ペネトレーションテストと脆弱性診断の違い。どちらを頼むか

脆弱性診断とは、システムの弱点を、決めた範囲で広く洗い出すものです。ペネトレーションテストとは、攻撃者が実際に使うのと同じ手法で、守りを越えて侵入などの目的を達成できるかを確かめるものです。弱点の一覧がほしいのか、侵入されたら何が起き得るかを知りたいのかで、頼むものが変わります。

2つは、どう定義されているか

経済産業省の「情報セキュリティサービス基準」（第4.1版、2025年3月31日公表）は、情報セキュリティのサービスを、情報セキュリティ監査、脆弱性診断、ペネトレーションテスト（侵入試験）、デジタルフォレンジック、セキュリティ監視・運用、機器検証の6つに分けています。

この基準では、脆弱性診断は、システムやソフトウェアなどの脆弱性について一定の知見を持つ者が行うもので、Webアプリケーション、プラットフォーム（サーバーやネットワーク機器など）、スマートフォンやタブレットのアプリの脆弱性診断が含まれます。ペネトレーションテストは、脆弱性診断の定義を満たすサービスのうち、攻撃者が実際に侵入などを行うために使う手法と同様の手法で試し、その結果をもとに助言を行うものとされています。つまり、ペネトレーションテストは、脆弱性診断の一つの形と位置づけられています。

出典：情報セキュリティサービス基準 第4.1版（経済産業省、2025年3月31日）、情報セキュリティサービス基準（経済産業省）

この基準に適合すると審査されたサービスは、IPAの「情報セキュリティサービス基準適合サービスリスト」に掲載されます。頼む先を選ぶときの手がかりの一つになります。

目的・範囲・進め方の違い

2つの違いは、目的、範囲、進め方、結果の形に表れます。下の表は一般的な傾向をまとめたもので、実際の内容は事業者やご依頼の内容によって変わります。

脆弱性診断は、どこに弱点があるかを広く知るのに向いています。一方、ペネトレーションテストは、一つひとつは小さな弱点でも、組み合わせると重大な被害につながるかどうかや、侵入を検知して対応する仕組みが働くかを確かめるのに向いています。

どちらを頼めばよいか

どちらを頼むかは、いまの守りの段階と、知りたいことで決めます。弱点を広く洗い出したい場合は脆弱性診断が、侵入されたら何ができてしまうかを確かめたい場合はペネトレーションテストが向いています。はじめて確かめる場合は、まず脆弱性診断で弱点を洗い出して直すほうが、費用に対して得られるものが大きいことが多いです。対策が進み、守りと検知の仕組みも含めて働くかを確かめたい段階では、ペネトレーションテストが選択肢になります。

取引先から診断の結果を求められている場合は、取引先がどちらを求めているか、どの範囲の結果が必要かを確かめてから頼みます。「診断」という言葉が、2つのどちらの意味で使われているかが、相手によって違うことがあるためです。

頼むときに、決めておくこと

どちらを頼む場合でも、範囲と条件を書面で合意してから始めることが大切です。権限のない人が他人のシステムに侵入を試みることは法律上の問題になるおそれがあるため、試す対象を管理する立場の方の承諾を得ることも欠かせません。

• 対象：どのシステム、どの画面、どの機器を試すか。クラウドのサービスを使っている場合は、サービスの提供元の決まりも確かめる
• 期間と時間帯：いつ試すか。業務への影響を避ける時間帯
• 本番への影響：本番の環境で試すか、試験の環境で試すか。データの変更や、サービスが止まるおそれのある試し方をどう扱うか
• 連絡の窓口：危険の大きい弱点が見つかったときに、すぐに知らせる先
• ペネトレーションテストの場合：守りたいもの、攻撃者の想定、試してよい手法と、試してはいけない手法。社内の監視の担当に知らせるかどうか

頼み方と報告書の読み方は、脆弱性診断の頼み方と、報告書の読み方で詳しく説明しています。

結果を受け取った後

どちらの結果も、確かめた時点のものであり、すべての弱点がないことを保証するものではありません。結果を受け取ったら、危険度と影響の大きさで直す順番を決め、直した後に、直っているかを確かめ直します。

• 危険度の高いものから、直す担当と期限を決める
• すぐに直せないものは、代わりの対策で危険を下げる
• 直した後に、直す作業に関わっていない担当が確かめ直す
• システムを大きく変えたときや、時期を決めて、もう一度確かめる

直すところまでの進め方は、脆弱性診断の後、直すところまでで説明しています。生成AIを組み込んだシステムでは、AIに特有の弱点も試す必要があります。その観点は生成AI・LLMアプリのセキュリティ診断で確かめることで扱っています。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、Webアプリケーション、APIの通信、クラウドの設定、外部に公開しているサーバーやネットワーク機器を、書面で合意した範囲で、ツールと手作業を組み合わせて診断しています。見つかった問題を直すところまで受け持ち、直した後の再診断は、直す作業に関わっていない担当が行います。料金の目安は料金のページに載せています（税別）。何を確かめればよいか分からない場合は、30分の無料相談で、対象と目的の整理からお手伝いします。