ペネトレーションテストの頼み方は？依頼から報告までの流れと準備を解説

ペネトレーションテストは、発注側が目標と範囲を決め、書面で許可し、実施中の連絡体制を整えてから頼みます。業者に任せきりにできないのは、どこを試してよいか、止まったときに誰が判断するかを決められるのが自社だけだからです。

今日は、いちばん避けたい被害を1文で書いてください。「取引先の図面が社外に持ち出される」のような形です。あわせて、その情報を置いているシステムと、管理している会社を書き出します。これが業者に渡す最初の資料になります。

頼む前に確かめることは？

テストを受ける準備ができているかを、先に確かめます。公開している機器の一覧がなく、基本的な脆弱性診断も受けていない段階なら、自社でやる範囲と外部に頼む範囲を分ける作業⁠が先です。見つかる弱点が多いうちは、広く見る診断のほうが費用に合うことが多いと私たちは考えます。

依頼先の探し方も、頭に入れておきます。IPAの情報セキュリティサービス基準適合サービスリスト（2026年10月更新）⁠で⁠は⁠、ペネトレーションテストは脆弱性診断サービスのオプションとして扱われ、リストの該当欄に印が付いています。ただしIPAは、掲載の際に基準への適合を再確認していないと断っています。候補を絞る材料の1つ⁠と考えます。

依頼から報告までの流れは？

NIST SP 800-115（米国の2008年の指針）⁠は⁠、テストの段階を計画、発見、攻撃、報告の4つ⁠に分けています。報告は最後だけでなく、ほかの段階と並行して進むとしています。古い文書なので、段階の整理の参考として読みます。

発注者の動きに置き換えると、次のようになります。

同じ内容を複数社に渡すのは、値段だけで比べないためです。提案の中で「どの弱点をどこまで試すか」「試さないことは何か」⁠の説明が具体的かどうかを見ます。

範囲はどう決める？

目標から逆算して決めます。「全部試してほしい」⁠で⁠は⁠、費用も影響も読めません。

外からか、中からか

NISTの指針は、テストの形を2つ⁠に分けています。外部の攻撃者を想定する形と、社内ネットワークの中に一定の権限を持つ立場を想定する形です。後者は、社員のパソコンが乗っ取られた後や、社内の不正を考えるときに使います。

選ぶ材料には、次の統計が使えます。警察庁の令和8年上半期の資料⁠によると、ランサムウェアの被害組織へのアンケートで、侵入経路はVPN機器が約5割⁠を占めています。外から入られた後にどこまで届くかを確かめる理由になります。ただ、自社に当てはまるかは、VPNを使っているかなどの構成で変わります。

対象と対象外を書き出す

たとえば、金型メーカーが社外からVPNで図面サーバーに入れるようにしている場合で考えます。目標と範囲は、次のように書けます。

• 目標：VPN機器から図面サーバーに届くかを確かめる
• 対象：VPN機器、社内の認証サーバー、図面サーバー
• 対象外：工場のネットワーク、取引先とつながる機器
• やらないこと：サービスを止める試験、データの持ち出し

工場を外しているのは、影響が読みにくいからです。IPAの制御システムのセキュリティリスク分析ガイド第2版（2026年4月）⁠は⁠、本番でのテストで制御システムに障害が起きる場合があるとしています。工場を含めたいときは、模擬環境や定期修理の期間も含めて別に相談します。

対象のIPアドレスが本当に自社の管理下にあるかは、発注者が責任を持って確かめます。 NISTの指針も、始める前の確認を求めています。

契約で何を決める？

技術の話の前に、書面にすることが3つあります。SCS評価制度の★4技術検証ガイド（2026年10月）⁠は⁠、制度の脆弱性診断について次の3点⁠の事前合意を求めています。ペネトレーションテストを頼むときも、同じ項目が土台になります。

• 診断行為の許可：疑似的な攻撃の通信を明示的に許可し、契約などで合意する
• 責任の範囲：業務に影響が出た場合の責任を決める
• 秘密の保持：扱う情報の目的、範囲、保管、共有先、廃棄を決める

NISTの指針は、侵入を試みるテストには法務の関与を勧め、賠償の免責や上限の条項、秘密保持の契約を例に挙げています。社内に法務がなければ、顧問の弁護士に一度見てもらう場面です。

テストの決まりごとをまとめた文書は、Rules of Engagementと呼ばれます。社内の規則で本来禁じている行為を、テストに限って認めるための文書です。呼び名はともかく、次の点が書かれているかを確かめます。

• 対象と対象外のIPアドレスやシステム
• 実施の日時と、業者の接続元のIPアドレス
• 使わない手法、途中で止める条件
• 双方の連絡先（代わりの人も含む）
• 取得したデータの保管と消し方

止める条件は、依頼の際に話しておきます。NISTの指針は、これ以上進めると損害が出る時点で止める設計ができるとしています。

社内で準備する物は？

発注者の準備は、資料、承認、連絡の3つです。SCSのガイドの第2部が参考になります。

資料

• 対象機器の製造元、モデル、グローバルIPアドレス、利用ポートの一覧
• OSとファームウェアのバージョン
• ネットワークの構成図
• テストに使うアカウント（必要な場合）
• 保守の委託先から取り寄せる資料

承認と連絡

• 経営層か情報セキュリティの責任者の承認
• 監視や警報に関わる人への事前の連絡
• 実施中の緊急連絡先（社内、保守の委託先）

監視を委託しているなら、その会社への連絡を忘れないようにします。本物の攻撃と区別できず、警報の対応に追われることがあります。

外部の会社の確認

クラウドや委託先の機器が入るなら、その会社の決まりを確かめます。たとえばAWSの規定は、事前の承認なしにテストできるサービスを定め、サービス停止を狙う試験などを禁じています。管理会社の許可が得られない機器は、範囲を変えて考えます。

戻す手順

業務を止められないシステムは、バックアップと戻し方を確かめてから臨みます。時間帯は、休日や夜間、メンテナンスの時間を検討します。

実施中、発注者は何をする？

開始と終了の連絡を受け、判断の窓口を空けておきます。SCSのガイドも、開始と終了の通知を業者に求めています。

判断が要る場面は、主に2つです。

業者から、想定より深く入れそうだと連絡が来たとき、続けるかを判断します。もう1つは、テストの途中で本物の侵入の痕跡が見つかったときです。NISTの指針は、止めるのか、再開は誰の権限で決めるのかまで計画に書くよう求めています。そのときに連絡する人を、事前に2人決めておきます。

WAFなどの遮断を一時的に外す場合は、期間を区切ります。SCSのガイドは、終了後に設定を戻し、戻ったことを双方で確かめるよう定めています。忘れると、テストが新しい穴を残します。

報告を受けたら、何をする？

報告書は、経営への説明と、直す作業の2つ⁠に使います。NISTの指針は、弱点、危険度、直し方の案を報告の内容に挙げています。発注時に、次の点も入れてもらえるか確かめます。

• 侵入の経路と、最終的に届いた範囲
• 経営層向けの要約
• 見つかった弱点の根本の原因
• ツールの結果を人が確かめたかどうか

根本の原因を求めるのは、機器の更新を直しても、更新が止まる仕組みが残れば同じことが起きるからです。NISTの指針も、技術の弱点に加えて組織の手順の弱点に目を向けるよう書いています。

直す順番と期限は、自社で決めます。参考までに、SCSのガイドは境界の機器で深刻度の高い弱点が見つかった場合の対応として14日以内という期限を置いています。これは制度の基準であり、一般のテストの決まりではありません。

直したあとの再確認が見積もりに入っているかは、最初に確かめます。報告書そのものが攻撃の地図にもなるので、配る相手と保管場所も決めます。

依頼先はどう比べる？

候補はペネトレーションテストのサービス比較で確かめられます。違いが出やすいのは、次の質問への答えです。

• 今回の目標に、どのシナリオを提案するか
• 担当する人の経験と資格は何か
• 手作業の範囲はどこまでか
• 止める判断を誰がどう行うか
• 再確認と報告会は費用に入っているか

広く弱点を洗い出すのが先だと分かれば、脆弱性診断サービスの比較に戻るのも正しい判断です。報告書を読んで社内の体制まで見直したいなら、セキュリティコンサルとCSIRT支援の比較で伴走してくれる会社を探せます。

Webサイトだけの話なら、自社サイトに診断が要るかの判断から読むほうが近道です。診断全体の中での位置づけはセキュリティ診断のカテゴリ⁠にまとめています。