ペネトレーションテストと脆弱性診断の違いは？先に受ける順番を解説

脆弱性診断は弱点を広く探すサービスで、ペネトレーションテストは想定した攻撃が成功するかを確かめるテストです。初めて受ける会社は、多くの場合で脆弱性診断を先に受けます。順番は公的に決まったものではなく、ここでは私たちの判断として理由と例外を説明します。

今日やることは、確かめたいことを1文で書くことです。「公開サイトにどんな弱点があるか知りたい」⁠な⁠ら脆弱性診断です。「外から受発注データまで届くかを知りたい」⁠な⁠らペネトレーションテストです。文にならないときは、まだ診断の段階と考えて差し支えありません。

何が違う？

日本語の資料で簡潔なのは、クレジット取引セキュリティ対策協議会の導入ガイド2.1⁠版（2026年3月）です。脆弱性診断はシステム全体の脆弱性やセキュリティ上の不備を診断し、ペネトレーションテストは攻撃者が意図する特定の攻撃を想定して、成功するか否かを検証すると説明しています。前者は網羅性を重視するとも書かれています。

海外の資料で補うと、次のように整理できます。カード業界団体のPCI SSCのガイダンス（2017年）⁠とNIST SP 800-115（2008年）⁠の説明をもとに、日本の導入ガイドの定義に合わせてまとめました。

NIST SP 800-115は、スキャナーは弱点がある可能性を調べ、ペネトレーションテストは悪用によって存在を確かめると説明しています。複数の弱点を組み合わせて、単独より広い権限まで届くかを見るテストが多いとも書いています。

また、NISTは対策側の力も確かめられると挙げています。攻撃を検知して対応できるか、という点です。EDRや監視サービスを入れた会社では、この確認が目的になることがあります。

呼び名が指す範囲は、業者によって違うことがあります。名前ではなく、見積もりに書かれた問いと範囲と成果物で判断します。

どちらを先に受ける？

初めて受ける会社は、脆弱性診断が先です。理由は3つあります。

1つ目は、知られた弱点が残ったままでは結果を活かしにくいからです。更新漏れがあれば、テストの報告は「まず更新してください」⁠が中心になりかねません。費用をかけて確かめるなら、知られた弱点を減らしてからのほうが、対策の穴が見えやすくなります。

2つ目は、対象の一覧が整うからです。診断の準備で、外に出しているサイトとサーバーを書き出すことになります。一覧自体に自信がなければ、その前にASMで外から見える入口を洗い出す方法もあります。

3つ目は、ペネトレーションテストが全部を調べるものではないからです。特定の攻撃に絞るので、テストで届かなかった経路以外の弱点は残ります。ペネトレーションテストの比較を見るときも、脆弱性診断の代わりにはならない点を踏まえて見てください。

順番をまとめると、次の流れになります。

1. 資産の一覧を作る
2. 脆弱性診断を受ける
3. 指摘を直す。順番は脆弱性管理の進め方で決める
4. 再診断で直ったことを確かめる
5. 守りたいものを決めて、ペネトレーションテストを検討する

ツールと外部のサービスの分け方は、脆弱性診断ツールの比較の見方⁠で扱っています。診断の種類全体はセキュリティ診断のカテゴリから確かめられます。

ペネトレーションテストを先に考えるのはどんなとき？

次の場面では、順番を入れ替えるか、同時に検討してよいと私たちは考えます。

• 定期の診断と修正が回っている：次に確かめたいのは個別の弱点ではなく、実際の被害の広がりになります
• 守りたいものが明確：図面や受発注データなど、到達されると困るものを目標に置けます
• 監視や検知の仕組みを入れた：攻撃に気づいて動けるかを確かめる目的なら、テストのほうが合います
• 取引先や規程で求められている：要件の文面を確かめ、求められているものに合わせます

カードを扱うECサイトは、上記の導入ガイドで「脆弱性診断又はペネトレーションテストの定期実施⁠」⁠が挙げられています。どちらを選ぶかは、カード会社や決済代行会社への確認と合わせて決めます。

取引先の要請では、SCS評価制度も関わります。IPAのSCS評価制度の説明⁠によれば、★4は評価機関などによる文書確認、実地審査、技術検証（脆弱性検査）⁠を受ける形で、★3と★4は2027年3月⁠の受付開始に向けて準備が進んでいます。名称は脆弱性検査です。ペネトレーションテストと同じものかは、制度の公開資料で要件を確かめます。

製造業ならどう考える？

たとえば、金属加工の会社が取引先の図面をファイルサーバーに保管し、社外から入るVPNと、受発注のWebサイトを持っている場合で考えます。

脆弱性診断で確かめるのは、WebサイトとVPN機器、サーバーの弱点の一覧です。古いソフトや、不要に開いているポート、入力欄の処理の不備などが対象になります。報告を受けて、保守会社と順番に直します。

ペネトレーションテストで確かめるのは、「社外から図面の保管場所まで届くか」⁠で⁠す⁠。VPNの入口、社内のアカウントの権限、サーバーの分け方が、まとまって試されます。診断の指摘が片づいたあとなら、対策が想定どおりに効いているかの確認になります。

工場のネットワークは、どちらでも範囲の決め方が別です。NIST SP 800-115は、テスト中に対象が損なわれて動かなくなることがあり、熟練者でも完全には防げないとしています。生産設備につながるネットワークは最初の範囲から外すか、設備メーカーと止められる時間を決めて扱います。「事務のネットワークから工場の機器に届くか⁠」⁠を確かめたいときは、機器そのものに触らずに到達の確認で止める設計ができるかを業者に聞きます。

発注の前に決めることは？

診断でもテストでも、準備の質で結果の使いやすさが変わります。ペネトレーションテストでは特に次の5つ⁠を決めます。

目標と範囲

「届いたら終わり」⁠とする目標を書きます。到達を試してよい範囲と、触らない範囲も書きます。取引先の情報を扱う場所なら、契約上テストしてよいかを確かめます。

許可

自社のものでも、管理会社の許可が要る場合があります。AWSのペネトレーションテストのポリシーは、事前の承認なしにテストできるサービスを示しています。ほかのクラウドやレンタルサーバーも、それぞれの決まりを確かめます。

止まったときの手順

NIST SP 800-115は、ペネトレーションテストは慎重な検討、通知、計画を経てから実施すべきとしています。実施する時間帯、止める判断をする人、復旧の手順、バックアップの場所を決めます。緊急連絡先も業者と交換します。

社内の誰に伝えるか

検知の力を確かめる目的なら、知らせる人を絞る場合があります。ただ、監視を委託しているなら、委託先への連絡の方法は決めておきます。本物の事故と取り違えると、不要な対応が走ります。

報告の受け方

経営層向けの要約と、保守会社向けの修正情報の両方が出るかを確かめます。報告会の有無、再テストの費用もここで聞きます。

業者はどう探す？

候補の出発点に使えるのが、IPAの情報セキュリティサービス基準適合サービスリストです。ペネトレーションテストは脆弱性診断サービスのオプションとして位置づけられ、専用の一覧が2026年10月9日⁠に掲載された版で確かめられます。IPAは、掲載がいかなる保証も意味しないと明記しています。

候補を絞るときは、脆弱性診断サービスの比較とペネトレーションテストの比較を並べて見ます。診断を先に受けるなら、同じ業者にテストまで頼むか、別の業者の目を入れるかも論点になります。どちらにも利点があるので、最初から決める必要はありません。

結果をどう読む？

どちらの結果も、受けた時点と範囲についての情報です。

診断で指摘がゼロでも、すべての弱点がないという意味ではありません。NIST SP 800-115は、スキャナーの見つけ漏れにも触れています。テストで目標に届かなかった場合も、同じ条件と時間の範囲で届かなかった、という結果です。届いたときは、担当者の責任を問う材料にせず、経路のどこを塞げば広がりを止められるかを見ます。報告を社内に伝えるときは、範囲と時点を添えます。