ペネトレーションテストとは？どんな会社に必要で何がわかるのかを解説

ペネトレーションテストとは、攻撃者が使うのと同じ手法で実際に侵入を試し、どこまで入れるかを確かめる検査です。経済産業省は2024年4月⁠、情報セキュリティサービス審査登録制度の対象に「ペネトレーションテスト（侵入試験）サービス⁠」⁠を加えました⁠。

今日やることは、受けるかどうかを決める前の確認です。この記事の「まだ受けなくてよい会社の条件」⁠を読み、当てはまるものに印を付けてください。印が付けば、先にやることが見えます。

ペネトレーションテストで何がわかる？

分かるのは、弱点があるかどうかの先です。IPAの制御システムのセキュリティリスク分析ガイド第2版（2026年4月）⁠は⁠、確かめることを3つ⁠に分けています。

• どこまで侵入できるか
• どのような機密情報を入手できるか
• どのような操作ができるか

ガイドが例に挙げる材料は、悪用できる弱点のほか、不要な空きポートやサービスの許可、脆弱なパスワードといった設定の不備です。

もう1つ⁠、経営の側で役に立つのが、話が具体的になることです。「深刻度の高い弱点が3件」よりも、「ここから入ると図面サーバーまで届いた⁠」⁠のほうが、社長にも予算の話がしやすくなります。

逆に、すべての弱点の一覧は手に入りません。目的に向かって試す検査なので、通らなかった道の外は調べ切っていないからです。入れなかった、という結果も、その条件と期間の中での話です。

脆弱性診断とはどう違う？

クレジット取引セキュリティ対策協議会の導入ガイドは、脆弱性診断は網羅性を重視し、ペネトレーションテストは特定の攻撃が成功するか否かを検証すると分けています。IPAのガイドも、脆弱性検査は見つかった弱点を使って何ができるかまでは検証しないと説明しています。

向く時期の行は、私たちの整理です。制度で決まった順番ではありません。診断の中身と報告書の読み方は、脆弱性診断の報告書と直す順番⁠にまとめました。診断全体の中での位置は、セキュリティ診断のカテゴリ⁠で確かめられます。

金額の差も見ておきます。古い例ですが、2018年⁠に発表されたクラウド事業者のオプションは、ネットワーク診断がIPアドレスあたり8万円⁠、侵入テストが同じく20万円（いずれも税別、別に初期費用）でした。今の相場を示すものではなく、人の手間の差が値段に出る例として読んでください。見積もりの動き方は脆弱性診断の費用が変わる要素⁠で分解しています。

どんな会社に必要？

入っても被害が小さい会社より、入られると困る相手が社外にいる会社で検討します。次のどれかに当てはまれば、話を聞く価値があります。

預かっている情報が重い

取引先の図面、個人情報、カード情報など、漏れたときに相手に影響が及ぶものを扱う場合です。

警察庁の2026年上半期の資料では、ランサムウェア被害企業の約6割⁠が中小企業、業種別では製造業が約3割でした。IPAの情報セキュリティ10大脅威 2026⁠の組織編では、2位⁠にサプライチェーンや委託先を狙った攻撃が入っています。

取引先や制度に求められた

EC事業者であれば、上の導入ガイドが脆弱性診断またはペネトレーションテストの定期実施を挙げています。取引先の質問票で求められた場合は、「ペネトレーションテスト」⁠が本当に侵入試験を指しているのかを確かめます。実際には脆弱性診断の結果で足りることもあるからです。

SCS評価制度の★4も、混同しやすいところです。★4技術検証ガイド（2026年10月28日）⁠が定める技術検証は、インターネットとの境界の機器への外部からの脆弱性診断で、CVSS基本値7.0以上の弱点の有無を確かめるものです。IPAの案内では、★3・★4の受付開始は2027年3月⁠の予定です。

新しい仕組みを動かす前

基幹システムの刷新や、工場と事務系のネットワークをつなぐ工事の前は、試す好機です。IPAのガイドも、制御システムについて、稼働前試験の工数を確保するよう推奨しています。動き始めてからでは止められない設備があるためです。

守りの仕組みを入れたあと

EDRや監視サービスを入れた会社が、本当に気づけるのかを確かめたい場合です。製品の比較で迷う段階なら、端末のセキュリティ製品の比較⁠を先に見ます。テストの依頼では、監視の担当者に事前に知らせるかどうかも決めておきます。

まだ受けなくてよい会社の条件は？

次の条件は、私たちの判断の基準です。当てはまれば、受けても「当たり前の入口から入れました」という報告で終わる見込みが高く、費用に対して得るものが少なくなります。

公開している機器の一覧がない

IPAが126社⁠の中小企業に行ったASM診断の事例集（2026年3月）⁠を見ると、VPN装置に関わる指摘は10社⁠、ログイン情報の流出は101社⁠で見つかっています。入口の棚卸しで見つかるものが、まだたくさんあります。

外から見える資産を洗い出す手法がASMで、経済産業省が2023年5月⁠に導入ガイダンス⁠を出しています。製品を探すならASMツールの比較があります。

診断をまだ受けていない

広く調べて直すのが先です。脆弱性診断サービスの比較で範囲と報告の中身を比べ、指摘を直してからテストに進むと、残った難しい経路に時間を使えます。

直す人がいない

侵入経路が分かっても、塞ぐ人がいなければ報告書が棚に残るだけです。ペネトレーションテストの報告書には、自社の弱い経路が具体的に書かれます。読める人を絞り、保管の場所も決めてから受けてください。

頼むときに何を決める？

IPAのガイドが示す形態と注意点から、発注者が決めることを抜き出します。

依頼文に書くのは、目的を1文です。「取引先の図面に、社外から届くかを確かめたい」のように、何を守るのかを言葉にします。

業者の候補は、IPAの情報セキュリティサービス基準適合サービスリスト⁠で探せます。ペネトレーションテストは脆弱性診断のオプションという扱いで、リストの「ペネトレ」⁠欄⁠に星印が付きます。2026年10月9日⁠の掲載分が出ています。比較するならペネトレーションテストの比較で、範囲と報告の中身を見ます。

工場の設備に試すときの注意は？

たとえば、機械メーカーが工場の設備を遠隔保守しており、事務系のネットワークから制御系へ届くかを確かめたい場合で考えます。

この場合に先に決めるのは、本番で試すかどうかです。IPAのガイドは、本番環境では制御システムに障害が起きる場合があると説明しています。応答速度やタイミングの制約が厳しい制御システムでは、本番で行うのは難しいとも書いています。

ガイドが示す進め方は次のとおりです。

• 新しいシステムの稼働前か、定期修理の期間に検討する
• 対象の機器のバックアップを取り、復旧の手順まで試しておく
• 模擬環境を使う場合は、本番と同じ機器と設定を用意する
• 独自の通信方式に詳しい実施者を選ぶ

模擬環境にも限界があります。本番にしかない経路や機器があれば、侵入につながる弱点を十分に評価できない場合があると、ガイドは指摘しています。

本番で止められない設備でも、できることはあります。ガイドは、制御システムのファイアウォールについて、定期修理の時期に合わせた検査や設定の確認を挙げています。ラインの停止を伴うテストに進む前に、境界の確認から始められます。

侵入の手順をどう試すかは実施者の領域です。発注者が持つべきなのは、止めてよい時間と、止めてはいけない設備の一覧です。