会社のセキュリティ教科書 第5部 5-7
セキュリティコンサルとは｜中小企業が頼むときの選び方と費用感
公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太
この手引きの要点（約25秒・音が出ます）
こんなときに役立ちます
- セキュリティ対策の予算を取りたいとき／補助金を使いたいとき
読み終えたあと、社内でこう言えます
「自社でやる所と外に頼む所を分け、確認点を5つ整理しました」
結論：セキュリティコンサルに頼めるのは、現状把握・規程づくり・取引先対応・診断・教育・事故対応の体制づくりです。ただし方針や規程のひな形、25項目の自己診断はIPAが無料で公開しており、自社でできる所は先に済ませてから頼むと費用を抑えられます。
費用を抑える頼み方- 1自社で済ませるIPAの無料のひな形・自己診断
- 2残りを頼む判断に迷う所だけ
形は「顧問（月額）」「スポット（単発）」「作業型（診断など）」の3つ。選ぶときは、打合せの回数、成果物、誰が作業するか、許可と範囲、秘密保持の5点を契約前に確かめます。
コンサルの3つの形
頼む前に確かめる4点1打合せ月に何回かオンラインか訪問か
2成果物書類の名前と本数と形式を見積書に
3作業する人営業と作業者は別のことも。資格も確認
4許可と秘密診断の範囲は書面で。資料の保管と削除も
自社でできる所は先に済ませる
頼めることと、自社でできること
IPAは、中小企業を支援できる登録セキスペ（情報処理安全確保支援士）の「支援者リスト」を試行公開しています。そこでは、規程の整備、情報資産の洗い出しとリスク分析、クラウドの安全利用、インシデント対応、従業員教育、セキュリティの評価（アセスメント）が指導テーマに挙がっています。コンサルに頼める範囲も、おおむねこの範囲です。
| 頼めること | 自社でできる所（IPAの無料資料） |
|---|
| 現状把握・リスクの洗い出し | 「5分でできる！情報セキュリティ自社診断」（25項目）、資産管理台帳のサンプル |
| 方針・規程づくり | 情報セキュリティ基本方針と関連規程のサンプル |
| 取引先対応（チェックシートの回答） | 上の診断と規程があれば、多くの設問に事実で答えられる |
| 脆弱性診断 | 更新の適用やログイン設定の確認まで。外からの診断は専門の事業者へ |
| 従業員教育 | 情報セキュリティハンドブックのひな形 |
| 事故対応の体制 | 「中小企業のためのセキュリティインシデント対応の手引き」 |
資料はすべて「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月）の付録です。社内に担当がいて手を動かせるなら、まず付録で下書きし、判断に迷う所だけ外に頼むのが無駄のない順番です。
3つの形と、費用が決まるもの
| 形 | 向いている場面 | 主な成果物 |
|---|
| 顧問・月額 | 質問や取引先対応が毎月ある。担当が社内にいない | 随時の回答、定期の見直し |
| スポット・単発 | 規程づくり、チェックシート1件など、終わりがはっきりしている | 規程一式、回答書など |
| 作業型（診断など） | サイトや機器の状態を外から確かめたい | 診断結果の報告書 |
公的機関がまとめたコンサル費用の相場資料は見当たらないため、金額ではなく決まり方を書きます。
- 範囲：従業員数、拠点の数、対象のシステムやサイトの数。
- 成果物の量：規程は何本か、報告書はどこまで詳しいか。
- 打合せと訪問：回数が多いほど、人の時間がかかります。
- 対応時間：平日日中だけか、夜間・休日の連絡も受けるか。
- 誰が作業するか：経験の長い専門家が手を動かす割合。
費用が決まる5つ1範囲従業員・拠点・システムの数
2成果物の量
3打合せと訪問
4対応時間夜間・休日を含むか
5誰が作業するか
例として、Moshiruの料金（税別）は、チェックシート回答代行が20問まで1.5万円、小口1枚5千円、月額の窓口が3万円。脆弱性診断はクイック5万円、ライト10万円、スタンダード25万円です。
例：Moshiruの診断料金クイック5万円
ライト10万円
スタンダード25万円
税別。チェックシート回答代行は20問まで1.5万円
選び方のチェックリスト
- 打合せの回数と場所：月に何回、オンラインか訪問か。担当者の時間も費用のうちです。
- 成果物：「何という名前の書類が、何本、どの形式で届くか」を見積書に書いてもらう。
見積書で確かめる- 打合せの回数・場所
- 届く書類の名前
- 書類の本数
- 書類の形式
- 誰が作業するか：営業担当と作業者が違うことがあります。資格を確かめたいときは、IPAの「登録セキスペ検索サービス」や「情報セキュリティサービス基準適合サービスリスト」が使えます。
- 許可と範囲：診断を含むなら、対象のURLや機器、日時を書面で決めるか。サーバー会社や制作会社の許可が要る場合も、誰が取るかを決めます。
診断を含むときの決め方- 1範囲を書面で決めるURL・機器・日時
- 2許可を取る人を決めるサーバー会社・制作会社
営業担当と作業者が違うこともある
- 秘密保持：秘密保持契約を結ぶか。預けた資料をどこに保管し、終了後にいつ消すか。
- 事故のときの範囲：夜間の連絡や現地への駆け付けを含むか。含まないなら、どこに頼むかも先に決めておきます。
事故のときの範囲夜間・駆け付けを含む？
含む契約の範囲として確かめる
含まないどこに頼むか先に決める
Moshiruの考え方
Moshiruは打合せをしません。やり取りはテキストだけで、ご質問や資料をいただき、成果物でお返しします。調べる・下書きする作業はAIを使って速く進め、内容の確認と責任は人が持ちます。代表は、大手自動車メーカーでセキュリティインシデント対応のチームリーダーを務めました。現地での作業や24時間の駆け付けはしていません。
Moshiruの進め方すること
- 1テキストでやり取り
- 1AIで速く下書き
- 1確認と責任は人
よくある質問
顧問とスポット、どちらから始めればいいですか？
取引先からの質問や対応が毎月あるなら顧問、規程づくりやチェックシート1件など終わりが見えているならスポットが向いています。迷うときは、まずスポットで1件頼み、やり取りの相性を見てから決める方法もあります。
コンサルに頼めば、取引先の審査に必ず通りますか？
いいえ。回答や規程は、会社の実態に合っていることが前提です。実態と違う内容を書くと、あとで説明がつかなくなります。足りない所は「これから整える」と正直に書く方が安全です。
資格を持っている人でないとだめですか？
必須ではありません。ただ、登録セキスペは国家資格で、IPAの検索サービスで登録を確かめられます。判断の材料の1つになります。
参考にした資料
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」と付録（2026年3月）
- IPA「中小企業向けサイバーセキュリティ対策支援者リスト」
- IPA「登録セキスペ検索サービス」
- IPA「情報セキュリティサービス基準適合サービスリスト」
- 経済産業省「情報セキュリティサービス審査登録制度」利用者向けリーフレット