ペネトレーションテストを検討中だけど、費用感が分からず困っていませんか？ 本記事では、ペネトレーションテストの費用相場を、テスト範囲、システム規模、実施業者など様々な角度から徹底解説します。 具体的には、Webアプリケーション、ネットワーク、スマートフォンアプリといったテスト対象の違いによる費用の差や、大規模システムと小規模システムでどれくらい費用が変わるのかを分かりやすく説明。 さらに、セキュリティベンダー、コンサルティングファーム、フリーランスなど、業者ごとの費用感の違いも比較検討します。 また、見積もりを取得する際のポイントや、費用を抑えるための具体的なコツも紹介。IPA（情報処理推進機構）の資料なども参考にしながら、よくある質問にもお答えしますので、ペネトレーションテスト費用の全体像を理解し、最適な予算計画を立てることができます。

お役立ち資料 ｜ 無料他社の被害事例とセキュリティ対策の進め方（事例つき・全19ページ）ランサムウェア被害の実例や、製造業・サプライチェーンでの対策事例をまとめました。SCS評価制度★3/★4への対応や、ログ収集からSIEMまで「何から始めるか」を整理した無料の資料です。他社の事例と対策を見てみる（無料）

ペネトレーションテストとは

ペネトレーションテストの費用相場は、診断対象と手法によって60万円〜1,000万円超と幅があります。Webアプリケーション単体なら60万〜300万円、ネットワークやサーバーまで含めると200万〜800万円、攻撃者視点で組織全体を狙うレッドチーム型では1,000万円を超えることもあります。金額は「どこまでを・どのシナリオで診断するか」でほぼ決まるため、同じ「ペネトレーションテスト」でも見積は数倍変わります。本記事では、対象別の料金レンジ、費用を左右する変数、依頼先の選び方までを費用の観点で整理します。

ペネトレーションテスト（Penetration Test）、略してペンテストとは、疑似的に悪意のある攻撃者となってシステムの脆弱性を発見するセキュリティテストです。システムに侵入を試みることで、実際に悪用可能な脆弱性を見つけ出し、そのリスクを評価します。これは、システムのセキュリティ対策の有効性を検証し、改善するための重要なプロセスです。

ペネトレーションテストの目的

ペネトレーションテストの主な目的は、システムのセキュリティ上の弱点を見つけ出し、悪用される前に対策を講じることです。これにより、情報漏洩、サービス停止、金銭的損失などのリスクを軽減することができます。具体的には、以下の目的が挙げられます。

• 脆弱性の発見とリスク評価
• セキュリティ対策の有効性検証
• セキュリティ意識の向上
• インシデント発生時の対応能力向上
• コンプライアンスへの準拠

ペネトレーションテストの種類

ペネトレーションテストには、攻撃者側の情報量によっていくつかの種類があります。主な種類は以下の通りです。

ホワイトボックステスト

ホワイトボックステストは、テスト対象のシステムに関する情報（ソースコード、ネットワーク構成図など）を全て提供した状態で行うテストです。内部からの攻撃を想定しており、より詳細なテストが可能です。

ブラックボックステスト

ブラックボックステストは、攻撃者があらかじめシステムに関する情報を持たない状態で行うテストです。外部からの攻撃を想定しており、実際の攻撃に近い状況を再現できます。

グレーボックステスト

グレーボックステストは、ホワイトボックステストとブラックボックステストの中間的なテストです。一部のシステム情報（例えば、ユーザーアカウント情報）のみを提供した状態で行います。現実的な攻撃シナリオを想定し、効率的に脆弱性を発見することを目的とします。

これらのテストは、単独で行われる場合もあれば、組み合わせて実施される場合もあります。対象システムの特性やセキュリティ要件に応じて、適切なテストの種類を選択することが重要です。

その他、Webアプリケーションに対する脆弱性診断や、モバイルアプリケーションに対する脆弱性診断、IoT機器に対する脆弱性診断など、様々な種類のペネトレーションテストが存在します。近年では、クラウド環境の普及に伴い、クラウド環境特有の脆弱性を診断するクラウドペネトレーションテストも注目されています。

ペネトレーションテスト費用の相場

ペネトレーションテストの費用は、テスト範囲、対象システムの規模、実施業者によって大きく変動します。費用の相場を把握することで、適切な予算計画を立てることができます。

テスト範囲による費用の違い

テスト範囲が広いほど、費用は高額になります。例えば、Webアプリケーションのみを対象とする場合と、Webアプリケーション、ネットワーク機器、スマートフォンアプリなど複数のシステムを対象とする場合では、後者の方が費用が高くなります。

上記はあくまでも目安であり、実際の費用はテスト内容の complexity や実施業者によって異なります。例えば、Webアプリケーションのテスト範囲でも、ログイン機能のみのテストなのか、すべての機能をテストするのかによって費用は変動します。より詳細な見積もりは、複数の業者に問い合わせて比較検討することが重要です。

テスト対象のシステム規模による費用の違い

システム規模が大きいほど、テストに必要な工数が増えるため、費用は高額になります。例えば、小規模なECサイトと大規模な金融機関のシステムでは、後者の方が費用が高くなります。システム規模は、サーバーの数、アプリケーションの機能数、ユーザー数などを考慮して判断されます。

システム規模の定義は業者によって異なる場合があるため、見積もり時に確認することが重要です。

テスト実施業者の種類による費用の違い

ペネトレーションテストを実施する業者の種類によっても費用は異なります。大手セキュリティベンダー、中小のセキュリティ専門業者、フリーランスなど、様々な業者が存在します。

費用だけでなく、業者の実績、技術力、対応範囲、サポート体制などを総合的に判断して業者を選択することが重要です。例えば、IPAが認定する情報セキュリティサービス基準適合事業者を選択するのも一つの方法です。また、特定の業界に特化した専門知識を持つ業者を選ぶことで、より効果的なテストを実施できる可能性があります。

ペネトレーションテスト費用の早見表｜診断対象・手法別の料金レンジ

費用のイメージを掴むために、代表的な診断対象ごとのレンジを一覧にします。あくまで一般的な目安であり、実際の金額は診断シナリオの深さや再診断の有無で上下しますが、「自社が守りたい対象はどれか」を先に決めると、見積の粒度が揃い比較しやすくなります。

表のとおり、費用は対象範囲の広さにほぼ比例します。「まず何から診断すべきか」で迷う場合は、外部公開されていて攻撃を受けやすいWebアプリケーションや、インターネットに面したネットワークから始めるのが定石です。クラウド環境の場合は、侵入テストの前に設定不備を洗い出す構成監査（アセスメント）を組み合わせると、限られた予算でも守るべき箇所を効率的に押さえられます。

クラウドやネットワーク境界の防御そのものを見直す場合は、AWS WAFの料金体系｜利用するメリットや注意点 もあわせて確認してください。

ペネトレーションテスト費用を左右する5つの変数

同じ対象でも、見積金額は次の5つの変数で変わります。各社の見積を比較するとき、金額差の理由はほぼこの5点に集約されます。

このうち最も金額を動かすのは診断範囲（スコープ）と手法です。「念のため全部」と広げると費用は跳ね上がりますが、実際にビジネスへの影響が大きい資産は限られていることがほとんどです。まず守るべき対象を絞り、そこに対してツールによる自動診断で足りるのか、攻撃者の思考で侵入まで試すペネトレーションテストが必要なのかを切り分けると、予算を無駄なく配分できます。

見落とされやすいのが再診断です。脆弱性が見つかっても、修正が正しく効いているかを再テストしなければ意味がありません。初回だけの見積で安く見えても、再診断が別料金だと総額で逆転します。「初回＋再診断＋報告会」までを含めた総額で比較してください。

ペネトレーションテストの見積もりポイント

ペネトレーションテストを依頼する際、見積もりは費用対効果を判断する上で非常に重要な要素です。複数の業者から見積もりを取り寄せ、内容をしっかりと比較検討することで、最適な業者を選定し、不要なコストを削減することができます。見積もりを理解する上でのポイントを以下にまとめました。

見積もりに含まれる項目の確認

ペネトレーションテストの見積もりには、様々な項目が含まれています。業者によって項目や費用が異なるため、見積書の内容を詳細に確認することが重要です。主な項目は以下の通りです。

これらの項目に加えて、テスト対象のシステム規模や複雑さ、実施するテストの深さなども費用に影響します。見積もり内容を理解し、不明点があれば業者に確認しましょう。

複数の業者からの見積もり比較

ペネトレーションテスト業者を選ぶ際には、複数の業者から見積もりを取り寄せ、比較検討することが重要です。業者によって得意分野や料金体系が異なるため、自社のニーズに合った業者を見つけることができます。比較するポイントは、費用だけでなく、実績、技術力、対応力なども考慮しましょう。例えば、IPA（情報処理推進機構）のセキュリティ人材育成プログラムへの参加実績や、保有する資格（情報処理安全確保支援士など）を確認することで、業者の信頼性を判断する材料となります。また、過去の事例や顧客の声なども参考にすることで、より具体的なイメージを持つことができます。

見積もり内容の理解と質問

見積もりを受け取ったら、内容をしっかりと理解することが重要です。専門用語や技術的な内容が含まれている場合もあるため、不明点があれば業者に質問し、納得した上で契約を締結しましょう。例えば、「脆弱性の定義」や「リスク評価基準」について確認することで、報告書の内容をより深く理解することができます。また、テスト実施後のサポート体制についても確認しておきましょう。検出された脆弱性への対応方法や、再テストの実施時期など、具体的な内容を事前に確認しておくことで、スムーズな対策を進めることができます。質問することで、業者との信頼関係を築き、より効果的なペネトレーションテストを実施することに繋がります。

ペネトレーションテスト費用を抑えるコツ

ペネトレーションテストはセキュリティ対策として重要ですが、費用も無視できません。費用対効果を高めるためには、いくつかのコツを掴むことが重要です。以下に、ペネトレーションテスト費用を抑えるための具体的な方法を解説します。

テスト範囲の絞り込み

テスト範囲を絞り込むことで、費用を抑えることができます。全てのシステムを対象とするのではなく、機密性の高い情報を取り扱うシステムや、外部に公開されているシステムなど、特に重要なシステムに絞ってテストを実施することで、費用を抑えつつ効果的なセキュリティ対策を行うことができます。

スコープの明確化

テスト対象のシステム、ネットワーク、アプリケーションを明確に定義します。例えば、Webアプリケーションのみを対象とするのか、あるいはデータベースサーバーも含めるのかを明確にする必要があります。スコープが明確であればあるほど、無駄なテストを省き、費用を抑えることができます。スコープ定義シートなどを用いて、テスト範囲を可視化することも有効です。

段階的なテストの実施

一度にすべての範囲をテストするのではなく、段階的にテストを実施する方法も有効です。例えば、まずはWebアプリケーションをテストし、その後でデータベースサーバーをテストするといったように、段階的にテストを進めることで、初期段階で重大な脆弱性が発見された場合に、以降のテスト範囲を調整し、費用を削減できます。

脆弱性診断ツールを活用した事前調査

脆弱性診断ツールを活用して事前に自社システムの脆弱性を洗い出すことで、ペネトレーションテストの範囲を絞り込み、費用を抑えることができます。オープンソースのツールから商用ツールまで様々なツールが存在します。Nessus EssentialsやOpenVASなどのツールは無料で利用でき、手軽に脆弱性診断を行うことができます。これらのツールで事前に既知の脆弱性を発見し、修正しておくことで、ペネトレーションテストにおける作業量を削減できます。ただし、ツールでは発見できない脆弱性もあるため、ツールによる診断だけでペネトレーションテストを代替することはできません。

ツール選定のポイント

脆弱性診断ツールは数多く存在するため、自社のシステム環境や目的に合ったツールを選択することが重要です。Webアプリケーションの脆弱性診断に特化したツールや、ネットワーク機器の脆弱性診断に特化したツールなど、様々な種類があります。ツールの機能、価格、サポート体制などを比較検討し、最適なツールを選びましょう。

定期的なペネトレーションテストの実施

定期的にペネトレーションテストを実施することで、システムの脆弱性を早期に発見し、修正することができます。これにより、大規模なセキュリティインシデント発生のリスクを低減し、結果的に長期的なコスト削減に繋がります。また、定期的なテストを実施することで、前回のテスト結果を踏まえた効率的なテスト設計が可能となり、費用を抑えることにも繋がります。

実施頻度の検討

システムの重要度や変更頻度に応じて、適切な実施頻度を検討する必要があります。例えば、インターネットに公開されているWebアプリケーションは、攻撃を受けるリスクが高いため、年に数回程度のテスト実施が推奨されます。一方、社内システムなど、変更頻度が低いシステムは、年に1回程度のテストで十分な場合もあります。

これらのコツを踏まえ、自社に最適な方法でペネトレーションテストを実施し、セキュリティレベルの向上と費用対効果の最大化を目指しましょう。

ペネトレーションテストの依頼先の選び方

ペネトレーションテストの依頼先は、大きく3つのタイプに分かれます。同じ「診断」でも得意領域と費用感が異なるため、目的に合わないタイプへ依頼すると「高い割に必要な検証がされていない」というミスマッチが起きます。

選定でまず確認したいのは、報告書が「見つけた脆弱性の一覧」で終わらず、リスクの優先度と具体的な是正方法まで書かれているかです。脆弱性は見つけることよりも、限られた工数でどこから直すかの判断のほうが難しく、そこに踏み込めるかどうかで診断の価値は大きく変わります。自社で開発・運用しているシステムであれば、診断から修正・再診断までを一貫して任せられるシステム開発／運用会社に相談すると、指摘を放置せず改善サイクルまで回せます。

依頼先の具体的な比較や選定の観点は、ペネトレーションテスト会社5選｜依頼するメリットや選定方法 で詳しく解説しています。

→ 診断範囲と費用感を c3index に相談する

ペネトレーションテスト実施の流れ

ペネトレーションテストは、綿密な計画と準備のもと、段階的に実施されます。主な流れは以下のとおりです。

計画・準備フェーズ

このフェーズでは、テストの目的、範囲、手法、スケジュールなどを明確にします。

スコープ定義

テスト対象のシステムやネットワーク範囲、テスト対象外とする範囲を明確に定義します。例えば、Webアプリケーション、社内ネットワーク、特定のIPアドレス範囲などがスコープとして設定されます。スコープの明確化は、費用や工数の見積もりにも大きく影響するため、非常に重要です。

テスト計画書作成

スコープに基づき、具体的なテスト項目、実施スケジュール、担当者、報告方法などを記載したテスト計画書を作成します。この計画書は、依頼者と実施者の間で認識を共有するための重要なドキュメントとなります。

ルール策定

テスト実施におけるルールを策定します。例えば、テスト実施時間帯、攻撃トラフィックの制限、緊急時の連絡体制などを定めます。ルールを明確にすることで、テストによる業務への影響を最小限に抑え、予期せぬトラブルを防ぐことができます。

情報収集フェーズ

このフェーズでは、テスト対象に関する情報を収集します。

公開情報収集 (OSINT)

インターネット上で公開されている情報を収集します。企業ウェブサイト、SNS、技術ブログなどを調査し、脆弱性の有無に関する手がかりを探します。OSINTは、攻撃者が実際に利用する可能性のある情報源であり、重要な情報収集手段です。

スキャニング

脆弱性スキャナー（Nessus、OpenVASなど）を用いて、対象システムの脆弱性を自動的に検出します。スキャニングによって、既知の脆弱性の存在を効率的に確認できます。

脆弱性分析フェーズ

情報収集フェーズで得られた情報を元に、脆弱性の有無を詳細に分析します。

脆弱性検証

スキャニングで検出された脆弱性が実際に存在するかどうか、手動で検証します。Metasploitなどのツールを活用することもあります。脆弱性の存在確認は、ペネトレーションテストの重要なステップです。

影響度分析

発見された脆弱性が悪用された場合、どのような影響があるかを分析します。情報漏洩、サービス停止、システム乗っ取りなどのリスクを評価します。影響度分析は、対策の優先順位を決める上で重要な要素となります。

侵入テストフェーズ

実際に攻撃を模倣し、システムへの侵入を試みます。

侵入実行

発見された脆弱性を悪用し、システムへの侵入を試みます。SQLインジェクション、クロスサイトスクリプティングなどの攻撃手法を用います。侵入テストは、システムのセキュリティ強度を実際に試す重要なフェーズです。

権限昇格

侵入成功後、より高い権限の取得を試みます。管理者権限を取得することで、システム全体を制御できる可能性があります。権限昇格は、攻撃の深刻度を大きく左右する要素です。

報告フェーズ

テスト結果をまとめ、報告書を作成します。

報告書作成

発見された脆弱性、その影響度、推奨される対策などを記載した報告書を作成します。報告書は、今後のセキュリティ対策に役立てるための重要な資料となります。

説明会

報告書の内容について、依頼者へ説明会を実施します。脆弱性の内容、対策方法、今後の対応方針などを説明します。説明会を通して、依頼者と認識を共有し、今後のセキュリティ対策をスムーズに進めることができます。

対策・改善フェーズ

報告書に基づき、発見された脆弱性への対策を実施します。

適切な対策を実施することで、セキュリティレベルを向上させることができます。

ペネトレーションテストに関するよくある質問

ペネトレーションテストに関して、お客様からよくいただく質問をまとめました。

ペネトレーションテストはなぜ必要なのですか？

ペネトレーションテストは、システムのセキュリティ上の弱点を見つけ出し、悪用される前に対策を講じるために必要です。サイバー攻撃の巧妙化・増加に伴い、企業にとってセキュリティ対策は必須となっており、ペネトレーションテストはその重要な一環を担っています。

脆弱性診断とペネトレーションテストの違いは何ですか？

脆弱性診断は、システムの既知の脆弱性を自動ツールでスキャンして検出するのに対し、ペネトレーションテストは、実際に攻撃をシミュレートすることで、脆弱性の悪用可能性やシステムへの影響を検証します。脆弱性診断で見つかった脆弱性が実際に悪用可能かどうかを確かめるためにペネトレーションテストを実施することがあります。

ペネトレーションテストの実施頻度はどのくらいが適切ですか？

システムの変更頻度や、ビジネス上のリスク、業界のベストプラクティスなどを考慮して決定します。一般的には、年に1回以上の実施が推奨されています。システムに変更があった場合や、重大なセキュリティインシデントが発生した場合は、追加で実施することも検討すべきです。

ペネトレーションテストを実施することで、どのような効果が期待できますか？

ペネトレーションテストを実施することで、以下の効果が期待できます。

• セキュリティリスクの把握と低減
• システムの脆弱性の発見と修正
• セキュリティインシデント発生のリスク軽減
• セキュリティ対策の強化と改善
• 企業の信頼性向上

ペネトレーションテストの報告書には何が記載されていますか？

報告書には、通常以下の項目が記載されます。

• 実施概要（テスト範囲、期間、手法など）
• 発見された脆弱性の詳細（種類、リスクレベル、影響範囲など）
• 脆弱性に対する対策 recommendations
• 再テストの結果

ペネトレーションテストに必要な準備はありますか？

テスト範囲の決定、テスト環境の準備、担当者との連携などが必要です。実施業者との綿密な打ち合わせを行い、必要な情報を提供することが重要です。

ペネトレーションテストの費用はどれくらいかかりますか？

テスト範囲、対象システムの規模、実施業者の種類などによって費用は異なります。数十万円から数百万円程度が相場となっています。詳しくは、複数の業者から見積もりを取り、比較検討することをお勧めします。

ペネトレーションテストで使用するツールにはどのようなものがありますか？

様々なツールがありますが、代表的なものとして下記が挙げられます。

ペネトレーションテスト中に問題が発生した場合、どのように対応してもらえますか？

実施業者に連絡し、状況を説明することで、適切な対応をしてもらえます。事前に緊急連絡先を確認しておくことが重要です。また、問題発生時の対応手順についても事前に確認しておきましょう。

ペネトレーションテストの結果を受けて、どのように改善すれば良いですか？

報告書に記載された脆弱性とその対策 recommendationsに基づき、システムの修正やセキュリティ対策の強化を行います。優先順位の高い脆弱性から順に対策していくことが重要です。また、再テストを実施し、改善状況を確認することも必要です。

対策が実際に機能しているかは、攻撃者の視点で検証してみないとわかりません。セキュリティ診断で、現状の穴を洗い出すご支援をしています。

脆弱性診断とペネトレーションテストでは、費用はどれくらい違いますか？

脆弱性診断はツールによる自動スキャンが中心で、対象1件あたり数万〜数十万円から実施できます。一方ペネトレーションテストは、攻撃者の視点で手動の侵入検証を行うため、Webアプリ単体でも60万円前後からと高くなります。目的が異なり、「既知の穴を網羅的に洗う」なら脆弱性診断、「実際に侵入されうるかをシナリオで検証する」ならペネトレーションテストが適しています。まず脆弱性診断で全体像を把握し、重要システムだけペネトレーションテストを行う組み合わせが、費用対効果の高い進め方です。

費用を抑えてペネトレーションテストを実施する方法はありますか？

最も効果的なのは、診断範囲を「攻撃されると事業影響が大きい資産」に絞ることです。全システムを一律に診断するのではなく、外部公開されているサービスや個人情報を扱う画面など、リスクの高い箇所から優先的に実施します。あわせて、事前に社内で構成情報や過去の脆弱性診断結果を整理しておくと、業者側の調査工数が減り見積も下がります。複数社から同じ条件で相見積もりを取り、報告書の粒度と再診断の有無まで含めて総額で比較することも、費用を適正化するうえで有効です。

まとめ

この記事では、ペネトレーションテストの費用について、相場、見積もりのポイント、費用を抑えるコツなどを解説しました。ペネトレーションテストは、システムのセキュリティ脆弱性を発見し、対策を講じるために重要な対策です。しかし、その費用はテスト範囲やシステム規模、実施業者によって大きく異なります。

費用を抑えるためには、テスト範囲を絞り込んだり、脆弱性診断ツールを事前に活用したりすることが有効です。また、定期的にペネトレーションテストを実施することで、早期に脆弱性を発見し、結果的に費用を抑えることにも繋がります。複数の業者から見積もりを取り、内容をしっかりと理解した上で比較検討することも重要です。

ペネトレーションテストは、システムのセキュリティを確保するための必要経費です。費用対効果を考慮しながら、適切なテストを実施することで、安全なシステム運用を実現しましょう。

ペネトレーションテスト・セキュリティ診断のご相談

c3indexでは、システムの開発・運用で培った知見をもとに、セキュリティ診断のご相談を承っています。「どこまでの範囲を診断すべきか分からない」「提示された見積が妥当か見てほしい」といった段階からのご相談も可能です。守るべき対象と現状の体制をうかがったうえで、診断範囲の切り分け方と概算の費用感をご提示します。

診断の前に自社のセキュリティ体制を見直したい場合は、中小企業の情報セキュリティ対策10選｜よくある被害事例と今すぐできる対策 もあわせてご覧ください。

「自社の場合はどう進めるべきか」で迷っていませんか？ c3index は、現状をうかがったうえで進め方をご提案します。相談は無料です。

【無料お役立ち資料】他社の被害事例とセキュリティ対策の進め方

お役立ち資料 ｜ 無料他社の被害事例とセキュリティ対策の進め方（事例つき・全19ページ）ランサムウェア被害の実例や、製造業・サプライチェーンでの対策事例をまとめました。SCS評価制度★3/★4への対応や、ログ収集からSIEMまで「何から始めるか」を整理した無料の資料です。他社の事例と対策を見てみる（無料）