WAFの導入や運用では、しばしばコストの問題が話題になります。WAFにはいくつかの種類があり、その種類によって初期費用やランニングコストの考え方が異なるため、Webサイトの特性や運用方針に合ったWAFを選定しないと、想定外のコストがかかるといったことも珍しくありません。
本稿では、WAF選定の最適解の参考にしていただくため、WAFの価格や料金プランについて徹底解説します。
WAFとは
ファイアウォールによるアクセス制御だけでなく、普及が進んだ常時SSLによる暗号化など、企業のセキュリティに対する意識が向上し、セキュリティ対策に取り組む企業が増えてきました。
ECサイトのようにWeb上でサービスを提供している場合には、定期的なWebアプリケーションの脆弱性診断を専門家へ依頼する企業も増えています。しかしながら、サイバー攻撃によるWebサイトからの個人情報漏洩、Webサイト改ざんなどの被害は後を絶ちません。
このような状況の中、Webアプリケーションを保護するソリューションが必要とされるようになり、Webサイトのセキュリティ対策として、WAFが注目されるようになりました。
WAFは、Web Application Firewallの略で、Webアプリケーションの脆弱性を狙ったサイバー攻撃からWebサイトを保護するセキュリティ対策です。
5分でまるわかり！
WAFによるサイバー攻撃対策
そもそもサイバー攻撃とは何か？Webサイトをサイバー攻撃から守る「WAF」導入のメリットやその種類と選び方までを解説しています。
WAF導入にかかるコスト
WAFには、クラウドサービスやソフトウェア製品、アプライアンスのようにいくつかの種類があり、それぞれ必要となるコストが異なります。
クラウドWAFのコスト
SaaSとして提供されるクラウド型のWAFの場合、月額のサービスとして提供されることが多く、初回の月額サービス料金と一緒に初期費用が請求されるのが一般的です。
初期費用は、サービス提供開始時に一度だけ必要となる費用です。サービス導入以降は、WAFをサービス提供する事業者に対し、毎月支払うサービス料金が必要となります。
- 一般的に、初期費用が必要（初期費用が設定されていなかったり、キャンペーン等により割引や無料になることもある）
- 毎月支払うサービス料金が必要
クラウドWAFの初期費用
クラウドWAFの初期費用は、数万円～数十万円というケースが多くなっています。
一般的にクラウドWAFは、通信帯域であったり、トータルで使用する通信量、登録するWebサイトの数（WAFによる保護の対象とするWebサイトの数）に応じてプランが設けられています。
アクセス数や登録されるWebサイトが多いほど、サービス環境のスペックが高く、必要となるリソースも増えるため、初期費用が高くなる傾向があります。
クラウドWAFの月額料金
クラウドWAFの場合、通信量や登録するWebサイト数などが多いほど、月額のサービス料金が高くなるのが一般的で、月額で数万円～数百万円程度とプランには幅があります。
WAFの保護対象とするWebサイトの数は、1サイトから設定されていることも多く、対象サイトを追加する場合にはオプション料金が必要となったり、契約の追加が必要な場合もあります。
1サイトだけのようなケースだと安価に導入できることが多いのがクラウドWAFの特長ですが、製品・サービスによっては、複数のWebサイトを運用しているケースを想定して、Webサイトの数が多くても安価に導入できるプランが用意されていることがあります。
クラウド型WAF（SiteGuard Cloud Edition）の詳細はこちら
ソフトウェアWAFのコスト
ソフトウェア型のWAFの場合、WebサーバーにWAFをインストールしたり、専用のサーバーにWAFをインストールして利用します。
そのため、ソフトウェアのライセンスと更新料金が必要になることが一般的です。
- ソフトウェアの購入にあたり、ライセンス料金が必要（ボリュームディスカウントやアカデミック価格などの割引が設定されていることがある）
- 製品のバージョンアップ版の利用など、継続したサービスを受けるために更新料金が必要
ソフトウェアWAFのライセンス料金
ソフトウェアWAFのライセンスは、1ライセンスあたり、数十万円程度から購入することができます。通常、年間ライセンスになりますので、1ライセンスであれば、月額換算にすると数万円ほどの費用でWAFの導入が可能です。
インストールの対象となるサーバーの数が増えると、必要となるライセンス数も増えていくので料金は高くなっていきますが、ボリュームディスカウントによって1ライセンス毎の単価が下がることもあります。
ソフトウェアWAFの更新料金
ソフトウェアWAFを提供するメーカーから継続したサービスを受けるためには、ライセンスの更新（保守サービス）料金が必要となります。
初年度に支払うライセンス料金よりも安価であることが一般的で、次年度以降の年間更新の料金は、半額程度になることもあります。
ソフトウェア型のWAFもWebサーバーが1台のようなケースだと、安価に導入することができます。クラウド型のように、通信量や登録するWebサイトの数に料金が左右されることもありません。
ただし、WAFの導入や運用を自社で行う必要があるため、Webサイトの運用管理だけでなく、HTTPプロトコルやWebアプリケーション、セキュリティに関する一定の知識を有していることが望ましいと言えます。
関連記事：WAF導入と運用のポイント！WAFのチューニングに必要なものとは
アプライアンスWAFのコスト
アプライアンス型のWAFの場合、専用ハードウェアを設置するのが一般的です。
専用ハードウェアを購入する必要がありますので、前述の2つのタイプと比べて高価になる傾向があります。
- 専用ハードウェアを購入するための費用が必要（仮想アプライアンスとして提供されることもある）
- ハードウェアを含めた保守料金が必要
アプライアンスWAFを購入するときの費用は、数百万円ほどになることも珍しくありません。大規模環境や負荷分散・冗長構成を採用した場合には、1千万円を超えることもあります。
これに加え、メーカーからの継続的なサービス提供を受けたり、ハードウェアの保守を含めた料金が必要となります。
もちろん、保護対象とするWebサーバーの数が多ければ多いほど、単価が下がっていくと考えることができるほか、高スペック・高機能な製品もあるため、単にデメリットということではありません。
WAFの価格・料金はどのように考えれば良い？
ここまで、WAFの種類ごとに必要となる費用をみてきましたが、どのようなポイントを見てコストを考えれば良いのでしょうか？
重要なのは、Webサイトの特性や運用方針に合ったWAFを選定することであり、それにより価格・料金に見合った円滑なWAFの運用が実現可能となります。
そのためには、以下のようなポイントを考慮します。
Webサイトの特性からみたWAFのコストと選び方
- 保護対象となるWebサーバーの台数、Webサイトの数
- Webサイトの拡張予定（台数が増える、サイト数が増えるなど）があるか
- 想定される通信帯域（ピーク時、平均）やPV（ページビュー）の数
単に費用が安いからとクラウドWAFに飛びついてしまうと、思ったようなパフォーマンスを得られなかったり、通信量やWebサイト数の考慮漏れで想定外の費用がかかってしまうことがあります。
Webサイトの構成や通信量、求められるパフォーマンスによっては、費用を固定できるソフトウェアWAFやアプライアンスWAFが適切な場合があります。
運用体制からみたWAFのコストと選び方
- ネットワークやWebについて、一定の知識を有したエンジニアが社内に在籍しているか
- エンジニアは専任か、それとも他の業務と兼務しているか
- 自社でWAFを運用することができるか
体制が整っていないのに、ソフトウェアやアプライアンスのWAFを導入してしまい、上手くインストールできない、上手く使いこなせないといったこともあります。
WAFのチューニングには一定のスキルが求められることがあり、WAFにかかるコストとして、運用面の考慮も重要です。
この課題をクリアするWAFとして、クラウド型WAFが注目されており、適切なプランを選択することで、最大限にその利点を活かすことができます。ぜひ、以下の記事も参考にしてみてください。
関連記事：クラウド型WAFとは？導入のメリットと選び方を解説
ソフトウェアやアプライアンスのWAFの場合、初期導入や設定作業を代行するサービスを提供しているメーカー、販売店があります。
多くの場合、適切なインストール・初期設定が行われれば、その後の運用負荷を大きく下げることができますので、悩んだときは自社に合ったWAF選びやサポートについて、専門家に相談してみましょう。
SiteGuardシリーズ
本稿では、WAFについて、価格・料金を中心に見てきました。それぞれのWAFにメリット・デメリットがあり、適した環境も異なります。
EGセキュアソリューションズ株式会社では、日本国内で開発・販売・サポートする純国産WAF「SiteGuardシリーズ」を提供しています。
DNSの切替で導入することができるクラウドWAF「SiteGuard Cloud Edition」のほか、ホスト型とゲートウェイ型に対応したソフトウェアWAF「SiteGuard Server Edition」「SiteGuard Proxy Edition」をラインナップしています。
クラウド型は、新たな機器の設置や製品のインストールが必要なく、WAFの運用もマネージドサービスとして提供しますので、WAFの運用を専門家に任せたいというケースに適しています。
ホスト型とゲートウェイ型は、製品のインストールが必要となりますが、カスタマイズ性に優れており、お客様自身でWAFのルールを作成したり、細かなチューニングが可能です。
運用形態やネットワーク構成、システム要件に応じ、お客様に合った製品・サービスをご提案いたしますので、WAF導入をご検討の際は是非、お問い合わせください。
1分でわかる！
SiteGuardシリーズ
Webを取り巻く脅威からWebサイトを保護するセキュリティ対策WAF！
本資料では、導入実績150万サイト以上のWAF「SiteGuardシリーズ」の特長について1分でわかる内容になっています。
