ペネトレーションテストにかかる費用の考え方｜見積書の読み方と安く抑える順番

ペネトレーションテストの見積もりを取ると、同じシステムなのに会社によって金額が3倍違うことがあります。60万円の見積もりと500万円の見積もりが並んで届いて、何が違うのか分からないまま安いほうを選んでしまう。これは実務でよく見る場面です。私も小さな事業を回しながら、自社のシステムと請け負った案件の両方で見積もりを読む立場に立ってきました。この記事では、費用の相場そのものと、なぜそこまで開くのか、そして限られた予算でどこから手を付けるべきかを、発注する側と受ける側の両方の視点で整理します。

そもそもペネトレーションテストは何をするものか

先に言葉を揃えます。ペネトレーションテストと脆弱性診断は別のものです。ここを混ぜたまま見積もりを比べると、必ず判断を誤ります。

脆弱性診断が既知の不備を広く点検する健康診断だとすれば、ペネトレーションテストは精密検査に近く、攻撃の連鎖や業務影響、検知や対応の実効性まで把握できます。 出典: gmo-cybersecurity.com

この対比が費用の差を生む本質です。脆弱性診断は、既に知られている穴のリストと自分のシステムを照合する作業です。ツールで自動化できる部分が大きく、範囲が決まれば工数も読めます。だから価格が安定します。

ペネトレーションテストは違います。目標を決めて、そこに到達できるかを人が試します。たとえば「外部から顧客データベースの中身を読めるか」という目標を立て、実際に侵入を試みます。単独では危険度が低い不備を3つ組み合わせて突破する、といった手口を再現します。ここは自動化できません。人の発想と時間がそのまま費用になります。

そして結果の性質も違います。脆弱性診断の成果物は「見つかった不備の一覧と危険度」です。ペネトレーションテストの成果物は「どこまで到達できたか、その経路、途中で検知されたか」です。後者は、対策にいくら使うべきかを経営が判断する材料になります。前者は作業指示書です。

どちらが優れているという話ではありません。目的が違います。まだ脆弱性診断を一度もやっていない状態でペネトレーションテストを発注するのは、健康診断を受けたことがない人が精密検査から始めるのに似ています。順番が逆です。

費用の相場、なぜ数十万円から数千万円まで開くのか

金額の目安を確認します。

ベンダーに依頼する費用は対象と範囲、深さ、期間で大きく変動します。ペネトレーションテストの費用は、一般的に数百万円以上。重要インフラや大規模システムではチーム体制や期間が長期化し、数千万円規模になる場合もあります。 出典: gmo-cybersecurity.com

一般的に数百万円以上という水準です。市場を見渡すと、Webアプリケーションを対象にしたものが50万円から500万円、ネットワークを対象にしたものが50万円から200万円という帯で示されることが多く、大規模なものは数千万円まで伸びます。

なぜこれだけ開くのか。答えは単純で、この費用のほぼ全部が人件費だからです。専門技術者の単月あたりの費用は決まっています。1人が1週間動けばおよそ数十万円、4人が1か月なら数百万円です。つまり見積もりの金額は、何人が何日動くかの宣言そのものです。

ここから逆算すると、安い見積もりが何を意味するかが見えます。60万円という金額は、1人が1週間から10日程度動く工数です。その日数で、大規模なシステムの侵入経路を網羅的に探すことはできません。安いのではなく、範囲が狭いか、深さが浅いのです。悪いわけではありません。目的が「自社の入口が一番単純な攻撃で抜けないかを確かめる」なら、その工数で足ります。

逆に500万円の見積もりが高いわけでもありません。複数の環境を対象にして、管理者権限の奪取まで狙い、検知体制の実効性も評価し、修正後の再検証まで含めるなら、その工数が必要です。

判断すべきは、金額の大小ではなく、その金額が買っている工数と範囲が自分の目的に合っているかです。この観点を持たずに相見積もりを取ると、同じ条件で比べていない見積もりを並べて悩むことになります。

見積もりが決まる6つの要素

では何を確認すれば、見積もりを同じ土俵に乗せられるのか。決まり方が整理されています。

見積は主に「対象と範囲」「深さ」「期間と体制」「可用時間帯」「成果物要件」「再検証の有無」で決まります。 出典: gmo-cybersecurity.com

この6つを1つずつ見ていきます。

対象と範囲は、何をテストするかです。公開しているWebサイトだけか、社内ネットワークも含むか、クラウドの設定も見るか、社員を狙った偽メールまで試すか。ここが最も金額に効きます。URLの数、サーバーの台数、アカウントの種類の数で工数が積み上がります。

深さは、どこまで踏み込むかです。侵入できるかを確認したら止めるのか、入ったあとに横に広がれるかまで試すのか。後者は「権限昇格」や「ラテラルムーブメント」と呼ばれ、工数が跳ね上がります。

期間と体制は、何人が何日かけるかです。同じ工数でも、短期間に人を増やす形にすると単価が上がります。急ぎの案件は高くなります。

可用時間帯は、いつ作業するかです。本番環境を止められないので深夜と休日に限る、という条件が付くと割増になります。事前に検証環境を用意できるなら、この割増は消せます。

成果物要件は、報告書の形式です。技術者向けの一覧だけでよいのか、経営向けの要約と是正計画まで求めるのか、監査で提出できる形式が必要なのか。文書を作る工数も人件費です。

再検証の有無は、修正後にもう一度確認するかです。これを含めない見積もりは安く見えますが、修正が正しくできたかを誰も確認しない状態になります。別発注にすると初期費用の3割前後が追加でかかることが多いので、最初から含めて比べたほうが実態に合います。

相見積もりを取るときは、この6つを自分の言葉で書いた1枚を作り、全社に同じものを渡してください。これをやるだけで、届く見積もりの比較可能性が変わります。

小規模な事業者に本当に必要かを判断する

ここは正直に書きます。従業員が数人で、扱っているのが自社の受発注情報だけという規模なら、ペネトレーションテストは早すぎることが多いです。

判断の基準を3つ挙げます。

1つ目は、預かっている情報の重さです。他社の顧客の個人情報やクレジットカード情報を自社のシステムで扱っているなら、規模に関係なく必要性が上がります。漏れたときの影響が自社の売上と無関係に大きくなるからです。

2つ目は、取引先からの要求です。大企業と取引を始めるとき、委託先のセキュリティ評価を求められることがあります。その要件に「第三者によるテストの実施」が書かれていれば、選択の余地はありません。ただしこの場合、多くは脆弱性診断で足りる要求になっています。要件の文面を確認してください。

3つ目は、脆弱性診断を済ませているかです。診断でまだ直していない指摘が残っている状態でペネトレーションテストをやっても、その指摘が使われて侵入されるだけです。分かっていることを直すのが先です。

この3つのどれにも当たらないなら、同じ予算を別の場所に使ったほうが効きます。多要素認証の導入、バックアップの見直し、社内の教育、端末の管理。地味ですが、実際に起きる事故を減らす効果はこちらのほうが高いです。

自社に技術が足りなくて判断できないなら、判断そのものを外に頼む形もあります。在宅で請け負う技術者に体制の確認だけを依頼する方法です。どのような形で頼めるかは、サーバー構築・インフラのお仕事の募集内容を見ると分かります。数日の作業として現状の確認を依頼するだけでも、次に何をすべきかは見えてきます。

費用を抑える順番

限られた予算で最大の効果を出す順番があります。上から順にやってください。

第一に、無料でできることを全部やります。OSとミドルウェアの更新、初期パスワードの変更、不要なポートの閉鎖、管理画面のアクセス制限、多要素認証の有効化。ここに費用はかかりません。そして、外部のテストで最初に指摘されるのはほぼこの層です。やらないままテストを発注すると、当たり前の指摘に数百万円払うことになります。

第二に、ツールによる脆弱性診断を入れます。範囲を絞れば数十万円から始められます。ここで出た指摘を全部直します。直すまでが1セットです。診断結果を放置している会社は珍しくありませんが、それは診断費用を捨てているのと同じです。

第三に、対象を絞ってペネトレーションテストを発注します。全システムではなく、最も守りたい1つに絞ります。顧客データベース、決済の経路、管理者の権限。1点に絞ると、同じ予算で深く見られます。浅く広くやるより、事故の可能性が高い場所を深く見たほうが実用的です。

第四に、次の年は範囲を移します。毎年同じ場所を見る必要はありません。前回見た場所は修正の再検証だけにして、新しい場所に予算を回します。3年で全体を1周する計画にすると、単年の負担が抑えられます。

もう一つ、費用を下げる実務的な手があります。検証環境を自社で用意することです。本番環境でのテストは、業務への影響を避けるために時間帯が限られ、手加減も必要になります。本番と同じ構成の検証環境を用意できれば、日中に思い切った試行ができ、工数が減ります。環境構築の手間はかかりますが、テストの質は上がります。

情報をどこまで渡すかで、同じ範囲でも金額が変わる

見積もりを比べるときに見落とされやすいのが、テストを実施する側にどれだけ情報を渡すかという条件です。ここで工数が大きく動きます。

何の情報も渡さない形は、ブラックボックスと呼ばれます。実際の攻撃者と同じ条件で、公開されている情報だけを手がかりに侵入を試みます。現実に近い評価ができる一方、調査に時間がかかります。侵入経路を探すだけで日数を使い、肝心の深い検証に入る前に期間が終わることもあります。

構成図やアカウントを渡す形は、グレーボックスと呼ばれます。会員登録済みの利用者としてログインできる状態から始める、といった条件です。調査の時間を短縮できるので、同じ予算でより深いところまで見られます。実務ではこの形がいちばん多く、費用対効果も高いと感じています。

ソースコードや設計書まで渡す形は、ホワイトボックスです。見落としが最も少なくなりますが、渡す資料を整える社内の工数がかかります。また、読む対象が増えるぶん、テストする側の工数も増えます。

どれを選ぶかは目的で決まります。「攻撃者から見てどう見えるか」を知りたいならブラックボックス、「内部に入られたときにどこまで広がるか」を知りたいならグレーボックス以上です。多くの事故は、フィッシングなどで最初の1台を取られたところから始まります。その前提に立つなら、最初から内部のアカウントを渡して、そこから何ができるかを見たほうが現実的です。

見積もりを比べるときは、この条件が揃っているかを必ず確認してください。安い見積もりがブラックボックスで、高い見積もりがグレーボックスなら、比べている中身が違います。逆に、同じ条件で並べれば、金額の差は純粋に工数と体制の差になります。

対象を4つに分けて、それぞれの費用感を持つ

範囲を自分で設計できるようになると、予算の使い方が変わります。対象は大きく4つに分けられます。

1つ目が、外部公開システムです。ウェブサイト、会員向けのアプリケーション、公開しているAPI。インターネットから誰でも触れる部分で、最初に狙われる場所です。ここは優先度が高く、費用も比較的読みやすい。機能の数と画面の数で工数が積み上がります。

2つ目が、内部ネットワークです。社内のサーバー、業務システム、ファイル共有、ドメインの管理。ここは「1台取られたあと、どこまで広がるか」を見る領域です。持ち込んだ端末を社内に接続して実施する形が多く、外部より工数が読みにくい。台数と階層の深さで変わります。

3つ目が、クラウドの構成です。権限の設計、保存領域の公開設定、鍵の管理。近年の事故はここの設定ミスが原因のものが増えています。専用の観点が必要で、診断ツールである程度まで機械的に見られる部分もあるため、費用を抑えやすい領域でもあります。

4つ目が、人を対象にしたものです。偽のメールを送って反応を見る、電話で情報を引き出せるかを試す、といった手法です。技術的な対策がどれだけ堅くても、ここが抜けていれば侵入されます。費用は対象人数で決まり、単価は比較的安い。ただし社内の合意形成が必要で、実施後の扱いを誤ると従業員の不信を招きます。実施するなら、個人を特定して責める使い方は絶対にしないでください。

この4つのうち、自社にとって事故の確率と影響が最も大きいのはどれか。そこに予算を寄せるのが正しい配分です。全部を薄くやるのは、いちばん費用対効果が悪い選び方です。

発注する側が負担する、見えない工数

見積書に書かれる金額のほかに、自社で発生する作業があります。これを計算に入れていないと、実施中に業務が止まります。

まず、事前の調整です。対象システムの一覧を作る、構成図を用意する、アカウントを発行する、関係者に周知する。ここで社内の担当者が数日から十数日を使います。外部のサービスを使っている場合は、その事業者への事前申請も必要になることがあります。

次に、実施期間中の立ち会いです。テストによって監視の警報が鳴ったり、一時的に応答が遅くなったりします。運用担当者が対応できる状態にしておく必要があり、その間は通常業務が滞ります。深夜帯での実施なら、その時間に人を貼り付けることになります。

そして、報告後の修正です。ここが最大の工数です。指摘された内容をどう直すか、優先順位をどうつけるか、直した結果をどう確認するか。自社に開発を担当する人がいなければ、開発を委託している会社に依頼することになり、別の費用が発生します。報告書を受け取った時点では、まだ何も安全になっていません。

この3つを合わせると、テスト費用と同等か、それ以上の社内工数がかかることがあります。だから「今年はテストをやる年」という位置づけで、他の大きな案件と重ならないように計画してください。決算期や繁忙期に重ねると、報告書が放置されます。

なお、社内に手が足りない場合は、修正や再検証の工程だけを外に出す方法もあります。テストをした会社に続けて頼むと高くつくことがあるので、別の技術者に依頼するという選び方も現実的です。どのような形で頼めるかはWeb・業務システム開発のお仕事の募集内容が参考になります。

費用の一部を制度で賄えるかを確認する

中小企業の場合、費用の負担を軽くする制度が用意されていることがあります。金額が大きい領域なので、確認する価値があります。

1つは、国が用意している補助金です。ITツールの導入を支援する制度の中に、セキュリティ対策を対象とした枠が設けられている年度があります。対象となるのは登録されたサービスに限られることが多く、単発のテスト費用がそのまま対象になるとは限りません。ただし、継続的な監視サービスや対策ツールの導入費用は対象になりうるので、テストと合わせて計画すると使える場合があります。

もう1つが、中小企業向けに用意されている簡易な支援サービスの枠組みです。監視、相談、事故が起きたときの駆けつけまでを月額の定額で提供する形で、専門の担当者を雇えない規模の会社向けに設計されています。ペネトレーションテストの代わりにはなりませんが、日常の守りをここで固めておけば、テストに使う予算を本当に必要な1点に集中できます。

3つ目が、自治体の制度です。都道府県や市区町村が独自に、中小企業のセキュリティ対策費用を補助していることがあります。国の制度より規模は小さいものの、要件が緩やかで使いやすい場合があります。

制度の内容と要件は年度ごとに変わります。ここに書いた枠組みも、来年には条件が変わっている可能性があるので、実際に申請する前に必ず公式の案内で最新の内容を確認してください。締切が年に数回に分かれていることが多く、締切の直前は申請が集中します。逆算して動く必要があります。

そして、補助金ありきで計画を立てるのは避けてください。採択されなかったときに何も進まなくなります。自費でもやる範囲を先に決めて、補助が付いたら範囲を広げる。この順番のほうが、結果として前に進みます。

危ない見積書の見分け方

最後に、金額以外で見るべき点を挙げます。

範囲が書かれていない見積もりは受け取らないでください。「Webアプリケーション診断 一式」だけの見積書では、何をするか分かりません。対象のURL、テストする機能、想定する攻撃者の立場、除外する項目。これらが書かれていない見積もりは、あとで追加費用が出ます。

作業者の体制が書かれていないものも危険です。何人が何日入るのかが分からないと、金額の妥当性を判断できません。再委託をするのかどうかも確認してください。自社の情報が知らない会社に渡ることになります。

自動ツールの出力をそのまま報告書にする会社もあります。ペネトレーションテストと称して、実際は自動診断だけを回している例です。見分け方は簡単で、「手動での検証はどの工程で、全体の何割ですか」と聞くことです。答えられない相手は外します。

免責の条項も読んでください。テストで本番環境が停止したときの扱いがどうなっているか。事前の合意なしに影響の大きい手法を使わないという約束があるか。ここが曖昧な契約は避けます。

そして、テストの実施には対象システムの所有者の許可が必要です。他社が運用しているクラウドサービスやレンタルサーバーを対象にする場合、その事業者への事前申請が必要なことがあります。申請を通さずにテストを実施すると、契約違反や不正アクセスの問題になり得ます。発注する側も、この確認が済んでいるかを見てください。

受ける側として、この分野で単価を上げる

ここまで発注側の話をしてきましたが、在宅でこの仕事を受ける側の視点も書きます。ペネトレーションテストの費用が高いのは、できる人が少ないからです。裏返せば、できる側に回れば単価が高い領域です。

必要な土台は3つです。ネットワークとOSの仕組みを理解していること、Webアプリケーションの作りを理解していること、そして攻撃側の発想を持っていることです。3つ目は座学では身につきませんが、1つ目と2つ目は資格の勉強で体系的に入ります。

ネットワークの基礎から固めるなら、範囲と学習時間の目安をまとめたCCNAの解説が参考になります。ルーティングとスイッチングの理解は、社内ネットワークを対象にしたテストで前提知識になります。

セキュリティそのものの体系を入れるなら、CompTIA Security+の範囲が実務に近いです。攻撃の分類、暗号、アクセス制御、インシデント対応までを扱うので、報告書に書く言葉がそろいます。国際的に通用する資格なので、海外の案件にも効きます。

収入の見通しも確認しておいてください。職種別の年収の分布をまとめたソフトウェア開発者の年収を見ると、開発と運用で水準が違うことが分かります。セキュリティの検証は、この中でも上の帯に入ります。

案件の入り方としては、最初からテスト全体を請け負うのは難しいです。現実的なのは、脆弱性診断の作業を担当しながら、報告書の作成や修正後の再検証を担当して、徐々に手動検証の工程に入る道です。セキュリティ関連の支援案件がどのような形で出ているかは、AI活用・マーケティング・セキュリティのお仕事の募集内容から読み取れます。

報告書を受け取ったあと、何から直すか

報告書には、危険度の高いものから順に指摘が並びます。ところが、上から順に直すのが正しいとは限りません。順番を決める基準を持っておいてください。

見るのは3つの掛け合わせです。1つ目が危険度、つまり悪用されたときの影響の大きさ。2つ目が悪用のしやすさで、公開されている手法だけで再現できるのか、特殊な条件が要るのか。3つ目が修正の容易さです。設定を1か所変えるだけで消える指摘と、設計を変えないと直らない指摘では、着手の順番が変わります。

この3つで並べ直すと、たいてい最初に来るのは「危険度が高く、直すのが簡単なもの」です。管理画面が外部から見えている、初期のアカウントが残っている、古いバージョンのまま動いている。こうした指摘は数時間で消せます。ここを先に潰すと、残りの検討に集中できます。

次に来るのが「危険度が高く、直すのに設計変更が要るもの」です。ここは見積もりと計画が必要になるので、直す期間を決めて、その間の暫定的な対策を併記します。アクセス元を限定する、監視を強化する、機能を一時的に止める。暫定策を入れたうえで期日を切る、という扱い方が現実的です。

そして「危険度が低いもの」は、直さないという判断もあり得ます。すべて直すのが理想ですが、工数は有限です。直さない場合は、その理由を記録に残してください。翌年のテストで同じ指摘が出たとき、判断済みなのか放置なのかが区別できます。

最後に、直した結果の確認です。修正して終わりにせず、同じ手順で再現しないことを確かめます。再検証を最初の契約に含めておくと、ここが自動的に回ります。含めていない場合でも、自分たちで手順を追うだけの記録は報告書に残っているはずです。読み方が分からなければ、実施した会社に質問してください。質問に答えるところまでが、その費用に含まれています。

20年この市場を見てきた立場からの観察

長くこの市場を見てきて感じるのは、ペネトレーションテストの費用を「保険」として見ている会社と、「宿題」として見ている会社で、結果が全く違うということです。

宿題として見ている会社は、取引先に求められたから最低金額で発注し、報告書を受け取って保管します。指摘は直しません。翌年また同じ指摘が出ます。この使い方なら、費用は完全に無駄です。

保険として見ている会社は、報告書の指摘を直す予算を最初から確保しています。テスト費用が300万円なら、修正の予算も同じくらい見ています。この会社は2年目のテストで指摘が減り、3年目には別の領域に予算を回せます。

つまり、費用の議論で本当に大事なのはテスト自体の金額ではなく、直す予算を確保しているかです。テストに500万円使って修正に0円なら、300万円のテストと200万円の修正のほうが安全になります。見積もりを比べる前に、修正の予算を決めてください。

受ける側の話も付け加えます。この分野で単価が高い人は、脆弱性を見つける技術が高い人ではありません。見つけた結果を、依頼した会社の経営が判断できる言葉に翻訳できる人です。技術的な深さは入場券で、差がつくのは報告の質です。報告書を書く練習を軽く見ないでください。

額面と手取りの関係にも触れます。セキュリティの検証を仲介が何段か入る形で受けると、単価の高い仕事でも手元に残る金額が薄くなります。中間マージンが乗らない直接取引なら、依頼する側は同じ予算でより深い工数を買えて、受ける側は手数料0%のぶん手取りが厚くなります。この分野は単価が大きいので、手数料の差額もそのまま大きくなります。

皆さんが今日できることを1つ挙げるなら、見積もりを取る前に、先に書いた6つの要素を自分の言葉で埋めた1枚を作ることです。それができていれば、どの会社に頼んでも見積もりの質が上がります。

よくある質問

Q. ペネトレーションテストの費用相場はいくらですか？

一般的に数百万円以上が目安で、重要インフラや大規模システムではチーム体制と期間の長期化により数千万円規模になることもあります。Webアプリケーションを対象にしたものは50万円から500万円、ネットワークを対象にしたものは50万円から200万円という帯で示されることが多いです。

Q. なぜ同じシステムでも見積もりが3倍以上違うのですか？

費用のほぼ全部が人件費で、金額は「何人が何日動くか」の宣言だからです。見積もりは対象と範囲、深さ、期間と体制、可用時間帯、成果物要件、再検証の有無で決まります。この6つをそろえた条件書を全社に同じ形で渡さないと、比較できない見積もりが並びます。

Q. 脆弱性診断とペネトレーションテストはどちらを先にやるべきですか？

脆弱性診断が先です。診断は既知の不備を広く点検する健康診断に当たり、ペネトレーションテストは攻撃の連鎖や検知の実効性まで見る精密検査に当たります。診断の指摘を直していない状態でテストを発注しても、その指摘が使われて侵入されるだけになります。

Q. 小規模な事業者でもペネトレーションテストは必要ですか？

他社の個人情報やカード情報を自社システムで扱っている、取引先の要件に第三者テストの実施が明記されている、脆弱性診断を済ませて指摘を直し終えている、のいずれかに当てはまる場合に検討します。どれにも当たらないなら、多要素認証の導入やバックアップの見直しに同じ予算を使ったほうが事故は減ります。

Q. 費用を抑えるにはどうすればよいですか？

更新と初期パスワード変更など無料でできることを全部済ませ、次にツールによる脆弱性診断を入れて指摘を直し、その後に対象を1つに絞ってテストを発注します。本番と同じ構成の検証環境を用意すると、深夜や休日の割増を避けられて工数も減ります。範囲を毎年ずらして3年で1周する計画にすると単年の負担が下がります。