--- title: "ペネトレーションテストと脆弱性診断の違い。どちらを頼むか｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/pentest-vs-vulnerability-assessment/ description: "脆弱性診断はシステムの弱点を広く洗い出すもの、ペネトレーションテストは攻撃者と同じ手法で侵入などの目的を達成できるかを確かめるものです。経済産業省の基準での位置づけ、目的・範囲・進め方の違い、選び方と頼むときの注意を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # ペネトレーションテストと脆弱性診断の違い。どちらを頼むか 脆弱性診断はシステムの弱点を広く洗い出すもの、ペネトレーションテストは攻撃者と同じ手法で侵入などの目的を達成できるかを確かめるものです。経済産業省の基準での位置づけ、目的・範囲・進め方の違い、選び方と頼むときの注意を説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - 経済産業省の「情報セキュリティサービス基準」では、ペネトレーションテストは脆弱性診断の定義を満たすサービスのうち、攻撃者と同様の手法で試すものと位置づけられています。 - 脆弱性診断は弱点を広く洗い出すこと、ペネトレーションテストは侵入された場合に何が起き得るかを確かめることが主な目的です。 - はじめて確かめる場合は脆弱性診断から始め、対策が進んだ段階で、守りや検知の仕組みが働くかをペネトレーションテストで確かめる、という順番が考えられます。 [脆弱性診断](https://www.ameliatechnology.co.jp/glossary/vulnerability-assessment/)とは、システムの弱点を、決めた範囲で広く洗い出すものです。[ペネトレーションテスト](https://www.ameliatechnology.co.jp/glossary/penetration-test/)とは、攻撃者が実際に使うのと同じ手法で、守りを越えて侵入などの目的を達成できるかを確かめるものです。弱点の一覧がほしいのか、侵入されたら何が起き得るかを知りたいのかで、頼むものが変わります。 ## 2つは、どう定義されているか 経済産業省の「情報セキュリティサービス基準」（第4.1版、2025年3月31日公表）は、情報セキュリティのサービスを、情報セキュリティ監査、脆弱性診断、ペネトレーションテスト（侵入試験）、デジタルフォレンジック、セキュリティ監視・運用、機器検証の6つに分けています。 この基準では、脆弱性診断は、システムやソフトウェアなどの脆弱性について一定の知見を持つ者が行うもので、Webアプリケーション、プラットフォーム（サーバーやネットワーク機器など）、スマートフォンやタブレットのアプリの脆弱性診断が含まれます。ペネトレーションテストは、脆弱性診断の定義を満たすサービスのうち、攻撃者が実際に侵入などを行うために使う手法と同様の手法で試し、その結果をもとに助言を行うものとされています。つまり、ペネトレーションテストは、脆弱性診断の一つの形と位置づけられています。 出典：[情報セキュリティサービス基準第4.1版（経済産業省、2025年3月31日）](https://www.meti.go.jp/policy/netsecurity/shinsatouroku/zyouhoukizyun4_1.pdf)、[情報セキュリティサービス基準（経済産業省）](https://www.meti.go.jp/policy/netsecurity/shinsatouroku/touroku.html) この基準に適合すると審査されたサービスは、IPAの「情報セキュリティサービス基準適合サービスリスト」に掲載されます。頼む先を選ぶときの手がかりの一つになります。 ## 目的・範囲・進め方の違い 2つの違いは、目的、範囲、進め方、結果の形に表れます。下の表は一般的な傾向をまとめたもので、実際の内容は事業者やご依頼の内容によって変わります。 | 観点 | 脆弱性診断 | ペネトレーションテスト | |---|---|---| | 主な目的 | 決めた範囲の弱点を、広く洗い出す | 決めた目的（侵入、情報の取得など）を達成できるかを確かめる | | 範囲の決め方 | 対象のシステム、画面、機器を一覧にして決める | 守りたいもの、攻撃者の想定、試してよい手法を決める | | 進め方 | ツールと手作業で、決まった観点を網羅的に試す | 見つけた弱点を組み合わせ、侵入の道筋をたどる | | 結果の形 | 弱点ごとの危険度、再現の手順、直し方の一覧 | 侵入の道筋、達成できたこと、守りと検知が働いたか | | 向く場面 | 公開の前の確かめ、定期の点検 | 対策が整った後の確かめ、事故への備えの点検 | 脆弱性診断は、どこに弱点があるかを広く知るのに向いています。一方、ペネトレーションテストは、一つひとつは小さな弱点でも、組み合わせると重大な被害につながるかどうかや、侵入を検知して対応する仕組みが働くかを確かめるのに向いています。 ## どちらを頼めばよいか どちらを頼むかは、いまの守りの段階と、知りたいことで決めます。弱点を広く洗い出したい場合は脆弱性診断が、侵入されたら何ができてしまうかを確かめたい場合はペネトレーションテストが向いています。はじめて確かめる場合は、まず脆弱性診断で弱点を洗い出して直すほうが、費用に対して得られるものが大きいことが多いです。対策が進み、守りと検知の仕組みも含めて働くかを確かめたい段階では、ペネトレーションテストが選択肢になります。 脆弱性診断とペネトレーションテストの選び方 - **弱点を広く洗い出したい**：脆弱性診断 - **侵入されたら何ができてしまうかを確かめたい**：ペネトレーションテスト - **はじめて確かめる**：まず脆弱性診断で弱点を洗い出して直すほうが、**費用に対して得られるものが大きいことが多い** - **対策が進み、守りと検知の仕組みも含めて確かめたい**：ペネトレーションテストが選択肢になる 取引先から診断の結果を求められている場合は、取引先がどちらを求めているか、どの範囲の結果が必要かを確かめてから頼みます。「診断」という言葉が、2つのどちらの意味で使われているかが、相手によって違うことがあるためです。 ## 頼むときに、決めておくこと どちらを頼む場合でも、範囲と条件を書面で合意してから始めることが大切です。権限のない人が他人のシステムに侵入を試みることは法律上の問題になるおそれがあるため、試す対象を管理する立場の方の承諾を得ることも欠かせません。 - **対象**：どのシステム、どの画面、どの機器を試すか。クラウドのサービスを使っている場合は、サービスの提供元の決まりも確かめる - **期間と時間帯**：いつ試すか。業務への影響を避ける時間帯 - **本番への影響**：本番の環境で試すか、試験の環境で試すか。データの変更や、サービスが止まるおそれのある試し方をどう扱うか - **連絡の窓口**：危険の大きい弱点が見つかったときに、すぐに知らせる先 - **ペネトレーションテストの場合**：守りたいもの、攻撃者の想定、試してよい手法と、試してはいけない手法。社内の監視の担当に知らせるかどうか 頼み方と報告書の読み方は、[脆弱性診断の頼み方と、報告書の読み方](https://www.ameliatechnology.co.jp/blog/vulnerability-assessment-how-to-order/)で詳しく説明しています。 ## 結果を受け取った後 どちらの結果も、確かめた時点のものであり、すべての弱点がないことを保証するものではありません。結果を受け取ったら、危険度と影響の大きさで直す順番を決め、直した後に、直っているかを確かめ直します。 - 危険度の高いものから、直す担当と期限を決める - すぐに直せないものは、代わりの対策で危険を下げる - 直した後に、直す作業に関わっていない担当が確かめ直す - システムを大きく変えたときや、時期を決めて、もう一度確かめる 直すところまでの進め方は、[脆弱性診断の後、直すところまで](https://www.ameliatechnology.co.jp/blog/after-assessment-remediation/)で説明しています。生成AIを組み込んだシステムでは、AIに特有の弱点も試す必要があります。その観点は[生成AI・LLMアプリのセキュリティ診断で確かめること](https://www.ameliatechnology.co.jp/blog/llm-app-security-assessment/)で扱っています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、Webアプリケーション、APIの通信、クラウドの設定、外部に公開しているサーバーやネットワーク機器を、書面で合意した範囲で、ツールと手作業を組み合わせて診断しています。見つかった問題を直すところまで受け持ち、直した後の再診断は、直す作業に関わっていない担当が行います。料金の目安は[料金のページ](https://www.ameliatechnology.co.jp/pricing/)に載せています（税別）。何を確かめればよいか分からない場合は、30分の無料相談で、対象と目的の整理からお手伝いします。 - ペネトレーションテスト - 脆弱性診断 - セキュリティ - 発注 ## この記事に出てくる用語 - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [脆弱性診断](https://www.ameliatechnology.co.jp/glossary/vulnerability-assessment/) - [ペネトレーションテスト](https://www.ameliatechnology.co.jp/glossary/penetration-test/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [デジタルフォレンジック](https://www.ameliatechnology.co.jp/glossary/digital-forensics/) - [監視](https://www.ameliatechnology.co.jp/glossary/monitoring/) - [Webアプリケーション](https://www.ameliatechnology.co.jp/glossary/web-application/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) ## 関連する法令・指針（参考情報） - 指針 経済産業省「情報セキュリティサービス基準」（第4.1版（2025年3月31日）） 情報セキュリティ監査・脆弱性診断・デジタルフォレンジック・セキュリティ監視運用などのサービスについて、一定の品質を保つために事業者が満たすべき技術と品質管理の要件を定めた基準です。この基準に適合すると審査されたサービスは、IPAの「情報セキュリティサービス基準適合サービスリスト」に掲載されます。 [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/shinsatouroku/zyouhoukizyun4_1.pdf) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「ペネトレーションテストと脆弱性診断の違い。どちらを頼むか｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/pentest-vs-vulnerability-assessment/