ペネトレーションテストとは？脆弱性診断との違い・費用相場を解説
Check!
- ペネトレーションテストは脆弱性診断と目的が異なり、両者は補完関係にある
- 費用相場に公的統計はなく、編集部調査の中央値目安として提示している
- 不正アクセス禁止法・個人情報保護法との関係整理は本記事の内容を法的助言として利用しないこと
ペネトレーションテストとは、攻撃者の視点で実際にシステムへの侵入を試み、脆弱性の有無だけでなく侵入後の被害範囲まで検証するセキュリティ診断手法である。「脆弱性診断と何が違うのか」「費用はどの程度かかるのか」といった疑問を持つ情報システム担当者は少なくない。本記事では、ペネトレーションテストの種類・実施フロー、費用相場の中央値、業界別の活用ポイント、導入時の法務論点、よくある失敗パターンまでを整理し、導入検討の判断材料を提供する。
おすすめ記事
目次
開く
閉じる
開く
閉じる
ペネトレーションテストとは？脆弱性診断との違い
ペネトレーションテストとは、攻撃者の視点でシステムへの侵入を実際に試み、脆弱性の有無に加えて侵入後の被害範囲まで検証するセキュリティ診断手法である。企業のセキュリティ対策を検討する場面では「脆弱性診断」と「ペネトレーションテスト」が似た文脈で語られやすいが、目的とアプローチは異なる。脆弱性診断はシステムに存在する既知の脆弱性を網羅的にスキャンし、リスクの棚卸しを行う手法である。一方、ペネトレーションテストは特定のシナリオ（外部からの不正アクセス、内部関係者による情報持ち出しなど）を想定し、実際にどこまで侵入・突破できるかを人の手で検証する。
独立行政法人情報処理推進機構（IPA）が毎年公表している「情報セキュリティ10大脅威」でも、外部からの不正アクセスや標的型攻撃による情報漏えいは継続的に上位に挙げられており、脆弱性の存在を確認するだけでなく、実際の攻撃シナリオに対する耐性を評価する必要性が指摘されている（IPA「情報セキュリティ10大脅威」、2026年8月6日取得）。両者は代替関係ではなく補完関係にあり、脆弱性診断でリスクの全体像を把握し、重要度の高いシステムに対してペネトレーションテストで実際の突破可能性を検証する組み合わせが、多くの企業で採用されている。
| 比較項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 既知の脆弱性を網羅的に洗い出す | 実際に侵入・突破できるかを検証する |
| アプローチ | 自動スキャンツール中心 | 診断員による手動の攻撃再現が中心 |
| 評価できる範囲 | 脆弱性の有無・種類 | 侵入後にどこまで被害が広がるか |
| 実施頻度の目安 | 四半期縲恃N次など定期的 | 重要システムの改修時・年次の節目 |
| 向いている場面 | 短期間で広くリスクを把握したい | 特定システムの実際の防御力を検証したい |
実務では、いきなりペネトレーションテストから始めるのではなく、まず脆弱性診断（セキュリティ診断）で自社システム全体のリスクを棚卸しし、重要度の高いシステムに絞ってペネトレーションテストに進む企業が多い。この段階では、脆弱性診断を専門に扱う複数のサービスを比較し、自社の対象システムに合った診断範囲・報告形式を確認しておくと、その後のペネトレーションテストの計画も立てやすくなる。
ペネトレーションテストの種類・タイプ分類
ペネトレーションテストは「診断員がどこまで内部情報を知った状態で実施するか」という手法軸と、「何を対象にするか」という対象軸の2方向で分類できる。手法軸では、内部情報を一切与えずに実際の攻撃者と同じ条件でテストするブラックボックス、ネットワーク構成や一部の認証情報など限定的な情報を与えるグレーボックス、ソースコードや構成図まで開示してテストするホワイトボックスの3分類が代表的である。ブラックボックスは実際の攻撃者に近い視点で防御力を検証できる一方、時間内に発見できる問題が限定される場合がある。ホワイトボックスは内部構造まで踏み込んだ精緻な検証ができるが、外部攻撃者が持ちえない情報を前提とするため、現実の脅威シナリオとズレが生じることもある。
対象軸では、Webアプリケーションの入力フォームや認証機能を狙うWebアプリ診断、社内ネットワークやサーバーの設定不備を狙うネットワーク診断、従業員を標的にしたなりすましメールや電話で情報を引き出すソーシャルエンジニアリング診断、クラウド環境の権限設定やアクセス制御を検証するクラウド環境診断などがある。自社がどの領域にリスクを抱えているかによって、優先して実施すべき対象は変わる。IPAが毎年公表する「情報セキュリティ10大脅威」でも、標的型攻撃・内部不正・サプライチェーンリスクなど攻撃の入り口は年々多様化していると指摘されており（IPA「情報セキュリティ10大脅威」、2026年8月6日取得)、単一の対象軸だけでなく複数のタイプを組み合わせて検討することが望ましい。
| 分類軸 | タイプ | 向いている企業・目的 |
|---|---|---|
| 対象 | Webアプリ診断 | 自社サービス・ECサイト等を運営する企業 |
| 対象 | ネットワーク診断 | 社内サーバー・ネットワーク機器を多く保有する企業 |
| 対象 | ソーシャルエンジニアリング診断 | 従業員経由の情報漏えいリスクを確認したい企業 |
| 対象 | クラウド環境診断 | クラウド基盤を利用する企業 |
ペネトレーションテストの主な手法・実施フロー
ペネトレーションテストは、事前準備から報告書作成までを段階的に進め、攻撃者視点で侵入可否と被害範囲を検証する調査手法である。いきなり攻撃を試みるわけではなく、以下のような段階を踏んで実施される。各段階での合意形成が、テスト対象への影響を管理するうえでの前提となる。
- 事前準備：診断対象の範囲、実施期間、使用してよい手法、緊急時の連絡体制などを発注側と診断側で文書化して合意する
- 情報収集：対象システムの公開情報、使用技術、ネットワーク構成などを調査し、攻撃の起点となりうる要素を洗い出す
- 脆弱性探索：収集した情報をもとに、設定不備や既知の脆弱性など侵入の手がかりとなりうる箇所を特定する
- 侵入試行：特定した脆弱性を実際に用いて、システムへの侵入が可能かどうかを検証する
- 権限昇格・被害範囲検証：侵入に成功した場合、どこまで権限を拡大できるか、どの範囲に影響が及ぶかを確認する
- 報告書作成：発見した脆弱性の内容・リスクの度合い・対応の優先順位・改善策を整理し、経営層・現場双方が理解できる形式でまとめる
IPAが公開する「安全なウェブサイトの作り方」では、SQLインジェクション、認証・アクセス制御の不備、権限昇格につながる設定ミスなど、Webアプリケーションで報告件数の多い脆弱性の種別が整理されている（IPA「安全なウェブサイトの作り方」、2026年8月6日取得）。ペネトレーションテストで用いられる検証観点も、こうした報告実績の多い脆弱性カテゴリーを踏まえて設計されることが多く、具体的な攻撃手順そのものは悪用防止の観点から本記事では扱わない。
実施体制としては、社内の情報システム部門が行う方法と、専門会社へ委託する方法がある。社内実施は情報の取り扱いを内部に留められる一方、最新の攻撃手法や診断ツールへの習熟には継続的な投資が必要になる。専門会社への委託は、専門知見と最新の攻撃手法への対応力を確保できる点が、体制構築の負担を抑えたい企業にとって検討材料になりやすい。自社の体制やリソースを踏まえ、社内実施・外部委託・両者の併用のいずれが適するかを見極めることが実務上の出発点になる。
ペネトレーションテストの費用相場・期間【中央値提示】
ペネトレーションテストの費用は診断対象の規模と手法により幅があり、数十万円から数百万円程度が業界の実勢価格帯とされる。ペネトレーションテストの費用について、国や公的機関による統一的な費用統計は現時点で存在しない。以下は編集部が業界の一般的な相場感を調査した目安であり、実際の費用は診断会社・診断範囲・手法によって変動する点に留意されたい。
| 診断対象規模 | 費用レンジ（中央値目安・編集部調査） | 特徴 |
|---|---|---|
| 小規模Webサイト（Webアプリ診断） | 中央値目安50万縲・00万円程度 | 特定のWebアプリケーションを対象とした診断 |
| 中規模システム（プラットフォーム診断） | 中央値目安50万縲・50万円程度 | サーバー・ネットワーク基盤を含む診断 |
| 大規模ネットワーク（シナリオ型テスト） | 中央値目安100万縲・00万円程度 | 攻撃者視点でのシナリオに基づく本格的な侵入試行 |
実施期間についても、診断実施のみであれば2週間から1ヶ月程度、報告書の納品まで含めると1縲・.5ヶ月程度が中央値目安とされることが多い。診断範囲が広い場合や複数システムを対象とする場合は、この期間より長くなる傾向がある。費用に影響する主な要因としては、診断範囲（対象システムの数・規模）、手法（自動診断ツール中心か手動検証重視か）、報告書の詳細度、改修後の再診断（リテスト）の有無が挙げられる。経済産業省とIPAが策定する「サイバーセキュリティ経営ガイドライン」でも、経営者がセキュリティ対策への投資を経営課題として認識し、必要な予算を確保することの重要性が示されている（経済産業省・IPA「サイバーセキュリティ経営ガイドライン」、2026年8月6日取得）。複数社から見積りを取得し、診断範囲や報告書の内容を比較したうえで判断することが重要になる。
業界別のペネトレーションテスト活用
ペネトレーションテストは業種ごとに診断範囲や準拠すべき基準が異なり、金融業・医療機関・ECサイト運営では特有の観点が求められる。金融・医療・EC分野はいずれも機密性の高いデータを扱うため、業界特有のガイドラインや基準への対応が診断設計に影響する。
金融業：オンラインバンキングのAPIセキュリティ
金融機関では、金融情報システムセンター（FISC）が公表する「金融機関等のシステム監査基準」等が、システムの安全対策を検討する際の参照先として広く用いられている。加えて金融庁は「金融分野におけるサイバーセキュリティに関するガイドライン」を公表しており、サイバーセキュリティ管理に関する監督指針の詳細化を進めている（金融庁「金融分野におけるサイバーセキュリティ対策について」、2026年8月6日取得）。オンラインバンキングやモバイルバンキングではAPI連携が増えており、認証・認可の不備やトークン漏えいなど、APIレイヤーの脆弱性を対象にした診断が重視される傾向がある。
医療機関：電子カルテと個人情報保護
医療機関では、電子カルテシステムに患者の病歴・診療情報といった要配慮個人情報が集約されるため、個人情報保護法に基づく厳格な管理が求められる。厚生労働省は「医療情報システムの安全管理に関するガイドライン」を公表しており、電子カルテや医療情報システムを扱う事業者はこのガイドラインを踏まえたセキュリティ対策の実施が期待されている（厚生労働省「医療分野の情報化の推進について」、2026年8月6日取得）。診断対象には電子カルテ本体だけでなく、地域医療連携システムや外部ベンダーとのデータ連携経路も含めて検討する必要がある。
ECサイト運営：決済情報とPCI DSS
クレジットカード情報を取り扱うECサイトでは、国際的なセキュリティ基準であるPCI DSS（Payment Card Industry Data Security Standard）への対応が実務上の前提となる場合が多い。PCI DSSでは定期的な脆弱性診断・ペネトレーションテストの実施が求められており、決済処理を担うシステムやカード情報を保持・処理・伝送する範囲を明確にした診断設計が必要になる。フロントエンドの入力フォームからバックエンドの決済連携APIまで、データの流れに沿った診断範囲の合意が実効性を左右する。
| 業種 | 主な準拠基準・ガイドライン | 診断範囲の特徴 |
|---|---|---|
| 金融業 | FISC安全対策基準、金融庁ガイドライン等 | オンラインバンキングAPI、不正送金シナリオ |
| 医療機関 | 個人情報保護法、厚労省医療情報システム安全管理ガイドライン | 電子カルテ、地域連携システム |
| ECサイト運営 | PCI DSS | カード会員データ環境、決済連携API |
ペネトレーションテスト導入時の法務論点
ペネトレーションテストの実施には、不正アクセス禁止法との関係整理、個人情報保護法対応、委託先との契約内容の精査が欠かせない。本項は法令の一般的な考え方を紹介するものであり、個別事案への法的助言ではない。実施にあたっては弁護士等の専門家への相談を推奨する。
不正アクセス禁止法との関係
ペネトレーションテストは対象システムへの侵入を模擬的に試みる性質を持つため、実施許諾がない状態で行うと不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）に抵触するおそれがあるとされている。発注者からの明確な許諾がなければ、診断行為そのものが法的リスクを帯びる点が問題となる。このリスクを避けるため、診断対象範囲・実施期間・許可する攻撃手法・禁止事項を明記したスコープ合意書（RoE：Rules of Engagement）と実施許諾書を事前に取り交わすことが重要になる。
個人情報保護法上の取扱い
診断対象システムに顧客の個人データが含まれる場合、診断会社への情報提供や診断中のログ取得は個人情報保護法上の「委託」に該当しうる。委託にあたる場合、委託元は個人情報保護法が求める委託先の監督義務を負い、委託先の安全管理体制やアクセス制御の状況を確認する必要があるとされている（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、2026年8月6日取得）。この監督が不十分だと、診断過程で取得・保管された個人データが漏えいした際に委託元の管理責任が問われる可能性がある。
委託先との契約における留意点
診断会社との契約では、秘密保持契約（NDA）の締結に加え、診断中に取得した脆弱性情報・システム構成情報・報告書の管理方法を明確にする必要がある。これらの情報が外部に流出すると、攻撃者にとって有用な情報源となるため、情報漏えい時の影響は通常の業務委託より大きくなりやすい。契約書には、損害賠償の範囲、報告書の保管期間・廃棄方法、再委託の可否についての条項を含めることが、トラブル防止の観点から重要になる。
ペネトレーションテストでよくある失敗パターン3つ
ペネトレーションテストの失敗は、スコープ合意の不足・報告書の放置・診断会社選定の甘さという3つのパターンに集約される傾向がある。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」では、対策を実施して終わりにせず、PDCAサイクルとして継続的に見直すことの重要性が示されている（経済産業省・IPA「サイバーセキュリティ経営ガイドラインと支援ツール」、2026年8月6日取得)。以下の3パターンは、いずれもこの継続的な見直しが途切れた場合に起こりやすい。
パターン1：診断範囲の合意不足による本番環境への影響
診断範囲（スコープ）の合意が曖昧なまま実施すると、本番環境に想定外の負荷がかかり、システム停止やサービス停止につながる事例が指摘されている。特に稼働中の基幹システムや決済システムを対象にする場合、診断による負荷がそのまま業務影響に直結しやすい。回避策：事前に対象システム・実施時間帯・禁止する攻撃手法を明記したRoEを診断会社と合意し、本番環境への影響が懸念される場合は検証環境での実施や実施時間帯の調整を検討する。
パターン2：報告書の指摘事項が改修に反映されない
診断を実施して報告書を受け取った時点で対応が完了したと捉え、指摘された脆弱性の改修が後回しになるケースが見られる。診断はあくまで現状把握の手段であり、報告書の指摘事項が放置されると発見された脆弱性が侵入経路として残り続ける。回避策：報告書の指摘事項に優先度をつけて改修計画に落とし込み、改修後に再診断（リテスト）を行って修正が有効かを確認する運用をあらかじめ想定しておく。
パターン3：診断会社の実績・手法を確認しない選定
価格や納期だけで診断会社を選定し、実績や診断手法を十分に確認しないまま発注すると、自動診断ツールの実行結果をまとめただけの形式的な診断で終わり、実効性の低い結果しか得られない場合がある。回避策：診断会社の過去の診断実績・対応可能な診断手法・診断員の資格や経験を事前に確認し、報告書のサンプルを提示してもらって指摘内容の具体性や再現手順の記載レベルを比較検討する。
よくある質問（FAQ）
Q. ペネトレーションテストと脆弱性診断はどちらを受けるべきですか？
A. 目的が異なるため、両方を段階的に組み合わせるのが基本である。脆弱性診断は既知の脆弱性を網羅的に検出する診断で、コストを抑えて広く浅く現状を把握できる。ペネトレーションテストは、検出された脆弱性が実際に悪用可能か、侵入後にどこまで被害が広がるかを検証する診断である。予算が限られる場合は、まず脆弱性診断サービスを比較して全体を把握し、重要システムや個人情報を扱う領域に絞ってペネトレーションテストを実施する順序が現実的である。
Q. ペネトレーションテストの実施頻度はどのくらいが目安ですか？
A. 年1回を基本とし、システムに大きな変更があった際に追加で実施するのが目安である。新規サービスの公開、大規模な機能追加、インフラ構成の変更、他社との合併・統合などのタイミングでは、変更部分を対象にしたテストを別途行うことが望ましい。金融・医療など規制業種では、監督官庁のガイドラインや契約先からの要求で頻度が定められている場合があるため、自社の業種特有の要件を先に確認する必要がある。
Q. 中小企業でもペネトレーションテストは必要ですか？
A. 企業規模ではなく、扱う情報の重要度と攻撃を受けた際の影響範囲で判断すべきである。中小企業であっても、顧客の個人情報や取引先の機密情報を扱うシステムを持つ場合、攻撃者から見れば十分な標的になる。近年はサプライチェーンの一部として中小企業が攻撃の入り口にされる事例も指摘されており、優先度の高い範囲から段階的に取り組む考え方が現実的である。
Q. ペネトレーションテストで本番環境に障害は起きませんか？
A. 事前にスコープと実施条件を合意しておけば、障害のリスクは大幅に抑えられる。実施前には対象範囲・攻撃手法の範囲・実施時間帯・緊急停止の連絡体制を診断会社と取り決め、業務への影響が大きいテストは検証環境で行う選択肢もある。合意なく本番環境で無制限に攻撃手法を試すことは避けるべきであり、契約書や実施計画書にスコープを明記したうえで開始することが不可欠である。
Q. ペネトレーションテストの結果はどのように活用すればよいですか？
A. 報告書を受け取って終わりにせず、リスクの高い項目から改修計画に落とし込むことが重要である。報告書には検出された脆弱性の深刻度や再現手順が記載されるため、深刻度の高いものから対応期限を設定し、改修後は再テストで修正が有効か確認する。テストで判明した課題を社内のセキュリティポリシーや開発プロセスの見直しに反映させることで、同種の問題の再発を防ぐことができる。
Q. ペネトレーションテストの依頼先はどう選べばよいですか？
A. 専門人材やツールを継続的に確保できるかどうかで判断するのが基本である。社内実施は自社システムへの理解が深く機動的に動ける一方、攻撃者視点の専門知識や最新の攻撃手法への追随が課題になりやすい。外部委託は専門性と客観性を確保しやすいが、委託先の実績・診断範囲の網羅性・報告書の実効性・改修支援の有無を事前に確認する必要がある。見積もり時にスコープの合意内容と報告書のサンプルを確認することが失敗を避ける近道である。
まとめ｜今日からできる3つのこと
ペネトレーションテストは、一度実施すれば終わりという性質のものではない。システムの変化や新たな攻撃手法の登場に合わせて、診断対象と実施体制を見直し続けることが本質的な備えになる。
- 自社システムの診断対象範囲（Webアプリ／ネットワーク／クラウド等）を棚卸しする
- 業種特有の規制要件（金融・医療・EC等）を確認し、必要な診断スコープを整理する
- 診断会社選定時はスコープ合意・報告書の実効性・事後の改修支援体制を確認する
参考文献
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威」、https://www.ipa.go.jp/security/10threats/index.html、2026年8月6日取得
- 独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方」、https://www.ipa.go.jp/security/vuln/websecurity/about.html、2026年8月6日取得
- 経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドラインと支援ツール」、https://www.meti.go.jp/policy/netsecurity/mng_guide.html、2026年8月6日取得
- 厚生労働省「医療分野の情報化の推進について」（医療情報システムの安全管理に関するガイドライン関連）、https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/index.html、2026年8月6日取得
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/、2026年8月6日取得
- 金融庁「金融分野におけるサイバーセキュリティ対策について」、https://www.fsa.go.jp/policy/cybersecurity/index.html、2026年8月6日取得
- 総務省「サイバーセキュリティ統括官」、https://www.soumu.go.jp/main_sosiki/cybersecurity/index.html、2026年8月6日取得
