ペネトレーションテストの費用相場｜対象別・規模別の料金と見積もりの取り方

監査対応や取引先からのセキュリティ質問票、あるいは経営層からの一言をきっかけに、ペネトレーションテストの発注を検討することになった――そんなとき、まず知りたいのは「いくらぐらいかかるのか」の具体的な金額の当たりです。

ところが検索結果には「数十万〜数千万」の幅広レンジで留まる記事も少なくなく、予算計画の初稿を書くには粒度が足りません。

本記事では、テスト種類別・対象規模別の費用レンジ、主要ベンダー7社の公開料金・メニュー、業種×規模のケーススタディ、見積時に用意すべき情報項目、脆弱性診断（ツール診断）とペネトレの金額差を、出典付きで整理します。「ペネトレーションテストとは何か」の背景理解は記事後半にまとめました。

ペネトレーションテストの費用相場

費用相場を、全体レンジ・テスト種類別・対象規模別の順で整理します。各金額の根拠はベンダー公開料金ページ・各社の公表情報を出典として表の下部に示します。

全体レンジと早見表

ペネトレーションテストの費用は、対象範囲・テスト深度・実施期間によって数十万円から1,000万円超まで幅があります。稟議の1枚目に貼る用途では、まず次の早見表で桁感を掴んでください。

規模帯	費用の目安	典型的な対象
小規模	数十万円〜100万円	外部公開の単一Webアプリ（機能限定）／数IPのネットワーク外部診断
中規模	100万円〜300万円	複数機能を持つWebアプリ／API含む中規模システム／内部ネットワークの限定範囲
大規模	300万円〜1,000万円	基幹システム／内部ネットワーク全域／複数システム横断のシナリオ型
包括・レッドチーム型	1,000万円超	組織全体を対象としたレッドチーム演習／TLPT（脅威ベースのペネトレーションテスト）

出典・参考資料（4件）

• 出典：ペネトレーションテストサービス｜NRIセキュアテクノロジーズ（ペネトレーションテスト 800万円〜（税別）／プロジェクト2.5ヶ月〜）
• 出典：情報システムペネトレーションテスト｜株式会社ラック（情報システムペネトレーションテスト 700〜1,000万円程度／最低2ヶ月）
• 出典：TLPT｜株式会社ラック（TLPT 1,000万円程度〜）
• 出典：セキュリティ診断料金プラン一覧｜c3reve

テスト種類別の費用相場

ペネトレーションテストは対象のシステム・ネットワーク領域によって費用と期間が大きく変わります。自社が想定するテスト対象を下表と照らして、稟議の内訳項目を組み立てる材料にしてください。

テスト種類	費用レンジ	期間の目安	主なテスト内容
Webアプリケーション	100万円〜500万円（Web単体・小規模の下限は50万円程度から）	2週間〜1.5ヶ月	認証・認可の迂回、ビジネスロジックの悪用、SQLi・XSS 等の連鎖攻撃検証
ネットワーク（外部）	10万円〜50万円（小規模）／200万円〜800万円（大規模）	1〜4週間	公開サーバ・境界機器の侵入耐性、公開ポート・脆弱なサービスの悪用
ネットワーク（内部）	50万円〜800万円	2週間〜2ヶ月	侵入後の横展開、権限昇格、機密データへの到達可能性の検証
スマートフォンアプリ	150万円〜300万円	3週間〜1.5ヶ月	iOS/Androidアプリのバイナリ解析、通信・保存データの保護状態、認証の実装検証
クラウド環境	80万円〜数百万円	3週間〜2ヶ月	IAM設定・公開設定・APIの悪用可能性、テナント間分離の検証
シナリオ型・ソーシャルエンジニアリング型	200万円〜1,000万円	1〜3ヶ月	攻撃シナリオを設計し、標的型攻撃メール・内部侵入を組み合わせた到達可能性検証
レッドチーム演習・TLPT	1,000万円〜	2〜6ヶ月	組織全体を対象に、検知・対応（Blue Team）を含めた実戦形式で検証

出典・参考資料（3件）

• 出典：セキュリティ診断料金プラン一覧｜c3reve（Webペネトレーションテスト100万円〜／モバイル150万円〜／内部ネットワーク160万円〜）
• 出典：TLPT｜株式会社ラック（TLPT 1,000万円程度〜）
• 出典：ペネトレーションテストサービス｜NRIセキュアテクノロジーズ

対象規模別の費用相場

費用は「対象範囲の大きさ」と直結します。ベンダーの多くはIPアドレス数・画面数・APIエンドポイント数といった単位で見積を組み立てるため、自社の対象範囲を把握しておくことが妥当な見積依頼の前提になります。

課金単位	単価の目安	備考
IPアドレス数（ネットワーク診断）	1IPあたり数万円〜15万円	プラットフォーム診断で採用される課金モデル。小規模なら数十万円で収まる
画面数・機能数（Webアプリ診断）	10画面〜30画面 で50万円〜150万円	認証機能・APIエンドポイントを含む場合は上振れしやすい
FQDN単位定額（Webアプリ／Web脆弱性）	年額100万円台〜	再診断込みの定額プラン（レイ・イージス等）。継続的な運用を前提とする場合に有利
プロジェクト単位（シナリオ型・レッドチーム）	500万円〜1,000万円超	期間・投入人員で決まる。1〜3ヶ月のプロジェクト単位

出典・参考資料（3件）

• 出典：レイ・イージス・セキュリティ・ジャパン｜アスピック掲載情報（FQDN単位定額プランの参考料金）
• 出典：セキュリティ診断料金プラン一覧｜c3reve（画面数・機能数課金の一次情報）
• 注：IPアドレス単位・プロジェクト単位の相場は複数ベンダーの実務目安を集約したもので、単一の一次公表資料に基づくものではありません。個別見積で確認してください。

実際のベンダー・サービス別の料金例（社名付き横並び）

相見積の候補選定と稟議の「他社比較根拠」に使えるよう、ペネトレーションテストを提供している主要ベンダー7社の公開料金・メニューを横並びで整理しました。料金非公開の場合も、公表されているメニュー構成・実績数値・特徴を出典付きで示します。

ベンダー	公開料金・メニュー	特徴
NRIセキュアテクノロジーズ	ペネトレーションテスト「800万円〜（税別）／プロジェクト2.5ヶ月〜」／レッドチーム演習「3ヶ月〜」	手動主体・シナリオ設計に強み。大規模組織向けの本格ペネトレーションが中心。公式サービスページ
ラック（LAC）	情報システムペネトレーションテスト「700〜1,000万円程度／最低2ヶ月」／TLPT「1,000万円程度〜」／Webアプリ診断「30万円〜／80万円〜／100万円〜」	公表価格が最も具体的で、脆弱性診断からTLPTまで料金帯を階段状に見せている。公式ページ
GMOサイバーセキュリティ byイエラエ	シナリオ型／調査型／バックドア診断（料金非公開・要見積）	手動主体でホワイトハッカー200名超。Web／IoT／レッドチーム／物理ペネトレまで幅広く対応。公式ページ
MBSD（三井物産セキュアディレクション）	ペネトレーションテスト／TLPT（料金非公開・要見積）	年間1,000IP以上の実施実績、0day発見200件超。技術者集団型。公式ページ
NTTセキュリティ・ジャパン	RedTeam／TLPT（料金非公開・要見積）	高価格帯レンジの代表格。金融・重要インフラの大規模案件に強み。公式ページ
SQAT（BroadBand Security）	10メニュー全リスト公表（料金非公開・要見積）／3か月再診断／サイバー保険付帯	10,300組織の診断実績。再診断・保険付帯など発注後のリスクヘッジまで含めた設計。公式ページ
レイ・イージス	ペネトレーションテスト 約128万円〜（FQDN単位定額・要見積、二次情報）／脆弱性診断 約45〜98万円／1年間再診断無料	FQDN単位の定額料金が特徴。継続的に再診断を回す運用向き。公式ページは本記事執筆時点で直接確認できず、金額はアスピック掲載情報からの参照。サービス概要

出典・参考資料（8件）

• 出典：ペネトレーションテストサービス｜NRIセキュアテクノロジーズ
• 出典：情報システムペネトレーションテスト｜株式会社ラック
• 出典：TLPT｜株式会社ラック
• 出典：Webペネトレーションテスト｜GMOサイバーセキュリティ byイエラエ
• 出典：ペネトレーションテスト｜三井物産セキュアディレクション（MBSD）
• 出典：セキュリティ診断・評価・調査｜NTTセキュリティ・ジャパン
• 出典：脆弱性診断メニュー｜SQAT
• 出典：レイ・イージス・セキュリティ・ジャパン｜アスピック掲載情報

ツール主体で提供している脆弱性診断サービス（AeyeScan／Securify／Vex／VAddy／SCTセキュア クラウドスキャン 等）は本記事後半の「脆弱性診断とペネトレの金額差」で対比しています。

業種別・規模別の費用事例（ケーススタディ）

業種と規模の組合せで、対象範囲・診断メニュー・費用感・期間の想定モデルを示します。数字は各ベンダーの公開料金と対象範囲を組み合わせた想定モデルで、実際の見積は範囲・深度・オプションで変動します。稟議書の「他社事例」欄に貼る際は「想定モデル」である旨を明記してください。

業種・規模	対象範囲	診断メニュー	費用感（想定）	期間の目安
EC・中規模（EC事業者、年商数十億）	公開Webサイト＋会員機能＋決済連携API	Webアプリペネトレ＋外部ネットワーク診断	150万円〜300万円	1〜1.5ヶ月
SaaS・大手（BtoB SaaS、マルチテナント）	本番Webアプリ＋テナント分離＋公開API	Webアプリペネトレ＋APIペネトレ＋テナント分離検証	300万円〜600万円	1.5〜2.5ヶ月
金融（銀行・証券）	基幹システム＋外部・内部ネットワーク＋オンラインバンキング	シナリオ型ペネトレ＋TLPT	800万円〜1,500万円	2〜4ヶ月
製造業・サプライチェーン一部	取引先向け公開ポータル＋工場ネットワーク接続点	外部ネットワーク診断＋Webアプリペネトレ	200万円〜500万円	1〜2ヶ月
自治体・準公共	住民向け公開システム＋庁内ネットワーク一部	Webアプリペネトレ＋内部ネットワーク限定範囲	300万円〜700万円	1.5〜3ヶ月

【比較表】ペネトレ／脆弱性診断の主要サービス比較

相見積の対象を絞り込む際に、方式（手動主体／ハイブリッド／ツール主体）・対象・料金レンジを1枚で見渡せるよう主要サービスを整理しました。

以上はペネトレーション主体の代表的な7社ですが、ツール診断を含む脆弱性診断サービスの全体像・タイプ別の使い分け・費用相場は以下の比較記事に整理しています。ペネトレとツール診断を横断して選定・比較したい方はあわせてご参照ください。

見積が上振れ・下振れする要因とコスト圧縮のコツ

同じ「Webアプリのペネトレーションテスト」でも、オプション・実施時間帯・報告書の詳細度によって最終見積は数十%変動します。要因と圧縮策の両面から、稟議・見積調整に使える具体イメージを示します。

見積が上振れ・下振れする要因（オプション別）

以下の目安は複数ベンダーの実務目安を集約したもので、単一の公表データに基づくものではありません。実際の追加費用は個別見積で確認してください。

要因	影響イメージ	備考
報告会・経営層向けエグゼクティブサマリの追加	+10〜30万円	報告書とは別に対面／オンラインでの報告会を設ける場合
再テスト（修正後の再検証）の有無・範囲	+20〜50%	本テストの30〜50%程度の費用で再テストを組むケースが一般的
英語対応（英文報告書／海外拠点連携）	+10〜20%	グローバル本社への報告や外資系向け
深夜作業・週末対応	ベンダーによる（要見積）	本番稼働への影響を避けるため深夜帯を指定する場合。ベンダーによって設定はまちまち
リモート実施可否／オンサイト訪問	オンサイトは交通費実費＋日当	内部ネットワーク診断で拠点訪問が必要な場合
対象の追加（画面数・API数・IP数の増加）	単価×追加数の従量課金	スコーピング時に確定させることで上振れを防げる

コスト圧縮のコツ

• 対象範囲を主要動線に絞る：全機能ではなく、公開Webの主要動線（ログイン・決済・データ入出力）に絞ることで、対象範囲に応じた圧縮が期待できます。ただし絞った範囲外の脆弱性は検出されないため、次年度以降のスコープと組み合わせて計画します。
• ツール診断と組み合わせる：既知脆弱性の網羅チェックは費用の安いツール診断で行い、ペネトレは「ツールでは検出できない攻撃シナリオ」に集中させると、全体コストを抑えつつ検出網を広げられます。
• 優先度をつけて年次計画にする：初年度はリスクの高いWebアプリ、翌年は内部ネットワーク、翌々年はレッドチーム型といった段階発注で予算平準化を図ります。
• 再テスト範囲を限定する：修正後の再テストは「Highリスクの脆弱性のみ」等に絞ると、本テストより低額で組めます。ただし依存関係の変更で新たな脆弱性が生まれる可能性があるため、範囲外の再テストは翌年の定期診断で拾う方針を組みます。

脆弱性診断（ツール診断）とペネトレーションテストの金額差

ペネトレーションテストと脆弱性診断（特にツール診断）は混同されがちですが、費用感は桁が違い、想定する用途も異なります。IPA『脆弱性診断内製化ガイド』（産業サイバーセキュリティセンター、2025年7月）でも両者は目的・進め方・成果物・実施タイミングの4軸で明確に区別されています。

観点	脆弱性診断（ツール診断）	ペネトレーションテスト
目的	既知脆弱性の網羅的な洗い出し	攻撃シナリオに沿った侵入耐性の検証（「侵入できるか」まで見る）
実施方法	スキャンツールが自動で網羅	技術者が手動主体で攻撃シナリオを設計・実行
費用感	無料〜30万円程度（ツール利用）／30万円〜150万円（手動含む）	50万円〜1,000万円超
期間	数日〜2週間	2週間〜数ヶ月
成果物	検出脆弱性の一覧（CVE・重要度）	攻撃シナリオ・侵入経路・影響範囲・修正推奨のレポート
想定用途	定期的な健全性チェック／新機能リリース時の網羅チェック	重要システムの侵入耐性検証／監査・取引先要請への対応

選択の指針としては、外部公開資産の網羅チェックはツール診断（脆弱性診断）で回し、想定シナリオでの侵入耐性検証や監査・取引先要請への対応はペネトレーションテストで実施する組合せが現実的です。桁の違うコストを混ぜて稟議を組むと承認が通らないため、両者を分けて予算計上することが重要です。

発注・見積の実務準備

相場を把握した次のアクションは、複数ベンダーへの見積依頼です。見積依頼時に必要な情報リストと、発注から報告書受領までのスケジュール感を整理します。

見積を取る前に準備しておくべき情報リスト（RFP／相見積用テンプレ）

複数ベンダーに同じ情報で依頼すると、比較可能な見積が返ってきやすくなります。次の項目をRFP・問い合わせフォームに転記できる形で準備してください。

• 診断対象のシステム構成図（Webアプリ／API／サーバ／ネットワーク構成が分かるもの。1枚図でも可）
• 対象URL・IPアドレス一覧（本番／ステージング／診断用環境の別）
• おおよその画面数・API数・エンドポイント数（動的機能・認証機能の有無を含む）
• 診断用のテストアカウント情報（一般ユーザ／管理者ロール別に用意）
• API仕様書（API診断を含む場合。OpenAPI／Swagger 等）
• 希望する診断開始時期と納期（監査対応や予算年度の締切がある場合は明記）
• 診断範囲外の除外指示（決済処理の本番課金を伴う機能・第三者サービス連携部分等）
• 報告会・エグゼクティブサマリ・再テストの要否（オプションの要否は事前に明確化）

これらは相見積の比較可能性を高めるだけでなく、ベンダー側の見積作業の精度を上げるためにも有効です。曖昧なままだと安全側で見積が組まれ、全体金額が上振れしやすくなります。

発注から報告書受領までのスケジュール感

予算計上のタイミングと監査・取引先報告の期日から逆算するため、全工程の期間目安を押さえておきます。

工程	期間の目安	実施内容
キックオフ・ヒアリング	数日〜1週間	対象範囲・シナリオ・成果物の合意、テストアカウント発行、社内関係者への周知
事前調査・シナリオ設計	1〜2週間	公開情報からの下調べ、攻撃シナリオの詳細化
診断作業（本テスト）	1〜3週間（Webアプリ）／1〜2ヶ月（シナリオ型・レッドチーム）	手動主体で攻撃シナリオを実行、証跡取得
報告書作成	1〜2週間	発見事項・攻撃経路・影響範囲・修正推奨のドキュメント化
報告会	半日〜1日	技術者向け／経営層向けで別枠を組む場合あり
再テスト（オプション）	本テストの30〜50%の期間	修正済み脆弱性の再検証

ペネトレーションテストの基礎（費用の背景理解）

相場を把握した後に、「なぜこの金額になるのか」と「なぜ今このコストが必要なのか」を稟議根拠として補強するための背景情報を整理します。

ペネトレーションテストとは（費用構造の背景）

ペネトレーションテスト（侵入テスト）は、想定する攻撃者の視点で実際にシステムへ侵入を試み、侵入経路と影響範囲を検証するテストです。IPA『脆弱性診断内製化ガイド』（産業サイバーセキュリティセンター、2025年7月）では、脆弱性診断が「既知脆弱性を網羅的に洗い出す」のに対し、ペネトレーションテストは「攻撃シナリオに沿って侵入耐性を検証する」と位置づけられています。

費用が数百万円〜1,000万円台になる背景には、次の構造があります。

• 技術者の手動作業が主体：スキャンツールで機械的に検出できる脆弱性ではなく、攻撃者の思考でシナリオを設計・実行する手動作業が中心。Burp Suite・Metasploit・Nmap等のツールは補助として使う
• 専門家の工数投入：シナリオ設計・侵入試行・証跡取得・修正推奨レポート作成まで、1人日あたり数十万円規模の高度専門人材の工数がまとまって必要
• シナリオ設計の個別性：対象システム・想定攻撃者・業界特性に合わせて毎回シナリオを設計するため、パッケージ化が難しい
• 報告書の詳細度：発見事項だけでなく、侵入経路・影響範囲・修正推奨まで含めた実行可能なレポートが求められる

ペネトレーションテストが必要になるきっかけ（監査・取引先要請・法規制）

稟議書の「なぜ今このコストが必要か」を補強する材料として、実務でペネトレーションテストが求められる主なきっかけを整理します。

• 取引先からのセキュリティ質問票：SaaS事業者やサプライチェーンの一員として、大手取引先から「直近のペネトレーションテスト実施有無」を問われるケースが増えています。回答できないと契約更新・新規取引に影響します
• PCI DSS 要件11.4（外部・内部ペネトレーションテスト）：クレジットカード情報を扱う事業者（カード会員データ環境を持つ事業者）は、PCI DSS v4.0.1 の要件11.4により、外部・内部ペネトレーションテストの実施が求められます（PCI DSS v4.0 SAQ D-Merchant）。全事業者に一律で課される要件ではなく、カード情報を扱う事業者が該当します
• 金融・重要インフラでのTLPT要請：金融庁のガイドラインや業界標準で、脅威ベースのペネトレーションテスト（TLPT）の実施が推奨・要請されるケース
• 経営層からのセキュリティ強化指示：ランサムウェア被害の報道や同業他社のインシデントを受け、経営層から「うちは大丈夫なのか」を問われた場合の可視化手段として
• 新システム・大規模改修のリリース前：既存の定期診断に加えて、リリース前の侵入耐性検証として実施するケース

PCI DSSに触れましたが、カード情報を扱う事業者は要件11.4のペネトレーションテストと並行して、要件11.3.2のASVスキャン（PCI SSC認定業者による外部脆弱性スキャン）を四半期ごとに実施することが求められます。ASVスキャンの対象範囲・実施頻度・認定業者の選び方は以下の記事に整理しています。

まとめ

ペネトレーションテストの費用は、対象範囲・テスト深度・実施期間で数十万円から1,000万円超まで幅があります。予算計画・相見積を組む際には「テスト種類別」「対象規模別」「ベンダー別」の3軸で具体金額を把握することが起点になります。本記事では、各社の公開料金と公的資料を出典付きで整理し、相場表・料金比較表・業種×規模のケーススタディを掲載しました。

相見積の候補選定を進める段階では、掲載されているペネトレーションテスト・脆弱性診断サービスの資料を一括で取り寄せて、複数社のメニュー・料金体系を横並びで比較することが効率的です。

よくある質問（FAQ）

Q. ペネトレーションテストとは何ですか？

A. ペネトレーションテストは、想定した攻撃者の視点で実際にシステムへの侵入を試み、侵入経路と影響範囲を検証するセキュリティテストです。既知脆弱性を網羅的に洗い出す脆弱性診断とは異なり、攻撃シナリオを設計して「どこまで侵入できるか」を手動主体で確認する点が特徴です。IPA『脆弱性診断内製化ガイド』（2025年7月）でも、両者は目的・進め方・成果物・実施タイミングの4軸で明確に区別されています。

Q. ペネトレーションテストの費用相場はいくらくらいですか？

A. ペネトレーションテストの費用は、対象範囲・テスト深度・実施期間により数十万円から1,000万円超まで幅があります。

小規模（単一Webアプリ・数IPのネットワーク外部診断）で数十万円〜100万円、中規模（複数機能を持つWebアプリ・API含む）で100万円〜300万円、大規模（基幹システム・内部ネットワーク全域）で300万円〜1,000万円、レッドチーム型・TLPTで1,000万円超が目安です。

詳細は本文冒頭の「テスト種類別」「対象規模別」の相場表と、主要ベンダー7社の公開料金・メニュー比較を参照してください。

Q. 脆弱性診断とペネトレーションテストでは、費用はどれくらい違いますか？

A. ペネトレーションテストは脆弱性診断（ツール診断）の数倍〜10倍以上の費用がかかります。脆弱性診断は無料〜30万円（ツール利用）・30万円〜150万円（手動含む）に収まる一方、ペネトレーションテストは50万円〜1,000万円超のレンジです。両者の桁が違うのは、ペネトレーションテストが高度専門人材の手動作業を主体とし、シナリオ設計・侵入試行・証跡取得を毎回個別に組み立てるためです。

Q. 脆弱性診断とペネトレーションテストはどちらを先に実施すべきですか？

A. 一般的には脆弱性診断（ツール診断）で既知脆弱性の網羅チェックを先に行い、その上でペネトレーションテストで侵入シナリオを検証する順が現実的です。

ツール診断で検出できる既知脆弱性を先に潰しておかないと、ペネトレの工数がそれらの検出に費やされてしまい、本来の「シナリオ検証」に割ける時間が減るためです。ただし監査対応や取引先要請でペネトレの実施報告書が必要な場合は、順序に関わらずペネトレを先行させることもあります。

Q. ペネトレーションテストの実施頻度はどのくらいが適切ですか？

A. 基本的には年1回の定期実施が目安です。加えて、大規模な新機能追加・システムアーキテクチャの変更・重要なインフラ更改があったタイミングでも、リリース前の侵入耐性検証として臨時実施することが推奨されます。PCI DSS v4.0.1 要件11.4 では、カード情報を扱う事業者に対し年1回および重要な変更後の実施が求められています。

Q. ペネトレーションテストの実施にはどんな事前準備が必要ですか？

A. 診断対象のシステム構成図、対象URL・IPアドレス一覧、テストアカウント（一般ユーザ／管理者ロール別）、API仕様書（該当時）、社内関係者への周知の5点が中心的な準備物です。

加えて、診断範囲外の除外指示（決済処理の本番課金部分・第三者サービス連携等）や、報告会・エグゼクティブサマリ・再テストの要否も、キックオフ前に整理しておくと見積・工程がスムーズに進みます。本文「見積を取る前に準備しておくべき情報リスト」に転記可能な形で整理しています。

Q. ペネトレーションテスト実施中に業務は止まりますか？

A. 基本的に業務停止は不要で、通常稼働中のシステムに対して実施できます。ただし高負荷が予想されるテスト（DoS的な検証・大量リクエストの検証等）や本番影響が懸念されるシナリオでは、深夜帯や休日を指定して実施することが一般的です。深夜・週末対応はベンダーによって追加費用が発生するため、業務影響の懸念範囲を事前に整理し、見積依頼時に希望時間帯を伝えてください。

Q. ペネトレーションテストでは、どんなツールが使われますか？

A. Burp Suite（Webアプリ通信の傍受・改ざん）、Metasploit（既知エクスプロイトの実行）、Nmap（ポートスキャン・サービス特定）、Nuclei（脆弱性スキャン）などの業界標準ツールが補助的に使われます。

ただしペネトレーションテストの主体は技術者の手動作業（シナリオ設計・侵入試行・権限昇格の検証）であり、ツールはあくまで下調べや検証の補助として使う位置づけです。ツールが自動で成果物を出す脆弱性診断（ツール診断）とは根本的に位置づけが異なります。

Q. 小規模企業でもペネトレーションテストは必要ですか？

A. 外部公開しているWebサイト・SaaS・顧客情報や認証情報を扱うシステムがある場合は、企業規模を問わずペネトレーションテスト（あるいは脆弱性診断）の実施が推奨されます。

サプライチェーン攻撃の足がかりとして中小企業の外部公開資産が狙われる事例も少なくないため、規模だけを理由に対象外とはできません。ただし全社的な本格ペネトレでなく、まずは主要な外部公開資産に絞ったスコープで50万円〜100万円台から始めるのが現実的です。

Q. ペネトレーションテストの見積は何社から取るべきですか？

A. 最低3社からの相見積が推奨されます。ペネトレーションテストは対象範囲・診断深度・報告書品質・技術者スキルによって金額が数倍変動するため、単一ベンダーの見積では妥当性を判断できないためです。相見積では単純な金額比較だけでなく、①診断範囲と工数の内訳、②担当技術者の実績と保有資格、③報告書のサンプル、④再テストや保険付帯の有無、を横並びで確認してください。

Q. ECサイトなどカード情報を扱う事業者にペネトレーションテストの実施義務はありますか？

A. 法律で全事業者に一律に課される義務ではありませんが、クレジットカード情報（カード会員データ）を扱う事業者はPCI DSS v4.0.1 要件11.4により、外部・内部ペネトレーションテストの実施が求められます。

カード会社との加盟店契約や割賦販売法上の実行計画（クレジット取引セキュリティ対策協議会の指針）を通じて、実質的に準拠が求められる構造です。カード情報を扱わないECサイトでも、取引先からのセキュリティ質問票で「ペネトレ実施有無」を問われるケースが増えており、契約更新・新規取引の観点で実質的な要求水準が上がっています。

Q. ペネトレーションテストの費用を抑えるコツはありますか？

A. 対象範囲を主要動線（ログイン・決済・データ入出力）に絞る、脆弱性診断（ツール診断）と組み合わせて役割分担する、年次計画で段階発注する、の3つが実践的な圧縮策です。特に「全機能を対象にせず主要動線に絞る」だけで、目安として30〜50%程度の圧縮が期待できます。再テストの範囲を「Highリスクの脆弱性のみ」に限定するのも有効です。詳細は本文「コスト圧縮のコツ」を参照してください。

Q. ペネトレーションテストの報告書には何が記載されますか？

A. 発見された脆弱性の一覧に加え、攻撃シナリオ・侵入経路・影響範囲・再現手順・修正推奨（Remediation）が記載されます。

脆弱性診断の成果物が「検出脆弱性リスト（CVE番号・重要度）」中心なのに対し、ペネトレーションテストの報告書は「どのシナリオで、どこまで侵入できたか」の実証と、修正の実装レベルの推奨まで含む点が特徴です。経営層向けにはエグゼクティブサマリを別建てで用意するベンダーが多く、稟議・監査対応にそのまま使えます。

Q. ペネトレーションテストは発注から報告書受領までどのくらいかかりますか？

A. Webアプリケーション診断の場合、ヒアリング・事前調査・診断作業・報告書作成・報告会まで含めて、一般的に3週間〜1.5ヶ月程度が目安です。シナリオ型・レッドチーム型では2〜4ヶ月に及びます。監査対応や取引先報告の期日から逆算し、キックオフの1〜2ヶ月前には見積依頼を開始してください。詳細な工程別期間は本文「発注から報告書受領までのスケジュール感」に整理しています。

Q. 初めてペネトレーションテストを発注する場合、どのテスト種類から始めるべきですか？

A. 外部公開資産（Webアプリケーション・公開サーバ）を対象とした診断から始めるのが定石です。

理由は、①攻撃者の初期侵入経路として最も狙われる領域である、②対象範囲を絞りやすく初回の予算が組みやすい（50万円〜300万円レンジ）、③診断結果を踏まえた翌年以降のスコープ拡大（内部ネットワーク・シナリオ型・レッドチーム）の計画が立てやすい、の3点です。初年度は主要な公開Webアプリに絞り、翌年以降で内部ネットワークや高度な演習に広げる年次計画が予算平準化にも適しています。

Q. 他社でもらった見積が高額な場合、セカンドオピニオン（相見積）を取っても大丈夫ですか？

A. 問題ありません。むしろ複数社からの相見積は業界慣行として推奨されています。同じRFP（診断対象・画面数・API数・希望期間・報告会有無等）を複数ベンダーに提示すれば、比較可能な見積が返ってきます。

金額差の背景（担当技術者のランク・診断工数・報告書品質・再テストの有無）を横並びで確認し、稟議書の「他社比較根拠」欄に転記できる状態を作ってください。単純な最安値選定ではなく、診断深度と品質を含めた総合評価が重要です。

ペネトレーションテスト・脆弱性診断サービスの料金・手数料を一括チェック

MCB FinTechカタログでは、ペネトレーションテスト・脆弱性診断サービスの最新資料をワンクリックで一括入手できます。各社の料金体系・診断メニュー・対応可能な対象範囲・報告書サンプル・サポート体制など、稟議書と相見積の作成に必要な情報をまとめて把握できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。

掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。