ペネトレーションテストの方法とは？実施手順・種類・手法と費用相場をわかりやすく解説

自社のWebサービスや社内システムが、実際に攻撃を受けたときに侵入を防ぎきれるのか——脆弱性診断は受けたものの、そこまでは確かめられていない、という企業は少なくありません。その「本当に攻撃されたらどうなるか」を、攻撃者と同じ視点で実際に試すのがペネトレーションテスト（侵入テスト）です。

いざ実施を検討すると、「どういう手順で進むのか」「脆弱性診断と何が違うのか」「費用はいくらで、どこに頼めばよいのか」が分かりにくいのも実情です。テスターにどこまで情報を渡すかで手法が分かれ、費用も一回数十万円から数百万円規模までと幅があります。

本記事では、ペネトレーションテストの実施手順を、各ステップで発注側が何を決め・何を受け取るのかまで具体的に整理します。あわせて脆弱性診断との違い、種類（外部・内部）と手法の違い、費用相場、自社で行うか外注するか、依頼先の選び方までを解説し、最後に診断・ペネトレーションテストを提供する主要サービスを比較します。何を・いくらで・どこに頼めばよいかを判断する材料としてご活用ください。

ペネトレーションテストの方法・実施手順

ペネトレーションテストは、大きく「①計画・事前準備 → ②攻撃シナリオの設計 → ③疑似攻撃の実施 → ④結果の分析・報告書 → ⑤報告後の改善対応」という流れで進みます。進め方は提供会社によって3〜4段階の表現に分かれますが、大枠はこの流れで共通しています。

米国国立標準技術研究所（NIST）の技術ガイド「SP 800-115」は、ペネトレーションテストを計画（Planning）・探索（Discovery）・攻撃（Attack）・報告（Reporting）の4段階で整理しています。

同ガイド自身が「これは一例であり、作業のまとめ方には複数の妥当なやり方がある」と注記しているとおり、段階の数や呼び方は会社ごとに異なります。

国際的な実行標準であるPTES（Penetration Testing Execution Standard）は、事前合意・情報収集・脅威モデリング・脆弱性分析・エクスプロイト・ポストエクスプロイト・報告の7段階を定めています。本記事では発注側の動きが分かりやすいよう、この5ステップに沿って解説します。

出典・参考資料（2件）

• 参考資料：Technical Guide to Information Security Testing and Assessment（NIST SP 800-115）｜National Institute of Standards and Technology
• 参考資料：The Penetration Testing Execution Standard（PTES）

①計画・事前準備（目的と範囲、ルールの合意）

最初のステップは、何のためにテストを行い、どこまでを対象にするかを決める計画です。NIST SP 800-115 も、この計画段階で「ルールを定め、経営層の承認を文書化し、テストの目標を設定する」とし、実際の攻撃はまだ行わないと説明しています。

発注側が決めるのは、確認したいリスク（例: 外部から侵入され顧客情報まで到達されないか）、対象範囲（どのシステム・IPアドレスまで含めるか）、実施してよい時間帯や禁止事項といった実施ルールです。本番システムに影響が出る可能性もあるため、どこまで攻撃を許可するかをテスト会社と合意し、書面化しておくことが欠かせません。

②攻撃シナリオの設計（スコープ・起点・目標・攻撃手法）

次に、計画で定めた目的を「どんな攻撃の筋書きで検証するか」に落とし込みます。多くの場合、発注側は「どんなリスクを確認したいか」を伝え、具体的な攻撃シナリオはテスト会社が設計・提案します。

シナリオは、どこまでを攻撃対象とするか（スコープ）、どこから攻撃を始めるか（起点。例: 社員PCのマルウェア感染、公開サーバーへの不正侵入）、何を達成できたら「侵入成功」とするか（目標。例: 基幹サーバーや管理者権限への到達）、どの攻撃手法を用いるかという要素で組み立てます。

攻撃手法を体系的に参照する枠組みとして、実際の攻撃者の戦術・技術を観測に基づき整理した「MITRE ATT&CK」などのナレッジベースが使われることもあります。

出典・参考資料（1件）

• 参考資料：MITRE ATT&CK®｜The MITRE Corporation

③疑似攻撃の実施（情報収集から侵入の検証まで）

設計したシナリオに沿って、テスターが実際に疑似攻撃を行う中心の工程です。NIST SP 800-115 では、探索フェーズで情報収集とスキャン・脆弱性分析を行い、攻撃フェーズで「見つかった潜在的な脆弱性を、実際に悪用を試みて検証する」と整理しています。悪用に成功すれば脆弱性が「本当に危険である」と裏づけられ、必要な対策が特定されます。

この工程では、ポートスキャンに使うNmapや、攻撃コードを実行するMetasploitといった専門ツールが、情報収集や侵入の足がかりづくりに用いられます。ただしツールはあくまで補助で、どの経路をどうつなげて目標へ到達するかはテスターの判断によります。

攻撃の過程で新たな侵入口が見つかれば、再び情報収集に戻って掘り下げるという往復が繰り返されます。業務への影響を抑えるため、実施中の監視や、問題発生時の中断手順もあらかじめ取り決めておきます。

④結果の分析・報告書の作成（受け取る成果物）

疑似攻撃の結果は、報告書にまとめられて発注側に提出されます。NIST SP 800-115 は、報告は他の3段階と並行して進み、テストの最後に「見つかった脆弱性・リスク評価・対策の指針をまとめた報告書」が作成されると説明しています。発注側が受け取る主な成果物がこの報告書です。

報告書には、どの経路でどこまで侵入できたか、その危険度、再現手順、推奨される対策が記載されます。報告書の分かりやすさや対策提案の具体性は会社によって差が出るため、依頼先を選ぶ際の確認点になります。あわせて、テストで扱った自社のデータや、攻撃のために設置したツールが適切に消去・原状復帰されるかも、実施前に確認しておきたい点です。

⑤報告後の改善対応（修正と再テスト）

ペネトレーションテストは「受けて終わり」ではありません。報告書を受け取ったら、危険度の高い指摘から優先して修正し、対策が効いているかを確認する再テストを行うのが基本の流れです。

システムは改修のたびに新しい弱点が生まれる可能性があるため、大きな改修時や定期的なタイミングで繰り返し実施し、継続的に安全性を保っていきます。見つけて終わりにせず、修正と再テストまでを一連の流れとして計画に組み込むことが、実際の安全性につながります。

ペネトレーションテストとは？脆弱性診断との違い

手順の全体像を押さえたところで、改めて「ペネトレーションテストとは何か」と、よく混同される脆弱性診断との違いを整理します。この違いが分かると、自社にどちらが必要かを判断しやすくなります。

ペネトレーションテスト（侵入テスト）とは

ペネトレーションテストとは、評価者が実際の攻撃者の手口を模して、システムやネットワークの防御を回避できる経路を探すセキュリティテストです。NIST SP 800-115 は、ペネトレーションテストを「実際の攻撃者が使うのと同じツール・手法を用いて、本物のシステムやデータに実際の攻撃を仕掛けることがしばしばある」ものと定義しています。

日本語では「侵入テスト」とも呼ばれます。狙いは、弱点の一覧をつくることではなく、「その弱点を悪用すると実際にどこまで侵入され、どんな被害につながるか」を具体的に確かめることにあります。

出典・参考資料（1件）

• 参考資料：Technical Guide to Information Security Testing and Assessment（NIST SP 800-115）｜National Institute of Standards and Technology

脆弱性診断との違い

脆弱性診断は、既知の弱点がシステムに残っていないかを幅広く洗い出す（識別する）作業です。NIST SP 800-115 も、脆弱性スキャンを「ホストやその属性、関連する脆弱性を識別する手法」と位置づけ、誤検知が出やすい点に触れています。一方ペネトレーションテストは、見つかった弱点を実際に悪用して「本当に侵入できるか」を検証し、段階的により深いアクセスを得られるかを示します。

このように、脆弱性診断が「弱点を広く洗い出す」のに対し、ペネトレーションテストは「その弱点が実際にどこまで悪用できるかを深く検証する」役割を担います。両者は対立するものではなく、まず脆弱性診断で弱点を洗い出し、重要なシステムについてはペネトレーションテストで悪用可能性まで確かめる、という組み合わせが現実的です。主な違いを整理すると次のとおりです。

※上記は両者の役割の違いを一般的に整理したものです。実際の診断範囲や進め方はサービスによって異なります。

両者の違いをさらに掘り下げ、目的・費用・実施頻度の観点で比較したうえで「自社はどちらを選ぶべきか（あるいはどう使い分けるか）」まで判断したい場合は、次の記事で詳しく整理しています。

種類（外部・内部）と手法（ブラック/ホワイト/グレーボックス）の違い

ペネトレーションテストを依頼する前に押さえておきたいのが、「種類」と「手法」という2つの軸です。混同されやすいのですが、種類は『どこから攻撃を想定するか』、手法は『テスターにどこまで情報を渡すか』という別々の切り口です。

種類：外部ペネトレーションテストと内部ペネトレーションテスト

種類は、攻撃の起点をどこに置くかで分かれます。外部は「インターネット側の攻撃者」を、内部は「社内に侵入済み、または内部関係者」を想定します。確認したいリスクによって、どちらを行うか（あるいは両方を行うか）が変わります。Webアプリケーションそのものの脆弱性を詳しく調べる診断は、この外部・内部とは別立てのメニューとして提供されることが多く、必要に応じて組み合わせます。

手法：ブラックボックス・ホワイトボックス・グレーボックス

手法は、テスターに事前にどこまで情報を渡すかで分かれます。渡す情報が少ないほど実際の外部攻撃者に近い条件になり、多いほど内部構造まで踏み込んだ検証がしやすくなります。

情報を一部だけ渡すグレーボックスは、ブラックボックスより効率よく、ホワイトボックスより実際の攻撃に近い条件で検証できるため、コストと深さのバランスから実務で広く採られているとされます。どの手法が適しているかは、確認したいリスクと予算に応じて選ぶことになります。

ペネトレーションテストの費用相場・期間の目安

次に、実施を判断するうえで欠かせない費用と期間の目安です。ペネトレーションテストは攻撃シナリオに沿った専門家の手動作業が中心のため、費用はツールによる自動スキャンが中心の脆弱性診断より高くなる傾向があります。

外注の手動ペネトレーションテストは、一回あたり数十万円からが目安で、対象範囲が広い・攻撃シナリオが多い・高度な検証を求める場合には数百万円規模になることもあります。

対象やメニュー別のおおまかな目安としては、Webアプリケーション向けのペネトレーションテストは数十万円からが目安です（本記事掲載のサービスでは60万円からの案内があります）。

ネットワークや内部侵入まで含む情報システム向けの大規模なテストでは、数百万円規模になることもあります（700万〜1,000万円の公表例があります）。

さらに、人・組織・対応体制まで含めて評価するTLPT（脅威ベースのペネトレーションテスト）では1,000万円規模からとなり、対象が広く深くなるほど高くなります。いずれも各社の公表値にもとづく目安で、実際は診断範囲に応じた個別見積もりが基本です。

費用が変わる主な要因は、診断対象の範囲（画面数・IP数・システム構成）、攻撃シナリオの数と複雑さ、手法（情報をどこまで渡すか）、テスターの工数です。期間は、テスト自体に数日から数週間、その後の報告書作成を含めると追加の時間を見込むのが一般的です。多くのサービスが個別見積のため、正確な金額は診断範囲を伝えて見積もりを取り、次章の比較表で各社の料金体系を見比べるのが確実です。

対象別・規模別の費用レンジや、主要ベンダーの公開料金、稟議に使う見積もりの取り方まで具体的に押さえたい場合は、費用に絞って解説した次の記事もあわせてご覧ください。

自社で行うか外注するか、外注先はどう選ぶか

ここまでの手順・費用を踏まえ、実施に向けた意思決定を整理します。まず「自社で行うか外注するか」を考え、外注する場合に「依頼先で何を確認すべきか」へと進みます。

内製と外注の判断軸

ペネトレーションテストは、攻撃者の視点で侵入経路を組み立てる専門性が求められ、ツールを動かすだけでは成立しません。社内に攻撃手法とシステム双方に精通した人材がいれば内製も選択肢になりますが、客観性の確保や工数の面から、外部の専門会社に委託するケースが一般的です。

判断の目安は、テスターのスキルと体制を自社で継続的に確保できるか、どのくらいの頻度で実施したいか、そしてコストです。日常的な弱点チェックはツール型の脆弱性診断で内製し、公開前や重要システムの深い検証は外部のペネトレーションテストに任せる、という使い分けも現実的です。第三者が検証することで、社内では気づきにくい前提の見落としを発見できる利点もあります。

依頼先の選び方・外注前のチェックポイント

外注する場合、価格だけで選ぶと、報告書が弱点の指摘だけで対策まで踏み込まない、想定したシナリオが浅い、といった不満につながりがちです。自社の状況に照らして、次の点を確認すると候補を絞りやすくなります。

• テスターの体制・実績：手動診断では診断員の力量が結果に直結します。CISSP・GIAC・OSCPといった国際資格の保有や、公表された診断実績を目安にできます。
• 準拠する基準・方法論：NIST SP 800-115やPTESなど、確立した方法論に沿って進めるかは、検証の網羅性と再現性の目安になります。
• 報告書の質と対策提案：見つかった弱点の危険度評価だけでなく、具体的な対策や再テストまで含まれるかで、診断後の負担が変わります。
• 機密情報の取り扱い：テストで触れた自社データや、攻撃のために設置したツールの消去・原状復帰の取り決めがあるかも、依頼前に確認しておきたい点です。
• 対象範囲と業務影響への配慮：自社が診断してほしい範囲（Webアプリ・ネットワーク・クラウドなど）に対応しているか、本番環境での実施時の中断手順や時間帯の調整に応じるかも、確認しておきたいポイントです。

これらを踏まえ、自社の対象システムと予算に合う依頼先を複数比較するのが近道です。次章では、ペネトレーションテスト・セキュリティ診断を提供する主要サービスを横並びで紹介します。

ペネトレーションテストを依頼できる主なサービス

ここからは、ペネトレーションテストやセキュリティ診断に対応する主要なサービスを、対応範囲・診断方法・費用の観点で紹介します。まず各サービスの概要を比較表で確認し、そのうえで個別の特徴を見ていきます。

ペネトレーションテストと組み合わせて行う脆弱性診断そのもののサービスを広く比較したい方は、診断方法（手動・ツール自動・ハイブリッド）・費用相場・選び方を主要サービス横断でまとめた次の記事もご覧ください。

1. CoWorker 脆弱性診断サービス（CoWorker株式会社）

ソースコードを読み解く静的診断、稼働中のWeb・APIを対象とする動的診断、実際の攻撃を仕掛けて侵入可否を試すペネトレーションテスト。CoWorker株式会社はこの3つを、自社開発のAI「Red Agent」による自動解析と社内専門家の最終確認を組み合わせて提供します。

もともと医療・インフラ分野の受託開発を手がけてきた同社は、AIを使うことで診断を安く早く回せる点を強みに挙げます。ハルシネーションの可能性がある箇所は明示したうえで、最後は人の目で承認するフローを取ると説明しています。

定期的な診断が必要になってきた背景について、同社の一ノ瀬氏はインタビューで次のように話します。

費用は、静的（ソースコード）診断が15万円から、動的診断が30万円から、Webペネトレーションテストが60万円からが目安です（2026年時点、提供企業の案内による）。検査対象が極端に大きい場合を除き、この範囲で実施するとしています。

2. Hi AUDIT（株式会社TECHFUND）

株式会社TECHFUNDが「Hi AUDIT」のブランドで提供するセキュリティ監査サービスです。中核はスマートコントラクトの監査ですが、同社は2018年頃からWeb3領域で培った「実際に攻撃されたら何が起きるか」を突き詰める発想を、Webアプリケーションの診断にも広げてきました。

公式に公開された監査実績には「ペネトレーションテスト」区分があり、Webアプリケーション等を対象とした診断にも対応します。TISとの提携メニューでは、Webアプリ・API・ネットワーク・IaaS（クラウド基盤）を対象とする診断も用意されています。診断はツールによる自動診断と専門家の手作業を組み合わせる方式だと説明されています。

料金は公開されておらず、診断範囲に応じた個別見積もりとなります。レポート提出後も、修正方法の相談や修正後の再確認まで追加料金なしで対応する方針を掲げている点が特徴です。

報告後の改善フェーズについて、同社の生田氏はインタビューで次のように述べています。

3. NRIセキュア（NRIセキュアテクノロジーズ株式会社）

野村総合研究所グループのセキュリティ専業会社が手がける診断サービスです。Webアプリケーション・プラットフォーム・スマホアプリ・APIなど幅広い対象をカバーし、攻撃者視点のペネトレーションテストやレッドチームオペレーションまで一貫して提供します。

診断はツール任せにせず、SANSの専門トレーニング修了者やCISSP・OSCP・GIACといった国際資格の保有者が手作業で進める手動主体です。会社としてISO/IEC 27001を取得しています。

ペネトレーションテストは公式提示で800万円〜（税別）、プロジェクト全体で2.5カ月程度、テスト期間は5〜10営業日が目安とされます。多くのメニューは診断範囲に応じた個別見積もりです。

4. ラック（株式会社ラック）

1995年から脆弱性診断を手がけてきた株式会社ラックのサービスです。公式ページでは、脆弱性を網羅的に洗い出す「脆弱性診断」と、現実的な攻撃シナリオで実際の影響を確かめる「ペネトレーションテスト」を明確に分けて説明しています。

ペネトレーションテストはマルウェア感染を標準シナリオに据え、侵入後の影響範囲まで確認します。さらに上位には、人・組織・対応プロセスまで評価するTLPT（脅威ベースのペネトレーションテスト）を用意。セキュリティ監視拠点JSOCやサイバー救急センターと同じ会社で組み合わせられる点も特徴です。

情報システムペネトレーションテストは標準シナリオで700万〜1,000万円（税抜）、TLPTは1,000万円程度〜が公式の目安です。対象範囲やシナリオにより変動します。

5. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業で、専門家による手動主体の脆弱性診断・ペネトレーションテストを中核に据えています。公式には在籍ホワイトハッカー200名以上を掲げています。

ペネトレーションテストは、擬似攻撃で情報資産へのリスクを可視化する「シナリオ型」と、ソースコードなど開発情報も含めて縛りなく問題を洗い出す「調査型」の2方式があります。対象もWeb・スマホ・クラウド・ネットワークなど広く、物理侵入やレッドチーム演習まで揃います。

手動診断の費用は、診断したい画面数・API数・攻撃シナリオをもとにした個別見積もりです。別途、外部公開資産を継続監視するASM（外部に公開された攻撃対象資産の可視化・監視）ツールは月額4万円〜、運用サポート付きの伴走プランは月額12万円〜が提示されています。

6. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

三井物産の100%出資によるセキュリティ専門企業、三井物産セキュアディレクション（MBSD）が提供する診断サービスです。2001年のWebアプリケーション診断を皮切りに、脆弱性診断とペネトレーションテストを長く手がけてきました。

セキュリティエンジニアが攻撃者の視点で脆弱性を洗い出し、評価したうえで対処方法まで助言します。診断は手動を主体に独自ツールを併用する方式で、ペネトレーションテストでは事前に設計した攻撃手順に沿って複数の技術を組み合わせ、目標達成の可能性を検証します。TLPTやIoT診断もメニューに含みます。

脆弱性診断の累計実績は合計8,000件以上（2017年4月〜2024年3月）とされ、会社としてISO/IEC 27001を取得しています。費用は診断範囲・対象に応じた個別見積もりです。

7. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTTグループのサイバーセキュリティ専業会社、NTTセキュリティ・ジャパンが「セキュリティ診断・評価・調査」として提供するメニュー群です。親会社はNTTセキュリティホールディングスで、その100%子会社にあたります。

専門家が複数のツールを組み合わせて網羅的に診る脆弱性診断に加え、顧客自身が継続的に脆弱性を把握できるセルフ診断（Qualys／Tenable）も選べます。攻撃者視点で侵入を試み、人・プロセス・技術の観点から耐性を測るRedTeam／TLPTや、IoT・工場向け制御システムの診断まで対応します。

料金はメニューを問わず非公開で、診断対象の範囲・規模に応じた個別見積もりとなります。会社としてISMS認証を取得しています。

8. SQAT（株式会社ブロードバンドセキュリティ）

手動診断と独自開発の自動診断を組み合わせる「SQAT（エスキュート）」は、2000年創業のセキュリティ専業企業ブロードバンドセキュリティ（BBSec）が展開する脆弱性診断ブランドです。

対象はWeb・ネットワーク・スマホアプリ・クラウドなどに加え、ペネトレーションテストやアタックサーフェス管理まで広がります。公式は延べ10,300組織・64,280システム超の診断実績（2025年6月時点）を掲げ、ISMSとプライバシーマークを保有しています。

優先箇所に絞って報告書を最短7営業日で出す短納期メニュー「Swift Delivery」や、診断後3カ月までの再診断も用意されています。費用は診断対象に応じた個別見積もりです。

9. GSX（グローバルセキュリティエキスパート株式会社）

グローバルセキュリティエキスパート（GSX）が「FindRisk」シリーズの一つとして提供するペネトレーションテストです。実際の攻撃者の視点で想定シナリオに沿った疑似攻撃を行い、システム内部への侵入可否から、侵入後の内部横展開、データ持ち出しの可否までを検証します。

想定シナリオは3種類に体系化されています。外部ネットワークからの攻撃（シナリオA）、社内のActive Directoryを狙う内部攻撃（シナリオB）、マルウェア感染を起点にデータ持ち出しを試すレッドチーム評価（シナリオC）です。ただし、顧客が開発したWebアプリケーション固有の脆弱性はこのテストの範囲外で、必要な場合は別メニューを併用します。

診断エンジニアは全員がCEH（認定ホワイトハッカー）資格を保有し、IPAの情報セキュリティサービス基準適合サービスリストにも登録されています。料金は要お問い合わせです。

10. レイ・イージス（株式会社レイ・イージス・ジャパン）

台湾発のセキュリティベンダーRayAegisの日本法人が手がける診断サービスです。AI搭載の脆弱性探査ツールと診断エンジニアによる手動診断を組み合わせ、Webアプリケーション・プラットフォーム・モバイルアプリ・APIを対象に、脆弱性診断とペネトレーションテストを提供します。

診断項目はOWASP WSTG（Webアプリ診断の国際的なガイドライン）4.2に基づいて明示され、AIリモート脆弱性診断では最大105項目を自動診断と手動診断の組み合わせで確認します。ペネトレーションテストはプラットフォーム診断とWebアプリ脆弱性診断を標準で含み、ツールで基本的な脆弱性を洗い出した後、エンジニアが攻撃シナリオを想定して侵入を試みます。

料金は、画面数に左右されないFQDN（ドメイン名）単位の定額制を採用しているとされます。ただし公式サイトは自動取得が制限されており、具体的な金額は公式への問い合わせで確認するのが確実です。

まとめ

ペネトレーションテストは、計画・事前準備から、攻撃シナリオの設計、疑似攻撃の実施、結果の分析・報告書、報告後の改善対応までの流れで進みます。弱点を幅広く洗い出す脆弱性診断に対し、ペネトレーションテストは見つかった弱点を実際に悪用して「どこまで侵入できるか」を検証する点が役割の違いです。

種類（外部・内部）と手法（情報をどこまで渡すか）は別々の軸で、確認したいリスクと予算に応じて使い分けます。費用は手動中心のため一回数十万円から数百万円規模までと幅があり、対象範囲・シナリオ数・手法で変わります。

専門性と客観性が求められるため外部委託が一般的で、テスターの実績・準拠する方法論・報告書の質・機密情報の扱いを確認して依頼先を選ぶのが安全です。まずは自社の対象システムと予算に合いそうなサービスの資料をまとめて取り寄せ、対応範囲と費用を比較するところから始めてみてください。

よくある質問（FAQ）

Q. ペネトレーションテストとは何ですか？

A. ペネトレーションテスト（侵入テスト）とは、実際の攻撃者と同じ手口でシステムへの侵入を試し、弱点を悪用するとどこまで被害が及ぶかを検証するセキュリティテストです。弱点の一覧をつくる脆弱性診断と異なり、見つかった弱点を実際に悪用して「本当に侵入できるか」「侵入後にどこまで到達されるか」を具体的に確かめる点が特徴です。

Q. ペネトレーションテストと脆弱性診断はどちらを先に行うべきですか？

A. 一般的には、まず脆弱性診断で弱点を幅広く洗い出し、そのうえで重要なシステムにペネトレーションテストを行う順序が現実的です。先に脆弱性診断で既知の弱点をつぶしておくと、ペネトレーションテストでは「対策をすり抜けて実際に侵入できる経路が残っていないか」という、より踏み込んだ検証に集中できます。両者は対立するものではなく、役割を分けて組み合わせるものです。

Q. ペネトレーションテストの期間はどのくらいかかりますか？

A. ペネトレーションテストの期間は、テスト自体が数日から数週間、報告書の作成まで含めるとさらに時間を見込むのが一般的です。対象範囲の広さ・攻撃シナリオの数・手法によって変わり、たとえば本記事で紹介するサービスには、テスト期間を5〜10営業日、報告書を含むプロジェクト全体で2.5カ月程度と案内しているものもあります。正確な期間は診断範囲を伝えて見積もりを取るのが確実です。

Q. ペネトレーションテスト中に本番システムが停止することはありますか？

A. ペネトレーションテストは実際に疑似攻撃を行うため、本番環境では業務に影響が出る可能性がゼロではありません。そのため計画段階で、実施してよい時間帯・禁止事項・問題が起きたときの中断手順をテスト会社と合意し、書面化しておくのが基本です。影響を抑えたい場合は、実施時間帯の調整や実施中の監視体制について、依頼先と事前に取り決めておくと安心です。

Q. ペネトレーションテストはどのくらいの頻度で実施すべきですか？

A. ペネトレーションテストは一度で終わりではなく、システムの大きな改修時や、定期的なタイミングで繰り返し実施するのが基本です。

公開後のシステムも、改修や新たな攻撃手法の登場によって弱点が生じ得るため、再テストを計画に組み込むことが継続的な安全につながります。PCI DSS（クレジットカード業界のセキュリティ基準）などでも定期的な実施が求められており、自社が従うべき基準や扱う情報の重要度に応じて頻度を決めるとよいでしょう。

Q. 中小企業でもペネトレーションテストは必要ですか？

A. 中小企業でも、個人情報や決済情報など重要なデータを扱い、攻撃を受けたときの被害が大きいシステムがあれば、ペネトレーションテストを検討する価値があります。企業規模そのものより、「守るべき情報の重要性」と「侵入された場合の事業影響」の大きさで要否を考えるのが実務的です。

予算やリソースが限られる場合は、対象を重要システムに絞る、日常的な弱点チェックはツール型の脆弱性診断で行うなど、脆弱性診断と組み合わせてメリハリをつける方法もあります。

Q. ブラックボックス・ホワイトボックス・グレーボックスはどの手法を選べばよいですか？

A. 手法は、確認したいリスクと予算に応じて、テスターに渡す情報量で選びます。外部の攻撃者に近い条件で試すならブラックボックス、内部構造まで踏み込んで網羅的に検証するならホワイトボックスが向きます。一部の情報だけを渡すグレーボックスは、検証の効率と実際の攻撃への近さのバランスを取りやすいため実務で広く採られており、どれが適するか迷う場合の有力な選択肢になります。

ペネトレーションテスト・セキュリティ診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、ペネトレーションテストやセキュリティ診断に対応する各サービスの最新資料をまとめて取り寄せられます。対応範囲や診断方法、料金体系を各社の資料でまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。