されていない、または保存場所が分からない。 証拠保全ができないと、被害範囲の特定に時間がかかります。調査費用は台数と期間で増えるため、ここが弱いと直接コストに跳ね返ります。

6.【③インシデント対応】バックアップは取得しているが、復元を試したことがない。 取得と復旧テストは別費用です。この論点は独立した記事にする予定ですが、いまの時点では「取得している＝復旧できる」ではないことだけ押さえてください。

ベンダーへそのまま送れる確認質問8問

以下をそのままコピーして送れます。宛先と対象システム名だけ書き換えてください。質問1が3区分の切り分け、質問2〜3が①パッチ適用、質問4〜5が②脆弱性診断、質問6〜7が③インシデント対応、質問8が3区分共通の対象外一覧に対応します。 返ってきた回答は、そのまま前掲の分割ワークシートへ書き写せます。

そのまま送れるメール文面

◯◯株式会社 ご担当者様

いつもお世話になっております。 現在ご提示いただいている保守見積書について、社内で費用の内訳を確認しております。 「セキュリティ対応」に含まれる作業を整理したく、以下8点について書面でご回答いただけますでしょうか。 金額の交渉が目的ではなく、対応範囲を社内で正確に説明できるようにするための確認です。

1.【3区分共通】内訳の切り分け 見積書の「セキュリティ」に関する費用について、(a)日常的なセキュリティ更新の適用、(b)脆弱性診断、(c)インシデント（事故）発生時の対応、の3つのうち、どれが月額に含まれ、どれが含まれないかを教えてください。含まれないものについては、実施する場合の費用の考え方もあわせてお願いします。

2.【①パッチ適用】対象と基準 セキュリティ更新の適用対象となる製品（OS・ミドルウェア・ライブラリ・ネットワーク機器等）の一覧を教えてください。また、深刻度が高い脆弱性が公表された場合に、適用の要否をどのような基準で判断し、適用までの目標時間をどの程度と考えているかを教えてください。

3.【①パッチ適用】検証と、更新後の改修 更新を適用する前の動作検証は月額に含まれますか。検証を行う環境（本番と別の環境の有無）もあわせて教えてください。また、更新の適用によって既存機能が動作しなくなった場合、その改修は月額に含まれますか、別料金になりますか。

4.【②脆弱性診断】範囲・手法・回数 脆弱性診断が含まれる場合、対象範囲（画面数・リクエスト数・IPアドレス数・URL数・対象OSのいずれかの数量）、診断手法（ツール診断か手動診断か、その組み合わせか）、年間の実施回数を教えてください。含まれない場合は、別途実施する際の課金単位を教えてください。

5.【②脆弱性診断】再診断の扱い 診断で指摘された箇所を修正したあと、修正されたことを確認する再診断は費用に含まれますか。別料金の場合は単価と、申し込み可能な期間の条件を教えてください。

6.【③インシデント対応】単価と上限 セキュリティインシデントが発生した場合の対応について、(a)課金の単位（時間単価・台数単価・日単位のいずれか）、(b)課金が開始される条件、(c)1回あたりおよび年間の費用上限の有無、(d)月額に含まれる時間があればその時間数、を教えてください。また、原因調査（フォレンジック調査）を貴社で実施されるのか、外部の専門事業者へ委託される想定かも教えてください。

7.【③インシデント対応】緊急時の連絡経路と受付時間 インシデントを検知した際の連絡先、受付時間、夜間・休日の連絡可否と追加費用の有無を教えてください。あわせて、初動で必要になるログの保全について、どのログをどこに何か月分保存しているかを教えてください。

8.【3区分共通】対象外作業の一覧 セキュリティに関する作業のうち、この保守契約の対象外となるものの一覧をご提示ください。対象外の作業を依頼する場合の費用の考え方（単価または算定方法）もあわせてお願いします。

お忙しいところ恐れ入りますが、◯月◯日までにご回答いただけますと幸いです。 よろしくお願いいたします。

回答をどう読むか

返ってきた回答は、金額ではなく次の観点で読みます。

「回答できない」と言われた項目があった場合、それが技術的に決められないものなのか（例：事故の総額）、単に書かれていないだけなのか（例：対象製品の一覧）を区別してください。前者は正当ですが、後者は書けば済みます。

回答が揃ったあとの選択肢

分解が終わると、判断はだいたい次の4つに落ち着きます。

分解を依頼しても内訳が出てこない場合、それは価格の問題ではなく、ベンダーロックインで保守費が高止まりする構造の問題として扱ってください。金額そのものの妥当性の判断枠組みはシステム保守費用の相場と妥当性にまとめています。

前掲の保守見積書の無料診断（登録不要）は、分解後の内訳を確認質問へ落とす作業にもそのまま使えます。

根拠資料と適用条件

本記事で使った資料と、その適用範囲です。数値ごとに性格が違うため、まとめて扱わないでください。金額はすべて2026年8月19日時点の公開情報で、税区分は各社の表記に従っています。

本記事では、公的機関や各社が公表した数値と、koromo編集部が整理した確認観点を区別して記載しています。前者は出典と年代を明示し、後者は「確認観点」として提示しています。

あわせて、次の2点にご注意ください。

セキュリティ保守費の「相場」は、本記事では示していません。 公的機関が公表しているセキュリティ保守費の相場データを確認できなかったためです。開発費に対する保守費の比率（いわゆる15〜20％）も、業界慣習値であって公的な相場ではありません。この点についてはシステム保守費用の相場と妥当性で扱っています。

セキュリティインシデントの発生頻度は、本記事では断定していません。 業種・システム構成・公開範囲によって前提が大きく変わるためです。

なお本記事は、法的・技術的な最終判断を提供するものではありません。契約解釈、個別のセキュリティ対策の要否については、それぞれの専門家にご確認ください。

よくある質問