ペネトレーションテストと脆弱性診断の違いを比較｜目的・費用・選び方まで解説

セキュリティ診断の導入を検討し始めると、「ペネトレーションテスト」と「脆弱性診断」という似た言葉に出会い、どちらを頼めばよいのか迷う場面が少なくありません。名前は違っても目的が近そうに見えるため、社内や取引先に説明するときも整理に困りがちです。

結論から言えば、2つは目的が異なります。脆弱性診断は弱点を広く洗い出して「発見」する検査で、ペネトレーションテストは攻撃者の視点で実際に侵入を試み、被害がどこまで及ぶかを「実証」する試験です。目的が違うため、手法・費用・期間・実施頻度も大きく変わります。

本記事では、両者の違いを目的・手法・費用・期間・実施頻度の観点で整理し、費用相場の目安、自社はどちらを選ぶべきか（あるいは両方をどう使い分けるか）、実施の流れと種類・手法、依頼先の選び方までを解説します。自社に必要な検査を見極め、依頼先を比較検討するための判断材料としてご活用ください。

ペネトレーションテストと脆弱性診断の違い

ペネトレーションテストと脆弱性診断の最も大きな違いは、検査の目的にあります。脆弱性診断はシステムに潜む弱点を網羅的に洗い出して「発見」するのに対し、ペネトレーションテストは攻撃者と同じ手法で実際に侵入を試み、侵入できるか・どこまで被害が及ぶかを「実証」する検査です。目的が違うため、検査のやり方・かかる費用・期間・実施頻度、そして得られる報告書の中身まで変わってきます。

まずは、両者を主な観点で並べて全体像を掴んでおきましょう。それぞれの詳しい内容はこのあと順に解説します。

※上記は一般的な傾向です。費用・期間は診断対象の規模や手法によって大きく変わるため、実際の内容は各サービスの情報をご確認ください。

ペネトレーションテストとは

ペネトレーションテスト（侵入試験）とは、攻撃者と同じ手法で実際にシステムへ侵入を試み、「本当に侵入できるのか」「侵入された場合どこまで被害が広がるのか」を検証する試験です。あらかじめ「重要情報を盗み出せるか」といった攻撃の目標（シナリオ）を定め、その達成可否を確かめる点に特徴があります。

避難訓練で実際に非常口まで避難してみるように、机上の想定ではなく実際に攻撃を仕掛けて防御が機能するかを確かめる、と捉えると分かりやすいでしょう。

公的な基準でも、ペネトレーションテストは次のように定義されています。

脆弱性診断のサービスの定義を満たすサービスのうち、攻撃者が実際に侵入等を行うために用いる手法と同様の手法により、アプリケーション、システム、又はネットワークのセキュリティ機能を回避して攻撃の目的を達成できるかの観点から試験を行い、その結果をもとに助言を行うサービスをいう。

出典：情報セキュリティサービス基準 第4.1版（定義）｜経済産業省

ここで押さえておきたいのは、ペネトレーションテストが「脆弱性診断のサービスの定義を満たすサービスのうち」と位置づけられている点です。このことから、両者はまったく無関係な別物ではなく、脆弱性を調べる検査を土台に、さらに実際の侵入まで踏み込むのがペネトレーションテストにあたります。すべての弱点を洗い出すことよりも、定めた目標に到達できるかどうかの実証に主眼が置かれます。

脆弱性診断とは

脆弱性診断（セキュリティ診断）とは、システムやソフトウェアに存在する「攻撃に悪用されうる弱点（脆弱性）」を、専門ツールや専門家が検出・評価し、どこにどの程度の危険があるかを報告する検査です。人の健康診断のように、システム全体を広くチェックしてリスクを洗い出し、優先して直すべき箇所を明らかにします。

政府のガイドラインでも、脆弱性診断は弱点を「特定・検出」するものだと整理されています。診断はあくまで弱点を見つける検査であり、それ自体が弱点を塞ぐわけではない点が要点です。

脆弱性診断はシステムにおけるセキュリティ上の弱点を特定するものであるが、診断のみでシステムのセキュリティリスクを防ぐことはできない。また、脆弱性診断は既に作り込まれた脆弱性を検出するものであるが、それ以前に脆弱性の発生を未然に防ぐことが肝要である。

出典：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁

診断の対象は、Webアプリケーション・プラットフォーム（サーバーやネットワーク機器）・スマートフォンアプリなど幅広く、対象や手法によって分かることも費用も変わります。診断を受けると、検出された脆弱性の一覧・危険度の評価・改善のための助言が報告書として得られ、その結果をもとに修正（治療）を行うことで初めてセキュリティ対策として機能します。

費用・期間の相場

ここからは、予算を組んだり社内で稟議を通したりする際に押さえておきたい、費用と期間の相場を整理します。金額は診断対象の規模・範囲・手法によって大きく変わるため、ここで示すのはあくまで目安の幅です。実際の費用は個別見積もりになる点にご注意ください。

脆弱性診断は、ツールによる自動診断か専門家による手動診断かで費用の幅が大きくなります。診断ベンダーの公表情報では、脆弱性診断の相場はおおむね数十万円から200万円程度、期間は数日から2〜4週間程度が目安とされています。

ツール型の自動診断は数万円〜数十万円（月額課金型では月額数千円台から）と比較的安価な一方、専門家による手動診断はWebアプリの小規模なもので数十万円、中規模になると100万円を超えることもあります。

これに対しペネトレーションテストは、実際の攻撃を模した工数のかかる試験のため高額になりやすい傾向があります。ベンダーへの依頼では200万円〜500万円以上、重要インフラや大規模システムを対象とする場合は数千万円規模になることもあり、期間も数週間から数ヶ月に及びます。

同じ「セキュリティ診断」でも、脆弱性診断とペネトレーションテストで費用・期間に大きな差があることを踏まえて予算を検討するとよいでしょう。

出典・参考資料（3件）

• 出典：脆弱性診断とペネトレーションテストの違いとは？｜株式会社サイバーセキュリティクラウド（リンク）
• 出典：脆弱性診断の費用｜GMOサイバーセキュリティ byイエラエ（リンク）
• 出典：ペネトレーションテストの費用｜GMOサイバーセキュリティ byイエラエ（リンク）

特にペネトレーションテストは診断対象や規模によって費用の幅が大きく、見積もりの取り方でも金額が変わります。対象別・規模別の料金の目安や見積もりを取る際のポイントをより詳しく知りたい場合は、以下の記事で整理しています。

どちらを選ぶべきか（ケース別・段階的な併用）

脆弱性診断とペネトレーションテストは、どちらが優れているというものではなく、目的に応じて使い分けるものです。ここでは、自社の状況に当てはめて判断できるよう、それぞれが向いているケースと、両方を組み合わせる考え方を整理します。

脆弱性診断が向いているケース

初めてセキュリティ診断を実施する場合や、既知の弱点を広く洗い出して定期的にリスクを把握したい場合は、まず脆弱性診断が適しています。新しくWebサービスやシステムを公開する前のチェック、改修のたびの点検、年1回や四半期ごとの定期診断など、「弱点が残っていないかを網羅的に確認したい」場面に向きます。自社のセキュリティ対策の全体像を把握する出発点として選ばれることが多い検査です。

ペネトレーションテストが向いているケース

すでに一定のセキュリティ対策を講じており、「実際の攻撃に耐えられるか」を検証したい場合は、ペネトレーションテストが適しています。個人情報や決済情報など重要なデータを扱う基幹システム、金融・インフラなど攻撃を受けた際の影響が大きいシステムでは、想定した攻撃シナリオに沿って侵入を試み、防御が実際に機能するかを確かめる意義が大きくなります。

脆弱性診断で弱点をひととおり潰したうえで、重要な領域に絞って攻撃耐性を試す、という位置づけで実施するケースが一般的です。

段階的に組み合わせて使う

多くの企業では、どちらか一方だけを選ぶのではなく、両者を段階的に組み合わせて使います。前述のとおりペネトレーションテストは脆弱性診断を土台とする検査であるため、まず脆弱性診断で弱点を網羅的に洗い出して修正し、そのうえで重要なシステムに対してペネトレーションテストで実際の攻撃耐性を確かめる、という順序が理にかなっています。

また、脆弱性診断についても、ツールによる自動診断だけでは検出しきれない弱点があるため、専門家による手動診断を併用することが有効です。デジタル庁のガイドラインでも、ツールによる自動診断のみでは不十分であり、専門家の知見に基づく手動診断との併用が推奨されています。自社のシステムの重要度と予算に応じて、ツール診断・手動診断・ペネトレーションテストをどう組み合わせるかを設計するとよいでしょう。

出典・参考資料（1件）

• 参考資料：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）

実施の流れ

実際に依頼するとどのような流れで進むのか、脆弱性診断とペネトレーションテストそれぞれの一般的な工程を確認しておきましょう。あわせて、ペネトレーションテストの種類と手法についても整理します。

脆弱性診断の流れ

脆弱性診断は、まず診断対象（WebアプリケーションやサーバーなどのIT資産）と範囲を決めるヒアリングから始まります。次に、ツールによるスキャンと専門家による手動検査を組み合わせて弱点を洗い出し、検出された脆弱性を危険度とともに評価します。

最後に、脆弱性の一覧・危険度・想定される影響・改善の助言をまとめた報告書が提示され、その内容をもとに自社で修正を進めます。改修後に再診断を行い、対策が有効かを確認できるサービスもあります。

ペネトレーションテストの流れ

ペネトレーションテストでは、最初に「何を守るために、どこまでの侵入を試すか」という目標と攻撃シナリオの設計が肝になります。目標を定めたうえで、対象システムの調査（情報収集）を行い、想定した経路から実際に侵入を試みます。侵入に成功した場合は、そこからどこまで被害を広げられるか（横展開や情報の持ち出しが可能か）を検証します。

最後に、侵入の可否・成功した攻撃経路・想定される被害・具体的な対策提言をまとめた報告書が提示されます。机上の弱点確認ではなく、実際に攻撃を仕掛けて防御の実効性を確かめる点が、脆弱性診断との大きな違いです。

ペネトレーションテストの種類と手法

ペネトレーションテストは、攻撃の起点によって外部と内部の2種類に分けられます。外部ペネトレーションテストは、組織の外側（主にインターネット側）から、外部の攻撃者の視点で侵入できるかを検証します。内部ペネトレーションテストは、一般の利用者相当の権限を与えられた状態から、内部に入り込んだ攻撃者や内部関係者による脅威を想定して検証します。

また、テスターにどこまで事前情報を与えるかによって、手法が3つに分かれます。事前情報をほぼ与えずに外部の攻撃者と同じ立場で実施するのがブラックボックス、アカウントや構成の一部など限られた情報を与えて実施するのがグレーボックス、ソースコードや構成・認証情報などの内部情報をすべて与えて網羅的に実施するのがホワイトボックスです。

守りたい対象や想定する攻撃者像に応じて、これらの種類・手法を選んで実施します。

出典・参考資料（1件）

• 参考資料：Technical Guide to Information Security Testing and Assessment（NIST SP 800-115）｜米国国立標準技術研究所（NIST）（リンク）

依頼先（診断サービス）の選び方

自社に必要な検査の見当がついたら、次は依頼先の選定です。診断サービスは提供会社によって対応範囲や進め方が異なるため、以下の観点で比較検討すると、自社に合う依頼先を見極めやすくなります。

• 診断の目的が合っているか：弱点の網羅的な洗い出し（脆弱性診断）を求めるのか、実際の攻撃耐性の検証（ペネトレーションテスト）を求めるのかを明確にし、それを提供しているベンダーかを見極めましょう。両方を扱うベンダーなら、段階的な併用も一社で相談できます
• 診断対象の範囲：Webアプリケーション・ネットワーク（プラットフォーム）・クラウド・スマートフォンアプリ・ソースコードなど、自社が診断したい対象に対応しているかも確かめておきたいポイントです
• 診断員のスキル・実施体制：ツールによる自動診断だけでは検出しきれない弱点があるため、専門家による手動診断を行えるか、有資格の診断員が在籍しているかは重要な判断材料になります
• 報告書の内容と改善支援：検出結果だけでなく、危険度の評価・具体的な改善の助言まで示されるか、修正後の再診断や対策支援があるかも見ておくとよいでしょう。報告書は社内説明や改修計画の土台になります

これらの観点を、次に紹介する各社の対応範囲や特色と照らし合わせると、自社の重要度と予算に見合った依頼先を絞り込みやすくなります。

脆弱性診断・ペネトレーションテストに対応するサービスの比較と活用

ここからは、脆弱性診断とペネトレーションテストの両方に対応し、専門家による手動診断も提供している、依頼先として横並びで比較検討しやすいサービスを紹介します。まずは主要な対応領域を一覧で確認し、そのあと各サービスの特徴を見ていきましょう。

※表内のTLPTは脅威ベースのペネトレーションテスト（実際の攻撃者の脅威シナリオに基づく高度な試験）、ASMは攻撃面管理（外部公開資産を継続的に洗い出して診断する手法）を指します。詳細な料金は各社とも診断対象の規模により変わるため、個別見積りとなります。

ここで取り上げたのは手動診断を中心とする専門会社ですが、ツールによる自動診断や無料ツールも含めて脆弱性診断サービスを幅広く比較したい場合は、以下の記事で診断方法・費用相場・選び方を横断的に解説しています。導入を検討される方はあわせてご覧ください。

セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュアテクノロジーズ

NRIグループのセキュリティ専業会社であるNRIセキュアテクノロジーズが提供する、専門家による手動主体のセキュリティ診断サービス群です。Webアプリケーション・プラットフォーム・スマートフォンアプリ・API・クラウド設定・ソースコードなど幅広い診断対象をカバーし、攻撃者視点のペネトレーションテストやレッドチームオペレーションまで一社で相談できます。

Webアプリケーション診断では、専門家が手作業で行うマニュアル診断のみの方式と、手動診断にツール診断を補助的に併用する方式を選べます。国際資格を持つ専門家による手動診断を中核に据えており、ツール任せの自動診断とは異なる深さの検証を求める場合に有力な依頼先です。

脆弱性診断・ペネトレーションテスト／GMOサイバーセキュリティ byイエラエ

国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエは、専門家による手動主体の脆弱性診断・ペネトレーションテストを中核に据えるサイバーセキュリティ専門企業です。Webアプリケーション・スマホアプリ・クラウド・ネットワーク・IoTデバイスなど、対象の広さが特徴です。

提供形態は、個別見積もりで実施する専門家による手動診断・ペネトレーションテストと、月額課金で継続的に外部公開資産を診断するツール型のASM（攻撃面管理）の2系統に分かれます。深く作り込んだ手動診断と、継続的なツール診断を組み合わせて相談したい場合に検討しやすいサービスです。

脆弱性診断・セキュリティ診断サービス／株式会社ラック

セキュリティ監視センター「JSOC」で知られる株式会社ラックは、熟練エンジニアによる手動診断を主体としたハイブリッド型の脆弱性診断・セキュリティ診断を提供しています。Webアプリケーション・サーバー・ネットワーク機器・スマートフォンアプリ・クラウドなど幅広い対象に対応します。

ツール型のWeb診断から、ツールと手動を組み合わせた診断、情報システムを対象としたペネトレーションテスト、脅威ベースのペネトレーションテスト（TLPT）まで段階的にそろえている点が特徴です。監視・緊急対応・コンサルティングと診断を組み合わせられる総合セキュリティベンダーとして、官公庁・金融分野での実績も長く積み重ねています。

セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NTTセキュリティ・ジャパン

NTTグループのサイバーセキュリティ専業会社であるNTTセキュリティ・ジャパンは、「セキュリティ診断・評価・調査」として脆弱性診断とペネトレーションテストを提供しています。サーバー・ネットワーク機器などのプラットフォームと、Webアプリケーションの両方が診断対象です。

複数のツールと専門家の知見を組み合わせるハイブリッド診断のほか、ツールと環境の提供を受けて自社で継続的に実施するセルフ診断も選べます。さらに、人・プロセス・技術の観点から攻撃耐性を評価するRedTeam／TLPT（脅威ベースのペネトレーションテスト）も同じ枠組みで提供しており、診断からより実践的な検証まで一貫して相談できます。

SQAT（脆弱性診断サービス）／株式会社ブロードバンドセキュリティ

SQAT®（エスキュート）は、セキュリティ専業企業の株式会社ブロードバンドセキュリティ（BBSec）が提供する脆弱性診断ブランドです。専門家による手動診断と独自開発の自動診断を組み合わせたハイブリッド診断を採り、攻撃を受ける前にリスクを発見して対策すべき問題を特定します。

診断対象はWebアプリケーション・API・ネットワーク・スマートフォンアプリ・IoT・クラウド・ソースコードと幅広く、ペネトレーションテストにも対応します。外部（攻撃者）と内部（開発者）の両視点を組み合わせた診断メニューもあり、弱点の洗い出しから攻撃耐性の検証まで一社で相談できる依頼先です。

脆弱性診断サービス／三井物産セキュアディレクション（MBSD）

三井物産グループのサイバーセキュリティ専門企業である三井物産セキュアディレクション（MBSD）は、専門家による手動診断を主体に、Webアプリケーション・ネットワーク・スマートフォンアプリなどの脆弱性診断とペネトレーションテストを提供しています。

セキュリティのプロフェッショナルサービス・マネージドサービス・コンサルティングを手がける同社は、脅威情報の調査・分析で培った知見を診断にも活かしています。攻撃者の手口を踏まえた深い検証を求める企業にとって、検討候補となる依頼先です。

サイバー保険付き脆弱性診断サービス／NTTドコモソリューションズ

NTTドコモソリューションズ（旧NTTコムウェア）が「DSCB」ブランドで提供する脆弱性診断サービスです。ツールと専門家の手動診断を組み合わせたハイブリッド型で、ネットワーク・サーバー構成・Webアプリケーション・スマートフォンアプリの診断に加え、ペネトレーションテストを有資格者の体制で実施します。

特徴的なのは、診断契約にサイバー保険が無償で自動付帯する点です（契約金額の総額が税抜80万円以上の場合）。NTTグループ内のシステム診断で培った経験をもとに複数の診断メニューを提供しており、万一に備えた補償もあわせて検討したい企業に向いています。

ペネトレーションテストを中心に依頼先を検討している場合は、対応サービスをさらに多くの選択肢から比較できる以下の記事も参考になります。診断シナリオや認定資格など、発注先を見極める観点もあわせて整理しています。

まとめ

ペネトレーションテストと脆弱性診断は、目的の異なる検査です。脆弱性診断は弱点を網羅的に「発見」する検査、ペネトレーションテストは攻撃者視点で侵入可否や被害範囲を「実証」する試験で、目的が違うため手法・費用・期間・実施頻度も変わります。費用は脆弱性診断が数十万円〜200万円程度、ペネトレーションテストが200万円〜500万円以上と幅があり、対象の規模や手法によって大きく変動します。

どちらか一方を選ぶというより、まず脆弱性診断で弱点を網羅的に洗い出し、重要なシステムに絞ってペネトレーションテストで攻撃耐性を確かめる、という段階的な使い分けが実務的です。

依頼先を選ぶ際は、診断の目的・対象範囲・診断員のスキル・報告書の内容を比較し、自社のシステムの重要度と予算に合ったサービスを見極めましょう。まずは複数のサービスの資料を取り寄せて、対応範囲や進め方を比べてみることをおすすめします。

よくある質問（FAQ）

Q. ペネトレーションテストと脆弱性診断の違いは何ですか？

A. ペネトレーションテストと脆弱性診断の違いは、脆弱性診断が弱点を網羅的に「発見」する検査であるのに対し、ペネトレーションテストは攻撃者視点で実際に侵入を試み、侵入可否や被害範囲を「実証」する試験である点にあります。目的が「発見」と「実証」で異なるため、検査の手法・費用・期間・実施頻度、そして得られる報告書の中身まで変わります。

Q. ペネトレーションテストと脆弱性診断はどちらを先に受けるべきですか？

A. 一般的には、まず脆弱性診断で弱点を網羅的に洗い出して修正し、そのうえで重要なシステムにペネトレーションテストを行う順序が実務的です。ペネトレーションテストは脆弱性診断を土台とする検査であり、弱点を残したまま侵入試験だけを実施しても、得られる知見が限られてしまうためです。

Q. 脆弱性診断とペネトレーションテストは、どちらか一方だけでも十分ですか？

A. 十分かどうかは自社のシステムの重要度と対策段階によって異なりますが、初めての診断や定期チェックであれば脆弱性診断だけでも出発点になり、重要データを扱う基幹システムでは両方を段階的に併用するのが望ましいです。多くの企業は、脆弱性診断で網羅的に弱点を潰したうえで、重要な領域に絞ってペネトレーションテストで攻撃耐性を確かめています。

Q. ペネトレーションテストや脆弱性診断は、どのくらいの頻度で受ければよいですか？

A. 脆弱性診断はシステムの改修時や年1回〜四半期ごとなど定期的に、ペネトレーションテストは重要システムの節目や年1回程度受けるのが一般的な目安です。特に、新しいシステムやサービスを公開する前や、大きな仕様変更を加えたときは、その都度実施しておくと弱点の作り込みを早期に発見できます。

Q. 脆弱性診断やペネトレーションテストは、自社でツールを使って実施できますか？

A. ツールによる脆弱性診断は、ツールと環境の提供を受けて自社で継続的に実施（セルフ診断）できるサービスもありますが、専門家による手動診断やペネトレーションテストは高度な技術と経験を要するため、外部の専門会社に委託するのが一般的です。ツールによる自動診断は事前に定義された弱点の検出にとどまりやすく、攻撃者視点の実証や複雑な弱点の洗い出しには専門家の知見が欠かせません。

Q. 無料のツールで脆弱性診断やペネトレーションテストは代替できますか？

A. 無料ツールやツールのみの診断では検出できる弱点に限界があり、専門家による手動診断やペネトレーションテストの代替にはなりません。デジタル庁のガイドラインでも、ツールによる自動診断のみでは不十分で、専門家の知見に基づく手動診断との併用が推奨されています。無料ツールは日常的な自己チェックには役立ちますが、重要なシステムの評価は専門会社の診断と組み合わせるのが安全です。

出典・参考資料（1件）

• 参考資料：政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）｜デジタル庁（リンク）

Q. ペネトレーションテストと脆弱性診断の費用はどのくらいかかりますか？

A. 費用の目安は、脆弱性診断が数十万円〜200万円程度、ペネトレーションテストが200万円〜500万円以上で、ペネトレーションテストのほうが高額になりやすい傾向があります。いずれも診断対象の規模・範囲・手法によって大きく変わり、重要インフラや大規模システムのペネトレーションテストでは数千万円規模になることもあります。実額は個別見積もりになるため、診断したい範囲を伝えて見積もりを取るのが確実です。

Q. サイバー保険があれば、ペネトレーションテストや脆弱性診断は不要ですか？

A. サイバー保険は攻撃を受けた際の損害を補償するための備えであり、攻撃を防ぐための検査であるペネトレーションテストや脆弱性診断の代わりにはなりません。両者は役割が異なり、診断で弱点を減らして攻撃を受けにくくしつつ、万一に備えて保険で損害に対応する、という組み合わせでリスクを抑えるのが現実的です。

脆弱性診断・ペネトレーションテストの料金・資料を一括チェック

MCB FinTechカタログでは、脆弱性診断・ペネトレーションテストに対応するサービスの最新資料を無料で一括請求できます。診断対象や手法、費用感を横断で比較し、自社に合う依頼先を効率的に見つけられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。