ペネトレーションテストの費用は何で決まる？見積もりのポイントを解説
2026年10月9日(金)
ペネトレーションテストの費用は、何をどこまで検証するのか、どのような攻撃を想定するのか、実施条件をどう設定するのかによって大きく変わります。そのため、見積もりを取る前に、対象や検証範囲、実施内容を明確にしておくことが大切です。
この記事では、ペネトレーションテストの費用を左右する要素をもとに、見積もりを依頼する前に整理しておきたい情報と、複数の提案を比較する際のポイントを解説します。
ペネトレーションテストの費用は何で決まる？
ペネトレーションテストの見積もりを左右する要素は、主に下記が挙げられます。
- システムの種類・対象範囲
- 攻撃シナリオ・検証の深さ
- 実施条件・報告内容
ペネトレーションテストは攻撃者の視点で侵入可能性を確かめる手法であり、対象や条件が変わればそのまま作業量も変わるため、一律の料金を当てはめにくいのが実情です。
ここでは、それぞれが費用にどう影響するのかを整理します。
テストするシステムと対象範囲
ペネトレーションテストの費用は、何をどこまで検証するかで大きく変わります。あくまで一部ではありますが、費用を決める要素を下記の表にまとめました。
| システムの種類 | テストの対象範囲 |
|---|---|
| Webアプリケーション |
|
| モバイルアプリケーション |
|
| ネットワーク |
|
| サーバー |
|
なお、対象が増えるほど事前調査・検証・報告のすべての工程で作業量が増え、費用も変動します。また、外部ネットワークなのか内部ネットワークなのかといった環境も費用に影響します。
想定する攻撃シナリオと検証の深さ
費用は対象範囲だけで決まるわけではありません。どのような攻撃を想定し、どこまで侵入可能性を確かめるのかによっても工数が変動し、費用が変わります。
なお、ペネトレーションテストには主に3種類の手法があり、想定する攻撃シナリオや検証の深さが異なります。
| システムの種類 | テストの対象範囲 |
|---|---|
| ホワイトボックステスト |
|
| ブラックボックステスト |
|
| グレーボックステスト |
|
どの手法がコストが低い・高いとは、一概に言い切れません。検証を深く行い、工数が増えるほどコストは高くなる傾向があります。
実施条件や報告内容
そのほか、ペネトレーションテスト費用を左右する要素としては、下記のものが挙げられます。
- 実施する環境
- 時間帯
- 報告書の内容
- 報告会の有無
- 再テスト
例えば、休日や夜間にテストを実施する場合や、脆弱性が見つかった後に再テストを行う場合など、追加費用が発生するケースがあります。
単にテスト料金を比較するだけでなく、上記の費用も踏まえた総額をもとに、複数社の見積もりを比較することが大切です。
ペネトレーションテストの費用を見積もる前に整理したいこと
見積もりを依頼する前に、自社で確認しておきたい情報があります。前提が整理されていないと、業者ごとに条件の解釈が変わり、提示される金額を比較することが困難になります。
ここでは、ペネトレーションテストを行う目的・優先して確認したいシステム・対象範囲と対象外の範囲の3点について、事前に整理しておきたい内容を解説していきます。
ペネトレーションテストを行う目的を明確にする
見積もりの前にまず整理したいのは、ペネトレーションテストを行う目的です。「重要システムへの侵入可能性を確かめたい」「特定のサイバー攻撃への防御力を検証したい」など、何を確かめたいのかを明確にしておく必要があります。
目的が曖昧なままでは、対象範囲や想定シナリオを決められず、正確な見積もりを取ることができません。その結果、業者ごとに前提が異なる見積もりが届き、金額の差が何によるものか判断できなくなります。
優先して確認したいシステムを決める
すべてのシステムを同時に対象にするのではなく、顧客情報を扱うシステムや外部公開システムなど、優先順位の高いシステムから段階的にテストを行うのも選択肢の一つです。
【段階的テストの一例】
- 初回：外部に公開された顧客情報を取り扱うWebページ
- 次回：社内で使用する業務ツールやサブシステム
優先順位の高いシステムに対象を絞ることで、費用を抑えながら効果的な検証を行える可能性が高まります。
なお、優先順位は、停止したときの業務への影響や扱う情報の重要度、外部からの到達のしやすさなどを踏まえて総合的に検討しましょう。
対象範囲と対象外の範囲を整理する
優先してテストを行うシステムを決めたら、テストの対象範囲も整理しておく必要があります。先述したとおり、対象範囲によって工数が変わるため、費用にも影響します。
例えば、Webアプリケーションなら下記がテストの対象に挙げられます。
- 管理画面
- API
- ログイン機能
- 認証ページ
- 会員向け機能
- セッション管理
- 公開設定
あわせて、対象外とするシステムや触れてはいけない環境も明記しておくと、業者側の認識のずれを防げます。
対象範囲を明確にしておくと、各社の見積もり条件を同じ前提で比較しやすくなります。
ペネトレーションテストの費用を比較するときのポイント
ここまで解説してきたように、ペネトレーションテストの費用は対象システムや対象範囲、検証の深さ、実施条件などによって左右されます。
また、業者によってテストに含まれる費用が異なることもあります。例えば、再テストが見積もりに含まれている場合もあれば、別途追加で費用がかかる場合もあるのです。
費用を比較する際は内訳を明確にしたうえで、自社にとって適正な金額かどうかを判断する必要があります。
テスト範囲と検証内容をそろえて比較する
対象となるシステム・検証する攻撃シナリオ・作業範囲に違いがないかを、金額より先に確認する必要があります。この前提条件が間違っていると、費用を正確に比較できなくなるからです。
- 対象システムは合っているか
- テスト対象のページや機能はすべて含まれているか
- テストの実施条件は要望どおりか
もし、「一式」などと不明確に書かれている場合は、内訳の詳細を問い合わせるようにしましょう。
報告書や改善支援の範囲
成果物の範囲も、見積もりを比較するうえで確認したい項目です。検証結果だけが提示されるのか、発見した問題の説明や改善方法まで含まれるのかで、実施後に自社が行う作業の量が変わります。
なお、報告書にはテストの概要・発見事項・改善提案などが含まれます。ただし、どこまで詳しく書かれるかや、報告会や質疑対応が付くかどうかは、業者や契約内容によって異なります。
再テストの条件
業者によって、再テストの費用が見積もりに含まれているか、追加対応として別途請求されるのかが異なります。
初回の金額だけでなく、修正と再確認まで含めた総額で比較することが大切です。再テストの扱いが見積書に書かれていない場合は、依頼前に必ず確認しておきましょう。
実施後に発生する可能性のあるそのほかの費用も見積もりの段階で確認しておけば、より正確な価格で比較しやすくなります。
ペネトレーションテストの費用対効果を高めるには
ペネトレーションテストの費用対効果を高めるためには、下記の視点を取り入れてみてください。
- 重要なシステムから段階的に検証対象を広げていく
- 目的に応じて的確に脆弱性診断とペネトレーションテストを使い分ける
ポイントは、自社が確認したいセキュリティリスクに予算を適切に配分することです。ここでは、上記の視点をもとに、限られた予算を有効に使う方法を解説します。
重要なシステムから優先して検証する
手段の1つは、予算を使う対象を絞ることです。事業停止や情報漏えいが起きたときの影響が大きいシステムに絞れば、限られた予算の中で、確認したいリスクを深く検証しやすくなります。
まず優先度の高いシステムで検証を行い、次の予算で対象を広げていく進め方を検討しましょう。段階的に進めれば、初回の結果を踏まえて次回の範囲や条件を見直すこともできます。
脆弱性診断との役割を整理して使い分ける
ペネトレーションテストは、すべての場面で最適な方法とは限りません。状況や目的によっては、脆弱性診断の方が向いているケースがあるからです。
脆弱性診断とペネトレーションテストを使い分けることで、予算を適切に配分しやすくなります。
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 欠陥の発見 | 防御力・被害範囲の検証 |
| 実施の判断基準 | 新システム・新アプリのリリース前や定期的な点検 | 既存システムの防御力を確かめたいとき |
脆弱性診断は、対象の弱点を網羅的に洗い出す手法です。一方、ペネトレーションテストは、想定したシナリオに沿って実際に侵入できるかを検証する手法であり、目的が異なります。
そのため、自社が今知りたいことが「弱点の全体像」なのか「特定経路からの侵入可能性」なのかを整理し、目的に合う方法を選ぶ必要があります。
どちらか一方を実施するのではなく、まずは脆弱性診断でリスクを洗い出してから、ペネトレーションテストでそのリスクを検証するという活用も有効です。
脆弱性診断とペネトレーションテストの違いについては、下記の記事で詳しく解説しています。
DIT Securityのペネトレーションテスト・脆弱性診断
ここまで見てきたように、ペネトレーションテストの費用は対象範囲や検証の深さ、実施条件など、さまざまな要素に影響されます。また、専門的な知見を必要とする要素が多く、企業によっては自社だけで適正な診断内容を検討するのが困難な場合があるでしょう。
実際に、DIT Securityの導入事例には、脆弱性が数多く発見された後にどのような対応を行えばいいのかわからなかった、という課題を抱えていた企業もあります。
目的や予算に合わせて診断内容を検討できる
DIT Securityの脆弱性診断は、Webアプリケーションやサーバー、IoTデバイス、クラウドなど多様な環境を対象としており、ペネトレーションテスト（侵入テスト）にも対応しています。
対象システムや対象範囲などお客様の情報をもとに、目的と予算に応じて診断内容をカスタマイズしています。また、機械診断／手動診断の選択、類似ページの省略、類似システムの省略、アクション／リクエストの簡素化といった費用対効果を高める提案もあわせて行っています。
自社に合った診断方法や具体的な費用を知りたい方は、まず目的と優先して確認したいシステムを整理したうえで、脆弱性診断サービスページからご相談ください。
まとめ
ペネトレーションテストの費用は一律ではありません。対象範囲・検証の深さ・実施条件などによって変わるため、提示された価格だけでは比較しにくいのが実情です。
また、価格は業者によっても異なるため、複数社の見積もりを比較することをおすすめします。見積もりを依頼する際は、ペネトレーションテストを行う目的や対象システム、テストの対象範囲などの前提条件を明確に整理しておくことが大切です。
もし、どのように対応すればいいかわからない場合は、専門家に相談しながら適切な診断内容を決めることから始めましょう。
DIT Securityでは、脆弱性診断に加えてペネトレーションテストにも対応しており、目的や予算に応じてカスタマイズしたご提案が可能です。
ペネトレーションテストの費用や進め方でお悩みの方は、ぜひDIT Securityまでご相談ください。
執筆者情報
