ペネトレーションテストと脆弱性診断の違いと選び方

ペネトレーションテストと脆弱性診断の違いは、脆弱性診断が「システムのどこに弱点があるか」を網羅的に洗い出すのに対し、ペネトレーションテストは「攻撃者が実際に目的を達成できるか」を検証する点にあります。どちらもセキュリティの検査ですが、目的・範囲・深さ・費用が異なるため、自社の状況に合わない方法を選ぶと、費用をかけても必要な答えが得られません。

本記事では、ペネトレーションテストと脆弱性診断の違いを比較表で整理したうえで、それぞれを選ぶべきケース、状況別の選び方と判断の手順、組み合わせ方、実施のタイミング、費用と期間の目安を解説します。

ペネトレーションテストと脆弱性診断の違いを比較表で整理

ペネトレーションテストと脆弱性診断の違いは、目的、範囲、方法、深さ、成果物、費用、期間のすべてに表れます。

7つの観点で比較した違い

主な違いは次のとおりです。

表1: ペネトレーションテストと脆弱性診断の違い（費用・期間は公開情報にもとづく目安）

図で見るペネトレーションテストと脆弱性診断の違い

2つの検査の違いを図にまとめると、次のとおりです。

脆弱性診断とペネトレーションテストとは

まずは、それぞれの検査が何をするものかを簡単に確認しておきましょう。

脆弱性診断とは

脆弱性診断とは、Webアプリケーション、サーバー、ネットワークなどに対して疑似的な攻撃や設定の確認を行い、脆弱性を一覧として洗い出す検査です。ツールによる自動診断と、専門家による手動診断があり、対象に応じてWebアプリケーション診断やプラットフォーム診断などに分かれます（GMOインターネットグループ, 2024）。結果は、脆弱性ごとの危険度と修正方法をまとめた報告書として受け取ります。

経済産業省の「情報セキュリティサービス基準」では、脆弱性診断サービスの対象を、Webアプリケーション、プラットフォーム、スマートフォン・タブレット端末アプリケーションの3つに整理しています（経済産業省, 2024）。

ペネトレーションテストとは

ペネトレーションテストとは、専門家が攻撃者の視点で侵入のシナリオを立て、実際に侵入を試みて、攻撃の目的を達成できるかを検証するテストです。日本語では「侵入テスト」とも呼ばれます。たとえば「外部から社内ネットワークに入り、顧客データにたどり着けるか」といった目的を設定し、複数の弱点や設定の不備を組み合わせて検証します。社内のネットワークを対象とする内部テストと、インターネット側から行う外部テストがあります。

同基準では、ペネトレーションテストを脆弱性診断の一種と位置づけ、攻撃者と同様の手法でセキュリティ機能を回避し、攻撃の目的を達成できるかを試験するサービスと定義しています（経済産業省, 2024）。なお、攻撃を検知・対応する体制まで評価の対象に含めるかどうかは、事前に合意する検査の範囲によって決まります。

ペネトレーションテストと脆弱性診断の本質的な違い

ペネトレーションテストと脆弱性診断の本質的な違いは、答えようとしている「問い」が違う点にあります。

そのため、脆弱性診断で「重大な脆弱性はない」とされたシステムでも、ペネトレーションテストでは、軽微な弱点の組み合わせや運用上の不備から侵入できてしまうことがあります。反対に、基本的な弱点が多く残っている段階でペネトレーションテストを行うと、既知の弱点の指摘が中心になり、本来の目的である「守りの実効性の検証」まで届きにくくなります。

同じECサイトを2つの方法で検査した場合の例

違いをイメージしやすくするため、同じECサイトを2つの方法で検査した場合に、どのような結果が得られるかを架空の例で示します。

この例のように、脆弱性診断では危険度「低」とされた弱点が、ペネトレーションテストでは侵入の起点になることがあります。脆弱性診断は「直すべき弱点」を、ペネトレーションテストは「実際に起こりうる被害」を明らかにする検査です。

脆弱性診断を選ぶべきケース

脆弱性診断は、システムの弱点の全体像を把握し、修正につなげたいときに選びます。具体的には、次のような場合に向いています。

• これまで第三者によるセキュリティの検査を受けたことがない
• 新しいWebサービスやアプリを公開する前に、弱点を確認したい
• 機能の追加やシステムの更新を行い、新たな脆弱性がないか確かめたい
• 取引先や監査から、脆弱性の検査結果の提出を求められている
• 限られた予算で、まずは対応すべき弱点の優先順位を知りたい

脆弱性診断の結果は、修正のタスクにそのまま落とし込みやすい点が利点です。開発やシステム更新の流れに組み込み、定期的に実施することで、弱点が残ったまま公開されるリスクを減らせます。

ペネトレーションテストを選ぶべきケース

ペネトレーションテストは、基本的な対策が整ったうえで、実際の攻撃に耐えられるかを確かめたいときに選びます。具体的には、次のような場合に向いています。

• 脆弱性診断と修正をひととおり終え、現在の防御が実際に機能するかを確かめたい
• 個人情報や決済情報など、漏洩した場合の影響が大きい情報を扱っている
• SOC（セキュリティ監視の体制）やCSIRT（事故対応の体制）が、攻撃を検知・対応できるかを評価したい
• ランサムウェアなど、特定の攻撃シナリオへの備えを検証したい
• 今後どのセキュリティ対策に投資すべきかを、根拠をもって判断したい

このテストは、攻撃者の視点と高い専門性が求められるため、費用と期間は脆弱性診断より大きくなる傾向があります。そのため、検証したい目的を明確にしたうえで実施することが大切です。

状況別に見るペネトレーションテストと脆弱性診断の選び方

どちらを選ぶかは、検査の目的、侵入された場合のリスク、取引先や監査からの要件、直近の検査結果で決まります。

状況別の推奨

代表的な状況と推奨は次のとおりです。

表2: 目的と状況別に見る脆弱性診断とペネトレーションテストの選び方

判断の手順

迷ったときは、次の4つの問いに順番に答えると、自社に合う方法を判断しやすくなります。

判断フロー

4つの問いをフロー図にまとめると、次のとおりです。

代わりにはならない、補い合う関係

脆弱性診断とペネトレーションテストは、どちらか一方で他方を代わりにできるものではなく、補い合う関係です。脆弱性診断だけでは、弱点の組み合わせによる侵入や、検知・対応の体制の弱さを確かめられません。一方、ペネトレーションテストだけでは、攻撃シナリオの外にある弱点を見逃す可能性があります。

組み合わせる場合の基本の順序

組み合わせる場合は、脆弱性診断で弱点を洗い出して修正し、そのあとにペネトレーションテストで守りを確かめる順序が効果的です。先に既知の弱点を直しておくことで、ペネトレーションテストを、より高度な攻撃経路や運用面の検証に集中させられます。

両方を組み合わせるべきタイミング

次のような場合は、両方を組み合わせることを検討しましょう。

• 個人情報や決済など、重要な情報を扱うシステムを大きく刷新したとき
• クラウドへの移行などで、システムやネットワークの構成が大きく変わったとき
• セキュリティ事故のあとに、再発防止策が十分かを確かめたいとき
• 経営層や取引先に、セキュリティ対策の実効性を説明する必要があるとき

それぞれを実施する適切なタイミング

実施のタイミングは、脆弱性診断はシステムの変化に合わせて繰り返し、ペネトレーションテストは節目ごとに行うのが基本です。システムのライフサイクルに沿って整理すると、次のとおりです。

1. 開発中脆弱性診断（ツールを中心に）開発の流れに組み込み、早い段階で弱点を見つけて修正の手戻りを減らす
2. 公開前脆弱性診断（手動を含めて）新しいWebサービスやアプリを公開する前に、専門家による診断で弱点を確認する
3. 更新後脆弱性診断大きな機能追加やOS・ミドルウェアの更新のあとに、新たな弱点がないかを確かめる
4. 定期ペネトレーションテスト（年1〜2回など）診断と修正が進んだ段階で、守りが機能するかを検証する（範囲に含めれば、検知・対応の体制も確認できる）
5. 事故後両方を組み合わせてセキュリティ事故のあとに、原因となった弱点の修正と、再発防止策の実効性を確かめる

なお、ペネトレーションテストの頻度は、年1〜2回が一つの目安とされています（GMOインターネットグループ, 2024）。ただし、扱う情報の重要度やシステムの変化の大きさに応じて調整しましょう。

ペネトレーションテストと脆弱性診断の費用と期間の違い

費用と期間におけるペネトレーションテストと脆弱性診断の違いは、ペネトレーションテストのほうが大きくなりやすい点です。ただし、どちらも対象の規模や検査の内容によって大きく変わります。

費用と期間の目安

費用の目安は、料金の単位がそろっていないと比較できません。公開されている情報をもとに、料金の単位ごとに整理すると次のとおりです。

表3: 脆弱性診断とペネトレーションテストの費用の目安（CREX, 2025／ITトレンド, 2026／GMOインターネットグループ, 2024をもとに作成）

月額制のツールと、1回ごとに見積もる専門家の検査は、料金の考え方が異なります。ツールは継続的に使う前提の費用、専門家の検査はその1回の検査にかかる費用として比べましょう。

期間についても、検査作業そのものの期間と、事前のヒアリングや日程調整から報告書の提出までを含めた全体の期間を分けて考える必要があります。全体では、脆弱性診断でも数週間から数か月かかることがあります（CREX, 2025）。ペネトレーションテストは、シナリオの数や範囲によってさらに長くなる場合があります。

見積もりを依頼する前に整理しておくこと

見積もりを依頼する前に次の項目を整理しておくと、各社の提案を同じ条件で比較できます。

• 検査の目的（弱点を洗い出したいのか、実際の攻撃への耐性を確かめたいのか）
• 対象となる資産（URL、IPアドレス、アプリ、画面や機能の数など）
• 検査の範囲（外部からか内部からか、検知・対応の評価を含めるか）
• 実施する環境（本番環境か検証環境か）と、実施できる日時
• 実施の許可（関係部署や、利用しているクラウド・ホスティング事業者の規約で必要な手続き）
• 必要な報告書の形式（経営層向けの要約、開発者向けの詳細など）
• 修正後の再検査が必要か

依頼先を選ぶ際は、IPAが公開している「情報セキュリティサービス基準適合サービスリスト」で、経済産業省の基準に適合すると審査されたサービスかどうかを確認する方法もあります。

見積もりを比較するときの注意点

見積もりを比較する際は、金額だけでなく、検査の範囲、手動検査の有無、報告書の内容、修正後の再検査が含まれるかを確認しましょう。特にペネトレーションテストは、同じ名称でも、攻撃シナリオの数や検証の深さが会社によって異なります。安価な見積もりがツール中心の簡易な検査である場合もあるため、検査で何を確かめるのかをそろえたうえで比較することが大切です。

まとめ

ペネトレーションテストと脆弱性診断の違いをまとめると、脆弱性診断は「どこに弱点があるか」を広く洗い出す検査で、ペネトレーションテストは「攻撃者が目的を達成できるか」を深く検証するテストです。両者は代わりになるものではなく、まず脆弱性診断で弱点を修正し、そのうえでペネトレーションテストで守りの実効性を確かめる順序が効果的です。自社のセキュリティの成熟度と、検査で得たい答えを整理してから選びましょう。

どの検査が自社に必要か迷う場合は、カオピーズにご相談ください。お問い合わせはお問い合わせフォーム、メール（[email protected]）、お電話（03-5809-2633／受付 10:00〜18:00、土日祝休み）で承っています。なお、診断後の継続的な監視については、SOCとはや24時間365日監視サービスもあわせてご覧ください。

ペネトレーションテストと脆弱性診断の違いに関するよくある質問

参考文献

1. 経済産業省.（2024）.
   「情報セキュリティサービス基準（第4版）」.
   https://www.meti.go.jp/policy/netsecurity/shinsatouroku/zyouhoukizyun4.pdf（2026年11月閲覧）
2. 経済産業省.（2024年4月4日）.
   「『情報セキュリティサービス審査登録制度』の対象に『ペネトレーションテスト（侵入試験）サービス』を追加しました」.
   https://www.meti.go.jp/press/2024/04/20240404001/20240404001.html（2026年11月閲覧）
3. 独立行政法人情報処理推進機構（IPA）.（2026）.
   「情報セキュリティサービス基準適合サービスリスト」.
   https://www.ipa.go.jp/security/it-service/service_list.html（2026年11月閲覧）
4. GMOインターネットグループ.（2024）.
   「脆弱性診断とペネトレーションテストの違い｜自社に必要なサービスがわかる」.
   https://group.gmo/security/cybersecurity/penetration-testing/blog/vulnerability-assessment-penetration-testing/（2026年11月閲覧）
5. ITトレンド.（2026）.
   「ペネトレーションテストの費用相場は？種類・規模別の目安と見積もりのポイント」.
   https://it-trend.jp/security_assessment_service/article/61-8977（2026年11月閲覧）
6. CREX.（2025）.
   「脆弱性診断の費用相場を解説｜種類別の料金と価格を抑えるコツ」.
   https://crexgroup.com/ja/security/solutions/vulnerability-assessment-cost/（2026年11月閲覧）