ソースコード診断の費用相場は50万〜200万円｜安さの見極め方も解説

それぞれの要因がどう影響するのか、順番に見ていきましょう。

コード量：読む量がそのまま費用に反映される

もっとも費用に大きな影響を与えるのが、コードの量（行数）です。

ソースコード診断はコードを読み解く作業が中心となるため、診断員が目を通すべきコードが増えれば、当然ながら工数も比例して膨らみます。

数万行で収まる小規模なシステムと、数十万行に及ぶ大規模なシステムでは、費用の規模感はまったく違ってきます。

見積もりを依頼する前に、自社のリポジトリのおおよその行数を確認しておくと、その後のヒアリングがとてもスムーズに進みます。

使用言語：特殊・複雑な言語は対応できる専門家が限られる

どんなプログラミング言語を使っているか、またその構成がどれくらい複雑かも重要なポイントです。

JavaやPHP、Pythonのような広く普及している一般的な言語に比べ、COBOLのような特殊な言語や、複数の言語が入り組んだ複雑なフレームワーク構成の場合は、対応できる専門家の数が限られます。

その分、費用も上がりやすくなります。

なお、IFTではJava、PHP、Pythonから、C#、VB.NET、COBOLといったエンタープライズ系まで、全20種類のプログラミング言語に対応しています。

ASP.NETなどの主要フレームワークや、オープンソースライブラリの既知脆弱性チェックも診断の対象です。

診断範囲：全体を診るか、重要な箇所に絞るか

システム全体を隅々まで診るのか、それとも特定の機能に絞るのかによっても工数は変わります。

診断範囲が広がれば、それだけ作業時間も長くなります。

システム全体を診断する場合は、網羅性が高い分、どうしても費用が上がります。

もし予算に制約があるなら、「ログイン」「決済」「個人情報の取り扱い」など、セキュリティリスクが特に高い部分を優先して診断する方法もあります。

納期：急ぐほどコストが上乗せされる

標準的なスケジュールで進められるか、それとも急ぐ必要があるかも費用に影響します。

たとえばIFTの場合、標準納期（2〜3週間）か、お急ぎ対応（1週間以内）かで料金が変わります。

急ぎの依頼では診断員を優先的に確保する必要があるため、その分のコストが上乗せされるのが一般的です。

リリース日から逆算し、余裕を持って依頼するだけでも、余分な費用を抑えられます。

これら4つの要因を自社のシステムに当てはめてみると、相場のどのあたりに位置しそうか、少し見当がついてきたのではないでしょうか。

ただし、「コード量を少なく申告すれば安くなるのでは」と考えるのは危険です。

実際のヒアリングやリポジトリの確認でコード量は把握されるため、最初から正確な情報を伝えたほうが、スムーズで正確な見積もりにつながります。

安いソースコード診断サービスを選んでも大丈夫か

見積もりを取ってみると、相場よりもかなり安い金額を提示されることがあります。

そんなとき、「こんなに安くて本当に大丈夫だろうか」と不安に感じるのは当然のことです。

診断料金が安くなるのはどんなときか

そもそも、ソースコード診断には「ツールによる自動検査」と「専門家による手動レビュー」という2種類の方法があります。

この配分によって、料金は大きく変わってきます。

相場より安くなる場合、主に次のような理由が考えられます。