脆弱性診断で自社システムの弱点を洗い出すと、次に「実際に攻撃者が侵入できるのか、本当のところを確かめてほしい」と役員や監査から求められることがあります。脆弱性診断の次にペネトレーションテスト（侵入テスト）を検討する——決済や基幹システムなど、止められないシステムを預かる担当者からよく聞く流れです。
ところが、いざ社内で予算取りに動こうとすると、まず「いくらかかるのか」で手が止まります。ペネトレーションテストの費用は対象や検証の深さで大きく変わり、公開している会社もあれば「要お問い合わせ」の会社もあって、相場の桁がつかみにくいのが実情です。「数十万円から数千万円」と幅広く語られるだけでは、自社の規模・対象だとどのゾーンに落ちるのかが分かりません。
本記事では、ペネトレーションテストの費用相場を、診断対象・種類別の実額レンジの早見表で示します。あわせて、なぜ会社ごとに見積もりが変わるのか、外部・内部・シナリオ型・TLPTの使い分け、金融・重要インフラで問われるTLPTの位置づけ、依頼先を選ぶときに見るべき観点までを整理しました。費用の桁と必要な種類の当たりをつけ、相見積もりに進む材料としてご活用ください。
目次
ペネトレーションテストの費用相場【対象・種類別の早見表】
はじめに、費用の全体像を早見表で示します。ペネトレーションテストの料金は「何を対象に、どこまで深く検証するか」で決まるため、まずは診断対象・種類ごとのレンジで自社がどのゾーンに近いかを確認してください。以下は、料金を公開している専門会社の価格ガイド等を参考にまとめた相場の目安です（税別・スポット実施の場合。実際の金額は対象範囲・シナリオ数・報告内容によって変わります）。
| 診断対象・種類 | Webアプリケーション （1サイト・機能規模による） | 外部ネットワーク （インターネット公開資産） | 内部ネットワーク （社内からの侵入・横展開） | クラウド環境 （AWS・Azure・Google Cloud等） | スマートフォンアプリ | シナリオ型 （レッドチーム演習） | TLPT （脅威ベースの侵入テスト｜金融・重要インフラ） |
|---|---|---|---|---|---|---|---|
| 費用の目安（スポット実施） | 30万〜800万円 | 50万〜200万円 | 100万〜500万円 | 80万〜600万円 | 50万〜600万円 | 300万〜1,000万円以上 | 数千万円規模 （諸外国のTLPT実績） |
| 主に確かめること | 画面・機能の裏側で認証や権限の回避、なりすまし、情報の抜き取りが成立しないか | 外部に公開したサーバ・機器から社内へ侵入の足がかりを作れないか | 1台の侵入を起点に、権限昇格や他サーバへの横展開で重要情報まで到達できるか | 設定の不備や権限設計の穴を突いて、想定外のリソースへ到達できないか | アプリと通信・バックエンドAPIを通じて認証や決済の処理を回避できないか | 実際の攻撃者を想定した筋書きで、複数の弱点をつないで目的（重要情報の奪取等）を達成できるか | 実在の攻撃者の手口を模倣し、本番環境の人・プロセス・技術まで含めた耐性を試す |
※上記は料金を公開している専門会社の価格ガイド等を参考にまとめた相場の目安です。実際の金額は対象範囲・シナリオ数・報告内容によって変わるため、各社の見積もりでご確認ください。
対象を1つに絞ったWebアプリケーションやネットワークのテストであれば数十万円〜数百万円、社内ネットワークの横展開やクラウドまで含めると数百万円規模になります。実際の攻撃者を想定して複数の経路をつなぐシナリオ型（レッドチーム演習）になると数百万円〜1,000万円超になります。
幅の広いWebアプリケーションは規模で目安が分かれ、画面数が少ない単機能の小規模で30万〜80万円台、中規模で80万〜250万円、大規模で250万〜800万円が目安です。費用の幅は対象の規模とシナリオ数で決まります。
金融機関向けのTLPTは桁が一段変わり、諸外国の実績では数千万円規模ですが、国内では対象を絞れば1,000万円台から実施する例もあります。
期間の目安も、Webアプリケーション1つなら1〜2週間程度、大規模な案件やシナリオ型では1〜3か月程度と幅があります。
出典・参考資料（3件）
ペネトレーションテストの費用が動く理由
同じ「Webアプリのペネトレーションテスト」でも、会社によって見積もりが数倍変わることは珍しくありません。ペネトレーションテストは、米国立標準技術研究所（NIST）のガイドラインでも計画・情報収集・侵入・報告という一連の手順を人の手で進めるものと整理されており、費用は人手の作業量で決まるためです。
出典・参考資料（1件）
- 参考資料：Technical Guide to Information Security Testing and Assessment（NIST SP 800-115）｜米国国立標準技術研究所（NIST）（PDF）
自動ツールで一律に判定する脆弱性診断と違い、テスターの工数（人数×日数）が費用の土台になるため、次の要素が増えるほど金額が上がります。
- 対象範囲の広さ：画面・機能・API・IPアドレスの数が多いほど、検証すべき経路が増えて工数が積み上がります。
- 手動検証の深さ（シナリオ数）：どこまで踏み込んで侵入を試すか、いくつの攻撃筋書きを想定するかで、必要な日数が変わります。
- テスターのスキル・実績：高度な攻撃手法を再現できる実績あるテスターほど単価が上がり、その分だけ検出の深さも変わります。
- 報告書と再診の手厚さ：再現手順や修正の優先度まで踏み込んだ報告書、修正後の再テスト（再診）や説明会を含めるかで費用が変わります。
- 実施環境：本番環境で業務への影響を抑えながら実施する場合は、ステージング環境より慎重な進め方が必要になり、工数が増えます。
見積もりを比べるときは、金額の数字だけでなく、これらの条件がそろっているかを確認するのが要点です。安い見積もりは、対象範囲が狭い・自動ツール中心で手動検証が浅い・報告書が簡易、といった前提の違いを反映していることが多いためです。
この「手動診断は人手の工数で費用が決まる」というコスト構造は、ペネトレーションテストに限らず、手動で行う脆弱性診断にも共通します。オフィス内の機器を対象にした従来型の手動診断の費用について、次のような指摘があります。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。
見積もりの内訳・比較軸をそろえてチェックする
相見積もりで各社の金額を正しく比べ、費用を無駄なく抑えるには、依頼する側で条件をそろえておくことが役立ちます。次の点を整理してから相談すると、同じ土俵での比較がしやすくなります。
- 守りたい情報から対象を絞る：全システムを一度に対象にせず、重要な情報を扱うシステムや公開資産に対象を絞ると、費用を抑えつつ要点を検証できます。
- 構成資料を先に準備する：システム構成図・画面数・API・IPアドレスなどの情報を渡せると、各社が同じ前提で見積もれます。
- 脆弱性診断と役割を分ける：広い範囲は自動診断で網羅的に確認し、重要な部分だけをペネトレーションテストで深く検証すると、費用対効果が上がります。
- 比較軸をそろえる：金額だけでなく、対象範囲・手動検証の深さ・報告書の粒度・再テストの有無・着手までの早さを並べて確認します。
この「広い範囲は脆弱性診断で押さえ、重要な部分だけをペネトレーションテストで深掘りする」という役割分担を実際に組むには、診断側のサービス選びも欠かせません。脆弱性診断そのものの診断方法別（手動・ツール自動・ハイブリッド）の費用相場やサービスの選び方は、次の記事で主要サービスを比較しています。ペネトレーションテストと組み合わせる診断側の依頼先を絞る際の材料としてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
脆弱性診断との違いとペネトレーションテストの種類
費用の桁がつかめたら、次に確認したいのが「自分が頼もうとしているのは、本当にペネトレーションテストか」という点です。脆弱性診断とペネトレーションテストは目的が異なり、混同すると必要のない発注になりかねません。
脆弱性診断が、既知の弱点を網羅的に洗い出す健康診断のような検査であるのに対し、ペネトレーションテストは、実際の攻撃を模倣して防御を回避できる経路を探し、複数の弱点をつないで「目的（重要情報への到達など）を達成できるか」を試す実戦的なテストです。金融庁のガイドラインでも、脆弱性診断とペネトレーションテストは別の項目として整理されています。
脆弱性診断で弱点を洗い出したうえで、その弱点が実際に悪用可能かを確かめる段階に進む——ペネトレーションテストは、この後者にあたります。どこを起点に何を確かめるかによって種類が分かれ、費用の重さも変わります。
外部・内部・シナリオ型（レッドチーム）とTLPTの種類と費用の重さ
ペネトレーションテストは、確かめたいことによって主に次のように分かれます。早見表の「対象」（Web・ネットワーク・クラウド・スマホアプリ）と、ここで説明する「種類」（外部・内部・シナリオ型・TLPT）は掛け合わせで決まり、たとえばクラウドやスマホアプリを外部・内部のどの切り口で試すかを指定します。早見表と対応させて、自社がどれを指定すべきかの当たりをつけてください。
- 外部ペネトレーションテスト：インターネットに公開したサーバや機器を起点に、外部から社内へ侵入の足がかりを作れるかを確かめます。対象が絞られるため、費用は比較的抑えやすい種類です。
- 内部ペネトレーションテスト：社内に侵入された、あるいは内部関係者が悪意を持った状況を想定し、1台の端末を起点に権限昇格や横展開でどこまで到達できるかを確かめます。検証する経路が増えるため、外部より費用が上がる傾向です。
- シナリオ型（レッドチーム演習）：特定の攻撃者を想定した筋書きに沿って、外部侵入・内部横展開・情報奪取までを一連で試します。対象と工数が最も大きく、費用は数百万円〜1,000万円超になります。
- TLPT（脅威ベースの侵入テスト）：シナリオ型をさらに発展させ、実在の攻撃者の手口を脅威情報にもとづいて再現し、本番環境の人・プロセス・技術まで含めて試す枠組みです。主に金融・重要インフラで用いられ、費用は数千万円規模になります。次章で詳しく解説します。
TLPT（脅威ベースの侵入テスト）とは何か・自社は対象か
金融機関や重要インフラの担当者にとって、避けて通れないのがTLPT（脅威ベースのペネトレーションテスト、Threat-Led Penetration Testing）です。名前は聞くものの、通常のペネトレーションテストと何が違い、自社に求められるのか、費用はどの程度かが分かりにくい枠組みでもあります。ここでは、金融庁が公表している一次情報をもとに、定義・位置づけ・費用の桁を確認します。
TLPTとは・通常のペネトレーションテストとの違い
TLPTは、2018年（平成30年）10月15日に、G7サイバー・エキスパート・グループが策定し、G7議長国カナダが公表した「脅威ベースのペネトレーションテストに関するG7の基礎的要素」で位置づけられた枠組みです。金融庁が公表しているその仮訳では、TLPTは次のように定義されています。
TLPTは、（金融機関の）コントロール下において、実在の攻撃者の戦術、テクニック、手順をまねることにより、金融機関のサイバーレジリエンスを侵害しようとする、攻撃の試行である。これは、特定の脅威情報（threat intelligence）に基づき攻撃を試行するものであり、予備知識と、業務への影響を最小限に抑えつつ、金融機関の職員、プロセス、テクノロジーに焦点を当てた攻撃を試行するものである。
出典：脅威ベースのペネトレーションテストに関するG7の基礎的要素（仮訳）｜金融庁
通常のペネトレーションテストとの違いは、この定義の「特定の脅威情報に基づき」「職員、プロセス、テクノロジーに焦点を当てた」という部分にあります。あらかじめ攻撃対象を細かく合意して技術的な侵入可否を試すのが一般的なペネトレーションテストであるのに対し、TLPTは、自社を実際に狙う攻撃者の情報を集めたうえで、本番環境の従業員の対応や検知・対処の運用まで含めて、抜き打ちに近い形で試します。
国内では、金融情報システムセンター（FISC）が「金融機関等におけるTLPT実施にあたっての手引書」を2019年（令和元年）9月に公表しており、実施の枠組みが整理されています。
海外でも、英国では英中央銀行が2014年に導入したCBEST、EUではデジタル・オペレーショナル・レジリエンス法（DORA）が対象金融機関に少なくとも3年ごとのTLPT実施を求めるなど、金融分野を中心に枠組みが広がっています。
出典・参考資料（2件）
自社はTLPTの対象か・費用の桁（任意か、求められるレベルか）
「自社もTLPTを実施しなければならないのか」は、費用の桁が大きいだけに気になる点です。金融庁が2024年（令和6年）10月4日に公表した「金融分野におけるサイバーセキュリティに関するガイドライン」では、脆弱性診断とペネトレーションテストの定期的な実施が【基本的な対応事項】として求められています。一方、TLPTは次のように【対応が望ましい事項】に区分されています。
【対応が望ましい事項】
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
b. 定期的に脅威ベースのペネトレーションテスト（TLPT）を実施すること。
TLPTは一律に義務づけられているものではなく、望ましい対応として位置づけられています。自社の規模やシステムの重要性を踏まえ、脆弱性診断・ペネトレーションテストを土台としたうえで、TLPTまで踏み込むかを判断する、というのが現在の枠組みです。
費用の桁については、金融庁が公表した「諸外国の脅威ベースのペネトレーションテスト（TLPT）に関する報告書」に、サービスプロバイダーを活用して実施する場合の平均的なコストと期間の実額が示されています。諸外国の実績であり、国内の相場ではない点に注意が必要です。
出典：諸外国の「脅威ベースのペネトレーションテスト（TLPT）」に関する報告書｜金融庁
- 英国：90,000〜120,000ポンド（1ポンド=155円の場合、約14,000,000〜18,600,000円）／期間 4〜5か月程度
- 米国：100,000〜130,000米ドル（1米ドル=109円の場合、約10,900,000〜14,200,000円）／期間 4か月程度
- 香港：500,000〜1,100,000香港ドル（1香港ドル=14円の場合、7,000,000〜15,400,000円）／期間 3週間〜2ヶ月程度
このように、TLPTは通常のペネトレーションテストより桁の大きい投資になります。金融・重要インフラでTLPTまで視野に入る場合は、実施実績のある会社に早めに相談し、対象の限定や汎用的なシナリオの活用など、範囲を調整した進め方も含めて見積もりを取るのが現実的です。
ペネトレーションテストの依頼先の選び方
費用の桁と必要な種類の当たりがついたら、最後は依頼先の絞り込みです。ペネトレーションテストは成果がテスターのスキルに左右されるため、金額の安さだけで選ぶと、検証が浅く「侵入できませんでした」で終わってしまうリスクがあります。次の観点で候補を2〜3社に絞り、同じ条件で相見積もりを取るのが、失敗の少ない進め方です。
- 実績のある分野：Webアプリ・ネットワーク・クラウド・スマホアプリ・シナリオ型など、自社が検証したい対象での実績が豊富か。金融・重要インフラならTLPTの実施実績があるか。
- 対応範囲の広さ：脆弱性診断からペネトレーションテスト、レッドチーム演習まで、自社のニーズに合わせて段階的に対応できるか。
- 報告書の質：発見した弱点の再現手順、悪用された場合の影響、修正の優先度まで踏み込んだ、実務で使える報告書か。サンプルを事前に確認できるか。
- 再診・改善支援：修正後に再テスト（再診）を行い、対策が有効かを確認する仕組みや、改善のための支援があるか。
- 価格感と見積もりの明確さ：見積もりの内訳（対象範囲・工数・報告・再診）が明確で、何にいくらかかるのかを説明できるか。
- 体制と資格：手動検証を担うテスターの体制や、攻撃手法に関する資格・技術力を確認できるか。
安さだけで選ぶと、対象範囲が狭かったり報告書が簡易だったりして、結局やり直しになることもあります。金額はこれらの観点をそろえたうえで比べるのが、無駄のない選び方です。各社の対応範囲や報告書のサンプルは、資料請求で取り寄せて比較できます。以下では、ペネトレーションテストに対応する主なサービスを紹介します。
ペネトレーションテスト対応サービスの対応範囲・費用の比較
以下は、ペネトレーションテストや手動診断に対応する主なサービスの比較表です。ペネトレーションテスト・手動診断を提供する各社を先に、予防・復旧まで含めて備える関連サービスを後半に並べています。
対応する診断対象・提供形態・報告や支援の範囲を横並びで確認し、資料請求で各社の対応範囲や報告書サンプルを取り寄せる際の目安としてください。
| サービス | セキュリティ診断（NRIセキュア） | GMOサイバーセキュリティ byイエラエ | セキュリティ診断（ラック） | 脆弱性診断サービス（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） | SQAT | セキュア・レントゲン | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|---|---|---|---|
| 診断の主な性格 | 手動主体のハイブリッド診断 | 手動診断＋ツールASM（ハイブリッド） | 手動主体のハイブリッド診断（JSOC連携） | 専門家による手動診断（＋補助ツール） | 手動主体のハイブリッド診断 | 手動＋独自自動診断のハイブリッド | ネットワークリスク診断（フルパケット型／NDR） | 脆弱性診断＋復旧・補償の統合パッケージ |
| 主な診断対象 | Web／プラットフォーム／スマホアプリ／API／クラウド／ソースコード／AI／IoT・OT | Web／スマホアプリ／クラウド／ネットワーク／IoT／ブロックチェーン／AI | Web／プラットフォーム／クラウド／スマホアプリ／IoT | Web／ネットワーク／スマホアプリ／IoT・OT／Active Directory／AI | Webアプリ／プラットフォーム／IoT・OT | Web／API／ネットワーク／スマホアプリ／IoT／クラウド／ソースコード | ネットワーク通信（IT／OT両環境） | 社内ネットワーク・端末（サーバ／NW機器／複合機／PC） |
| ペネトレーションテスト | ●（レッドチームも対応） | ●（レッドチーム・物理も対応） | ●（TLPTも対応） | ●（TLPTも対応） | ●（RedTeam・TLPTも対応） | ● | ×（ネットワークリスク診断） | ×（脆弱性診断パッケージ） |
| 報告書・再診・改善支援 | 報告書＋対策アドバイス／Web診断は実施1ヶ月以内に対策状況を確認 | 脆弱性詳細・対策レポート／報告会（オプション） | 報告書・報告会／再診断・内製化支援 | 報告書＋対処方法アドバイス／SOC連携 | 報告書＋対策提案 | 報告書＋推奨対策／3か月間の再診断可 | 5構成レポート・報告会／対策提案まで支援 | 月次A〜E評価レポート／改善まで伴走 |
| 費用の目安 | ペネトレーションテスト 800万円〜（税別）ほか個別見積 | 要お問い合わせ | Web診断 30万円〜／ペネトレーションテスト 700万円〜 | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 月額1台1,250円〜（100ノード以下 年額90万〜150万円） |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式資料を見る | オンライン相談を予約 |
※本表は各社公式サイトの公表情報（2026年7月時点）をもとに作成しています。診断対象や提供形態は各社の主なメニューを整理したもので、対応範囲は個別のプランにより異なります。料金は対象範囲・診断内容により変動し、非公開の場合は要お問い合わせです。最新の対応範囲・費用は各社の資料・見積もりでご確認ください。
ペネトレーションテストに対応する主なサービス
ここからは、ペネトレーションテストや手動によるセキュリティ診断に対応する主なサービスを個別に紹介します。ペネトレーションテスト・手動診断を提供する各社を先に、予防・復旧まで含めて備える関連サービスを後半に紹介します。
実績のある分野や提供形態はサービスごとに異なるため、自社が検証したい対象と照らし合わせながらご覧ください。
1. NRIセキュアのセキュリティ診断（NRIセキュアテクノロジーズ株式会社）
NRIセキュアテクノロジーズは、野村総合研究所（NRI）グループのセキュリティ専業会社で、専門家による手動主体の診断を軸にしたセキュリティ診断・ペネトレーションテストを提供しています。Webアプリケーション診断では、専門家のマニュアル診断のみで行う「プロフェッショナル方式」と、手作業を主体にツールを補助的に併用する「ハイブリッド方式」を用意し、自動ツール任せではない点を明確にしています。
脆弱性診断からペネトレーションテスト、検知回避まで試みるレッドチームオペレーションまでを一社でカバーできる包括的なラインアップが特徴です。
ペネトレーションテストの費用を検討する読者にとって参考になるのは、多くのメニューが個別見積もりのなかで、ペネトレーションテストサービスに「800万円〜（税別）」という価格が公式に示されている点です。金額は実施するシナリオの内容によって変動します。
診断を担うのは、米国SANS Instituteの専門トレーニング修了者や、CISSP・OSCP・OSEP・GIACといった国際資格の保有者で、診断員の専門性を訴求の中核に置いています。
診断対象はWeb・クラウド・スマホアプリなど広く、問題点と対策をまとめた報告書の提供に加え、Webアプリケーション診断では実施後1ヶ月以内に対策状況を確認する運用も備えています。
2. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業が、GMOサイバーセキュリティ byイエラエです。専門家による手動主体の脆弱性診断・ペネトレーションテストを中核に、ツール型のASM（攻撃面管理）、SOC、フォレンジックまでを提供しています。
Webペネトレーションテストは手動検査を中心に据え、静的解析ツールでは見つけにくい脅威や、複数の脆弱性を組み合わせたリスクの評価に踏み込む点が特徴です。
ペネトレーションテストには、擬似攻撃で機微情報や金銭への攻撃リスクを可視化する「シナリオ型」と、シナリオに縛られず徹底的に問題点を洗い出す「調査型」の2つの実施方式があります。料金は画面数・API数・攻撃シナリオをもとにした個別見積もりで、予算に応じた提案を受けられます。
診断対象はWeb・スマホアプリ・クラウドなどに加え、ブロックチェーン、LLM/AIエージェント、IoTデバイスまで対応します。さらに社内ネットワークやレッドチーム演習、建物への物理侵入を試す物理ペネトレーションまで幅広く、検証したい対象が特殊な場合の選択肢になります。
スポットの手動診断と、月額課金で継続運用するASMツールの両方を持つため、一度の診断から継続的な監視まで段階的に組み合わせられます。
3. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックの脆弱性診断・セキュリティ診断サービスは、1995年から診断を提供してきた実績と、セキュリティ監視センター「JSOC」を中核とした総合体制が特徴です。攻撃者視点の疑似攻撃でツールでは検出しにくい弱点まで人手で検証する、手動診断を主体としたハイブリッド型で、官公庁・金融分野での実績が長いベンダーです。
診断・監視（JSOC）・緊急対応・コンサルティングを組み合わせられるため、診断結果をその後の運用やインシデント対応につなげやすい点も、診断専業ベンダーとの違いになります。
ペネトレーションテスト系のメニューが段階的にそろっており、費用の見当をつけやすいのも特徴です。
「情報システムペネトレーションテスト」は、ホワイトハッカーが外部公開サーバへの侵入・標的型メール・マルウェア感染などのシナリオで、侵入後の被害範囲まで評価します。費用は700万〜1,000万円程度が目安です（税抜、標準シナリオ・最低2ヶ月想定）。人・組織・プロセスまで含めて評価する金融機関向けの「TLPT（脅威ベースのペネトレーションテスト）」は1,000万円程度からが目安です。
Web診断はツール型（30万円〜）からツールと手動を併用する高精度版まで段階が分かれており、対象の重要度に応じて診断の深さを選べます。本体はISMS認証（JIS Q 27001:2023）を保有しています。
4. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産セキュアディレクション（MBSD）は、三井物産の100%出資で2001年に設立されたサイバーセキュリティ専門企業です。セキュリティエンジニアが攻撃者の視点で脆弱性を診断・分析・評価する、専門家による手動診断を主体とし、網羅性を担保するために独自の補助ツールや商用ツールを組み合わせるスタイルを採ります。
Webアプリケーション診断・ネットワーク診断とも2001年開始で、手動診断の蓄積を強みとする「手動・専門家型」の代表的なベンダーとして位置づけられます。
ペネトレーションテストは、事前に設計した攻撃手順に沿って複数の攻撃技術を組み合わせ、明確な意図を持った攻撃者が目的を達成できるかを検証するもので、外部からの侵入可能性・標的型攻撃リスク・セキュリティ機器の有効性といったシナリオに対応します。脅威ベースのペネトレーションテスト（TLPT）も提供しています。
技術面では、CVE・JVNへ累計200件以上の新規脆弱性（0day）を報告してきた研究実績があり、他社の診断後に追加で診断しても新たな脆弱性を見つける事例を訴求しています。診断対象はWeb・スマホアプリ・ネットワークに加え、IoT・OT（自動車・ビル・工場等）やActive Directoryなど広く対応します。本体はISO/IEC 27001とISO 9001を取得しています。
料金は診断範囲・対象に応じた個別見積もりです。
5. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
エヌ・ティ・ティ・セキュリティ・ジャパンは、NTTグループのサイバーセキュリティ専業会社（NTTセキュリティホールディングスの100%子会社）です。「セキュリティ診断・評価・調査」カテゴリで、脆弱性診断からペネトレーションテストまでを提供しています。
複数のツールと専門家（セキュリティエンジニア）の知見を組み合わせるハイブリッド診断を主体に、サーバー・ネットワーク機器などのプラットフォームと、自社開発のWebアプリケーションの双方に対応します。ツール・環境を提供して顧客自身が継続的に実施するセルフ診断も選べる構成です。
ペネトレーションテストは、攻撃者の視点で侵入を試み、人・プロセス・テクノロジーの観点から攻撃耐性を評価する「RedTeam/TLPT（脅威ベースのペネトレーションテスト）」として提供しています。
ドローン・カメラ・自律制御ロボット・工場向け制御システムといったIoT／OT領域では、脅威分析・脆弱性診断・ペネトレーションテスト・通信解析を組み合わせた専門診断に対応しており、組込み・制御系の検証を求める企業の選択肢になります。料金は全メニューが問い合わせベースで、診断対象の範囲や規模に応じた個別見積もりです。本体はISMS認証を取得しています。
6. SQAT（株式会社ブロードバンドセキュリティ）
SQAT®（エスキュート）は、株式会社ブロードバンドセキュリティ（BBSec）が展開する脆弱性診断ブランドです。「精度の高い手動診断と独自開発による自動診断を組み合わせる」ハイブリッド方式を採り、攻撃を受ける前にリスクを特定することを目的としています。2000年創業のセキュリティ専業企業で、社員の約75%をセキュリティエンジニア・コンサルタントが占める体制が土台にあります。
診断メニューはWeb・API・ネットワークなどに加え、ペネトレーションテストやアタックサーフェス調査まで幅広く対応します。外部からの挙動を検証するブラックボックステストと、ソースコードを内部から確認するホワイトボックステストを組み合わせた「SQAT® GlassBox」も用意しています。診断終了後3か月までは再診断が可能で、再診断期間内の相談にも対応します。
加えて、SQATの脆弱性診断すべてにサイバー保険を付帯している点が特徴です。BBSecはPCI DSSの認証監査機関（QSAC）認定を持ち、クレジットカード関連のセキュリティ基準への対応にも強みがあります。料金はすべて個別見積もりで、費用感やスケジュールの相談用ページも用意されています。
ここまではペネトレーションテストや手動診断を提供する各社を紹介しました。以下の2サービスは侵入テストそのものではありませんが、内部ネットワークの脆弱性の可視化（予防）や、被害時の復旧・補償まで含めて備えたい場合に、これらと組み合わせて検討できる関連サービスです。
7. セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンは、株式会社クワッドマイナージャパンが提供するネットワークリスク診断サービスです。Webアプリケーションを対象にした脆弱性診断や、攻撃者になりきって侵入を試すペネトレーションテストとは着眼点が異なります。実際にネットワーク上を流れている通信を全数キャプチャ（フルパケットキャプチャ）して、外部からの攻撃だけでなく内部に潜伏している脅威まで洗い出す点が特徴です。
すでに脆弱性診断やペネトレーションテストを実施し、境界防御を固めた金融機関が、侵入された後の内部リスクを確かめる目的で組み合わせて使う、という位置づけになります。
診断は、スイッチのミラーポートに機器を接続するミラーリング方式で行うため、業務ネットワーク本体に影響を与えずに実施できます。IT環境に加えてOTプロトコルにも対応し、工場ネットワークを含めた診断が可能です。成果物は、総合サマリ・システム環境分析・検出脅威一覧・検出脅威詳細・シナリオベースリスク分析の5構成のレポートで、公式は「最短1カ月でセキュリティ課題と対策をご提案」としています。
2024年10月の金融庁ガイドラインで脆弱性診断・ペネトレーションテストとネットワーク監視の強化が求められたことを背景に提供しているサービスです。料金は分析手法（オンライン／持ち帰り／オンサイト）やトラフィック量、設置台数によって変わるため、個別見積もりとなります。
8. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROの「KATABAMI サイバーセキュリティ対策パッケージ」は、脆弱性診断（予防）・隔離バックアップ（復旧）・サイバー保険（補償）を一つにまとめた統合型のサービスです。一点集中で侵入可否を検証するペネトレーションテストとは性格が異なり、内部ネットワークの脆弱性を継続的に洗い出し、被害に遭ったときの復旧と金銭補償までを含めて備える設計になっています。
インターネット上に見えない専用線を作る国産技術「KATABAMI」を使い、従来は専門家が客先に出向いて行っていた内部診断を、リモートから実施できるようにしている点が土台です。
脆弱性診断にあたる「KATABAMI VDP」は、ネットワーク内部から月次（年12回）で診断し、A〜Eの5段階評価と改善策のレポートを提示します。サーバー・ネットワーク機器・複合機・PCといった端末を対象に、初期パスワードのまま使われている複合機や、管理者権限に簡単に入れてしまう設定などを洗い出し、対策の実施までアドバイスして伴走する運用が特徴です。
復旧面では、攻撃者からも社内からも到達できない隔離経路にデータをバックアップし、あいおいニッセイ同和損保のサイバー保険（賠償1億円・費用3,000万円、D判定以上まで改善した事業者が対象）を自動付帯します。料金は診断する端末数（ノード数）と診断頻度で変わり、月額は1台あたり1,250円から、100ノード以下は年額90万円〜150万円が目安です。
まとめ
ペネトレーションテストの費用は、対象と検証の深さで大きく変わります。Webアプリやネットワークを対象にしたテストは数十万円〜数百万円、社内の横展開やクラウドを含めると数百万円規模、実際の攻撃者を想定したシナリオ型（レッドチーム演習）で数百万円〜1,000万円超が目安です。
金融・重要インフラで用いるTLPTはさらに桁が上がり、諸外国の実績では数千万円規模、国内でも対象を絞れば1,000万円台からが目安です。
金額が会社ごとに変わるのは、対象範囲・手動検証の深さ・テスターのスキル・報告書と再診・実施環境という、工数を左右する条件が違うためです。
脆弱性診断の次に検討することが多いのがペネトレーションテストです。自社が確かめたいのは外部・内部・シナリオ型のどれか、TLPTの対象になるのかを見極め、費用の桁と必要な種類の当たりをつけてください。そのうえで、実績・対応範囲・報告書の質・再診・価格の明確さといった観点で候補を絞り、同じ条件で相見積もりを取ることが、納得のいく依頼につながります。
まずは気になるサービスの資料を取り寄せ、対応範囲と報告書のサンプルを見比べるところから始めてください。
よくある質問（FAQ）
Q. ペネトレーションテストとは何ですか？
A. ペネトレーションテスト（侵入テスト）とは、実際の攻撃者の手口を模倣してシステムへの侵入を試み、重要情報への到達など「攻撃の目的が達成できてしまうか」を確かめる実戦的なテストです。既知の弱点を自動ツールで網羅的に洗い出す脆弱性診断と異なり、複数の弱点をつなぎ、人手で防御を回避できる経路を探す点が特徴です。脆弱性診断で弱点を洗い出したうえで、その弱点が実際に悪用可能かを確かめる段階に用います。
Q. ペネトレーションテストの費用相場はいくらですか？
A. ペネトレーションテストの費用は、対象を1つに絞ったWebアプリやネットワークで数十万〜数百万円、社内の横展開やクラウドを含めると数百万円規模、シナリオ型（レッドチーム演習）で数百万〜1,000万円超が目安です。金融・重要インフラで用いるTLPTはさらに桁が上がり、数千万円規模になります。
Q. ペネトレーションテストと脆弱性診断では費用はどれくらい違いますか？
A. ペネトレーションテストは、一般に脆弱性診断より高額になります。脆弱性診断が自動ツールを中心に数万〜数十万円から実施できるのに対し、ペネトレーションテストは攻撃シナリオの設計や手動での侵入検証、侵入後の影響確認といった人手の工数がかかるためです。両者は「網羅的に弱点を洗い出す」か「侵入されるかを試す」かで目的が異なるため、費用の高低だけで優劣を比べるものではありません。
Q. ペネトレーションテストは、なぜ会社によって費用が大きく変わるのですか？
A. ペネトレーションテストの費用が会社ごとに変わるのは、テスターの工数（人数×日数）が金額の土台で、対象範囲の広さ・手動検証の深さ・テスターのスキル・報告書と再診の手厚さ・実施環境といった条件で工数が増減するためです。
Q. ペネトレーションテストの外部・内部・シナリオ型はどう使い分ければよいですか？
A. ペネトレーションテストは、公開資産からの侵入を試す「外部」、侵入後の権限昇格・横展開を試す「内部」、攻撃者の筋書き全体を試す「シナリオ型（レッドチーム）」に分かれ、確かめたいことで使い分けます。外部は対象が絞られるため費用を抑えやすく、内部は検証する経路が増えるため外部より高くなり、シナリオ型は工数が最も大きく数百万〜1,000万円超になります。
Q. TLPT（脅威ベースのペネトレーションテスト）とは何ですか？
A. TLPT（脅威ベースのペネトレーションテスト、Threat-Led Penetration Testing）とは、実在の攻撃者の戦術・手口を脅威情報にもとづいて再現し、本番環境の人・プロセス・技術まで含めて組織のサイバー耐性を試す枠組みです。2018年にG7が基礎的要素を公表し、国内では金融情報システムセンター（FISC）が実施の手引書を整備しています。
出典・参考資料（1件）
- 出典：脅威ベースのペネトレーションテストに関するG7の基礎的要素の公表について（平成30年10月15日）｜金融庁（お知らせ）
Q. 自社もTLPTを実施しなければならないのですか？
A. TLPTは、一律に義務づけられているわけではなく、金融庁のガイドラインでは「対応が望ましい事項」に位置づけられています。同ガイドラインでは、脆弱性診断とペネトレーションテストの定期的な実施が「基本的な対応事項」として求められる一方、TLPTは自社の規模やシステムの重要性を踏まえて踏み込むかを判断する枠組みとされています。
出典・参考資料（1件）
- 出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁（PDF）
Q. TLPTの費用はどれくらいかかりますか？
A. TLPTの費用は、通常のペネトレーションテストより桁が大きく、数千万円規模になります。金融庁が公表した諸外国の報告書では、サービスプロバイダーを活用して実施する場合の平均的なコストが示されています。その実額は英国で約1,400万〜1,860万円、米国で約1,090万〜1,420万円です（諸外国の実績であり、国内の相場ではない点に注意が必要です）。
出典・参考資料（1件）
- 出典：諸外国の「脅威ベースのペネトレーションテスト（TLPT）」に関する報告書｜金融庁（PDF）
Q. ペネトレーションテストはどのくらいの頻度で実施すべきですか？
A. ペネトレーションテストは、年1回程度を目安に、加えてシステムの大きな変更やインシデントの発生時にも実施するのが一般的です。攻撃手法やシステム構成は時間とともに変わるため、一度実施して終わりにせず、重要システムの変更に合わせて定期的に見直すことが望まれます。金融・重要インフラでは、こうした定期的な実施がガイドライン上も基本的な対応事項として求められています。
Q. ペネトレーションテストの実施期間はどのくらいですか？
A. ペネトレーションテストの期間は、対象を絞ったWebアプリ1つなら1〜2週間程度、大規模な案件やシナリオ型では1〜3か月程度が目安です。本番環境の人・プロセスまで含めるTLPTの場合は、諸外国の実績で3週間〜5か月程度とさらに幅があります。スケジュールは対象範囲とシナリオ数によって変わるため、見積もりを取る際は費用とあわせて実施期間も確認しておくと、社内の予定を組みやすくなります。
Q. ペネトレーションテストの見積もりを取るには何を準備すればよいですか？
A. ペネトレーションテストの見積もりを取るときは、対象システムの構成図・画面数・API・IPアドレスなどの規模がわかる情報に加え、守りたい情報・確認したいリスク・希望時期を整理しておくとスムーズです。これらを各社へ同じ前提で渡すことで、相見積もりを同じ土俵で比較できます。
対象範囲がまだ固まっていない段階でも、システム構成・守りたい情報・懸念する攻撃を伝えれば、優先すべき対象とテスト内容の提案を受けられます。
Q. ペネトレーションテストの費用を抑える方法はありますか？
A. ペネトレーションテストの費用は、守りたい情報を扱う重要なシステムに対象を絞り、広い範囲は脆弱性診断で網羅的に確認して、重要な部分だけを深く検証することで抑えられます。あわせて、構成資料を事前に準備して見積もり条件をそろえると、各社の余計な工数見積もりを避けられます。ただし、対象範囲を過度に狭めると検証が浅くなり本来の目的を果たせないため、守りたいものを起点に絞り込むのが要点です。
Q. ペネトレーションテストの依頼先はどう選べばよいですか？
A. ペネトレーションテストの依頼先は、金額の安さだけでなく、自社が検証したい対象での実績・報告書の質・再診や改善支援の有無・見積もりの内訳の明確さ・テスターの体制や資格をそろえて比較するのが、失敗の少ない選び方です。成果がテスターのスキルに左右されるため、これらの観点で候補を2〜3社に絞り、同じ条件で相見積もりを取ることが重要です。
金融・重要インフラなら、TLPTの実施実績があるかも確認しておくとよいでしょう。
Q. ペネトレーションテストは本番環境でも実施できますか？
A. ペネトレーションテストは、事前に実施範囲と手法を合意し、業務への影響を抑える形をとれば本番環境でも実施できます。ただし、ステージング環境で実施する場合よりも慎重な進め方が必要になり、その分だけ工数と費用が増える傾向があります。実施にあたっては、緊急連絡先と問題発生時の対応手順を事前に取り決めておくと、業務への影響を最小限に抑えられます。
Q. 中小企業でもペネトレーションテストを依頼できますか？
A. ペネトレーションテストは、中小企業でも、対象を重要なシステムに絞り込めば比較的抑えた費用で依頼できます。全システムを一度に対象にせず、インターネット公開資産や重要情報を扱う部分から始めることで、限られた予算内でも要点を検証できます。まずは守りたい情報を明確にし、その範囲を起点に相談するのが現実的な進め方です。
脆弱性・セキュリティ診断サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、ペネトレーションテストや脆弱性診断に対応する各サービスの資料をまとめて取り寄せられます。対応する診断対象・提供形態・報告書の範囲を見比べ、自社の検証したい対象に合う依頼先を効率的に絞り込む材料としてご活用ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
