自社のサーバーやネットワーク機器のセキュリティ点検を検討し始めると、脆弱性診断・プラットフォーム診断・ペネトレーションテストという似た言葉が並び、どれを依頼すればよいのか迷う場面が出てきます。なかでもプラットフォーム診断とペネトレーションテストは、どちらもサーバーやネットワークを調べる点が似ているため、同じものか・どちらかを選ぶものか・両方必要なのかが分かりにくい2つです。
この2つは目的の異なる別物で、プラットフォーム診断は脆弱性診断の一種、ペネトレーションテストはそれとは別の位置づけになります。この関係を最初に押さえると、見積もり依頼の一歩目で迷わなくなります。
本記事では、プラットフォーム診断とペネトレーションテストの違いを対象・目的・手法で並べて整理し、脆弱性診断という大枠のなかでの3者の位置関係、自社はどちらを・どの順で実施すべきか、費用・期間・頻度の目安までをまとめました。発注前の判断材料としてご活用ください。
目次
一括ダウンロードする
結論：プラットフォーム診断とペネトレーションテストの違い
先に結論をまとめます。プラットフォーム診断は、サーバーやネットワーク機器といったインフラに潜む既知の弱点を網羅的に洗い出す「チェック」です。一方のペネトレーションテストは、攻撃者の視点で実際に侵入できるかを試し、どこまで被害が及ぶかを確かめる「演習」です。調べる場所も目的も異なるため、どちらかがもう一方の上位互換という関係ではありません。
両者を同じ目線で並べると、違いが掴みやすくなります。次の表は、対象・目的・手法・成果物・費用の決まり方・頻度を、プラットフォーム診断とペネトレーションテスト、そして両者を含む大枠である脆弱性診断の3つで対比したものです。
| プラットフォーム診断・ペネトレーションテスト・脆弱性診断の違い | 位置づけ | 主な対象 | 目的 | 主な手法 | 成果物 | 費用の決まり方 | 実施頻度の目安 |
|---|---|---|---|---|---|---|---|
| プラットフォーム診断 | 脆弱性診断の一種（インフラ層の診断） | サーバ・ネットワーク機器などのインフラ（OS・ミドルウェア・通信機器） | 既知の弱点・設定不備を網羅的に洗い出す（チェック） | ツールによるスキャン＋専門家の確認。リモート/オンサイト | 検出した弱点の一覧と対策方針の報告書 | 診断対象のIPアドレス数に応じて変動 | 定期（四半期〜年1回）＋構成変更時 |
| ペネトレーションテスト | 脆弱性診断とは目的の異なる別のテスト | 侵入経路になり得るシステム全体（人的・物理的経路を含む場合も） | 攻撃者視点で侵入可否と被害範囲を実証する（演習） | 専門家が攻撃シナリオに沿って手動で侵入を試行 | 侵入可否・到達範囲・影響のシナリオ報告書 | 攻撃シナリオの範囲と作業工数で変動（高くなりやすい） | 年1回程度＋重要な変更後 |
| 脆弱性診断（大枠） | 対象別の診断の総称（プラットフォーム・Webアプリ・スマホアプリ等） | 対象ごとにインフラ・Webアプリ・スマホアプリ等へ分かれる | 既知の弱点を検出し一覧化する | ツール中心＋手動の組み合わせ | 検出項目の一覧と改善提案 | 対象の数・範囲・手作業の工数で変動 | 定期＋新規構築・改修時 |
※一般的な傾向をまとめたものです。実際の対象範囲・手法・費用はサービスや対象システムにより異なります。
位置づけの違いは公的なガイドラインでも整理されています。デジタル庁のガイドラインは脆弱性診断を対象別の3種類に分け、プラットフォーム診断をそのうちの1つ（サーバやネットワーク機器に対する診断）として定義しています。ペネトレーションテストはこの種別には含まれず、既知の弱点を検出する脆弱性診断とは別に「攻撃者の目線からテストする取り組み」として位置づけられます。
出典・参考資料（2件）
脆弱性診断・プラットフォーム診断・ペネトレーションテストの位置関係
3つの言葉が混ざって見えるのは、同じ階層に並んでいないからです。整理すると、脆弱性診断という大きな枠があり、その中に対象別の診断としてプラットフォーム診断・Webアプリケーション診断・スマートフォンアプリ診断が入ります。ペネトレーションテストは、この枠の中の一種ではなく、目的の異なる別の取り組みとして横断的に行うものです。
- 脆弱性診断（大枠）：既知の弱点を網羅的に検出する診断の総称。対象によって次の種類に分かれる
- ├ プラットフォーム診断：サーバ・ネットワーク機器などインフラ層を対象にした脆弱性診断
- ├ Webアプリケーション診断：Webアプリの作り込みの脆弱性を対象にした脆弱性診断
- └ スマートフォンアプリ診断：スマホアプリを対象にした脆弱性診断
- ペネトレーションテスト：上記の診断とは目的が異なり、攻撃者視点で実際に侵入できるかを確かめる横断的なテスト
デジタル庁のガイドラインは、この枠組みを次のように定義しています。
本書は、政府情報システムにおいて広く導入されている以下の 3 種類の脆弱性診断を適用対象とする。・プラットフォーム脆弱性診断（以下、「プラットフォーム診断」という。）サーバやネットワーク機器等に対して行う脆弱性診断を示す。・Web アプリケーション脆弱性診断（以下、「Web アプリ診断」という。）（略）・スマートフォンアプリケーション脆弱性診断（以下、「スマートフォンアプリ診断」という。）（略）
出典：デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）」（令和6年2月6日）§1.2
このように、プラットフォーム診断とペネトレーションテストは、プラットフォーム診断が脆弱性診断の一種、ペネトレーションテストはその外にある別の取り組みという関係にあります。この位置関係を押さえておくと、2語が同じ土俵の選択肢に見える混乱を避けられます。
プラットフォーム診断とペネトレーションテストを混同しやすい理由
この2つが同じものに見えてしまうのは、どちらもサーバーやネットワークを「攻撃する側の視点」で調べるという共通点があるためです。とくにプラットフォーム診断の外部診断（インターネット側からの診断）は、外部からアクセスできる弱点を探す点で、ペネトレーションテストの入口の作業と似て見えます。
違いは「どこで止めるか」にあります。プラットフォーム診断は、見つかった弱点を一覧にして報告するところまでが仕事です。ペネトレーションテストは、見つかった弱点を実際に組み合わせて侵入を試み、重要な情報やシステムにたどり着けるかまでを確かめます。弱点の一覧が欲しいのか、その弱点で本当に侵入されるのかを知りたいのか、という目的の違いで選ぶものだと捉えると、迷いが減ります。
自社はどちらが必要か・両方必要か（状況別の判断と実施の順序）
ここからは、自社の状況に当てはめて、どちらを・どの順で実施すべきかを考えます。片方だけで十分な場合もあれば、両方を組み合わせる場合もあります。
状況別にどちらを選ぶか
まずは、自社がどの状況に近いかで考えると判断しやすくなります。
- これまで一度も点検していない／初めて実施する：まずプラットフォーム診断（必要に応じてWebアプリケーション診断も）で、既知の弱点を網羅的に洗い出すのが出発点になります。土台の弱点が残ったままペネトレーションテストをしても、基本的な穴が次々見つかるだけで費用対効果が低くなりがちです。
- 重要システムや個人情報・決済情報を扱う：既知の弱点対策を終えたうえで、本当に侵入されないかを確かめたい場合は、ペネトレーションテストが向きます。標的型攻撃や内部不正は、個々の弱点をつぶしていても起こり得るため、攻撃シナリオでの検証が意味を持ちます。
- 新規システムを構築した／構成を大きく変更した：構築時や改修時は、変更した範囲にプラットフォーム診断を実施して、新たに生じた弱点がないかを確認するのが基本です。
判断の軸はシンプルで、「弱点の一覧を作って塞ぎたい」ならプラットフォーム診断（脆弱性診断）、「対策済みの状態で本当に侵入を防げるかを確かめたい」ならペネトレーションテスト、と目的で分けると迷いません。
両方必要なケースと実施する順序・頻度
重要なシステムを守る場合は、両方を組み合わせるのが一般的です。進め方としては、まずプラットフォーム診断（脆弱性診断）で既知の弱点を洗い出して塞ぎ、土台を整えたうえで、重要なシステムにペネトレーションテストを行って侵入可否を確かめる、という順序が合理的です。
順序を定めた公的なルールがあるわけではありませんが、土台の弱点を残したまま侵入テストをしても基本的な穴が次々見つかって手戻りが増えるため、実務ではこの流れが取られています。
頻度は、定期的な実施に加えて、システムを新しく構築したり構成を大きく変更したりしたタイミングでの実施が基本です。
一般的な目安としては、脆弱性診断（プラットフォーム診断）は四半期〜年1回に構成変更時を加えて、ペネトレーションテストは年1回程度に重要な変更後を加えて実施すると考えておくとよいでしょう。
金融機関やカード会員データを扱う事業者には、監督官庁や業界基準が診断の定期実施を求めています。この点は後の「金融・決済事業者に求められる診断要件」で詳しく解説します。
プラットフォーム診断・ペネトレーションテストの費用・期間・頻度の目安
予算化や発注の前に、費用・期間・頻度の目安を押さえておきます。費用は一律では決まっておらず、診断対象のIPアドレス数や台数、そして人の手作業の工数で変動します。デジタル庁のガイドラインも、外部診断・内部診断とも診断対象のIPアドレス数に応じて費用が変動すると説明しています。
公的に定められた「相場」はないため、ここでは実際のサービスの公表料金を例に、おおよその水準を示します。金額はいずれも各社の公表情報にもとづくもので、対象範囲や時期により変わります。
| 費用・期間・頻度の目安 | 費用の決まり方 | 料金の例 | 期間の目安 | 実施頻度の目安 |
|---|---|---|---|---|
| プラットフォーム診断（インフラ層） | 診断対象のIPアドレス数・台数で変動 | 継続診断型で月額1台1,250円〜（KATABAMI 公式サイト）。費用は対象の台数・IP数で変動 | 対象規模による（ツール中心なら数日〜1週間程度） | 四半期〜年1回＋構成変更時 |
| Webアプリ/API診断 | 対象のページ・機能数と工数で変動 | ソースコード診断15万円〜、Web/API診断を含むプランで50万円〜（CoWorker／MCB FinTechカタログ掲載情報） | 対象規模による（AI活用型では最短3営業日の報告例あり） | 年1回＋機能追加・改修時 |
| ペネトレーションテスト | 攻撃シナリオの範囲と工数で変動 | 診断とペネトレーションテストを含む上位プランで150万円（CoWorker／MCB FinTechカタログ掲載情報） | シナリオ設計を含め数週間規模になりやすい | 年1回程度＋重要な変更後 |
※料金は各社の公表情報（2026年11月時点）にもとづく参考値です。実際の費用は対象範囲・台数・時期により変動します。
出典・参考資料（2件）
ここで挙げたのは継続診断型やプラン型の例です。単発で依頼する場合の水準も押さえておくと見積もりを比べやすくなります。診断会社が公開する料金例では、プラットフォーム診断は対象1IPあたり5万〜20万円前後、Webアプリケーション診断やペネトレーションテストは数十万円〜数百万円が目安とされています。
期間は対象規模によりますが、脆弱性診断は数日〜数週間、ペネトレーションテストはシナリオ設計を含めて数週間から数か月かかることもあります。正確な金額・期間は対象の台数や範囲で変わるため、同じ条件で複数社に見積もりを依頼するのが確実です。
出典・参考資料（2件）
とくにペネトレーションテストの費用は、攻撃シナリオの範囲や対象規模で大きく変わります。対象別・規模別の料金の目安や、相場からずれない見積もりの取り方をさらに詳しく確認したい場合は、以下の記事もご覧ください。
見積もりを依頼するときに伝えておきたい情報
費用はIPアドレス数や工数で決まるため、見積もり依頼の精度を上げるには、次の情報を整理して伝えるとスムーズです。やり取りの往復が減り、各社の金額も比べやすくなります。
- 診断したい対象（サーバー・ネットワーク機器・Webアプリなど）と、そのおおよその台数・IPアドレス数
- インターネット側から診断するか（外部）、社内ネットワーク内から診断するか（内部）
- 本番環境で実施するか、検証環境を用意できるか（稼働への影響をどこまで許容できるか）
- 希望する時期・納期、再診断や報告会の要否
プラットフォーム診断とは（対象・わかること・手法）
ここからは、2つの診断の中身をもう少し詳しく見ていきます。まずプラットフォーム診断は、サーバーやネットワーク機器といったインフラ層を対象に、既知の弱点や設定の不備を洗い出す脆弱性診断です。
診断対象と主な診断項目
対象になるのは、OSやミドルウェア、サーバー、ルーターやファイアウォールなどのネットワーク機器です。デジタル庁のガイドラインは、プラットフォーム診断で検出される主な問題を次のように整理しています。
プラットフォーム診断では、主に表 ２-１のようなセキュリティ上の問題が検出される。（表2-1 の種別）不要ポートの開放／脆弱なソフトウェアの利用／設定の不備／プロトコル固有の脆弱性
出典：デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン（DS-221）」§2.2
具体的には、使っていないポートが開いたままになっていないか、サポートが終了したソフトウェアやバージョンが残っていないか、初期パスワードのまま運用していないか、といった運用のなかで生じがちな弱点を見つけ出します。いずれも攻撃の侵入口になりやすく、気づかないまま放置されやすい項目です。
手法の選び方（リモート/オンサイト・ツール/手動）
プラットフォーム診断には、インターネット側から診断する外部診断（リモート診断）と、社内ネットワーク内に機器を置いて診断する内部診断（オンサイト診断）があります。外部に公開しているサーバーの弱点を見たいのか、社内ネットワークに侵入された後に広がり得る弱点を見たいのかで使い分けます。
手法としては、診断ツールで広く速くスキャンする方法と、専門家が手動で確認する方法があります。ツールは短時間で多くの項目を網羅できる一方、文脈に依存する弱点は見落としやすいため、重要なシステムではツールと手動を組み合わせるのが一般的です。近年はAIで自動解析し、専門家が最終確認するという組み合わせを採るサービスも登場しています。
ペネトレーションテストとは（攻撃者視点の「演習」）
ペネトレーションテストは、攻撃者が実際に侵入するときと同じ手口で、特定の目的（重要情報の取得やシステムの乗っ取りなど）を達成できるかを検証するテストです。網羅的に弱点を洗い出す脆弱性診断と違い、「この弱点とあの設定を組み合わせれば、ここまで到達できる」という攻撃の筋道を実証する点に特徴があります。
進め方は、まず攻撃の目標とシナリオを決め、偵察で情報を集め、見つけた弱点を悪用して侵入を試み、権限の昇格や内部での横移動を通じて目標に到達できるかを確かめる、という流れが一般的です。各工程でどこまで到達できたか、どの対策で止められたかが報告され、個々の弱点の一覧では見えない「実際の防御力」が分かります。
標的型攻撃や内部不正は、個別の弱点を一つずつ塞いでいても起こり得ます。脆弱性診断で土台を固めたうえで、その対策が本当に機能するかを確かめる最終チェックとして位置づけると、ペネトレーションテストの役割が理解しやすくなります。
金融・決済事業者に求められる診断要件（金融庁・PCI DSS）
金融・決済に関わる事業者では、監督官庁や業界基準が診断の実施そのものを求めており、どの診断をどの頻度で行うかが実務上の要件に直結します。該当する事業者は、自社がどの基準の対象かを確認したうえで、診断計画に反映しておくと安心です。
規制対象となる金融機関では、金融庁のガイドラインが脆弱性診断とペネトレーションテストの双方を定期的に実施するよう求めています。外部公開しているサイトについては、プラットフォーム診断に加えてWebアプリケーション診断も実施することが示されています。
システムの脆弱性対策やセキュリティの問題点を特定し、改善するために、リスクの大きさやシステムの重要度等も考慮した上で脆弱性診断及びペネトレーションテストを定期的に実施すること。
出典：金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日）§2.2.4
カード会員データを保存・処理・伝送する事業者が対象となるPCI DSSでも、脆弱性スキャンとペネトレーションテストは別々の要件として双方が課されます。脆弱性スキャンは少なくとも3か月ごと、ペネトレーションテストは少なくとも年1回かつ重大な変更後に実施することが求められます。
より高度な対応として、攻撃者の脅威シナリオにもとづくTLPT（脅威ベースのペネトレーションテスト）の定期実施が望ましいとされていますが、これは義務ではなく推奨の位置づけです。
いずれの基準も名宛人は限定されています。すべての事業者に一律で課されるものではないため、自社が規制対象の金融機関か、カード会員データの取扱事業者かを確認したうえで、対象に当てはまる場合に診断計画へ織り込むとよいでしょう。
金融・決済分野では、上で触れたTLPTの実施が話題になる場面もあります。TLPTの費用感や金融庁ガイドラインでの位置づけ、通常のペネトレーションテストとの違いを詳しく知りたい場合は、以下の記事をご覧ください。
出典・参考資料（2件）
一括ダウンロードする
インフラ層の継続診断とペネトレーションテストに対応するサービス
違いと実施の順序が整理できたら、実際に依頼できるサービスを見ていきます。ここでは、Web・API診断からペネトレーションテストまで対応するタイプと、サーバーやネットワーク機器などインフラ層を継続的に診断するタイプを、それぞれ紹介します。
自社の状況に近いものを選ぶ参考にしてください。単発のプラットフォーム診断を含めてより多くの選択肢を比べたい場合は、後半で案内する脆弱性診断サービスの比較記事もあわせてご覧ください。
以下はご紹介するサービスの比較表です。
| 診断・ペネトレーションテスト対応サービスの比較 | CoWorker 脆弱性診断サービス | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|
| 対応する診断 | Web・API診断 ソースコード診断 ペネトレーションテスト | プラットフォーム診断 （インフラ層の脆弱性診断） |
| 診断対象・範囲 | Webアプリケーション・API・ソースコード・設計書 | サーバ・ネットワーク機器・複合機・PCなど社内ネットワークの接続端末 |
| 主な手法 | 自社開発AI「Red Agent」による自動解析＋社内専門家の最終確認 | ネットワーク内部に専用機器を設置し、リモートで診断（約600項目の検査） |
| 料金（出所付き） | ソースコードAI診断15万円〜 Web・API診断を含むプラン50万円〜 ペネトレーション対応の上位プラン150万円 （MCB FinTechカタログ掲載情報） | 1台あたり月額1,250円〜（公式サイト） 100ノード以下で年額90万〜150万円（提供元ミーティング情報） |
| 提供形態・頻度 | 都度診断（四半期〜月1回の定期診断にも対応） 報告書は最短3営業日納品の実績 | 継続診断型。年12回（毎月）の定期診断＋月1回の報告・相談会 |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 |
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発AI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた診断サービスです。公式サイトのメニューは、ソースコードAI診断・動的脆弱性診断（Web/API診断）・実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、弱点の洗い出しから侵入の実証までを段階的に選べます。
AIが解析し専門家が確認する二段構成により、報告書を最短3営業日で納品した実績があります（公式プレスリリース）。料金は、MCB FinTechカタログの掲載情報ではソースコードAI診断が150,000円、Web/API診断を含むプランが500,000円から、ペネトレーションテストに対応する上位プランが1,500,000円です。
Webアプリケーションやソースコードの弱点を洗い出し、そのうえで侵入可否まで確かめたい場合に検討しやすいサービスです。
診断を一度きりでなく定期的に行う必要性について、提供元のCoWorker株式会社はインタビューで次のように述べています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
2. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
予防・復旧・補償を1つにまとめたパッケージ型で提供されるのが、株式会社SYNCHROのKATABAMI サイバーセキュリティ対策パッケージです。中核となるKATABAMI VDP（インフラ層を対象にした脆弱性診断）は、ネットワーク内部に専用機器を置き、サーバー・ネットワーク機器・複合機・PCなどの接続端末を対象に、年12回（毎月）の定期診断を行います。
外部スキャンでは見つけにくい、メールやUSB経由のマルウェアなど内部起点の弱点も検出できる点を特徴としています。
検出した弱点と対策案は月1回のペースで報告され、相談会で改善を伴走します。対策の実装そのものは標準サービスの範囲外で、ユーザー企業が主体で進める形が原則です（希望すれば別料金での委託も相談できます）。料金は1台あたり月額1,250円から（公式サイト）で、設置10分・最短2週間で利用開始できるため、専任のセキュリティ担当者がいない企業でも、インフラ層を継続的に点検する体制をつくりやすいサービスです。
インフラ層の内部診断を継続的に行う背景について、提供元の株式会社SYNCHROは、従来の訪問型診断の実情をインタビューで次のように語っています。
このようなオフィス内の脆弱性を調べるために、従来はお客様先まで足を運び、中に入って席を借りて調査する必要がありました。専門家が2人で出向いて期間中拘束されるため、どうしてもコストが高くなり、頻繁にはお願いしづらいのが実情です。結果として、年に1回程度の実施が一般的でした。一方で、新しい脆弱性は日々生まれており、生成AIの登場でそのスピードもさらに上がっています。
ここで紹介した2サービスのほかにも、脆弱性診断サービスは数多くあります。診断方法・費用相場・選び方まで含めて幅広く比較検討したい場合は、以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
プラットフォーム診断とペネトレーションテストは、どちらもサーバーやネットワークを調べる点は似ていますが、目的の異なる別物です。プラットフォーム診断はインフラ層の既知の弱点を網羅的に洗い出す脆弱性診断の一種、ペネトレーションテストは攻撃者視点で実際に侵入できるかを確かめる別の取り組み、という位置関係を押さえると混乱しません。
自社に当てはめるときは、「弱点の一覧を作って塞ぎたい」のか「本当に侵入を防げるかを確かめたい」のかで分け、重要なシステムでは、まず脆弱性診断で土台を固めてからペネトレーションテストを行う順序が合理的です。費用は対象のIPアドレス数や工数で変わるため、対象と台数を整理して複数社に見積もりを依頼し、対応範囲と料金を見比べて検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. プラットフォーム診断とペネトレーションテストの違いは何ですか？
A. プラットフォーム診断とペネトレーションテストは、プラットフォーム診断がインフラ層の既知の弱点を網羅的に洗い出す「チェック」、ペネトレーションテストが攻撃者視点で実際に侵入できるかを確かめる「演習」という点で異なります。
プラットフォーム診断は脆弱性診断の一種で、サーバーやネットワーク機器に潜む弱点を一覧にして報告するところまでが役割です。一方ペネトレーションテストは目的の異なる別の取り組みで、見つかった弱点を組み合わせて重要な情報やシステムに到達できるかまでを実証します。
Q. プラットフォーム診断とペネトレーションテストは両方必要ですか？どちらを先に実施すべきですか？
A. 重要なシステムを守る場合は、まずプラットフォーム診断（脆弱性診断）で既知の弱点を洗い出して塞ぎ、土台を整えてからペネトレーションテストを実施する順序が合理的です。
順序を定めた公的なルールはありませんが、土台の弱点を残したまま侵入テストをしても基本的な穴が次々見つかるだけで費用対効果が下がるため、各社の解説でもこの流れが共通して推奨されています。初めての点検であれば、まずプラットフォーム診断から始めれば十分なケースも少なくありません。
Q. 自社にはプラットフォーム診断とペネトレーションテストのどちらが向いていますか？
A. 「弱点の一覧を作って塞ぎたい」ならプラットフォーム診断（脆弱性診断）、「対策済みの状態で本当に侵入を防げるかを確かめたい」ならペネトレーションテストが向いています。
初めて点検する・新規システムを構築した・構成を大きく変更した場合は、まずプラットフォーム診断で網羅的に洗い出すのが出発点です。重要システムや個人情報・決済情報を扱い、標的型攻撃や内部不正への備えを実証したい場合は、ペネトレーションテストが選択肢になります。
Q. プラットフォーム診断とWebアプリケーション診断は何が違いますか？
A. プラットフォーム診断とWebアプリケーション診断は、プラットフォーム診断がサーバーやネットワーク機器などインフラ層を対象にするのに対し、Webアプリケーション診断はWebアプリの作り込みの脆弱性を対象にする点が違います。どちらも脆弱性診断の一種ですが対象が異なるため、インフラとWebアプリの両方を公開している場合は、両方を組み合わせて診断するのが一般的です。
Q. プラットフォーム診断の外部診断（リモート）と内部診断（オンサイト）はどう使い分けますか？
A. プラットフォーム診断では、インターネット側から公開サーバーの弱点を見たいなら外部診断（リモート診断）、社内ネットワークに侵入された後に広がり得る弱点を見たいなら内部診断（オンサイト診断）を選びます。
外部に公開しているサーバーやネットワーク機器の点検には外部診断、社内の端末まで含めて点検したい場合は機器を設置して行う内部診断が適しています。見積もり依頼時には、どちらを希望するか（あるいは両方か）を伝えると精度が上がります。
Q. プラットフォーム診断やペネトレーションテストの実施中に、サーバーやWebサイトは止まりますか？
A. 方式によります。設定値やバージョンを読み取るだけの診断は本番を止めませんが、多数の通信を送るツール診断などは本番への影響を避けるため、検証環境やアクセスの少ない時間帯で実施するのが一般的です。稼働中のシステムで実施する場合は、本番環境で行うか検証環境を用意できるか、稼働への影響をどこまで許容できるかを、あらかじめ診断会社と相談しておくと安心です。
Q. プラットフォーム診断やペネトレーションテストはどのくらいの頻度で実施すればよいですか？
A. 一般的な目安として、プラットフォーム診断（脆弱性診断）は四半期〜年1回に構成変更時を加えて、ペネトレーションテストは年1回程度に重要な変更後を加えて実施するとよいでしょう。金融機関やカード会員データを扱う事業者には、監督官庁・業界基準が定期実施を求めています（詳しくは本文の金融・決済事業者向けの節を参照）。
Q. プラットフォーム診断とペネトレーションテストの費用はどれくらいかかりますか？
A. 費用は一律では決まっておらず、プラットフォーム診断は診断対象のIPアドレス数や台数で、ペネトレーションテストは攻撃シナリオの範囲と作業工数で変動します。
公表料金の例では、インフラ層の継続診断で1台あたり月額1,250円から、Web・API診断を含むプランで50万円から、ペネトレーションテストに対応する上位プランで150万円といった水準があります（各社の公表情報にもとづく参考値）。正確な金額は対象の台数・範囲で変わるため、対象を整理して複数社に見積もりを依頼するのが確実です。
Q. プラットフォーム診断やペネトレーションテストのサービスを選ぶときのポイントは何ですか？
A. 対応範囲・診断の精度・報告書の分かりやすさ・導入実績などを、同じ条件で複数社に見積もりを依頼して比べるのがポイントです。見積もり時は対象の台数やIPアドレス数、外部／内部のどちらで診断するかを揃えて伝えると公平に比較できます。サービスごとの詳しい選び方は、脆弱性診断サービスの比較記事で解説しています。
脆弱性診断・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、プラットフォーム診断からペネトレーションテストまで対応する脆弱性診断・セキュリティ診断サービスの最新資料を無料で一括請求できます。診断対象・手法・料金を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
