「ペネトレーションテストを依頼したいが、いくら用意すればいいのか見当もつかない」——IT部門長やCISOからよく聞かれる悩みです。ペネトレーションテストの費用は、対象システムの規模・テスト手法・テスターのスキルレベルによって数十万円から数千万円まで幅広く、相見積もりを取っても金額差が大きすぎて比較しにくいという声も少なくありません。
本記事では、2026年時点の国内市場におけるペネトレーションテストの費用相場を種別・規模・業界ごとに整理し、コストを左右する5つの要素と失敗しない選定の3原則をわかりやすく解説します。これからペネトレーションテストの発注を検討している情シス担当者・CISOの方は、ぜひ見積もり前の参考にしてください。
ペネトレーションテストの費用相場一覧【2026年版】
テスト種別 | 対象規模 | 費用相場（税別） | 期間目安 | 向いているケース |
|---|---|---|---|---|
Webアプリ ペネトレーション | 小規模（画面20枚以下） | 50万〜120万円 | 3〜5営業日 | スタートアップ・社内ツール・MVP段階 |
Webアプリ ペネトレーション | 中規模（画面20〜100枚） | 120万〜350万円 | 5〜15営業日 | SaaS・EC・会員サービス |
Webアプリ ペネトレーション | 大規模（画面100枚超・複数API） | 350万〜800万円 | 15〜30営業日 | 金融・医療・基幹Webシステム |
ネットワーク ペネトレーション | 外部IPアドレス〜50件 | 80万〜200万円 | 3〜7営業日 | 拠点間VPN・DMZ・公開サーバ群 |
ネットワーク ペネトレーション | 内部NW（セグメント10以下） | 150万〜400万円 | 5〜10営業日 | ラテラルムーブメント評価・ゼロトラスト検証 |
クラウド環境（AWS/Azure/GCP） | アカウント1つ・サービス10以下 | 100万〜300万円 | 3〜8営業日 | クラウド移行直後・設定ミス検証 |
クラウド環境（AWS/Azure/GCP） | マルチアカウント・複合構成 | 300万〜700万円 | 10〜20営業日 | マルチクラウド・大規模SaaS |
モバイルアプリ（iOS/Android） | 1プラットフォーム | 60万〜180万円 | 3〜7営業日 | アプリリリース前・API連携含む検証 |
モバイルアプリ（iOS/Android） | 両プラットフォーム＋バックエンドAPI | 180万〜450万円 | 7〜15営業日 | フィンテック・ヘルスケアアプリ |
Red Team演習 | 中規模組織（従業員500名以下） | 500万〜1,200万円 | 1〜3ヶ月 | 組織全体のレジリエンス評価・TLPT準備 |
Red Team演習（TLPT対応） | 金融機関・大規模組織 | 1,000万〜3,000万円以上 | 3〜6ヶ月 | 金融庁TLPT要件・重要インフラ評価 |
費用を決める5つの要素
1. 対象範囲・システム規模
費用に最も直結するのが「何をどこまでテストするか」というスコープ定義です。テスト対象が広ければ広いほど、必要な工数と期間が増加します。IPアドレス数・ドメイン数、Webアプリの画面・機能数、内部NW・クラウドのセグメント数、テスト環境の有無などがスコープ交渉のポイントになります。
2. テスト手法（自動/手動/ハイブリッド）
ペネトレーションテストの手法は大きく3種類に分かれ、費用と発見能力に大きな差があります。自動スキャン主体のサービスは費用は安価ですが、ビジネスロジック脆弱性や連鎖型攻撃は発見できません。手動テスト主体は費用は高くなりますが、ツールでは検出できないロジック欠陥や認可不備を発見できます。現在の市場では自動と手動を組み合わせたハイブリッドが主流です。
3. テスター資格・実績
テスターのスキルレベルは費用に直接反映されます。OSCP（Offensive Security Certified Professional）、OSCE、CEH、GPEN、CISSPなどの国際資格保有者や、実際のインシデント対応・レッドチーム演習経験者が関与するサービスは必然的に単価が上がります。特に金融機関向けのTLPTでは、金融庁の公認を受けた高度な専門家チームが必要であり、通常のペネトレーションテストと比べて費用が2〜5倍以上になることも珍しくありません。
4. 期間・報告書の詳細度
テスト期間が長ければ長いほど発見できる脆弱性の数と深度が増しますが、費用も比例して上がります。また、報告書の粒度も費用に影響します。PoC（概念実証）コードや攻撃フロー動画を含む詳細報告書は追加費用が発生します。
5. 再テスト（フォローアップ）の有無
初回テスト後に検出された脆弱性を修正し、その修正が適切かを確認する再テスト（リメディエーションテスト）が含まれるかどうかも重要なコスト要素です。再テストが含まれない場合、別途10万〜50万円程度の追加費用が発生することがあります。セキュリティ対応の実効性を担保するためにも、再テストを契約に含めることを強く推奨します。
業界別・目的別の費用目安
業界/目的 | 推奨テスト種別 | 費用目安（税別） | 推奨頻度 |
|---|---|---|---|
金融機関（TLPT対応） | Red Team演習（TIBER-JP/TLPT準拠） | 1,500万〜3,000万円以上 | 3年に1回以上（金融庁指定） |
金融機関（一般的なセキュリティ評価） | Webアプリ＋ネットワーク複合 | 300万〜800万円 | 年1〜2回 |
製造業（OT/ICS環境） | OTネットワーク＋IT/OT境界テスト | 400万〜1,200万円 | 年1回 |
SaaS事業者（リリース前） | Webアプリ＋API＋クラウド設定レビュー | 150万〜500万円 | メジャーリリースごと |
上場前セキュリティ審査（IPO対応） | Webアプリ＋ネットワーク＋内部不正リスク評価 | 250万〜700万円 | 上場申請前1〜2年以内に1回 |
ECサイト（PCI DSS対応） | Webアプリ＋NW（PCI DSS要件11.3準拠） | 150万〜400万円 | 年1回（PCI DSS義務） |
スタートアップ（資金調達後） | Webアプリ（ハイブリッド） | 50万〜150万円 | 資金調達ごと・年1回 |
安すぎる見積もりに要注意 — 失敗しない選定の3原則
原則1：手動テストの工数を数値で確認する
見積書に「テスター工数：◯人日」と明記されているか確認しましょう。自動スキャンのみのサービスはテスターの稼働時間がほぼゼロです。Webアプリのペネトレーションテストであれば、最低でも5人日以上の手動テスト工数が含まれていなければ、高度な脆弱性（IDOR、ビジネスロジック欠陥、認可バイパスなど）を見逃す可能性が高くなります。
原則2：テスターの資格・実績を書面で求める
担当テスターのCV（経歴書）または資格証明書を提供できるベンダーを選びましょう。OSCP、OSCE3、GPEN、CEHなどの攻撃系資格、またはCVE登録実績・バグバウンティプログラムへの参加歴は客観的な技術力の指標になります。
原則3：サンプルレポートを事前に入手する
過去の報告書（機密情報を匿名化したサンプル）を提供できないベンダーは要注意です。確認すべきポイントは以下の通りです。①各脆弱性に対してCVSS v3スコアと根拠が記載されているか、②攻撃経路（Attack Path）が図示されているか、③修正方針が開発者が実装できる粒度で記載されているか、④エグゼクティブサマリーが経営層向けに分かりやすく書かれているか。
ペネトレーションテスト vs 脆弱性診断 — 費用と効果の違い
比較項目 | 脆弱性診断（VA） | ペネトレーションテスト（PT） |
|---|---|---|
目的 | 既知の脆弱性を網羅的に洗い出す | 実際に侵入・権限昇格できるか検証する |
主なアプローチ | 自動スキャンツール＋パターンマッチング | 手動攻撃シミュレーション・エクスプロイト |
費用相場 | 10万〜80万円 | 50万〜3,000万円以上 |
期間 | 1〜3営業日 | 3営業日〜6ヶ月 |
発見できる脆弱性 | 既知CVE・設定ミス・バージョン陳腐化 | ビジネスロジック欠陥・ゼロデイ相当・複合攻撃経路 |
適したケース | 定期的な広域チェック・コスト重視 | リリース前の深い検証・コンプライアンス対応 |
PCI DSS・TLPT対応 | 一部要件を満たすが不十分なことが多い | ほとんどの規制・フレームワーク要件を満たす |
推奨頻度 | 月次〜四半期 | 年1〜2回、またはリリースごと |
よくある質問（FAQ）
Q. ペネトレーションテストの費用は経費で落ちますか？
A. はい、一般的に法人が支払うペネトレーションテストの費用は「情報システムの保守・管理費用」または「セキュリティ対策費」として損金処理（経費計上）できます。ただし、費用の性質（単発の調査費なのか、継続的なサービス契約なのか）によって会計処理が異なる場合があります。特に高額な案件では、事前に顧問税理士・会計士へ確認することをお勧めします。また、中小企業向けのIT導入補助金やサイバーセキュリティ対策促進助成金が利用できる場合もありますので、各種公的支援の活用も検討してみてください。
Q. ペネトレーションテストは年1回で十分ですか？
A. 組織の環境変化の速度によりますが、年1回は多くの組織で「最低限の水準」と考えてください。特に以下のタイミングでは追加のテストを強く推奨します。①新機能・大幅な設計変更のリリース前、②クラウド環境の構成変更後、③M&Aや事業統合によるシステム統合後、④重大なセキュリティインシデント後の再評価。SaaS事業者や金融機関では、四半期ごとの脆弱性診断と年1〜2回のペネトレーションテストを組み合わせる「継続的セキュリティテスト」モデルが標準になりつつあります。
Q. 海外ベンダーと国内ベンダー、どちらが良いですか？
A. それぞれに強みがあります。海外ベンダーは最新の攻撃手法や高度なRed Team演習に強く、国際的な認証・規制（PCI DSS、SOC2、ISO 27001等）への対応実績が豊富です。一方、国内ベンダーは日本語での円滑なコミュニケーション、国内規制への精通、オンサイト対応のしやすさが強みです。金融機関のTLPTや官公庁向け案件では、実績のある国内ベンダーを軸に検討することが多い傾向にあります。
Q. 費用を抑えるコツはありますか？
A. いくつかの方法で費用を合理的に抑えることが可能です。①スコープを明確に絞る（「重要度の高いシステムトップ3のみ」など）、②テスト環境（ステージング）を用意する、③複数年契約や年間保守契約を結ぶ、④脆弱性診断との組み合わせで全システムに高価なペネトレーションテストを実施しない、⑤見積もりを3社以上で比較する。ただし、安さだけを追求すると品質が著しく低下するリスクがあります。
Q. 金融庁のTLPTは一般のペネトレーションテストと何が違いますか？
A. TLPT（Threat-Led Penetration Testing）は、金融庁が推進するフレームワークで、EUのTIBER-EUを参考に設計されています。一般的なペネトレーションテストとの主な違いは以下の通りです。①脅威インテリジェンスの活用（対象機関を実際に狙う可能性のある脅威アクターのTTPsを再現）、②スコープの広さ（組織全体の重要業務・人・技術・プロセスを包括的に評価）、③第三者の関与（テストの設計・実施・評価において当局や承認機関が関与）。費用は一般のペネトレーションテストの5〜10倍以上になることもあります。
まとめ — 適切なペネトレーションテストへの投資
ペネトレーションテストの費用は、Webアプリの小規模テストで50万円程度から、金融機関のTLPT対応Red Team演習では3,000万円超まで、目的と規模によって大きく異なります。費用だけを比較するのではなく、「手動テストの工数」「テスターの専門性」「報告書の品質」という3点を軸に選定することが、セキュリティ投資の費用対効果を最大化する鍵です。本記事で紹介した費用相場と選定原則を活用し、自社のリスクプロファイルに最適なペネトレーションテストを導入してください。
AEVUSのペネトレーションテストサービス
AEVUSは、Webアプリケーション・ネットワーク・クラウド環境・モバイルアプリを対象とした手動テスト主体のペネトレーションテストサービスを提供しています。OSCP・OSCE3等の資格を保有する経験豊富なテスターが、ビジネスロジック脆弱性から高度な連鎖型攻撃シナリオまで深く検証し、開発チームがすぐに活用できる詳細な報告書を日本語で提供します。
- Webアプリペネトレーション：50万円〜（手動テスト工数を明示した透明な料金体系）
- クラウドセキュリティ評価（AWS/Azure/GCP）：100万円〜
- Red Team演習：500万円〜（金融機関のTLPT準備にも対応）
- 再テスト：全プランに1回の再テストを標準含有
「まず費用感だけ確認したい」というご相談も歓迎です。初回相談は無料で、通常3営業日以内に詳細なお見積もりをご提示します。
