脆弱性診断とペネトレーションテストの違い：目的・範囲・報告書・費用と、どちらを先に頼むか

「脆弱性診断を受けてください」。取引先の監査や、親会社のセキュリティの方針で、こう言われることが増えています。ところが、診断会社のサイトを見ると「脆弱性診断」「ペネトレーションテスト」「セキュリティ診断」と、似た名前のサービスが並んでいて、どれを頼めばよいのか分かりにくいものです。

実は、この2つの言葉は、業界の中でも混ざって使われてきました。業界団体の資料も、脆弱性診断のことを「ペネトレーションテスト」と呼ぶ事業者がいる、と書いているほどです。頼む側が違いを知らないと、網羅的に脆弱性を洗い出してほしかったのに、侵入できるかだけを試すサービスを買ってしまう、あるいはその逆が起こります。

この記事は、はじめて脆弱性診断やペネトレーションテストを頼もうとしている、中小企業のシステムの担当者に向けて書いています。次のことを順にまとめます。

• 脆弱性診断とペネトレーションテストの定義と違い
• 脆弱性診断の3つの種類
• どちらを先に頼むか
• 頼む前に決めること
• 診断会社の選び方

2つの違いを短く押さえたい方には、SucSak の「脆弱性診断とペネトレーションテストの違いは？選び方を解説」もあります。この記事では、公的な資料の定義を確かめたうえで、はじめて頼む会社が発注の前に決めることまで書きます。

結論：まず脆弱性診断で洗い出して直し、そのあとでペネトレーションテスト

先に結論を書きます。

• 脆弱性診断は、決めた範囲のシステムにある脆弱性を、決まった項目で網羅的に洗い出すサービスです。報告書には、見つかった脆弱性が危険度の高い順にすべて載ります
• ペネトレーションテストは、「顧客情報を持ち出す」といった攻撃者の目的を決め、実際の攻撃と同じ手法で、その目的を達成できるかを試すサービスです。網羅はせず、報告書には侵入の経路と攻撃の筋書きが載ります
• 多くの中小企業では、まず脆弱性診断を頼み、見つかった脆弱性を直すのが先です。ペネトレーションテストは、対策がある程度そろい、運用も含めて破られないかを確かめたい段階で検討します

2つの定義

公的な定義

経済産業省の「情報セキュリティサービス基準」は、国が定めた、セキュリティのサービスの品質の基準です。この基準に合うと審査されたサービスが、IPA（情報処理推進機構）の「情報セキュリティサービス基準適合サービスリスト」に載ります。基準は2025年3月31日に第4.1版が公表され、2025年4月1日から施行されています。

このリストでは、ペネトレーションテストは脆弱性診断から独立したサービスではなく、脆弱性診断サービスの中のオプションとして扱われています。リストに載せている定義では、ペネトレーションテストは、脆弱性診断の定義を満たすサービスのうち、実際の攻撃者と同じ手法でセキュリティの機能をかいくぐり、攻撃の目的を達成できるかを試して助言するもの、とされています。

つまり、ペネトレーションテストは「脆弱性診断の一種で、攻撃者の目線で目的の達成を試すもの」という位置づけです。

業界団体の整理

日本セキュリティオペレーション事業者協議会（ISOG-J）と OWASP Japan の共同のプロジェクトは、2019年に「ペネトレーションテストについて」という資料を公開しています。言葉の共通の認識がないため、脆弱性診断とペネトレーションテストの違いを整理したものです。この資料をもとに、違いを表にまとめます。

（出典：ISOG-J・OWASP Japan「ペネトレーションテストについて」をもとに作成）

たとえで言うと

建物にたとえると、脆弱性診断は「すべてのドアと窓の鍵を、決まった点検表で一つずつ確かめる」ことです。どの窓の鍵が壊れているかが、全部わかります。

ペネトレーションテストは「金庫の中身を持ち出せるか、実際に侵入を試みる」ことです。壊れた鍵を全部探すのではなく、受付をだます、裏口の合鍵を探す、といった手も使って、金庫にたどり着けるかを確かめます。たどり着けた経路が報告され、その経路をふさぐことが対策になります。

鍵が壊れたままの建物で侵入を試しても、「どこからでも入れる」という結果しか出ません。これが、脆弱性診断が先と言われる理由です。

似た言葉との関係

診断会社のサイトや見積もりには、ほかにも似た言葉が出てきます。決まった定義があるわけではないので、言葉ではなく中身で確かめます。

IPA は、Web アプリの診断の項目を絞った「ウェブ健康診断仕様」を公開しています。危険度の高い脆弱性など13の診断項目について、調べ方と判定の基準を決めたものです。IPA はあわせて、検査のパターンを絞った診断なので、脆弱性が見つからなくても安全の宣言にはつながらない、と注意しています。項目を絞った診断は、費用を抑えて最初の一歩にするには向いていますが、「診断を受けたから安全」とは言えないことを、頼む側も知っておく必要があります。

脆弱性診断の3つの種類

情報セキュリティサービス基準では、脆弱性診断サービスを3つに分けています。

IoT 機器の検証は、脆弱性診断ではなく「機器検証サービス」という別の区分に入ります。

自社で作った Web サービスや業務システムなら、多くの場合、Web アプリケーション脆弱性診断とプラットフォーム脆弱性診断の2つを考えます。IPA の「EC サイト構築・運用セキュリティガイドライン」（2023年3月）も、自社で作る EC サイトでは、公開する前に、原則として第三者がこの2種類の診断をすることを必須の要件にしています。

ツールの診断と、手作業の診断

脆弱性診断には、診断のツールで自動で調べるやり方と、診断する人が手作業で調べるやり方があります。ISOG-J と OWASP Japan の「Web アプリケーション脆弱性診断ガイドライン」は、ツールの自動診断だけでは足りず、手作業の診断と組み合わせるのが望ましいとしています。

たとえば、「ほかの会員の予約が、URL の番号を変えると見られてしまう」といった、ログインした後の権限の不備は、業務の意味が分からないツールでは見つけにくい脆弱性です。見積もりを比べるときは、手作業の診断が入っているかを必ず確かめます。

どちらを先に頼むか

脆弱性診断が先に合う場合

次のような場合は、脆弱性診断から始めます。

• これまで第三者の診断を受けたことがない
• 新しいシステムを公開する前、または大きく改修した後
• 取引先や親会社から、診断の結果の提出を求められている
• 個人情報や決済を扱う画面がある

ISOG-J と OWASP Japan の資料は、ペネトレーションテストは、対策が十分でない組織より、ある程度成熟した組織が行うほうが効果が見込めるとしています。ウイルス対策やファイアウォールのほかにも対策をしていて、脆弱性診断を受けたことがある組織が、目安として挙げられています。

ペネトレーションテストを検討する場合

次のような場合は、ペネトレーションテストを検討します。

• 脆弱性診断を受け、見つかった脆弱性を直してきた
• 攻撃を見つける仕組み（ログの監視など）や、事故のときの手順がある
• 「顧客情報が持ち出されないか」「業務が止められないか」など、守りたいものがはっきりしている
• システムだけでなく、人や運用の弱いところも含めて確かめたい

ペネトレーションテストは、組織の対策が実際の攻撃の手順の中で働くかを確かめるものです。監視の仕組みが攻撃に気づけたか、という点も結果に表れます。

同時に頼めるか

同じ診断会社に、脆弱性診断とペネトレーションテストをまとめて頼むこともできます。ただし、2つは目的と報告書が違うので、見積もりと報告書は分けてもらい、どの作業が診断で、どの作業がペネトレーションテストかが分かるようにしておきます。名前が「ペネトレーションテスト」でも、中身は決まった項目の脆弱性診断というサービスもあるので、名前ではなく、目的・範囲・報告書の中身で確かめます。

頼む前に決めること

どちらのサービスでも、頼む前に、発注する側で決めておくことがあります。決めずに頼むと、見積もりの前提が会社ごとにばらばらになり、比べられません。

脆弱性診断で決めること

範囲は、画面・機能を1行ずつ書き出した一覧にしておくと、見積もりを頼むときにそのまま渡せます。デジタル庁の「政府情報システムにおける脆弱性診断導入ガイドライン」も、診断の対象は、Web アプリなら主に画面数や API などのリクエスト数、プラットフォームなら IP アドレス数で数え、費用もその数で変わる、と説明しています。

ペネトレーションテストで決めること

ISOG-J と OWASP Japan の資料は、ペネトレーションテストを頼む前に、次のことを決めるよう勧めています。

• ゴール：どんな攻撃者が、何をしようとするかを想定する（例：外部の攻撃者が、顧客情報を持ち出す）
• 範囲：狭いほど費用と期間は少なくて済むが、範囲の外の問題は見つからない
• ルール：対象の IP アドレスやドメインの範囲、してはいけないこと、緊急の連絡先、テストの時間帯、クラウドを使っているか、などをテストする会社に渡す
• 備え：テストで予期しないことが起きたときのために、バックアップと戻す手順を確かめておく

してはいけないことを厳しくしすぎると、一部のテストができなくなる、とも書かれています。何を守りたくて、どこまでなら試してよいかを、テストする会社と話し合って決めます。

ペネトレーションテストの最中と、終わった後

ISOG-J と OWASP Japan の資料は、ペネトレーションテストの最中と後に、頼んだ側がすることも書いています。

• 最中：テストを見守り、不都合があれば調整する。リスクの高い攻撃をしてよいかの相談や、社内の運用の担当からの問い合わせに答え、業務に影響が出たら中断するかを決める
• 検証の環境で行うなら：アクセスの記録や操作の履歴、作業途中のファイルなどが侵入の糸口になることが多いので、できるだけ本番と同じ状態を再現する
• 終わった後：報告される問題は、主に「システムの脆弱性」と「運用の脆弱性」（パスワードの使い回しや、機密の書かれた手順書の置き場所など）の2種類。結果を評価し、改善の計画を立てて対策を進める

運用の脆弱性は、システムを直すだけでは解決しません。人のミスを仕組みで防ぐ工夫や、社内の教育も対策に入ります。ペネトレーションテストは、システムの担当だけでなく、組織として取り組む準備があるときに頼むと、効果が大きくなります。

時期は早めに

ISOG-J と OWASP Japan の資料は、年末から年度末はテストする会社の繁忙期にあたるので、時期が決まっているなら早めに頼むとよい、としています。公開の日が決まっている新しいシステムなら、診断の期間、報告書が届くまでの日数、直す期間、再診断の期間を逆算し、公開の日から2か月以上前には相談を始めるのが安心です。

診断会社の選び方

公的なリストで確かめる

IPA の「情報セキュリティサービス基準適合サービスリスト」は、基準に合うと審査されたサービスの一覧で、PDF で公開されています。脆弱性診断サービスのリストには、ペネトレーションテストのオプションがあるかどうかの欄もあります。2026年10月9日に掲載されたリストでは、脆弱性診断サービスとして160件あまりのサービスが載っていました。

リストに載っていることは、基準に合うと審査されたことを示すもので、診断の質のすべてを保証するものではありません。それでも、はじめて頼む会社を探すときの、最初のふるいとして使えます。

人と、やり方を確かめる

デジタル庁の脆弱性診断導入ガイドラインは、政府のシステムの診断を頼むときの要件の例として、次のようなことを挙げています。

• 情報セキュリティサービス基準の脆弱性診断サービスに合う会社であること
• 診断する人のうち少なくとも1人は、その種類の診断で2年以上の経験があること
• ツールの結果を、手作業で精査すること
• 報告会を開き、診断した人が同席して質問に答えること（推奨）
• 直した脆弱性の再診断を、報告書の納品から最低1か月以内の期間に1回以上できること
• 危険度は CVSS（脆弱性の深刻さを数値で表す共通の物差し）の基本評価に基づく5段階とし、その根拠も書くこと（推奨）
• OSCP、GWAPT、GPEN などのペネトレーションテストや診断の資格を持つ人が参加すること（推奨）

政府の調達の基準なので、中小企業がすべてを求める必要はありません。それでも、見積もりのときに確かめる項目としては、そのまま使えます。

報告書の危険度の読み方

脆弱性診断の報告書では、見つかった脆弱性ごとに危険度が付きます。危険度の付け方は診断会社ごとに違いますが、多くは CVSS という共通の物差しを使うか、それをもとに「高・中・低」などに分けています。CVSS の最新版（v4.0）の仕様では、点数（0.0〜10.0）を次のように分けています。

見積もりの段階で、報告書の見本を見せてもらい、危険度の付け方と、直し方の書き方を確かめておくと、受け取った後に社内と開発会社で話を進めやすくなります。

診断の後が、本番

脆弱性診断もペネトレーションテストも、報告書を受け取ったら終わりではありません。見つかった脆弱性を、危険度の高いものから直し、直ったことを再診断で確かめるところまでが一続きです。

IPA の EC サイトのガイドラインは、危険度「高」の脆弱性は迅速に、「中」は3か月程度を目安に対策することを勧めています。IPA が中小企業の EC サイト50社を診断した結果では、Web アプリケーション診断かプラットフォーム診断のどちらかで危険度「高」が出た会社が26社（52%）ありました。診断を受けると、何かしらの指摘が出ると考えておいたほうがよいでしょう。

だからこそ、診断を頼む前に、指摘を誰が、いつまでに直すかを決めておきます。開発会社との保守の契約に、診断の指摘への対応が入っているか、入っていないなら費用はどうなるかも、あわせて確かめておきます。IPA の「情報セキュリティ10大脅威 2026」でも、組織への脅威の4位に「システムの脆弱性を悪用した攻撃」が入っています。

どのくらいの頻度で受けるか

脆弱性診断は、一度受ければ終わりではありません。システムを改修すれば新しい脆弱性が入り込むことがありますし、使っている OS やミドルウェアの脆弱性も次々に見つかります。

IPA の EC サイトのガイドラインは、自社で作った EC サイトについて、新しい機能を作ったり改修したりしたときは、その箇所の Web アプリケーション診断を、改修がなくても四半期に1回はプラットフォーム診断をすることが重要だとしています。EC サイト向けの指針ですが、個人情報を扱う会員サイトや業務システムでも、考え方は同じです。

• 公開の前：新しいシステムを公開する前に、Web アプリとプラットフォームの診断
• 改修したとき：改修した箇所の Web アプリの診断
• 定期的に：公開しているサーバーや機器のプラットフォーム診断

予算に限りがあるときは、個人情報や決済を扱う画面、管理者の画面など、狙われたときの影響が大きいところから優先します。

取引先から求められる場面も増える

経済産業省などの監督のもと、IPA が運営する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS 評価制度）では、★3・★4 の受付が2027年3月に始まる予定です。★4 の評価では、インターネットとの境界にある VPN 装置やルーター、ファイアウォールなどの機器に、CVSS の基本値が7.0以上の脆弱性がないかを、脆弱性診断などで確かめる「技術検証」が入っています。取引先から、こうした評価への対応を求められる中小企業も出てくると考えられます。

おわりに

脆弱性診断は「決めた範囲の弱いところを全部洗い出す」、ペネトレーションテストは「攻撃者の目的を達成できるかを試す」サービスです。名前ではなく、目的・範囲・報告書の中身で見分けてください。

多くの中小企業では、まず脆弱性診断を頼み、見つかった脆弱性を直すところから始めます。頼む前に、診断する範囲を一覧にし、環境・日時・アカウント・連絡先・再診断を決めておくと、見積もりを同じ物差しで比べられます。診断の費用と見積もりの比べ方は「脆弱性診断の費用と見積もりの比べ方」で、開発会社と確認しておきたいセキュリティの項目は「開発会社に確認したいセキュリティの項目」でまとめています。

クリーヴァでは、システムの開発と保守の中で、診断の範囲の洗い出しや、指摘への対応のご相談もお受けしています。

出典（2026年11月11日に確認）

• 経済産業省「情報セキュリティサービス審査登録制度」（情報セキュリティサービス基準 第4.1版）
• IPA「情報セキュリティサービス基準適合サービスリスト」（2026年10月9日更新）
• ISOG-J・OWASP Japan 脆弱性診断士スキルマッププロジェクト「ペネトレーションテストについて」（2019年12月）
• ISOG-J・OWASP Japan「Webアプリケーション脆弱性診断ガイドライン」（Ver1.2.4、2023年11月）
• デジタル庁「政府情報システムにおける脆弱性診断導入ガイドライン」（2024年2月6日）
• IPA「ECサイト構築・運用セキュリティガイドライン」（2023年3月16日）
• IPA「安全なウェブサイトの作り方」（別冊「ウェブ健康診断仕様」）
• FIRST「CVSS v4.0 Specification Document」
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• IPA「情報セキュリティ10大脅威 2026」