自社のWebアプリケーションや社内ネットワークが「実際の攻撃で本当に突破されないか」を、経営層・監査部門に説明する材料が不足していると感じていませんか。脆弱性診断だけでは検知できない複数脆弱性の組み合わせや、侵入後の横展開・権限昇格までを検証したいという理由で、ペネトレーションテストの発注を検討する企業が増えています。
提供会社の顔ぶれは、大手ベンダーから専門ホワイトハッカーの少数精鋭ファーム、中小向けのパッケージ型まで幅広く、料金・診断シナリオの起点・認定資格・報告書粒度が各社で大きく異なります。初回発注では、自社の要件に合うタイプを見極めた上で、どの観点で数社に絞り込むべきでしょうか。
本記事では、ペネトレーションテストを提供する主要17社を、診断シナリオの起点別に4タイプに分類して比較・解説します。料金レンジ・認定資格・報告書運用・再診断可否まで一元的に横並びに整理し、自社に合う発注先を絞り込む判断材料としてご活用ください。
また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
ペネトレーションテストとは？
ペネトレーションテストとは、攻撃者と同じ手法・視点で自社システムやネットワークに疑似攻撃を仕掛け、実運用の環境下で「攻撃目的が達成できるかどうか」を検証するセキュリティテストです。単一の脆弱性を機械的に検知する脆弱性診断とは異なり、複数の脆弱性の組み合わせや運用の穴、侵入後の横展開までを含めた、より現実に近い攻撃耐性を測ることを目的とします。
米国国立標準技術研究所（NIST）の技術ガイドライン「NIST Special Publication 800-115」では、ペネトレーションテストの定義を以下のように整理しています。
Penetration testing is security testing in which assessors mimic real-world attacks to identify methods for circumventing the security features of an application, system, or network. It often involves launching real attacks on real systems and data that use tools and techniques commonly used by attackers. Most penetration tests involve looking for combinations of vulnerabilities on one or more systems that can be used to gain more access than could be achieved through a single vulnerability.
出典：NIST Special Publication 800-115「Technical Guide to Information Security Testing and Assessment」｜米国国立標準技術研究所（NIST）
日本国内では、経済産業省の「情報セキュリティサービス基準」がペネトレーションテスト（侵入試験）サービスを次のように定義しています。日本のセキュリティ事業者選定においては、こちらの定義が発注実務の基準として広く参照されます。
脆弱性診断のサービスの定義を満たすサービスのうち、攻撃者が実際に侵入等を行うために用いる手法と同様の手法により、アプリケーション、システム、又はネットワークのセキュリティ機能を回避して攻撃の目的を達成できるかの観点から試験を行い、その結果をもとに助言を行うサービスをいう。
出典：情報セキュリティサービス基準 第4.1版｜経済産業省
ペネトレーションテストと脆弱性診断の違い
ペネトレーションテストと脆弱性診断は、同じ「セキュリティテスト」に分類されつつも、目的・手法・アウトプットが明確に異なります。両者を混同したまま発注すると、期待する成果が得られず追加コストが発生する原因になります。
脆弱性診断は、ツール自動スキャンや半手動で対象システム上の既知の脆弱性を網羅的に検出することを主目的とします。個別の脆弱性の存在・種類・深刻度をカタログ化して提示し、修正の優先順位づけに使う情報を提供します。
NIST SP 800-115では、脆弱性スキャン（vulnerability scanning）を「ホスト・ホスト属性および関連する脆弱性を特定する技術」と定義し、ペネトレーションテストとは別の手法として位置づけています。
これに対しペネトレーションテストは、特定の攻撃目的（重要情報の窃取・管理者権限の奪取など）を事前に定め、その達成可能性を実際に検証します。複数の脆弱性を組み合わせて到達可能な範囲、運用上の隙、社内NWでの横展開、防御側の検知・対応能力までが評価対象となり、報告書には「攻撃シナリオごとにどこまで侵入できたか」「防御・検知プロセスがどう機能したか」という視点の結果が含まれます。
出典・参考資料（2件）
脆弱性診断とペネトレーションテストは代替関係ではなく役割分担で、まず脆弱性診断で既知のセキュリティホールを網羅的に洗い出し、その残存リスクを実運用シナリオで検証するペネトレーションテストを組み合わせるのが基本形となります。ツール自動診断・手動診断・ハイブリッドを含む脆弱性診断サービス全体の比較検討を進めたい場合は、以下の記事もあわせてご参照ください。
ペネトレーションテストサービスの主なタイプ（診断シナリオの起点別）
ペネトレーションテストは、「どこを・どのような立場の攻撃者が・何を目的に狙うか」という診断シナリオの起点で内容が大きく変わります。読者の自社要件に照らして「自社に必要なのはどのタイプか」を最初に自己同定できると、比較検討がスムーズに進みます。ここでは、SERP上位のベンダー各社が実際に提供している診断メニューを4つのタイプに整理し、それぞれの内容と適した企業像を解説します。
外部公開資産への模擬攻撃型（Webアプリ・公開サーバ・外部NW）
インターネットに公開しているWebアプリケーション、公開サーバ、外部ネットワーク機器（VPN・ルーター等）を対象に、外部の攻撃者と同じ立場から疑似攻撃を仕掛けるタイプです。認証突破、SQLインジェクション、権限昇格、脆弱性を悪用した侵入、外部から到達可能な管理画面の悪用など、公開資産に対する現実の攻撃手口が実際に通用するかを検証します。
自社Webサービスを本番運用するEC・SaaS・金融事業者や、社外向けの業務システム・顧客ポータルを公開している事業会社に適しています。PCI DSSなど外部監査で外部ペネトレーションテストの実施が求められる場合の実務対応にも用いられます。
社内ネットワーク・内部侵入型（マルウェア感染想定・権限昇格・横展開）
OA端末のマルウェア感染、フィッシングによる従業員アカウントの漏えい、関係者による内部持ち出しなど、すでに攻撃者が内部の足がかりを得ている状態を出発点として、社内ネットワーク上でどこまで到達できるかを検証するタイプです。ドメイン管理者権限の奪取、重要情報サーバ・基幹システムへの到達、ファイルサーバからの機密情報持ち出しなど、内部侵入後の横展開シナリオが典型的な検証項目となります。
ゼロトラスト化を検討している事業会社、内部統制上「境界防御の外側」までを検証したい上場企業、標的型攻撃・ランサムウェアへの耐性を確認したい企業で検証ニーズが高まります。従業員数千人規模の内部NWや、複数拠点・海外拠点を持つ企業では、この起点での検証価値が大きくなります。
実運用シナリオ型（想定攻撃者・目的達成型／レッドチーム・TLPT を含む）
特定の攻撃者像（外部の犯罪組織・国家背景の攻撃者・内部不正者など）と目的（重要情報の窃取・振込操作・業務停止）を事前に合意し、複合的な戦術・技術・手順（TTP）で目的達成の可否を検証するタイプです。
事前告知なしの本番環境テスト、防御側チーム（ブルーチーム）の検知・対応能力の評価、脅威インテリジェンスに基づく現実的な攻撃シナリオの再現などが含まれます。レッドチーム演習や、金融機関向けの脅威ベースペネトレーションテスト（TLPT）が代表例です。
NIST SP 800-53 Rev. 5では、レッドチーム演習を「組織のミッションや業務プロセスの侵害を試みる現実世界の条件を反映した模擬的な演習で、組織とそのシステムのセキュリティ能力を包括的に評価する」ものと定義しています。単なる脆弱性検出ではなく、事業影響まで含めた包括評価が可能である点が、他のタイプと比べた際の主な特徴です。
金融機関、社会インフラ、大手事業会社のように、標的型攻撃の主要ターゲットとなり、経営レベルでインシデント対応能力の実地評価を求める組織に適しています。金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日公表）では、金融機関に対して「対応が望ましい事項」として定期的なTLPTの実施が明示されています。
出典・参考資料（2件）
中小規模向け短期パッケージ型（メニュー選択・低コスト・短納期）
診断シナリオを事前にパッケージ化することで、低コスト・短納期で発注できるように整えたタイプです。オーダーメイドのシナリオ設計工数を削減する代わりに、あらかじめ定型化された想定攻撃メニュー（VPN経由の侵入・特定Webサービスへの認証攻撃・簡易的な内部侵入など）から選ぶ形式で、最短70万円〜200万円台・2週間〜1ヶ月程度の納期での提供が中心です。
初回導入で「まず実運用シナリオでの耐性感覚を掴みたい」中小〜中堅企業、上場審査・監査対応で「客観的なペネトレーションテストの実施実績」が必要な企業、限られた予算内で複数拠点や複数サービスを順に検証していきたい企業で採用されます。オーダーメイド型と組み合わせ、初回はパッケージ型、次回は本格的なシナリオ型といった段階的な発注プランも組みやすい特徴があります。
タイプ別・特徴と該当する主なサービス
各タイプの適した企業像と、本記事で個別紹介する該当サービスをまとめました。まずはタイプ別の特徴から自社に近いものを選び、後段の比較表・個別紹介に進んでください。
| 特徴・適した企業像 | 該当する主なサービス | 詳細 | |
|---|---|---|---|
| 外部公開資産型 | インターネット公開資産（Webアプリ・公開サーバ・外部NW機器）を攻撃者視点で疑似攻撃するタイプ。EC・SaaS・金融事業者などの本番Webサービスを持つ企業や、外部監査で外部ペネテストが要件化されている企業に適します。 | GMOイエラエ、NRIセキュア、ラック、SQAT（BBSec）、キヤノンITS ペネトレーションテスト、Sky セキュリティ診断、Cloudbric脆弱性診断、GMO Flatt Security ペネトレーションテスト | 比較表を見る |
| 社内NW侵入型 | マルウェア感染や関係者アカウント漏えいを起点に、社内NWでの権限昇格・横展開・重要情報サーバ到達までを検証するタイプ。ゼロトラスト化を進める上場企業や、標的型攻撃・ランサムウェア耐性を測りたい企業に適します。 | LANSCOPE ペネトレーションテスト、脆弱性診断サービス（MBSD）、セキュリティ診断（NTTセキュリティ・ジャパン） | 比較表を見る |
| 実運用シナリオ型 | 特定の攻撃者像・目的（重要情報窃取・業務停止など）を事前合意し、TTPを組み合わせて目的達成可否を検証する目標達成型・レッドチーム型・TLPT。金融機関・社会インフラ・標的型攻撃の主要ターゲット企業に適します。 | サイバーディフェンス研究所、NECセキュリティ ペネトレーションテスト、レイ・イージス（Ray-Aegis）、NTTドコモソリューションズ 脆弱性診断 | 比較表を見る |
| 中小向け短期パッケージ型 | 診断シナリオを事前パッケージ化し、70〜200万円台・2週間〜1ヶ月の短納期で発注できるタイプ。初回導入・上場審査対応・限られた予算で段階的に検証したい中小〜中堅企業に適します。 | TISI ペネトレーションテスト、Cyber NEXT ペネトレーションテスト（CEC） | 比較表を見る |
※上記は各タイプにおける一般的な機能の傾向です。個別のサービスにおける実際の機能搭載の有無や提供形態（標準・オプション等）については各社情報をご確認ください。
しかし、自社がどのタイプに適しているか、といった判断が難しいケースも存在します。そのような場合でも貴社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
一括ダウンロードする
【比較表】ペネトレーションテストサービスおすすめ17選
ここからは、自社の課題や要件に合わせた客観的な比較・選定ができるよう、主要なペネトレーションテスト17社を4つのタイプ（診断シナリオの起点別）に分類してご紹介します。各タイプの比較表で参考価格・準拠規格・報告書粒度・再診断可否の全体像を俯瞰したうえで、気になるサービスの個別紹介へ進んでください。
【比較表】外部公開資産への模擬攻撃型
| サービス名 | GMOイエラエ | NRIセキュア | ラック | SQAT（BBSec） | キヤノンITS | Sky | Cloudbric | GMO Flatt Security |
|---|---|---|---|---|---|---|---|---|
| 診断シナリオ | Webアプリ／社内NW／IoT／レッドチーム／AI／物理ペネまで対応 （Webはシナリオ型／調査型の2方式） | Webアプリ／プラットフォーム／スマホ／API／クラウド／ソースコード／ペネトレ／レッドチーム／TLPT／IoT・OT | Web／プラットフォーム／スマホ／IoT／情報システムペネトレ／TLPT／設定診断 | Web／API／ネットワーク／スマホ／IoT／クラウド／ソースコード／ペネトレ／アタックサーフェス／標的型攻撃リスク診断 | 攻撃起点（外部／内部）×ゴール（認証突破・管理者権限奪取・機密ファイル窃取など）のオーダーメイド設計 | Webアプリケーション診断（162項目ベース） 重要箇所へのペネトレはオプション併設 | Webサイト／Webアプリ／API／プラットフォーム／スマホアプリ／ペネトレの6メニュー | Web／API／クラウドインフラなどの外部公開プロダクトを主対象に、BB／WB 等から個別設計する提案型 |
| 実施方法 | ハイブリッド （手動診断＋ツールASM） | ハイブリッド （手動主体・プロフェッショナル/ハイブリッド方式選択可） | ハイブリッド （手動主体。ツール型メニューも選択可） | ハイブリッド （手動診断＋独自自動診断） | 手動主体 （自動スキャン依存ではない） | ハイブリッド （専門家手動＋ツール） | ハイブリッド （専門家手動＋OWASP ZAP） | 手動主体 （ホワイトボックス診断を強み） |
| 参考価格 | 手動診断: 個別見積 ASM: 月額40,000円〜 | ペネトレーションテスト 800万円〜（税別） Web診断・他メニューは個別見積 | Web診断 30万円〜 情報システムペネトレ 700万〜1,000万円 TLPT 1,000万円〜 | 要お問い合わせ ソースコード診断はライン数に応じた個別見積 | 300万円〜（税別） | 要お問い合わせ | 要お問い合わせ | 500万円〜 規模・範囲・工数により変動 |
| 認定資格・準拠規格 | OSCP取得コースを自社提供 CVE申請269件（グループ） | 診断員: CISSP／OSCP／OSEP／GIAC SANS Institute 専門トレーニング修了 | ISMS（JIS Q 27001:2023／JQA-IM0038） JSOC・サイバー救急センター連携 | PCI DSS QSAC 認定 全脆弱性診断にサイバー保険付帯 | 報告書は NIST SP 800-115 および PTES 準拠 国際的ペネトレーションテスター認定資格保持者が担当（資格名は公式明示なし） | 公式に明示なし | 経済産業省 情報セキュリティサービス基準適合サービスリスト登録（021-0017-20） | 経済産業省 情報セキュリティサービス基準適合サービスリスト登録（019-0045-20） 診断員個別資格は公式非公開 |
| 報告書・再診断・報告会 | 報告書＋対策解説 報告会はオプション対応 （再診断条件は公式明示なし） | 報告書＋対策アドバイス Web診断は実施1ヶ月以内に対策状況確認 | 報告書提出＋診断内製化支援 再診断・報告会は個別対応 | 診断終了後3ヶ月まで再診断・相談受付 経営層向けエグゼクティブサマリは有償 | 再現手順・改善策・優先度付き報告書 （再診断・報告会の条件は公式明示なし） | 5段階リスクレベル分類 上位2段階は速報メール通知 最短5〜6営業日で報告 | 事前確認→診断実行→最終レビュー→品質保証→納品の多段階プロセス （再診断・報告会の条件は公式明示なし） | 報告書に侵入経路・攻撃シナリオ・検出脆弱性を記載 （再診断・報告会の条件は公式明示なし） |
| 詳細情報 | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
【比較表】社内ネットワーク・内部侵入型
| サービス名 | LANSCOPE ペネトレーションテスト（エムオーテックス） | 脆弱性診断サービス（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） |
|---|---|---|---|
| 診断シナリオ | OA端末のマルウェア感染想定 ドメイン管理者権限の奪取 重要情報の持ち出し | ペネトレーションテスト TLPT（脅威ベース） Active Directory診断 | RedTeam/TLPT （人・プロセス・テクノロジー横断で攻撃耐性を評価） |
| 実施方法 | 手動主体 （ペンテスタが実機を操作し、情報収集〜認証情報窃取〜感染拡大〜外部送信を模擬） | 手動診断主体 （独自補助ツール・商用ツール併用。事前設計した攻撃手順で目標達成可能性を検証） | ハイブリッド（手動主体） （複数ツール＋専門家の知識・経験を組合せ。リモート／オンサイト双方対応） |
| 参考価格 | 200万円〜 （環境・シナリオに応じた個別見積） | 要問い合わせ （診断範囲・対象に応じた個別見積） | 要問い合わせ （公式全面非公開／比較記事では高価格帯に分類） |
| 認定資格/準拠規格 | 診断員資格・準拠規格とも 公式に具体名の記載なし | ISO/IEC 27001（IS 568941） ISO 9001（FS 590113） CVE/JVN累計200件超の0day報告実績 | ISMS認証（22127-ISMS-001） 診断員の具体資格名は公式に記載なし |
| 報告書/再診断/報告会 | 結果報告会あり （Good/Weakポイントを視覚化） 最低年1回の定期実施を公式推奨 再診断の有償/無償は要問い合わせ | 報告書＋対処方法アドバイス MBSD-SIRT・MSS/SOCと連携 再診断・報告会の運用は要問い合わせ | 運用詳細は公式非公開 （無料再診断の有無はNTTグループ他社と表現混在のため要問い合わせ） |
| 詳細情報 | 公式サイト | サービス詳細を見る | サービス詳細を見る |
【比較表】実運用シナリオ型（レッドチーム・TLPT を含む）
| サービス名 | サイバーディフェンス研究所 ペネトレーションテスト・レッドチーム演習 | NECセキュリティ ペネトレーションテスト | 脆弱性診断・ペネトレーションテスト（レイ・イージス） | サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ） |
|---|---|---|---|---|
| 診断シナリオ | レッドチーム演習（OSINT・フィッシング・無線AP・物理侵入まで含む複合シナリオ） ネットワークペネトレーションテスト（横展開＝ドミノエフェクト検証） | 攻撃目的・エントリポイント・前提条件・ゴール・終了条件を顧客と事前合意する目標達成型 | FQDN／IP単位のペネトレーションテスト（Web／プラットフォーム／API等への攻撃者視点侵入テスト） 簡易版ファストペネトレーションテストも別メニュー | ネットワーク／サーバ構成／Webアプリ（スタンダード版・ライト版）／スマホアプリ／ペネトレーションテストの5系統から選択 |
| 実施方法 | 手動主体 （自動化ツール非依存、独自開発フレームワーク使用） | 手動主体 （OSINTと手動疑似攻撃の組合せ） リモート／オンサイト両対応 | ハイブリッド （独自AIエンジン搭載探査ツール＋ホワイトハッカーによる手動精査） | ハイブリッド （ツール＋専門家による手動検査の併用） |
| 参考価格 | 個別見積り | 個別見積り | 128万円〜 （FQDN／IP単位の定額制、規模により変動、二次メディア掲載値・要見積り） | 個別見積り （契約金額が税抜80万円以上でサイバー保険が無償自動付帯、補償限度額1,000万円・1年間） |
| 認定資格/準拠規格 | OSCP+／CRTO／CRTL／CRTE／GPEN／CISSP／情報処理安全確保支援士 等 情報セキュリティサービス基準 登録番号018-0006-60 | 会社全体でCISSP等の有資格者を保有（サービス固有の資格明示なし） 情報セキュリティサービス基準 登録番号018-0011-60（2025年3月20日登録） | CISSP／CEH／情報処理安全確保支援士 等（グループ全世界330名超のホワイトハッカー） ISMS取得／情報セキュリティサービス基準 登録 | 情報処理安全確保支援士／CISSP／CISA／CISM／CEH 等 経済産業省「情報セキュリティサービス基準」適合 |
| 報告書/再診断/報告会 | エグゼクティブサマリ＋脅威シナリオの2部構成 診断中に速報提供 再診断・報告会は公式明記なし | 報告書提出後2週間のQ&A対応期間 再診断・報告会は公式明記なし | ホワイトハッカーが作成する自社オリジナルレポート 初回報告書提出後1年間、再診断・再々診断が追加費用なし 報告会は公式明記なし | 報告書提出・再診断・報告会の運用は公式明記なし（要問い合わせ） 年間診断実績：ネットワーク約670システム／Webアプリ約550サイト（2025年度） |
| 詳細情報 | 公式サイト | 公式サイト | 公式サイト | サービス詳細を見る |
【比較表】中小規模向け短期パッケージ型
| サービス名 | TISI ペネトレーションテスト | Cyber NEXT ペネトレーションテスト（CEC） |
|---|---|---|
| 診断シナリオ | 外部（ASMハッキング／外部公開機器侵入） 内部（社内重要資産侵入／AD侵入） 従業員（マルウェア感染／ソーシャルエンジニアリング） からパッケージ選択 | ライト版：脆弱性ベース／3IPまで シナリオ版：侵入〜管理者権限奪取を個別設計／1IPまで |
| 実施方法 | 自動診断＋手動診断のハイブリッド ホワイトハッカーによる侵入テスト | リモート診断（外部）／オンサイト診断（内部） 自動スキャン＋手動テストのハイブリッド |
| 参考価格 | 最短シナリオ 70万円〜 （シナリオ合意後 約2週間で報告） | ライト版 100万円〜（3IPまで） シナリオ版 170万円〜（1IPまで） （診断期間 約1ヶ月） |
| 認定資格/準拠規格 | JASA登録：要問い合わせ PCI DSS QSA・ASV認定（会社単位） NIST SP 800-115／PTES準拠は非明示 | JASA「情報セキュリティサービス基準適合サービスリスト」登録 ライト版は PCI DSS v4.0 準拠 |
| 報告書/再診断/報告会 | 要問い合わせ （公式サイトに明記なし） | 診断後3ヶ月以内の無料再診断 QAサポート対応 報告会はオプション |
| 詳細情報 | 公式サイト | 公式サイト |
外部公開資産への模擬攻撃型のおすすめ8選
Webアプリケーション・公開サーバ・外部ネットワーク機器への疑似攻撃を主軸とする8サービスを紹介します。手動主体の専門ファームからハイブリッド型、Webアプリ診断のオプションとして提供されるものまで、外部起点の検証を担う多様な選択肢が揃います。
本節は、ペネトレーションテスト単体を主軸とする会社に加え、脆弱性診断メニュー内でペネトレーションテストをオプション提供する大手診断ベンダーも取り上げます。外部監査対応で「Web診断＋ペネトレを一体で発注する」用途を検討する読者にも選択肢を届けるためです。
1. 脆弱性診断・ペネトレーションテスト／ネットde診断ASM（GMOサイバーセキュリティ byイエラエ株式会社）
国内でホワイトハッカーを多数擁するサイバーセキュリティ専業企業が提供する、手動主体の脆弱性診断・ペネトレーションテストサービスです。Web／スマホアプリ／クラウド／IoT／ネットワークに加え、NFT・ブロックチェーン、LLM・AIエージェント、物理ペネトレーションまでの広範な診断対象を1社で扱えます。
Webペネトレーションテストは、擬似攻撃で機微情報・金銭への攻撃リスクを可視化する「シナリオ型」と、シナリオに縛られず問題点を洗い出す「調査型」の2方式で提供。料金は画面数・API数・攻撃シナリオから個別見積となります。
別途、月額課金型のSaaS「GMOサイバー攻撃ネットde診断 ASM」を持ち、外部公開資産のスポット診断から継続的な攻撃面管理まで一社でカバーできる点が特徴。ASMプランは自走 月額40,000円〜／伴走 月額120,000円〜（初期費用0円・最低2ヶ月〜）で提供されます。
2. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
NRIグループのセキュリティ専業会社が提供する、専門家による手動主体のセキュリティ診断・ペネトレーションテストサービス群です。診断員は米国SANS Instituteの専門トレーニング修了者や、CISSP・OSCP・OSEP・GIAC 等の国際資格保有者で、ツール任せではない手動診断を中核に据えています。
Webアプリケーション診断ではマニュアル診断のみの「プロフェッショナル方式」と、手作業と診断ツールを併用する「ハイブリッド方式」の2方式を選択可能。診断ラインアップはWeb／プラットフォーム／スマホアプリ／API／クラウド／ソースコード／ブロックチェーン／AI・LLM／IoT・OTまで一社で扱えます。
攻撃者視点のペネトレーションテストサービス（税別800万円〜、シナリオにより変動）、検知回避まで試みるレッドチームオペレーション（期間3ヶ月〜・要問い合わせ）、短期集中の Fast Pentest まで、脆弱性診断から目標達成型攻撃シミュレーションまで一気通貫で発注できます。
3. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
1995年から診断サービスを提供する老舗ベンダーによる、手動主体の脆弱性診断・セキュリティ診断サービスです。攻撃者視点での疑似攻撃をベースに、ツールでは検出しにくい脆弱性・侵入後の被害影響まで人手で検証するハイブリッド型で、官公庁・金融分野でのトラックレコードを持ちます。
Webアプリケーション診断はツール型の「Webエクスプレス」（30万円〜／最短2営業日）、ツール＋手動の「Web安全点検パック」（80万円〜／最短4営業日）、高精度の「Webハイブリッド」（100万円〜／最短10営業日）と段階的にメニュー化。プラットフォーム診断・スマホアプリ診断・IoTデバイスペネトレーションテスト・クラウド／SaaS設定診断まで、対象別にメニューが分かれています。
実運用シナリオ型としては、標準マルウェア感染シナリオを想定した情報システムペネトレーションテスト（700万〜1,000万円程度／最低2ヶ月想定）や、レッドチーム・ブルーチームによる TLPT（1,000万円程度〜）も提供。セキュリティ監視センターJSOC・サイバー救急センターと診断を組み合わせた総合体制まで含めて評価できる設計です。
4. SQAT（株式会社ブロードバンドセキュリティ）
専門家の手動診断と独自開発の自動診断を組み合わせたハイブリッド方式で提供される脆弱性診断ブランドです。運営元の株式会社ブロードバンドセキュリティ（BBSec）は2000年創業のセキュリティ専業企業で、社員の74.8%がセキュリティエンジニア・コンサルタントで構成されます。
診断メニューはWebアプリケーション／API／ネットワーク／スマホアプリ／IoT／クラウド設定／ソースコード（SQAT Core、ライン数に応じた個別見積）／ペネトレーションテスト／アタックサーフェス調査／標的型攻撃リスク診断まで幅広く展開しています。
専用メニュー「SQAT GlassBox」は、ソースコード診断とWebアプリケーション脆弱性診断を組み合わせ、外部・内部の両視点で短期間に精度を確保する構成です。
発注後の運用面では診断終了後3か月までの再診断と、再診断期間内の相談受付に対応。加えて全脆弱性診断にサイバー保険が付帯する点が発注前の稟議材料になります。BBSec はPCI DSS の認証監査機関 QSAC 認定を持ち、PCI DSS／PCI P2PE／PCI 3DS のオンサイト評価まで一貫提供できるため、クレジット系事業者の発注適合性も高まります。
5. ペネトレーションテストサービス（キヤノンITソリューションズ株式会社）
攻撃起点（外部／内部）とゴール（認証突破・セキュリティ機器の回避・管理者権限奪取・機密ファイル窃取など）の組み合わせで、案件ごとに最適なテストシナリオを設計するオーダーメイド型のペネトレーションテストです。固定メニューではなく、事前ヒアリングで攻撃シナリオを個別に組み立てる提案型を採ります。
実施は手動主体で、国際的なペネトレーションテスター認定資格を保持する熟練セキュリティエンジニアが担当します（具体の資格名は公式に明記なし）。報告書は NIST SP 800-115 および PTES に準拠することを公式に明記しており、再現手順・改善策・優先度を伴う形で納品されます。
参考価格は300万円〜（税別）。運営はキヤノンマーケティングジャパン100%出資、1982年設立の総合ITベンダーで、金融・公共インフラ等の第三者説明責任が求められる業種を主な想定顧客としています。ISMS 認証はキヤノンマーケティングジャパングループとして取得しており、グループ認証として運用されます。
6. Webアプリケーション診断サービス（Sky株式会社）
SKYSEA Client View 等の自社パッケージで知られる Sky株式会社が、2022年より提供するセキュリティ診断ソリューションの一メニューです。セキュリティエンジニアがリモートで顧客の Webアプリケーションを診断し、SQLインジェクションやクロスサイトスクリプティング等の脆弱性を横断的に検出します。
診断は162項目をベースに実施し、検出脆弱性を CRITICAL／HIGH／MIDDLE／LOW／INFO の5段階リスクレベルで分類。上位2段階を検出した際は速報メールで通知し、開発者向けに再現手法を含むレポートを最短5〜6営業日で報告します。
本サービスの主軸は Web アプリケーション脆弱性診断ですが、重要なインシデントがある部分に対してペネトレーションテストをオプションで併設できる点が、本記事の外部公開資産型として該当する観点です。上位ブランド「セキュリティ診断ソリューション」の下にスマホアプリ・IoT・クラウド設定診断・セキュリティアドバイザリも用意され、対象資産横断で発注できます。
7. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
クラウド型WAF「Cloudbric WAF+」のブランドを持つペンタセキュリティ（韓国本社1997年設立、日本法人2009年設立）が提供する、既知・未知の脅威を対象とするハイブリッド型の脆弱性診断サービスです。専門家の手動診断と自動診断ツール（OWASP ZAP）を組み合わせる方式を採ります。
診断メニューはWebサイト診断／Webアプリケーション診断／API 診断／プラットフォーム診断／スマートフォンアプリ診断／ペネトレーションテストの6種で構成。同社が独自に世界各国から収集する脅威インテリジェンスの分析結果を診断項目に反映する点を訴求しています。事前確認〜診断実行〜最終レビュー〜品質保証〜納品の多段階プロセスで進行します。
運営はペンタセキュリティ株式会社（旧・ペンタセキュリティシステムズ株式会社、2023年10月に社名変更しCloudbric事業を統合）。経済産業省の情報セキュリティサービス基準適合サービスリスト登録済（サービス登録番号 021-0017-20）で、公的基準への適合を第三者基準で確認できます。料金は要問い合わせで、公式に価格レンジの明示はありません。
8. ペネトレーションテスト（GMO Flatt Security株式会社）
Webアプリケーション・API・クラウドインフラなど外部公開プロダクトを主対象に、攻撃者による侵入・特権奪取のリスクを模擬攻撃で検証するペネトレーションテストです。事前ヒアリングでブラックボックス／ホワイトボックス等の複数形態から最適なテストプランを個別設計する提案型で、固定パッケージ販売ではありません。
実施は手動診断主体で、実施期間はゴール・予算に応じて1週間〜数カ月。運営会社 GMO Flatt Security株式会社（2017年設立、2023年にGMOインターネットグループが子会社化し社名変更）は「診断員が生きたソースコードに触れ続ける」体制を掲げ、実務的なコード読解力を備えた人材の確保を訴求しています。
料金は最低500万円からで、対象システムの規模・範囲・作業期間・工数により変動する応相談型。ホワイトボックス診断を強みとし、コードレベルで根本原因を特定し「どのコードのどの部分を変更すべきか」まで具体の改修指示を返す方針を掲げます（ブログ記事出典、Webアプリケーション診断の文脈での説明）。経済産業省の情報セキュリティサービス基準にサービス登録番号 019-0045-20 で登録されています。
社内ネットワーク・内部侵入型のおすすめ3選
マルウェア感染想定・権限昇格・横展開といった社内NW内部での攻撃シナリオを主軸とする3サービスを紹介します。手動主体の目標達成型で内部NW検証を専門的に扱うベンダーが中心となります。
1. LANSCOPE ペネトレーションテスト（マルウェア耐性診断）（エムオーテックス株式会社）
OA端末がマルウェアに感染したことを想定し、ペンテスタ（専門技術者）が実機を操作して「ドメイン管理者権限の奪取」「重要情報の持ち出し」まで実際に到達可否を検証するシナリオ型のペネトレーションテストです。情報収集→端末探索→認証情報窃取→感染拡大→外部送信という、実攻撃者が辿る一連の手順を手動主体で疑似再現します。
参考価格は200万円〜で、対象環境やシナリオに応じて個別見積もりで提示されます。2024年9月からはペネトレーションテストとインシデント対応（フォレンジック調査）をパッケージ化し、価格の明瞭化を訴求しています（具体金額は個別提示）。診断後は結果報告会を実施し、経営層向けにGood point／Weak pointを視覚化したレポート構成で報告します。
上位のプロフェッショナルサービス群全体（脆弱性診断含む）で12,000件以上の提供実績が公式に訴求されています（ペネトレーションテスト単体の実績数は非公開）。最低でも年1回の定期実施が公式に推奨されており、初回の耐性把握と継続的な運用の両方に組み込みやすい発注設計です。
2. 脆弱性診断サービス（MBSD）（三井物産セキュアディレクション株式会社）
2001年開始の手動診断老舗で、三井物産100%出資のサイバーセキュリティ専業会社。Webアプリケーション診断・ネットワーク診断からペネトレーションテスト・TLPT（脅威ベースのペネトレーションテスト）・IoT/OT診断・Active Directory診断まで、対象領域を広くカバーする診断メニュー群です。
ペネトレーションテストは、事前設計した攻撃手順に沿って複数の攻撃技術を組み合わせ、指定システム全体または組織全体に対する目標達成可能性を検証する内容。年間1,000IP以上の実施実績があり、社内NW侵入時の権限昇格・横展開の検証もカバーします。金融機関向けのTLPTも提供しています。
Webアプリケーション診断で3,000サイト以上、ネットワーク診断で2,800サイト以上の診断実績を持ち、CVE番号取得済みの新規脆弱性（0day）を累計200件以上JVN等へ報告している点が診断員スキルの評価材料となります。ISO/IEC 27001およびISO 9001を取得しており、料金は診断範囲・対象に応じた個別見積もり方式（公式に料金表の掲載なし）です。
3. セキュリティ診断（NTTセキュリティ・ジャパン）（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTセキュリティホールディングス100%子会社のサイバーセキュリティ専業会社が提供する診断メニュー群。自社開発のWebアプリケーションを対象とする「WEBアプリケーション診断」と、サーバー・ネットワーク機器等を対象とする「プラットフォーム診断」を軸に、Qualys/Tenable等のツール・環境を提供して顧客が自走する「セルフ診断」も選択できます。
社内NW侵入型に相当する用途では、「RedTeam/TLPT」を同カテゴリ内で提供し、攻撃者視点でシステムへの侵入を試みて、人・プロセス・テクノロジーの観点から攻撃耐性を評価します。別メニューの「IoTプロダクトセキュリティ」では、脅威分析・脆弱性診断・ペネトレーションテスト・通信解析まで、ドローン・カメラ・自律制御ロボット・工場向け制御システム等の組込み領域を対象範囲としています。
料金は初期・診断とも全面非公開の個別見積もり方式で、比較記事では高価格帯ベンダーとして扱われることが多い位置づけです。ISMS認証（登録番号 22127-ISMS-001）を保有し、大企業・エンタープライズを中心とした受発注体制で運用されます。
なお、外部公開資産型で紹介するGMOイエラエ・ラックや、実運用シナリオ型で紹介するNRIセキュア・サイバーディフェンス研究所も、社内NW侵入型（マルウェア感染想定・権限昇格・横展開）の検証に対応しています。
実運用シナリオ型のおすすめ4選
想定攻撃者と目的達成を事前合意する目標達成型ペネトレーションテスト、レッドチーム演習、金融機関向けTLPTを提供する4サービスを紹介します。国内代表格の大手ベンダーが並び、金融機関・社会インフラ・大手事業会社の脅威ベース検証を担います。
1. サイバーディフェンス研究所 ペネトレーションテスト・レッドチーム演習（株式会社サイバーディフェンス研究所）
2008年に伊藤忠商事の社内セキュリティ研究組織から分社化した、ペネトレーションテストとレッドチーム演習の専業ベンダーです。「Only Humans Can Counter Human-Driven Threats」を掲げ、自動化ツールに依存せず経験豊富なエンジニアによる手動作業を診断の中心に据えています。
レッドチーム演習は5段階プロセス（ヒアリング→契約→シナリオ決定→侵入テスト→報告書作成）で進行し、OSINT・フィッシング・無線AP・物理侵入まで含めた複合シナリオを扱います。ネットワークペネトレーションテストはネットワーク全体を対象に、ドミノエフェクト（横展開）検証と独自開発フレームワークを用いて実施します。
診断員はOSCP+／CRTO／CRTL／CRTE／GPEN／CISSPなど経済産業省例示資格の保有者が公式メンバーページに明示されており、JASA「情報セキュリティサービス基準適合サービスリスト」にネットワークペネトレーションテスト（登録番号018-0006-60）で登録されています。
公式サイトにはメルカリ・freee・日立製作所等のロゴが導入実績として掲載され、料金は対象ネットワークの構成・規模のヒアリングに基づく個別見積りです。
2. NECセキュリティ ペネトレーションテスト（NECセキュリティ株式会社）
NECグループのセキュリティ専業子会社として2023年4月に発足したNECセキュリティが、旧インフォセック時代からの体制を引き継いで提供する目標達成型のペネトレーションテストです。事前に攻撃目的・エントリポイント・前提条件・ゴール・終了条件を顧客と合意したうえで、期間内での目的達成の可否を評価します。
テスト項目や検出箇所の網羅性を重視する一般的な脆弱性診断とは異なり、検出した問題が攻撃目的の達成にどの程度寄与するかの分析に軸を置いた設計となっています。インターネット経由のリモートテストと顧客拠点への訪問によるオンサイトテストの両方式に対応し、公開情報調査（OSINT）と手動による疑似攻撃を組み合わせて実施します。
報告書提出後2週間のQ&A対応期間が設けられており、JASA「情報セキュリティサービス基準適合サービスリスト」にペネトレーションテスト（登録番号018-0011-60、登録日2025年3月20日）で登録されています。料金は対象範囲・シナリオに応じた個別見積りで、公式サイトに具体額の掲載はなく問い合わせベースとなります。
3. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）
台湾のセキュリティベンダーRayAegis Information Securityと株式会社アリスの合弁により2019年10月に設立された日本法人で、独自開発したAIエンジン搭載の探査ツールとホワイトハッカーによる手動精査を組み合わせたハイブリッド方式でペネトレーションテストを提供しています。
課金体系はFQDN／IP単位の定額制で、ペネトレーションテストは128万円〜（規模により変動、二次メディア掲載値・要見積り）。画面数・フォーム数・コマンド数によらず一律料金となるため、大規模・多ページのシステムほど相対的に割安になります。簡易版のファストペネトレーションテストも別メニューで用意されています。
初回報告書提出後1年間は、修正不十分箇所への再診断・再々診断を追加費用なしで対応します。診断体制はグループ全世界で330名超の有資格ホワイトハッカー（CISSP・CEH・情報処理安全確保支援士等）を擁し、台湾政府のセキュリティベンダー格付けで例年上位、海外金融・政府系機関への提供実績があります。
4. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
NTTドコモソリューションズ（旧NTTコムウェア、2025年7月1日社名変更）がDSCBブランドで提供する脆弱性診断シリーズのなかで、外部・内部の攻撃シナリオを扱うのがこのペネトレーションテストメニューです。診断対象はネットワーク・サーバ構成・Webアプリ（スタンダード／ライト）・スマホアプリ・ペネトレーションテストの5系統から選択できます。
診断方式はツールと専門家による手動検査を併用するハイブリッド型で、実施者は情報処理安全確保支援士・CISSP・CISA・CISM・CEH等の資格保有者が担当します。年間実績として2025年度にネットワーク診断で約670システム・8,950IP、Webアプリケーション診断で約550サイト・10,660リクエストを実施した数値が公式ページで公表されています。
特徴的な運用として、契約金額の総額が税抜80万円以上の場合にサイバー保険が無償で自動付帯します（補償限度額1,000万円、診断契約日から1年間、弁護士相談・見舞金・システム復旧費用等を補償）。料金は診断対象システムのヒアリングに基づく個別見積りで、公式ページに具体額の掲載はありません。
中小規模向け短期パッケージ型のおすすめ2選
診断シナリオを事前パッケージ化することで低コスト・短納期を実現した2サービスを紹介します。初回導入や上場審査対応で、まず実運用に近いシナリオでの検証実績を得たい企業に適した選択肢です。
なお、レイ・イージス（128万円〜／FQDN定額）とNTTドコモソリューションズ（80万円以上でサイバー保険付帯）も短期・低コストの入口として発注できますが、シナリオ設計が個別ヒアリング型のため実運用シナリオ型のセクションで詳しく紹介しています。
1. TISI ペネトレーションテストサービス（TISI株式会社）
2026年7月にTIS株式会社が完全子会社の株式会社インテックを吸収合併して商号変更したTISインテックグループの中核会社が提供する、脆弱性診断メニューの一つとしてのペネトレーションテスト。（社名の一部が類似する）東京海上ディーアール株式会社とは資本関係・提携関係のない別会社である点に留意が必要です。
診断シナリオは「外部からの脅威」「内部からの脅威」「従業員を狙った脅威」の3系統でパッケージ化され、ASMハッキング・外部公開機器への侵入・Active Directory侵入・マルウェア感染・ソーシャルエンジニアリングなどから選択します。最短シナリオは70万円〜、シナリオ合意後およそ2週間でレポート提出まで対応します。
脆弱性診断サービス全体で900社以上の導入実績（時点は非公表、ペネトレーションテスト単体の内訳は非開示）、経済産業省「情報セキュリティサービス基準」への登録（会社としての脆弱性診断カテゴリで登録、ペネトレの帰属は要問い合わせ）、PCI DSS QSA・ASV認定の保有を公式に明示しています。診断員個人の保有資格・報告書仕様・再診断可否は公式サイトに記載がなく、詳細は要お問い合わせです。
2. Cyber NEXT ペネトレーションテスト（株式会社シーイーシー）
1968年設立・東証プライム上場のシーイーシーが「Cyber NEXT」ブランドで展開するトータルセキュリティソリューションの一メニュー。脆弱性ベースで網羅的にテストする「ライト版」と、侵入から管理者権限奪取までの経路を個別設計する「シナリオ版」の2プランに整理されています。
ライト版は3IPまでを対象に100万円〜／PCI DSS v4.0準拠、シナリオ版は1IPを対象に170万円〜。リモート診断（外部公開インフラ）とオンサイト診断（内部インフラ）を選択でき、診断期間は約1ヶ月を目安としています（税別／税込の区分は公式サイト未表記）。
発注後の運用面では、診断後3ヶ月以内の無料再診断、QAサポート、オプションでの報告会実施が明示されています。JASA「情報セキュリティサービス基準適合サービスリスト」にも登録済みです。診断員個人の保有資格・報告書サンプルは公式サイトに記載がなく、詳細は問い合わせでの確認となります。
ペネトレーションテストサービスの選び方
ペネトレーションテストの発注は、単に価格の安いベンダーを選ぶだけでは目的を達成できません。ここでは、初回発注・稟議・監査対応まで見据えた5つの選定観点を、自社要件の切り分け方とあわせて解説します。各社の具体的な並びは後段の「料金レンジと発注後の運用面」と「認定資格・準拠規格から見る事業者の実力」で示します。
診断シナリオの起点と対象範囲が自社要件と合っているか
前段のタイプ分類で示したとおり、ペネトレーションテストは「どこを起点に・何を目的に攻撃するか」で内容が大きく変わります。自社が今回検証したいのは、外部公開Webサービスへの攻撃耐性か、内部侵入後の横展開か、それとも脅威アクターを想定した目的達成型か──ここを最初に明確にしないと、ベンダー選定の軸が定まりません。
複数の起点を同時に検証したい場合は、外部・内部・実運用シナリオを一体で提供できる大手ベンダー（NRIセキュア・GMOイエラエ・ラック・MBSDなど）か、パッケージ型で段階的に順に発注していく中小向けベンダー（TISI・CEC・レイ・イージスなど）のどちらの発注体制が自社に合うかを見極めます。
対象範囲の見積もり時には、IPアドレス数・シナリオ本数・想定工数の内訳をベンダーから提示してもらい、当初の予算・工期に収まるかを事前確認する運用が推奨されます。
実施手法と診断員スキルは目的に対して十分か
実施手法は、内部情報を一切提供しない「ブラックボックス型」、設計書・アカウント・ソースコードを共有した上で行う「ホワイトボックス型」、両者の中間である「グレーボックス型」に大別されます。
実運用に近い攻撃者視点を重視するならブラックボックス寄り、限られた期間で網羅性を高めたいならホワイトボックス寄りが基本的な選び分けの目安となります。多くの手動主体ベンダーは、事前合意に応じて両者を組み合わせる提案型で対応します。
診断員スキルは、報告書の質・発見される問題の深さ・追加リスクの提示範囲を左右する最大の変数です。診断員個人の資格（OSCP・GPEN・CRTOなど）、事業者としての人材体制、過去の実績（0day発見件数・大手企業の採用実績・CVE番号取得件数など）を公式ページで確認できるかは、「安いだけの業者に当たって形骸化した診断で終わるのを避ける」ための重要なシグナルです。
診断員のスキルレベルが公開されていない、あるいはヒアリング時に具体的な人材配置説明が得られないベンダーは、慎重に検討する必要があります。
料金レンジとオプション（再診断・報告会・QAサポート）が要件に見合うか
ペネトレーションテストの料金は、中小向け短期パッケージ型の70万円〜200万円台から、実運用シナリオ型の500万円〜数千万円まで大きな幅があります。同じ「300万円〜」表記でも、シナリオ数・稼働人日数・報告会有無・再診断可否によって実質価格は変わるため、見積書の内訳を確認することが重要です。
特に確認すべきオプションは、(1) 検出された脆弱性の修正後に無償・低額で行う再診断の可否、(2) 経営層・監査対応向けの報告会（オンサイト・オンライン）の有無、(3) 診断期間中および報告後のQ&A対応期間、(4) 追加シナリオ・追加IPを発注する際の追加料金体系、の4点です。これらのオプションの各社比較は、後段の「料金レンジと発注後の運用面」で一元的に整理しています。
認定資格・準拠規格が稟議・監査を通せる水準か
ペネトレーションテストの発注では、社内稟議や監査対応で「なぜこのベンダーを選んだか」を客観的に説明する必要があります。ここで判断材料となるのが、事業者・診断員の認定資格と、実施手順の準拠規格です。
日本国内では、経済産業省の「情報セキュリティサービス基準」に基づくJASA（日本セキュリティ監査協会）の「情報セキュリティサービス基準適合サービスリスト」への登録が、公的な事業者資格の一つの目安になります。
診断員個人の資格としては、経産省の官庁例示にOSCP・OSEP・CRTO/CRTP/CRTE/CRTM・GPEN・GWAPT・GCPN・GXPNが挙げられており、これらの保有状況が実務基準として広く参照されます。
実施手順の準拠規格としては、NIST SP 800-115・PTES（Penetration Testing Execution Standard）・PCI DSS v4.0の要件11.4への準拠が、国際的な発注実務で確認されます。
各社の認定資格・準拠規格の詳細は、後段の「認定資格・準拠規格から見る事業者の実力」で社別マッピングとして整理しています。
報告書の粒度と経営層・監査への説明可能性が十分か
ペネトレーションテストの成果物である報告書は、単なる脆弱性一覧ではなく、「攻撃シナリオごとにどこまで侵入できたか」「発見された問題は経営・事業にどの程度の影響を及ぼすか」「防御側の検知・対応プロセスがどう機能したか」を、経営層・監査部門・現場の担当者それぞれに伝わる粒度で構成される必要があります。
発注前に確認すべきは、(1) 経営層向けエグゼクティブサマリの有無、(2) 発見された問題の再現手順・スクリーンショット・修正推奨事項の詳細度、(3) 攻撃シナリオごとの侵入深度図の提示、(4) 報告書サンプルの事前開示の可否、の4点です。報告書サンプルを公式ページで開示しているベンダーは限定的で、事前開示の可否が透明性の一つの指標にもなります。
一括ダウンロードする
ペネトレーションテストサービスの料金レンジと発注後の運用面（各社比較）
選び方で示した「料金レンジ・オプション」「報告書運用」の観点を、各社の実際の並びに落として一元比較します。型別の相場帯と、社別の運用面比較の2つの視点で整理します。
料金レンジ（外部／内部／実運用シナリオ／中小向け短期の型別相場感）
2026年8月時点の各社公式ページに開示された参考価格をもとに、タイプ別の相場感を整理します。実際の見積金額はシナリオ本数・稼働人日数・対象規模により変動するため、下記は初回検討時の目安として活用してください。
| 参考価格レンジ | 納期の目安 | 代表的な価格開示ベンダー | |
|---|---|---|---|
| 外部公開資産型 | 200万円〜500万円台（Webアプリ・外部NW1サービスあたり） | 1〜2ヶ月（対象数により3ヶ月超も） | キヤノンITS（300万円〜）、LANSCOPE（200万円〜、内部起点も含む） |
| 社内NW侵入型 | 200万円〜500万円台（1シナリオあたり、対象拠点数により変動） | 1〜3ヶ月 | LANSCOPE（200万円〜）、CEC Cyber NEXT シナリオ（170万円〜） |
| 実運用シナリオ型 | 500万円〜数千万円（レッドチーム・TLPTは複数月・複数チームの稼働が前提） | 3ヶ月〜半年（レッドチーム・TLPTは6ヶ月超も） | Flatt Security（500万円〜）、大手ベンダー（要お問い合わせ） |
| 中小向け短期パッケージ型 | 70万円〜200万円台（メニュー選択・短納期） | 2週間〜1ヶ月 | TISI（70万円〜）、CEC ライト（100万円〜）、レイ・イージス（128万円〜／FQDN定額）、NTTドコモソリューションズ（80万円以上でサイバー保険付帯） |
※上記は2026年8月時点における各社公式情報に基づく参考価格帯です。個別の見積金額は要件により変動しますので、詳細は各社にお問い合わせください。
報告書粒度／報告会有無／再診断可否／QAサポート／稼働時間（社別比較表）
ペネトレーションテスト発注後の運用面──報告書粒度、報告会有無、再診断の可否、QAサポート、診断期間中の稼働時間帯──を、各社公式ページで開示されている情報に基づいて社別比較します。開示情報の粒度自体もベンダー間で差があり、発注後の透明性を測る一つの指標となります。
| GMOイエラエ（脆弱性診断・ペネトレ） | セキュリティ診断（NRIセキュア） | 脆弱性診断・セキュリティ診断（ラック） | SQAT（BBSec） | キヤノンITS ペネトレーションテスト | Webアプリケーション診断（Sky） | Cloudbric脆弱性診断 | GMO Flatt Security ペネトレーションテスト | LANSCOPE ペネトレーションテスト | 脆弱性診断サービス（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） | サイバーディフェンス研究所 ペネトレ・レッドチーム | NECセキュリティ ペネトレーションテスト | レイ・イージス ペネトレーションテスト | NTTドコモソリューションズ 脆弱性診断 | TISI ペネトレーションテスト | Cyber NEXT ペネトレーションテスト（CEC） | |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 報告書サンプル開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | ◎（DL可） | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 | 非開示 |
| 報告会 | 実施 | 実施（オプション） | 個別対応 | 対応（エグゼクティブサマリは有償） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 実施（Good/Weak視覚化） | 要問い合わせ | 要問い合わせ | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 要問い合わせ | 要問い合わせ | 実施（オプション） |
| 再診断 | 対応可（要見積） | 対応可（要見積） | 個別対応（診断内製化支援あり） | 対応可（診断終了後3ヶ月まで） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | 対応可（有償／無償は要問い合わせ） | 要問い合わせ | 要問い合わせ | 公式明記なし（要問い合わせ） | 公式明記なし（要問い合わせ） | ◎（初回報告後1年間・追加費用なし） | 要問い合わせ | 要問い合わせ（公式明記なし） | ◎（3ヶ月以内無料） |
| QAサポート | 対応 | 対応（期間要相談） | 対応 | 対応（3ヶ月以内の相談受付） | 対応（要問い合わせ） | 対応（速報メール通知あり） | 対応（多段階レビュープロセス） | 対応 | 対応 | 対応（MBSD-SIRT／MSS連携） | 要問い合わせ | 対応（診断中の速報提供あり） | 対応（報告書提出後2週間のQ&A期間） | 対応 | 要問い合わせ | 要問い合わせ | 対応 |
※上記は2026年8月時点における各社公式情報に基づく開示状況です。非開示の項目についても発注時のヒアリング・見積依頼で個別に確認できます。全社の詳細は各社の個別紹介・比較表をご覧ください。
17社を横並びにすると、公式ページで報告書サンプルを事前開示しているのはLANSCOPEに限られ、再診断の条件を明示しているのは「診断後3ヶ月以内無料」のCEC Cyber NEXT と、「初回報告後1年間・追加費用なし」のレイ・イージスの2社に限られます。
それ以外の項目は「要見積」「対応可（詳細は個別相談）」「公式明記なし」として案内されるケースが多いため、稟議・監査対応で必要な情報は事前のヒアリングで具体化する運用が推奨されます。
タイプ別の相場感を踏まえたうえで、対象システムの規模・シナリオ本数ごとにより詳しい費用の内訳（工数積算・オプション別料金・複数年運用時の見積の考え方など）を確認したい場合は、以下の記事もあわせてご参照ください。
ペネトレーションテストの費用相場を対象・種類別に解説｜早見表でわかる料金と選び方
脆弱性診断で自社システムの弱点を洗い出すと、次に「実際に攻撃者が侵入できるのか、本当のところを確かめてほしい」と役員や監査から求められることがあります。脆弱性診断の次にペネトレーションテスト（侵入テスト）を検討する——決済や基幹システムなど…
認定資格・準拠規格から見る事業者の実力（社別マッピング）
ペネトレーションテスト事業者の実力を客観的に測る指標として、診断員個人の認定資格と、事業者・実施手順の準拠規格の2軸があります。ここでは、経産省・JASA・NIST・PCI SSC等の公的枠組みを基準に、各観点の意味と発注実務での見方を解説します。
診断員個人の資格（OSCP／CRTO／GPEN ほか）
経済産業省の「情報セキュリティサービスにおける技術及び品質の確保に係る具体的な例示について」では、ペネトレーションテスト（侵入試験）サービスの提供に必要な専門性を満たす資格として、以下が例示されています。
OSCP（OffSec Certified Professional）／OSEP（OffSec Experienced Pentester）／CRTO（Certified Red Team Operator）／CRTP（Certified Red Team Professional）／CRTE（Certified Red Team Expert）／CRTM（Certified Red Team Master）／GPEN（GIAC Penetration Tester）／GWAPT（GIAC Web Application Penetration Tester）／GCPN（GIAC Cloud Penetration Tester）／GXPN（GIAC Exploit Researcher and Advanced Penetration Tester）
出典：情報セキュリティサービスにおける技術及び品質の確保に係る具体的な例示について（第3版）例示1-2-2｜経済産業省
これらのうち日本の発注実務で最も広く参照されるのはOSCPで、OffSec公式によれば「脆弱性を倫理的に特定し、システムを悪用し、権限を昇格させる能力を証明する」認定試験と位置づけられています。CRTシリーズ（CRTO/CRTP/CRTE/CRTM）は Zero-Point Security 提供のレッドチーム系資格で、実運用シナリオ型・レッドチーム演習の担い手として発注実務で参照されます。
GPEN・GWAPT・GCPN・GXPNは米国SANS研究所のGIAC（Global Information Assurance Certification）で、Webアプリ・クラウド・エクスプロイト開発など専門領域別に体系化されています。
国際的な補完資格として、CREST（Council of Registered Ethical Security Testers、英国発）の CRT／CCT 等も参照されます。CREST公式によれば、CRT は「一般的に利用可能なツールを用いた脆弱性スキャンの実施と結果の解釈能力」を検証する認定で、英国政府のCHECKスキームで政府認定として採用されています。
NRIセキュアなど日本の大手ベンダーも CREST認定を訴求しており、経産省例示に加えて国際的な発注実務基準として並置される位置づけです。
出典・参考資料（3件）
事業者・実施手順の準拠規格（JASA／NIST SP 800-115／PTES／PCI DSS v4.0）
事業者・実施手順の準拠規格としては、日本国内向けにJASA（日本セキュリティ監査協会）の「情報セキュリティサービス基準適合サービスリスト」への登録、国際的な準拠規格としてNIST SP 800-115・PTES・PCI DSS v4.0が、公式ページで訴求される代表的な基準です。
JASA の「情報セキュリティサービス基準適合サービスリスト」は、経済産業省の情報セキュリティサービス基準に基づき、品質の維持・向上に努めているサービスを審査登録して公開する制度です。同リストのペネトレーションテスト（侵入試験）サービスカテゴリに登録された事業者は、公式サイト運営元の SSS-ERC で検索・確認できます。
稟議で「JASA適合の事業者」を選定根拠の一つとする場合、この登録の有無が客観的な指標になります。
NIST SP 800-115は、米国国立標準技術研究所が発行するペネトレーションテスト実施の技術ガイドラインで、計画（Planning）・発見（Discovery）・攻撃（Attack）・報告（Reporting）の4段階のプロセスを示しています。
PTES（Penetration Testing Execution Standard）は業界標準として策定されたペネトレーションテスト実施手順で、公式サイトによれば以下の7つのセクションで構成されています。
Pre-engagement Interactions / Intelligence Gathering / Threat Modeling / Vulnerability Analysis / Exploitation / Post Exploitation / Reporting
出典：The Penetration Testing Execution Standard｜PTES
キヤノンITS のペネトレーションテストサービス公式ページには「本サービスの報告書はペネトレーションテスト標準である『NIST 800-115』や『PTES』に準拠しています」と明記されており、報告書の作り方の規範として使われている実例です。
PCI DSS v4.0は、クレジットカード業界のセキュリティ基準で、要件11.4で外部・内部ペネトレーションテストの定期的な実施を求めています。PCI SSC 公式の実施ガイダンスでは、外部ペネトレーションテストの範囲について次のように定義しています。
The scope of an external penetration test is the exposed external perimeter of the CDE and critical systems connected or accessible to public network infrastructures. It should assess any unique access to the scope from the public networks, including services that have access restricted to individual external IP addresses. Testing must include both application-layer and network-layer assessments.
出典：Information Supplement: Penetration Testing Guidance v1.1｜PCI Security Standards Council
クレジットカード情報を扱うEC・決済事業者は、PCI DSS v4.0への準拠実績を訴求するベンダー（CEC Cyber NEXT が「PCI DSS 要件 11.4.3 に準拠した診断」を明示）を優先的に検討します。
出典・参考資料（4件）
ペネトレーションテスト導入のメリット
脆弱性診断だけでは把握できない、より現実に近い攻撃耐性を可視化することがペネトレーションテスト導入の中心的な価値です。ここでは、稟議・経営説明・監査対応の場面で語られる代表的な効果を整理します。
実運用に即した攻撃耐性を可視化できる
脆弱性診断で個別のリスクが「Middle」「Low」と評価された脆弱性でも、複数を組み合わせることで攻撃者が管理者権限を奪取したり、重要情報サーバへ到達したりできるケースは少なくありません。ペネトレーションテストは、こうした「単独では致命的ではないが、組み合わせで致命的になる」リスクを、実際の到達可否として明らかにします。
単一脆弱性の一覧ではなく、「攻撃シナリオごとにどこまで侵入できたか」という結果は、経営層・監査部門にリスクの深さを直感的に伝える材料となります。
セキュリティ対策の優先順位を根拠づけて明確化できる
脆弱性が数十〜数百件検出された場合、限られたリソースの中で「何から着手すべきか」の判断は容易ではありません。ペネトレーションテストの報告書では、実際の攻撃シナリオで悪用された脆弱性が「実運用で致命的なリスク源」として特定されるため、修正の優先順位を客観的な根拠に基づいて決定できます。
稟議書に「発見された問題のうち、実際にドメイン管理者権限の奪取に至った経路上の3件を優先的に修正する」といった具体的な根拠を書けるようになります。
経営層・監査・取引先への説明可能性を高める
取引先や親会社からセキュリティ体制の確認を求められる機会は年々増えており、金融機関の委託先評価、上場企業のサプライチェーンリスク管理、大手事業会社の取引開始時のセキュリティ要件確認など、第三者による攻撃耐性の実地評価を裏付ける資料の提示が求められる場面が拡大しています。
ペネトレーションテストの実施実績と報告書は、こうした対外的な説明材料としても機能します。金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」でも、金融機関に対して脆弱性診断とペネトレーションテストの定期的な実施が【基本的な対応事項】として明示されています。
ペネトレーションテスト導入・運用の注意点
導入メリットの一方で、ペネトレーションテストは稟議・運用計画の段階で押さえておくべき前提もあります。発注後のトラブル回避と継続的な運用計画のために、以下の3点を事前に検討しておくと安心です。
コスト負担が脆弱性診断より大きい
ペネトレーションテストは、手動でのシナリオ設計・攻撃実施・報告書作成に多くの工数を要するため、ツール自動の脆弱性診断と比べて発注金額が大きくなる傾向があります。中小向け短期パッケージ型でも70〜200万円台、実運用シナリオ型では500万円〜数千万円になるケースもあり、事業規模とセキュリティ予算に見合った発注計画が必要です。
予算が限られる場合は、まずパッケージ型で1回実施し、次年度以降にオーダーメイド型・レッドチーム型へと段階的にレベルを上げる進め方も検討できます。
本番環境への影響・システム負荷リスクの合意形成が必要
ペネトレーションテストは、実際に攻撃を試みる性質上、対象システムに一定の負荷やダウンリスクをかける可能性があります。事前のヒアリング段階で「本番環境で実施するか、ステージング環境で実施するか」「実施時間帯（業務時間内・夜間・週末）」「サービス影響が想定される場合の中断ルール」を明文化し、社内の関係部門（インフラ運用・カスタマーサポート・営業）と合意形成しておく運用が推奨されます。
金融機関向けのTLPTでは、本番環境かつブルーチーム無告知が原則であるため、経営レベルでの実施承認と、事後の連携プロセスを事前に設計しておく必要があります。
継続的な実施計画と脆弱性診断との組み合わせが前提
ペネトレーションテストは、単発の実施で終わらせるものではありません。新規サービスの公開、ネットワーク構成の大規模変更、法令・ガイドラインの改定、脅威動向の変化のタイミングで再実施する運用が一般的で、最低でも年1回の定期実施が推奨されます。
また、脆弱性診断で網羅的にセキュリティホールを発見・修正した上で、その残存リスクを実運用シナリオで確認するペネトレーションテストという役割分担が基本形です。両者を単独で運用すると効果が半減するため、中長期のセキュリティ運用計画に両者を組み込んで発注することが望まれます。
発注から報告までの流れと事前に準備すべき情報
初回発注では、依頼から報告会・再診断までの流れと、発注者側で事前に整理しておくべき情報を把握しておくと、見積・シナリオ設計のプロセスが円滑に進みます。ここでは、時系列のタイムラインと発注者側の準備事項を分けて解説します。
依頼から報告会・再診断までのタイムライン
ペネトレーションテストの発注から報告書受領までは、対象範囲・シナリオ数によって1ヶ月〜数ヶ月を要します。標準的な流れは、以下のフェーズで構成されます。
- 1. ヒアリング・要件定義（1〜2週間）：発注者の課題、対象システム、想定攻撃者像、目的、実施環境、稼働時間帯、影響許容範囲などを確認
- 2. シナリオ設計・見積・契約（1〜2週間）：ヒアリング結果を踏まえて実施シナリオ・工数・料金を提示し、稟議・契約締結を完了
- 3. 実施（2週間〜数ヶ月）：合意したシナリオに基づいて疑似攻撃を実施。並行してログ・エビデンスを収集
- 4. 報告書作成・報告会（2〜4週間）：発見された問題・攻撃シナリオごとの到達深度・修正推奨事項を報告書としてまとめ、必要に応じて経営層向け報告会を実施
- 5. 再診断・QAサポート（オプション、実施後1〜3ヶ月）：修正実施後の再診断、報告書に関する追加質問への対応
NIST SP 800-115では、ペネトレーションテストのプロセスを計画・発見・攻撃・報告の4段階に整理しており、上記フローの実施〜報告書作成部分がこれに対応します。
依頼前に自社で準備・整理しておくべき情報
ベンダーへの初回相談時に、以下の情報を整理しておくと見積・シナリオ設計の精度が上がり、無駄な往復ヒアリングを削減できます。
- 対象資産の棚卸：診断対象とするWebサービス・システム名、公開URL、IPアドレス数、想定される機能・データフロー
- ネットワーク構成：対象システムのネットワーク図（DMZ・内部NW・クラウド環境の構成）、社内NWの拠点数・従業員規模
- 実施目的・想定シナリオ：発注に至った経緯（新規公開・監査対応・親会社要件など）、確認したい攻撃シナリオの候補、実施範囲の想定
- 実施環境の合意：本番環境／ステージング環境の別、実施時間帯、影響許容範囲、業務中断が発生する場合の連絡ルート
- 予算とスケジュール：想定予算レンジ、報告書の必要納期（監査対応・稟議など期限がある場合）
- 過去のセキュリティ対策実施状況：直近の脆弱性診断・ペネトレーションテストの実施履歴、既存の対策実装状況、社内CSIRT・SOC体制の有無
特に「実施環境の合意」と「変更凍結の合意」は、実施中の想定外のトラブル回避のために事前に社内関係者と調整しておくことが推奨されます。テスト実施期間中はシステム変更を凍結し、テスト結果と実運用状態のズレを回避する運用が一般的です。
レッドチーム／TLPT／継続的ペンテスト（CPTaaS）との使い分け
通常のペネトレーションテストの延長線上で検討される選択肢として、レッドチーム演習・脅威ベースペネトレーションテスト（TLPT）・継続的ペネトレーションテスト（CPTaaS）があります。ここでは、自社の成熟度・業種に応じてどの選択肢を検討すべきかを整理します。ツール型（Kali Linux／Metasploitなど）は本記事の対象外として、位置づけの整理にとどめます。
レッドチーム演習・TLPT が向くケース
レッドチーム演習は、通常のペネトレーションテストが単一システム・単一シナリオを対象とするのに対し、複数の侵入経路（外部・内部・物理・ソーシャルエンジニアリング）を組み合わせて、事業ミッション達成の可否を包括的に評価する演習です。防御側（ブルーチーム）の検知・対応能力の実地評価も含まれ、事前告知なしでの本番環境実施が標準です。
TLPT（Threat-Led Penetration Testing、脅威ベースペネトレーションテスト）は、G7の「Fundamental Elements for Threat-Led Penetration Testing」（2018年10月）で以下のように定義されています。
TLPT is a controlled attempt to compromise the cyber resilience of an entity by simulating the tactics, techniques and procedures of real-life threat actors. It is based on targeted threat intelligence and focuses on an entity’s people, processes and technology, with minimal foreknowledge and impact on operations.
出典：G-7 Fundamental Elements for Threat-Led Penetration Testing｜金融庁
日本では金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日）で、金融機関に対して「対応が望ましい事項」としてTLPTの定期的な実施が明示されています。
同ガイドラインでは、TLPT実施時に留意すべき事項として、必要な経験・スキルを持つ業者の選定（テスターの資格・経歴のバックグラウンドチェックを含む）、脅威インテリジェンスを踏まえた実際の攻撃者水準のテクニック、ブルーチームへの予告なしの本番環境実施、判明した課題の経営陣への報告と改善活動などを具体的に規定しています。
レッドチーム・TLPT が向くのは、標的型攻撃・APT攻撃の主要ターゲットとなる金融機関・社会インフラ・大手事業会社で、経営レベルでインシデント対応能力の実地評価を求める組織です。実施シナリオの設計・攻撃技術の選定には、MITRE ATT&CK フレームワーク（実際の攻撃者の戦術・技術・手順を体系化したナレッジベース）が国際共通言語として参照されます。
出典・参考資料（4件）
継続的ペネトレーションテスト（CPTaaS）が向くケース
継続的ペネトレーションテスト（CPTaaS：Continuous Penetration Testing as a Service）は、スポット実施の従来型に対し、対象システムを継続的にモニタリング・攻撃検証するサブスクリプション型のサービスです。
DevOps・CI/CDのように短サイクルでシステムを更新する事業モデルでは、年1回のスポット実施だけでは新規リリース時点の脆弱性を捕捉しきれないため、継続的な攻撃視点の検証が必要となる場面で選択肢に入ります。
SaaS事業者・オンラインサービス事業者で、月次〜四半期単位で新機能をリリースする事業体、および攻撃対象領域（Attack Surface）が継続的に変化する事業モデルに適しています。ただし、CPTaaS は自動化ツールと手動ペンテスターを組み合わせたハイブリッド型が中心で、フル手動のオーダーメイド型ペネトレーションテストと同等の深さを常時得られるわけではない点は事前に理解しておく必要があります。
OSSツール（Kali Linux／Metasploit 等）との位置づけ（本記事対象外）
Kali Linux、Metasploit、Burp Suite、Nmap、sqlmap などのオープンソース／商用ペネトレーションテストツールは、外部委託せず自社内でセキュリティチームが実施する場面で用いられます。
ただし、これらのツールを使いこなすには前述の認定資格レベルの専門スキルが必要であり、社内にセキュリティ専門人材を抱えられる大手ベンダー・セキュリティ企業以外では、通常は外部委託を選択します。
脆弱性診断まで含めて社内での実施可否を検討する場合は、診断項目別の内製化可否や自動化ツール・CI/CD 組込の実装手順を整理した以下の記事もあわせてご参照ください。
まとめ
本記事では、ペネトレーションテストの定義・脆弱性診断との違いを整理したうえで、診断シナリオの起点別に4タイプ（外部公開資産型／社内NW侵入型／実運用シナリオ型／中小向け短期パッケージ型）に分けて、主要な提供会社17社を比較・紹介しました。
発注検討においては、まず自社が検証したい診断シナリオの起点と対象範囲を明確にし、実施手法・診断員スキル・料金レンジ・認定資格・報告書運用の5観点で候補ベンダーを絞り込むことが基本の進め方となります。
金融機関・社会インフラ・標的型攻撃の主要ターゲットとなる大手事業会社ではレッドチーム・TLPTの選択肢が視野に入り、初回発注・上場審査対応・限られた予算での段階的検証では中小向け短期パッケージ型が入口として機能します。
最後に、4タイプそれぞれで「まず候補に入れて相見積・ヒアリングを進めるとよい代表社」を1〜2社ずつ挙げます。自社要件に近いタイプから、以下のベンダーを起点に候補を組み立ててください。
- 外部公開資産型: GMOイエラエ／NRIセキュア — 手動主体の広範な診断メニューを持ち、Webアプリ・外部NW・IoT・レッドチームまで一社で発注可能。診断員の国際資格保有と実績が公式に確認でき、稟議材料が揃います。
- 社内NW侵入型: LANSCOPE ペネトレーションテスト — マルウェア感染〜ドメイン管理者権限奪取〜重要情報持ち出しのシナリオを200万円〜で明示、報告書サンプルまで公開しており、初回内部侵入検証の相場感を掴みやすい一社です。
- 実運用シナリオ型: サイバーディフェンス研究所／NECセキュリティ — レッドチーム演習・目標達成型のペネトレを専門で提供し、経産省例示資格の保有明示・JASA登録・国内大手企業への導入実績で第三者説明責任に耐える体制を持ちます。
- 中小向け短期パッケージ型: TISI／CEC Cyber NEXT — 70〜170万円台・2週間〜1ヶ月の短納期で、上場審査・初回検証の入口価格帯を担います。CEC は3ヶ月以内の無料再診断を明示しており、修正〜再検証の一連の運用まで見込めます。
MCB FinTechカタログでは、本記事で紹介したペネトレーションテストサービスの詳細な資料を無料で請求できます。ぜひ各社の資料を並べて、自社の要件に合う発注先の絞り込みを進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ペネトレーションテストとは何ですか？
A. ペネトレーションテストとは、攻撃者と同じ手法・視点で自社システムに疑似攻撃を仕掛け、事前に定めた攻撃目的が実運用環境下で達成できるかを検証するセキュリティテストです。単一の脆弱性を機械的に検知する脆弱性診断とは異なり、複数の脆弱性の組み合わせや運用の穴、侵入後の権限昇格・横展開までを含めた、現実に近い攻撃耐性を評価します。
NIST SP 800-115・経済産業省「情報セキュリティサービス基準」でもほぼ同趣旨で定義されており、日本国内の発注実務ではこれらの定義が広く参照されます。
Q. ペネトレーションテストと脆弱性診断はどちらを先に実施すべきですか？
A. ペネトレーションテストと脆弱性診断は、脆弱性診断を先に実施して既知のセキュリティホールを網羅的に洗い出し・修正したうえで、その残存リスクを実運用シナリオで検証するペネトレーションテストを後に実施する順序が基本形です。
先にペネトレーションテストを行うと、単純な既知脆弱性を突く経路で早々に目標達成してしまい、複雑な組み合わせ攻撃・横展開の検証工数が生かされない結果になりがちです。両者は代替関係ではなく役割分担の関係にあるため、中長期のセキュリティ運用計画に組み込んで併用する発注が望まれます。
Q. ペネトレーションテストの実施頻度はどのくらいが目安ですか？
A. ペネトレーションテストの実施頻度は、最低でも年1回の定期実施を基本としつつ、新規サービスの公開・ネットワーク構成の大規模変更・法令やガイドラインの改定・脅威動向の大きな変化のタイミングでの都度実施を組み合わせる運用が推奨されます。
DevOps・CI/CDで短サイクルにシステムを更新するSaaS事業者などは、年1回のスポット実施だけでは新規リリース時点の脆弱性を捕捉しきれないため、継続的ペネトレーションテスト（CPTaaS）の併用が選択肢となります。金融機関は金融庁ガイドラインでTLPTの定期実施が「対応が望ましい事項」として明示されています。
Q. ペネトレーションテストの所要期間はどのくらいかかりますか？
A. ペネトレーションテストの所要期間は、中小規模向け短期パッケージ型で2週間〜1ヶ月、外部公開資産型・社内NW侵入型で1〜3ヶ月、レッドチーム・TLPTを含む実運用シナリオ型で3ヶ月〜半年程度が目安です。
実際のスケジュールは、ヒアリング・シナリオ設計（1〜2週間）、契約締結、疑似攻撃の実施、報告書作成・報告会（2〜4週間）、再診断・QAサポートまで含めた全工程で構成されます。監査対応・稟議で報告書の必要納期が定まっている場合は、余裕をもって初回相談を開始することが推奨されます。
Q. ペネトレーションテストを初めて発注するときは何から始めればよいですか？
A. 初回発注では、まず対象資産・ネットワーク構成・実施目的（新規公開／監査対応／親会社要件など）・想定シナリオ・予算とスケジュール・実施環境（本番／ステージング）の合意事項を自社内で整理したうえで、複数ベンダーに初回ヒアリングを依頼する進め方が円滑です。
整理が難しい場合は、ベンダー側のヒアリングで確認したいリスクに沿った適切な診断シナリオを一緒に検討してもらう相談から入る方法もあります。初回は中小向け短期パッケージ型で耐性感覚をつかみ、次回以降オーダーメイド型・レッドチーム型へ段階的にレベルを上げる発注プランも組みやすい構造です。
Q. ペネトレーションテストは本番環境で実施しても大丈夫ですか？
A. ペネトレーションテストは実際に攻撃を試みる性質上、対象システムに一定の負荷やダウンリスクを伴うため、事前に「本番環境／ステージング環境」「実施時間帯」「サービス影響が想定される場合の中断ルール」を明文化し、社内のインフラ運用・カスタマーサポート・営業部門と合意形成してから実施することが前提です。
金融機関向けのTLPTでは本番環境かつブルーチーム無告知が原則であるため、経営レベルでの実施承認と事後の連携プロセスを事前に設計する必要があります。テスト実施期間中はシステム変更を凍結し、テスト結果と実運用状態のズレを回避する運用が一般的です。
Q. ペネトレーションテストのベンダー選定で重視すべき認定資格・準拠規格はどれですか？
A. ベンダー選定で重視すべき指標は、診断員個人の資格としてOSCP・CRTシリーズ・GPEN・GWAPT・CRESTなど（経済産業省が公式に例示）、事業者・実施手順の準拠規格としてJASA「情報セキュリティサービス基準適合サービスリスト」への登録・NIST SP 800-115・PTES・PCI DSS v4.0への準拠の2軸です。
クレジットカード情報を扱うEC・決済事業者はPCI DSS v4.0要件11.4への準拠実績、金融機関はTLPT実施実績、公共・官公庁向けはJASA登録の有無が稟議・監査対応で重視されます。診断員個人の資格は「その名前の資格を診断チームに何名が保有しているか」を見積・提案時に必ず確認することが推奨されます。
Q. 中小企業でもペネトレーションテストを発注する必要はありますか？
A. 中小企業でも、顧客情報・決済情報・営業機密など「攻撃されたら事業継続に影響する情報資産」を保有し、それらがインターネット公開システムや社内NWで扱われている場合は、ペネトレーションテストの検討価値があります。上場審査・親会社からの委託先評価・大手取引先とのセキュリティ要件確認など、対外的な説明資料としての需要も年々増加しています。
予算が限られる場合は、70万円〜200万円台の中小規模向け短期パッケージ型（TISI／Cyber NEXT）や、FQDN／IP定額のレイ・イージス（128万円〜）、契約金額80万円以上でサイバー保険が付帯するNTTドコモソリューションズなどが入口として機能します。まず1シナリオを実施して耐性感覚を得たうえで、翌年以降に対象範囲を段階的に拡大する発注プランも組みやすい構造です。
ペネトレーションテストサービスの料金・手数料を一括チェック
MCB FinTechカタログでは、ペネトレーションテストサービスの最新資料を無料で一括ダウンロードできます。参考価格、診断シナリオの対応範囲、認定資格・準拠規格、報告書運用など、発注先の比較検討に必要な情報をすばやく把握できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
