自社のWebサービスや社内システムにセキュリティ検査を入れようと見積もりを取り始めると、「脆弱性診断」と「ペネトレーションテスト」という2つの言葉に突き当たります。どちらもシステムの弱点を調べる検査ですが、目的も、調べる深さも、費用も異なるため、自社にどちらが必要なのか判断できず手が止まってしまうケースは少なくありません。
本記事では、脆弱性診断とペネトレーションテストの違いを、目的・対象範囲・手法・検出できること・費用・実施頻度という観点で一覧に整理します。そのうえで、自社がどちらを（あるいは両方をどの順で）実施すべきかの判断材料と、費用相場、依頼先の選び方までを解説します。
検査の実施を検討している情報システム・セキュリティ担当の方が、両者の違いを正確に理解し、次の一歩に進むための材料としてご活用ください。
目次
一括ダウンロードする
脆弱性診断とペネトレーションテストの違い
脆弱性診断とペネトレーションテストの違いは、「目的」と「どこまで踏み込むか」の2点に集約されます。脆弱性診断は、システムに存在する弱点を網羅的に洗い出すことを目的とした検査です。これに対してペネトレーションテストは、攻撃者になりきって実際に侵入を試み、その弱点がどこまで悪用できるか・被害がどこまで及ぶかを実証することを目的とします。
公的なセキュリティ基準も、この2つを明確に区別しています。クレジットカード業界のセキュリティ基準であるPCI DSS v4.0.1は、ペネトレーションテストを「発見した脆弱性を実際に悪用することを通常含む能動的なプロセス」と定義し、脆弱性スキャンとの違いを次のように説明しています。
A penetration test differs from a vulnerability scan, as a penetration test is an active process that usually includes exploiting identified vulnerabilities.
（ペネトレーションテストは、発見した脆弱性を実際に悪用することを通常含む能動的なプロセスである点で、脆弱性スキャンとは異なる。）
出典：PCI DSS v4.0.1 Requirement 11.4｜PCI Security Standards Council
脆弱性診断とは（弱点を網羅的に洗い出す検査）
脆弱性診断は、WebアプリケーションやサーバーなどのITシステムに、既知の弱点が存在しないかを網羅的に調べる検査です。専用ツールによる自動スキャンを中心に、必要に応じて手動の確認を加え、「どこに、どんな弱点があるか」を一覧として洗い出します。
米国国立標準技術研究所（NIST）の技術ガイドNIST SP 800-115では、脆弱性スキャンを、組織がさらされている表面的な弱点を比較的速く・手軽に把握できる手法と位置づけています。一方で、スキャン結果には誤検知が多く含まれるため、人による検証が必要になるとも指摘されています。
日本国内では、独立行政法人情報処理推進機構（IPA）が公開する「安全なウェブサイトの作り方」および別冊「ウェブ健康診断仕様」が、診断項目の標準的な参照先として知られています。
「ウェブ健康診断仕様」には、危険度の高い脆弱性など13の診断項目について、検出パターンと、それに対応した脆弱性有無の判定基準が記載されています。
出典：安全なウェブサイトの作り方｜独立行政法人情報処理推進機構（IPA）
脆弱性診断が洗い出すWebアプリケーションの弱点は、アクセス制御の不備や設定ミス、SQLインジェクションのような攻撃につながる実装上の問題などです。これらは、OWASP（Webアプリケーションのセキュリティ向上に取り組む国際的な非営利団体）が公開する代表的なリスク類型「OWASP Top 10」に沿って整理されることが一般的です。
出典・参考資料（2件）
ペネトレーションテストとは（侵入可否と被害範囲を実証する検査）
ペネトレーションテスト（侵入テスト）は、攻撃者が使うものと同じツールや手法を用いて、実際のシステムに対して疑似的な攻撃を仕掛ける検査です。NIST SP 800-115は、ペネトレーションテストを、評価者が現実の攻撃を模倣してアプリケーション・システム・ネットワークのセキュリティ機能を回避する方法を探るテストと定義しています。
多くの場合、単体の脆弱性ではなく、複数の弱点を組み合わせることで、本来許されるはずのない範囲まで侵入できるかどうかを検証します。
脆弱性診断が「弱点のリストを作る」検査だとすれば、ペネトレーションテストは「その弱点を実際に突いたら、どこまで侵入でき、何を奪えるのか」を確かめる検査です。目標を定めたうえで侵入シナリオを設計し、手動での検証が中心になるため、脆弱性診断よりも専門性と工数を要します。
【比較表】脆弱性診断とペネトレーションテストの違いを7つの観点で比較
ここまでの違いを、目的・対象範囲・手法・検出できること・費用・実施頻度・向いている状況の7つの観点で一覧にまとめます。自社にどちらが必要かを考える際の突き合わせにご活用ください。
| 目的 | 対象範囲 | 主な手法 | 検出できること・成果物 | 費用の目安 | 実施頻度の目安 | 向いている状況 | |
|---|---|---|---|---|---|---|---|
| 脆弱性診断 | 既知の弱点を網羅的に洗い出し、対策すべき箇所を把握する | システム全体を広く浅く。対象のすべての弱点を洗い出す | 専用ツールによる自動スキャンが中心（必要に応じ手動確認） | 既知の脆弱性の一覧と危険度。誤検知を含むため人の解釈が必要 | 数十万円から（対象範囲・ページ数・手動比率で変動） | 定期的に実施（リリース時・大きな変更時に加え継続的に） | まず自社の弱点を網羅的に把握したい。初めての検査・予算を抑えたい |
| ペネトレーションテスト | 攻撃者視点で実際に侵入を試み、侵入可否と被害範囲を実証する | 特定の侵入経路・目標を深く。狙った経路をどこまで突破できるか | 攻撃者と同じ手法を使った手動検証が中心。複数の弱点を組み合わせる | 実際に侵入できた経路・奪取できた情報・事業への影響の実証レポート | 数十万〜数百万円（シナリオ数・対象システムの複雑さで変動） | 年1回程度＋重要な変更後が一つの目安。診断の間に挟む運用が有効 | 対策済みの実効性を確かめたい。重要システム・規制要件への対応 |
※上記は一般的な傾向を整理したものです。実際の対象範囲・手法・費用・頻度は、検査を依頼するサービスや自社の要件により異なります。
実施頻度・実施時期の違い
脆弱性診断は、新しいシステムのリリース時や大きな変更時に加え、定期的に繰り返すことで弱点を早期に把握できます。ペネトレーションテストは、コストと負荷が大きいため、より限定的な頻度で実施するのが一般的です。
NIST SP 800-115は、ネットワークやシステムへのペネトレーションテストは年1回程度で十分な場合が多いとし、定期的な脆弱性スキャンの合間にペネトレーションテストを挟む運用が、多くの攻撃の予防と被害の軽減に役立つと説明しています。
クレジットカード情報を扱うなどPCI DSSへの準拠が必要な事業者の場合は、これが要件として明文化されています。PCI DSS v4.0.1では、脆弱性スキャンを3か月に1回以上（要件11.3）、ペネトレーションテストを12か月に1回以上かつ重要なシステム変更のたびに実施すること（要件11.4）が求められます。自社が規制の対象かどうかにより、守るべき頻度は変わる点に注意が必要です。
出典・参考資料（2件）
自社はどちらを選ぶべきか（状況別の選び分け）
2つの違いを踏まえ、自社はどちらを実施すべきかを状況別に整理します。「どちらも大事」で終わらせず、自社の状況に当てはめて判断できるよう、向いているケースと、両方を行う場合の順番を示します。
脆弱性診断が向くケース
自社システムにどんな弱点があるかをまだ把握できていない場合は、まず脆弱性診断から始めるのが基本です。網羅的に弱点を洗い出せるため、対策の全体像をつかめます。初めてセキュリティ検査を実施する、予算を抑えて広く確認したい、Webサービスのリリース前後や定期的な点検として実施したい、といったケースに適しています。
ペネトレーションテストが向くケース
すでに脆弱性診断や基本的な対策を済ませており、その対策が実際の攻撃に耐えられるか（実効性）を確かめたい場合は、ペネトレーションテストが適しています。金融・決済や個人情報を多く扱うシステム、停止が許されない重要システムなど、侵入された場合の被害が大きい領域では、実際の侵入可否まで確認する価値が高まります。前述のとおり、PCI DSSなど特定の規制・業界要件で実施が求められる場合も対象です。
併用するなら順番が重要
両方を実施する場合は、順番が重要です。まず脆弱性診断で既知の弱点を洗い出して対策し、そのうえでペネトレーションテストを行い、対策後も実際の攻撃で突破されないかを確かめる、という流れが効率的です。弱点が多く残ったままペネトレーションテストを行うと、既知の弱点を確認するだけで終わってしまい、本来の「実効性の検証」という価値を得にくくなります。
脆弱性診断・ペネトレーションテストの費用相場と変動要因
費用は依頼先・対象範囲・手法によって幅がありますが、桁感としては、脆弱性診断が数十万円台から、ペネトレーションテストはその数倍〜数百万円規模が中心です。小規模な対象なら数十万円から、重要システムや複雑な侵入シナリオでは数百万円規模まで広がります。
ペネトレーションテストが高くなりやすいのは、自動ツールではなく専門家による手動検証が中心で、侵入シナリオの設計や検証に工数がかかるためです。
費用を左右する主な要因は、診断する対象の範囲（Webアプリのページ数・APIのエンドポイント数・ネットワークの規模）、手動検証の比率、ペネトレーションテストであれば想定する攻撃シナリオの数です。
たとえば、公開料金を出しているサービスの例では、ソースコードを対象としたAI診断が150,000円程度から、Webアプリケーションを対象とするペネトレーションテストが600,000円程度から、ネットワークを対象とするものが1,000,000円程度からとされています。依頼先や検査範囲によっては個別見積もりとなる場合もあります。
ペネトレーションテスト側の費用は、診断する対象や想定する攻撃シナリオの数によって、脆弱性診断よりも幅が大きくなりがちです。対象別・規模別の料金の目安や、見積もりを取るときの進め方をもう一段詳しく知りたい場合は、以下の記事で解説しています。
ペネトレーションテストの費用相場｜対象別・規模別の料金と見積もりの取り方
監査対応や取引先からのセキュリティ質問票、あるいは経営層からの一言をきっかけに、ペネトレーションテストの発注を検討することになった――そんなとき、まず知りたいのは「いくらぐらいかかるのか」の具体的な金額の当たりです。 ところが検索結果には「…
一括ダウンロードする
失敗しない依頼先の選び方
脆弱性診断・ペネトレーションテストのいずれを依頼する場合も、依頼先を選ぶ際に確認しておきたい観点があります。検査して終わりではなく、自社の対策につながる依頼先を選ぶための判断材料として整理します。
依頼先を選ぶときに確認したい観点
第一に、自社の検査したい対象（Webアプリ、API、ネットワーク、ソースコードなど）に対応しているか、そして自動ツールだけでなく手動診断を組み合わせているかを確認します。業務ロジックの穴のように、手動でなければ見つけにくい弱点があるためです。
第二に、報告書の内容と、発見後のサポートを確認します。弱点の一覧だけでなく、危険度・修正方法・再診断の有無まで含まれているかで、対策のしやすさが変わります。
第三に、ペネトレーションテストを依頼する場合は、テスターの技術水準を外形的に判断できる材料を確認します。
PCI DSS v4.0.1は、業界で認められた方法論（OSSTMM〈オープンソースのセキュリティテスト方法論〉やOWASPのペネトレーションテストプログラムなど）に沿って実施することを求めています。あわせて、テスターの技能を示すペネトレーションテストの資格・実績を、選定の判断材料にすることも挙げています。
OSCP（侵入テストの実技を問う資格）のような実技系の資格や、過去の診断実績は、依頼先に確認できる判断材料の一例です。
依頼から報告までの進め方
依頼の大まかな流れは、脆弱性診断・ペネトレーションテストとも共通しています。まず検査対象・範囲をヒアリングして見積もりと計画を作り、次に実際の検査を実施し、最後に検出した弱点とその危険度・改善策をまとめた報告書を受け取ります。ペネトレーションテストでは、検査の前に「どの経路から、どこまでの侵入を試すか」というシナリオ設計が加わります。
報告書を受け取った後、修正の相談や再診断にどこまで対応してくれるかは依頼先によって差があるため、見積もり段階で確認しておくと安心です。
脆弱性診断・ペネトレーションテストを依頼できるサービス
ここからは、脆弱性診断とペネトレーションテストの両方に対応し、自社の状況に合わせて検査を依頼できるサービスを紹介します。まずは両者の対応範囲を比較表で確認してください。
| サービス名 | Hi AUDIT | CoWorker 脆弱性診断サービス |
|---|---|---|
| 脆弱性診断 | ● | ● |
| ペネトレーションテスト | ● | ● |
| 主な診断対象 | Webアプリ・API スマートコントラクト IoT機器・医療機器 など | Webアプリ・API ソースコード・設計書 |
| 診断の進め方 | ツールによる自動診断＋専門家の手動診断（ハイブリッド診断） | 自社開発AI「Red Agent」の自動解析＋社内専門家による最終確認 |
| 料金 | 要お問い合わせ （検査対象・範囲に応じた見積もり） | ソースコードのAI診断は150,000円〜 Webアプリのペネトレーションテストは600,000円〜 ※CoWorker株式会社の公開情報による |
| 特徴 | 報告書の提出後も、修正が完了するまで相談・再確認に対応。規模・予算・期間の制約に合わせて診断内容を柔軟に設計 | 同社によると、AIの活用で診断時間を従来比最大1/10に短縮。ソースコード診断からペネトレーションテストまで1社で段階的に選べる |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. Hi AUDIT（株式会社TECHFUND）
Hi AUDITは、株式会社TECHFUNDが提供するセキュリティ診断サービスです。WebアプリケーションやAPIの脆弱性診断・ペネトレーションテストに対応し、さらにWeb3のスマートコントラクト監査やIoT機器・医療機器まで診断対象を広げています。ペネトレーションテストの実績は公式のGitHubでも公開されています。
特徴は、ツールによる自動診断と専門家によるマニュアル診断を組み合わせたハイブリッド診断です。ツールで大量の項目を効率的に確認しつつ、業務ロジックや複数の弱点の組み合わせといった、ツールだけでは取りこぼしやすい部分を専門家が検証します。プロジェクトの規模や予算・期間の制約に合わせて診断内容を柔軟に設計できる点や、報告書の提出後も修正が完了するまで相談・再確認に対応する方針も、同社が掲げる強みです。
料金は検査対象や範囲に応じた見積もりとなるため、要お問い合わせです。
脆弱性診断・ペネトレーションテストの成果物を、実際の対策にどうつなげるか。この論点について、Hi AUDITを提供する株式会社TECHFUNDの生田氏は次のように語っています。
脆弱性の報告だけでは、企業側からすると、何から対応すればいいのか分かりません。「この問題を悪用されると、他ユーザーの情報を取得される可能性がある」「この脆弱性は認証を突破して管理者権限を取得される可能性がある」といった形で、攻撃シナリオと事業インパクトまで整理して説明することを重視しています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社の脆弱性診断サービスは、ソースコードを対象とした静的診断、稼働中のWebアプリケーション・APIを対象とした動的診断、そして実際に攻撃を試みる実践攻撃シミュレーション診断（ペネトレーションテスト）までを、一つのメニューの中から選んで依頼できる点が特徴です。
「まず診断で弱点を洗い出し、必要に応じてペネトレーションテストで実効性を確かめる」という選び分け・併用を、1社で進めやすい構成になっています。
診断には自社開発のAI「Red Agent」を用い、AIによる自動解析の後に社内の専門家が結果を確認してレポートを作成します。従来の手法と比べて診断にかかる時間を短縮できることを訴求しており、料金はソースコードのAI診断が150,000円からなど、対象と手法に応じてプランが分かれています（CoWorker株式会社の公開情報、2026年10月時点）。
脆弱性診断の実施頻度をどう考えるべきか。この点について、CoWorker株式会社の一ノ瀬氏は、攻撃側の変化を次のように話しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
ここで紹介した2社は、脆弱性診断とペネトレーションテストの両方に対応しています。一方で、実施する検査をすでに決めていて、より多くの選択肢の中から依頼先を比べたい場合もあります。脆弱性診断の依頼先を幅広く比較したい場合は脆弱性診断サービスの比較記事を、ペネトレーションテストに絞って依頼先を探したい場合はペネトレーションテスト会社の比較記事を、それぞれご覧ください。
ペネトレーションテスト会社おすすめ15選｜費用相場・診断範囲・失敗しない選び方を比較
脆弱性診断は毎年受けているものの、実際に攻撃者が侵入できるのか、侵入されたあとにどこまで被害が広がるのかまでは分からず、不安を感じていませんか。ツールによる脆弱性スキャンは既知の弱点を機械的に洗い出しますが、その弱点を突いて本当に内部まで到…
まとめ
脆弱性診断とペネトレーションテストは、どちらもシステムの弱点を調べる検査ですが、脆弱性診断が弱点を網羅的に洗い出すのに対し、ペネトレーションテストは実際に侵入を試みて被害範囲まで実証する、という目的と踏み込みの深さの違いがあります。費用や実施頻度もこの違いから変わってきます。
まだ自社の弱点を把握できていない段階なら脆弱性診断から始め、対策の実効性を確かめたい段階や重要システム・規制対応ではペネトレーションテストを組み合わせる、という順番で考えると選びやすくなります。
自社に合った検査の依頼先を比較検討する際は、以下から各サービスの資料をまとめて請求できます。費用感や対応範囲を見比べる材料としてご活用ください。
一括ダウンロードする
よくある質問（FAQ）
Q. 脆弱性診断とペネトレーションテストの違いを一言で言うと何ですか？
A. 脆弱性診断とペネトレーションテストの違いは、弱点を網羅的に「洗い出す」検査か、実際に侵入を試みて被害範囲まで「実証する」検査かという点にあります。脆弱性診断がシステムの弱点を一覧化する検査であるのに対し、ペネトレーションテストはその弱点を実際に突いて、どこまで侵入でき何を奪えるのかを確かめる検査で、目的と踏み込みの深さが異なります。
Q. 脆弱性診断とペネトレーションテストは、どちらを先にやるべきですか？
A. 両方を実施する場合は、先に脆弱性診断で弱点を洗い出して対策し、その後にペネトレーションテストで対策の実効性を確かめる順番が基本です。弱点が多く残ったままペネトレーションテストを行うと、すでに分かっている弱点を確認するだけで終わってしまい、本来の「対策が実際の攻撃に耐えられるか」という検証の価値を得にくくなるためです。
Q. 脆弱性診断とペネトレーションテストは両方とも必要ですか？
A. 脆弱性診断とペネトレーションテストは、必ず両方が必要なわけではなく、自社の状況に応じて選び分けます。初めて検査を実施する段階や、予算を抑えて弱点を網羅的に把握したい場合は脆弱性診断から始めるのが基本です。金融・決済や個人情報を多く扱う重要システムで、実施済みの対策が実際の攻撃に耐えられるかまで確かめたい場合や、規制・業界要件で求められる場合は、ペネトレーションテストも組み合わせます。
Q. 脆弱性診断とペネトレーションテストの費用はどのくらいが目安ですか？
A. 費用の目安は、脆弱性診断が数十万円から、ペネトレーションテストが数十万〜数百万円規模です。ペネトレーションテストが高くなりやすいのは、自動ツールではなく専門家による手動検証が中心で、侵入シナリオの設計や検証に工数がかかるためです。
実際の金額は、診断する対象の範囲（Webアプリのページ数・APIのエンドポイント数・ネットワークの規模）、手動検証の比率、想定する攻撃シナリオの数によって変動します。
Q. 脆弱性診断とペネトレーションテストはどのくらいの頻度で実施すべきですか？
A. 頻度の目安は、脆弱性診断はリリース時や大きな変更時に加えて定期的に、ペネトレーションテストは年1回程度と重要な変更後です。NIST SP 800-115も、定期的な脆弱性スキャンの合間にペネトレーションテストを挟む運用が、多くの攻撃の予防と被害の軽減に役立つと説明しています。
クレジットカード情報を扱うなどPCI DSS v4.0.1への準拠が必要な事業者の場合は、脆弱性スキャンを3か月に1回以上、ペネトレーションテストを12か月に1回以上かつ重要なシステム変更のたびに実施することが、要件として明文化されています。
出典・参考資料（2件）
Q. 自社が脆弱性診断・ペネトレーションテストの規制対象かどうかは、何で判断できますか？
A. 規制対象かどうかは、自社が扱うデータの種類と、加盟する業界基準・取引先からの要求で決まります。たとえばクレジットカード情報を保存・処理・送信する事業者はPCI DSS v4.0.1の対象となり、脆弱性スキャンとペネトレーションテストの実施が要件として明文化されています。自社が該当するかは、取り扱うデータ（カード情報・個人情報など）や業界の基準を起点に確認します。
規制の対象であれば、守るべき検査の種類と頻度が変わるため、見積もりを依頼する前に確認しておきましょう。
Q. 無料ツールや自動スキャンだけの脆弱性診断では不十分ですか？
A. 脆弱性診断は自動スキャンを主軸としますが、自動ツールだけでは、業務ロジックの穴や複数の弱点を組み合わせた侵入経路など、ツールが単体では見つけにくい弱点を取りこぼします。NIST SP 800-115も、スキャン結果には誤検知が含まれるため、人による解釈が必要だと指摘しています。
重要なシステムでは、依頼先が手動診断を組み合わせているか、必要に応じてペネトレーションテストまで行うかを検討する価値があります。
脆弱性診断・ペネトレーションテストの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・ペネトレーションテストに対応するサービスの最新資料を無料で一括請求できます。対応範囲や費用感をまとめて見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
