ペネトレーションテスト（侵入テスト）は、依頼するベンダーによって品質・費用・報告書の実用性が大きく変わります。「3社に見積もりを取ったら金額が数倍違った」ということも珍しくありません。本記事では、失敗しないペネトレーションテスト会社の選び方を、7つの基準・費用比較の着眼点・避けるべき業者の特徴まで、発注担当者の視点で整理します。
ベンダー選びを誤るとどうなるか
ペネトレーションテストは成果物が「報告書」であるため、品質の差が発注前に見えにくいサービスです。選定を誤ると、(1)ツールでスキャンしただけの浅い診断に高額を払う、(2)重大な脆弱性を見逃す、(3)報告書が専門用語ばかりで改善に使えない、(4)再テストの範囲や費用で揉める、といった問題が起きます。「安かろう悪かろう」も「高ければ安心」も成り立たないのが、この分野の難しさです。
ペネトレーションテスト会社の選び方 7つの基準
- 診断手法の透明性：自動ツールと手動診断（マニュアルテスト）の比率を明示できるか。本当のペネトレーションテストは、攻撃者の思考をなぞる手動検証が中核です。
- 診断員のスキル・資格：OSCP・GIAC（GPEN/GWAPT）・CISSPなどの保有状況や、実際の担当者の経験年数。
- 対象領域の得意分野：Webアプリ・ネットワーク・クラウド・スマホアプリ・IoT/車載など、自社の対象に強いか。
- 報告書の実用性：脆弱性の再現手順・リスク評価（CVSS等）・具体的な改善提案・再発防止策まで書かれているか。
- 再テスト（リテスト）の条件：修正後の再確認が費用に含まれるか、範囲と回数が明確か。
- 情報管理・契約体制：検出した脆弱性情報の管理方法、NDA・責任範囲・保険の有無。
- コミュニケーション：診断前のスコープ調整、診断中の緊急連絡体制、報告会の実施。
「どのベンダーが自社に合うか」「見積もりの妥当性を判断したい」という段階でも、まずはお気軽にご相談ください。AEVUSが目的・対象・予算に応じた最適な診断設計をご提案します。
費用相場と見積もりの見方（比較の前提）
比較を始める前に、費用の相場観を持っておくと判断がぶれません。診断種別ごとの一般的な目安は以下の通りです（対象規模・条件で変動します）。
診断種別 | 費用の目安 |
|---|---|
Webアプリケーション診断 | 30万〜800万円 |
ネットワーク診断（外部・内部） | 50万〜800万円 |
クラウド（AWS/Azure/GCP）設定診断 | 50万〜300万円 |
スマートフォンアプリ診断 | 50万〜300万円 |
TLPT（脅威ベース・シナリオ型） | 1,000万円〜 |
金額だけで比較すると失敗します。「同じ対象・同じ深さ」で見積もりを揃えることが、公正な比較の第一歩です。
診断の種類とベンダーの得意領域
ペネトレーションテストと一口に言っても、ベンダーごとに得意領域があります。Webアプリに強い会社、ネットワーク・インフラに強い会社、クラウドネイティブに強い会社、金融機関のTLPTや車載・IoTなど専門領域に強い会社などです。自社の守るべき対象と、ベンダーの実績領域が一致しているかを必ず確認しましょう。「何でもできます」を掲げる会社ほど、各領域の深さを個別に見極める必要があります。
見積もり比較でチェックすべき項目
- スコープ（対象範囲）：URL数・画面数・IP数・アカウント種別まで具体的に定義されているか
- 診断手法：ブラックボックス／グレーボックス／ホワイトボックスのどれか
- 工数・人日：総工数と単価。極端に少ない工数は浅い診断のサイン
- 成果物：報告書のサンプルを見せてもらえるか
- 再テスト：含まれるか、別料金か
- 実施時期・期間：希望スケジュールに対応できるか
避けるべきベンダーの特徴（アンチパターン）
- 手法や工数を質問しても曖昧な回答しか返ってこない
- ツールスキャンのみなのに「ペネトレーションテスト」と称している
- 報告書サンプルを一切見せない
- 相場から極端に安い（表層診断の可能性）／根拠なく極端に高い
- 再テストやアフターフォローの条件が不明確
発注前の準備（RFPに書くべきこと）
複数社を公平に比較するには、こちらの要件を揃えて提示するのが近道です。RFP（提案依頼書）には、(1)診断の目的（規制対応・リリース前確認・インシデント後の点検など）、(2)対象システムと環境、(3)希望する診断手法と深さ、(4)スケジュール、(5)報告書に求める要素、(6)再テストの要否、を明記しましょう。目的が明確なほど、各社の提案の質を見極めやすくなります。
よくある質問（FAQ）
Q. 一番安い会社を選んではいけませんか？
A. 価格だけで選ぶと、ツールスキャンのみの浅い診断に当たるリスクがあります。手法・工数・報告書の質を揃えて比較したうえで、費用対効果で判断してください。
Q. 脆弱性診断とペネトレーションテストは同じですか？
A. 異なります。脆弱性診断は「網羅的に弱点を洗い出す」もの、ペネトレーションテストは「攻撃者として目的達成が可能かを検証する」ものです。目的に応じて使い分けます。
Q. どのくらいの頻度で実施すべきですか？
A. 年1回の定期実施に加え、大きな機能追加・システム変更のタイミングでの実施が推奨されます。
まとめ
ペネトレーションテスト会社の選定は、金額の比較ではなく「同じ前提で、手法・実績・報告書の質を比較する」ことが本質です。優先アクションは以下の通りです。
- 目的の明確化：なぜ実施するのか（規制対応／リリース前／点検）を定義する
- 対象と深さの決定：守るべき対象と希望する診断手法を固める
- 要件を揃えて相見積もり：同一スコープ・同一条件で複数社に依頼する
- 7基準で評価：手法・スキル・実績・報告書・再テスト・情報管理・対応品質で総合判断する
自社にとって最適なベンダーが判断しづらい場合は、第三者の視点で要件整理から相談するのも有効です。
「どのベンダーが自社に合うか」「見積もりの妥当性を判断したい」という段階でも、まずはお気軽にご相談ください。AEVUSが目的・対象・予算に応じた最適な診断設計をご提案します。
関連記事
費用相場の詳細はこちら：
→ ペネトレーションテスト費用の相場【種別・規模別の見積もり内訳】
脆弱性診断との違いを知りたい方はこちら：
→ ペネトレーションテストと脆弱性診断の違い
金融機関の場合はこちら：
→ 金融機関のペネトレーションテスト・セキュリティ診断
