_edited.png&w=3840&q=75){kind=small}
ペネトレーションテストの費用相場｜費用の目安と見積もりのポイント
目次
- ペネトレーションテストの費用相場
- ペネトレーションテストの費用に影響する6つの条件
- 1. 対象となるシステム
- 2. 対象範囲の広さ
- 3. 攻撃シナリオと検証の深さ
- 4. 提供する事前情報
- 5. 実施環境と時間帯
- 6. 報告・再検査の範囲
- 脆弱性診断とペネトレーションテストの費用が違う理由
- ペネトレーションテストの見積もり例
- Webサービス公開前の確認
- クラウド環境の侵入耐性確認
- 社内ネットワークの横展開確認
- ペネトレーションテストの費用を抑える4つの方法
- 1. 守りたい情報から対象を絞る
- 2. 既存資料を準備する
- 3. 脆弱性診断と役割を分ける
- 4. 見積もり条件をそろえる
- 安さだけで選ぶときの注意点
- 見積もり依頼前に準備する情報
- まとめ
- よくある質問
- ペネトレーションテストならシースリーレーヴ
- 関連ページ
ペネトレーションテストを検討するとき、「費用はいくらか」「見積もりが会社によって違うのはなぜか」「予算内でどこまで確認できるのか」は、担当者が最初に知りたい情報です。
ペネトレーションテストの料金は、決まった一律価格ではありません。対象となるシステム、攻撃シナリオ、検証の深さ、実施期間などによって必要な工数が変わるためです。
この記事では、対象別の価格目安、費用に影響する条件、見積もりの準備、費用を抑える方法を解説します。自社に必要なテストと予算を判断したい方は参考にしてください。
この記事でわかること
- ペネトレーションテストの対象別の費用目安
- 料金に差が生まれる理由と見積もりの内訳
- 品質を保ちながら費用を抑える方法
- 問い合わせ前に準備しておく情報
ペネトレーションテストの費用相場
ペネトレーションテストは、攻撃シナリオに沿って専門家が疑似攻撃を行い、侵入可能性や侵入後の影響範囲を確認するテストです。自動ツールだけで完結する脆弱性スキャンよりも、設計・手動検証・報告に多くの工数が必要になるため、一般に料金は高くなります。
具体的な費用は対象範囲によって異なります。シースリーレーヴが公開しているペネトレーションテストの料金目安は次のとおりです。
| 対象 | 料金目安 | 期間目安 | 主な確認内容 |
|---|---|---|---|
| Webアプリ・API | 100万円〜 | 最短7営業日 | ログイン、入力フォーム、API、権限管理など |
| モバイルアプリ | 150万円〜 | 最短14営業日 | 認証、通信、保存データ、API連携など |
| LLM | 200万円〜 | 最短14営業日 | プロンプトインジェクション、情報漏えい、権限逸脱、RAG、外部ツール連携など |
| AWS・Azure・Google Cloud | 150万円〜 | 最短10営業日 | IAM、ストレージ、ネットワーク、コンテナなど |
| オンプレミスサーバ | 130万円〜 | 最短10営業日 | OS、ミドルウェア、認証、共有設定、公開状態など |
| 内部ネットワーク | 160万円〜 | 最短10営業日 | 内部通信、Active Directory、権限設定、横展開リスクなど |
| 外部ネットワーク | 100万円〜 | 最短7営業日 | グローバルIP、公開ポート、外部公開サーバ、VPN、ファイアウォールなど |
上記は開始価格です。対象数、機能数、IPアドレス数、検証する攻撃経路などによって最終的な見積もりは変わります。最新の料金はセキュリティ診断の料金一覧をご確認ください。
ペネトレーションテストの費用に影響する6つの条件
1. 対象となるシステム
Webアプリ、API、モバイルアプリ、クラウド、社内ネットワークでは、確認する技術や攻撃手法が異なります。複数の環境を横断するテストでは、攻撃経路の設計と検証が増えるため費用も上がります。
2. 対象範囲の広さ
Webアプリでは画面数、機能数、権限の種類、API数などが工数に影響します。ネットワークではIPアドレス数、サーバー数、セグメント数、拠点数などが主な見積もり条件です。
3. 攻撃シナリオと検証の深さ
「外部から侵入できるか」だけを確認する場合と、「侵入後に重要情報へ到達できるか」「別のシステムへ横展開できるか」まで確認する場合では、必要な時間が異なります。守りたい情報と想定する攻撃を明確にすると、必要な深さを決めやすくなります。
4. 提供する事前情報
内部情報をほとんど渡さないブラックボックステストは、攻撃者に近い条件を再現できます。一方、構成情報や認証情報を提供するホワイトボックステストは、限られた期間で対象を深く確認しやすい方法です。方式によって調査範囲と工数が変わります。
5. 実施環境と時間帯
本番環境での実施、夜間・休日の作業、停止条件の設定、関係者との連絡体制など、運用上の制約が多い場合は調整工数が増えることがあります。
6. 報告・再検査の範囲
技術者向けの詳細報告、経営層向けの概要説明、改善方法の説明会、修正後の再検査など、納品内容も料金に影響します。見積もり時に報告書の内容と再検査の扱いを確認することが重要です。
脆弱性診断とペネトレーションテストの費用が違う理由
脆弱性診断は、設定不備や既知の脆弱性を幅広く洗い出すことが主な目的です。ペネトレーションテストは、発見した弱点や攻撃経路を組み合わせ、実際にどこまで侵入・到達できるかを確かめます。
| 比較項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 主な目的 | 弱点を網羅的に発見する | 侵入可能性と事業への影響を実証する |
| 実施方法 | ツールと手動確認 | 攻撃シナリオに基づく手動検証が中心 |
| 適している場面 | 定期点検、公開前確認 | 重要資産の防御確認、重大リスクの検証 |
| 料金への主な影響 | 画面数、機能数、IP数 | シナリオ、対象範囲、検証の深さ、期間 |
まず弱点を広く把握したい場合は脆弱性診断、重要なシステムが現実の攻撃に耐えられるか確認したい場合はペネトレーションテストが適しています。違いを詳しく知りたい方はペネトレーションテストの基礎解説をご覧ください。
ペネトレーションテストの見積もり例
同じ「ペネトレーションテスト」でも、目的によって見積もり範囲は変わります。
Webサービス公開前の確認
- 対象：WebアプリとAPI
- 守りたい情報：顧客情報、決済情報
- 主な確認：認証回避、権限昇格、APIの不正利用、重要情報への到達
- 料金目安：100万円〜
クラウド環境の侵入耐性確認
- 対象：AWS・Azure・Google Cloud
- 守りたい情報：顧客データ、業務データ、認証情報
- 主な確認：IAM、ストレージ公開設定、ネットワーク経路、権限昇格
- 料金目安：150万円〜
社内ネットワークの横展開確認
- 対象：社内端末、サーバー、Active Directory
- 守りたい情報：機密文書、設計データ、管理者権限
- 主な確認：侵入後の権限昇格、認証情報の悪用、他端末・サーバーへの横展開
- 料金目安：160万円〜
これらは公開料金に基づく例であり、対象範囲によって変動します。正式な費用は個別見積もりで確認してください。
対象が決まっていなくても相談できます
自社に必要なテスト内容と費用を無料でご提案します
システム構成、守りたい情報、確認したいリスクを伺い、対象範囲と料金の目安をご案内します。
ペネトレーションテストの費用を抑える4つの方法
1. 守りたい情報から対象を絞る
すべてのシステムを一度に対象にするのではなく、顧客情報、決済情報、医療情報、設計データなど、事業への影響が大きい情報から優先順位を付けます。
2. 既存資料を準備する
システム構成図、ネットワーク図、対象URL・IPアドレス、アカウント権限の一覧などを準備すると、調査範囲を決めやすくなります。見積もり条件が明確になり、不要な予備調査を減らせます。
3. 脆弱性診断と役割を分ける
広い範囲は脆弱性診断で確認し、重要なシステムや重大な弱点だけをペネトレーションテストで深く検証する方法があります。目的の異なるテストを使い分けることが重要です。
4. 見積もり条件をそろえる
複数社を比較する場合は、対象範囲、攻撃シナリオ、報告書、説明会、再検査の有無をそろえます。金額だけでなく、どこまで含まれているかを比較してください。
安さだけで選ぶときの注意点
価格が低くても、必要な攻撃経路が対象外であれば、確認したいリスクに答えられません。反対に、目的に対して範囲が広すぎる見積もりでは、不要な費用が含まれる可能性があります。
見積もりでは、次の項目を確認しましょう。
- 攻撃シナリオと対象範囲が明記されているか
- ツール検査と手動検証の範囲が分かるか
- 侵入後の影響確認まで含まれるか
- 報告書に再現手順と改善策が含まれるか
- 説明会や再検査が料金に含まれるか
- 緊急時の停止条件と連絡体制が決まっているか
会社を比較する際の確認項目はペネトレーションテスト会社の選び方でも解説しています。
見積もり依頼前に準備する情報
詳細がすべて決まっていなくても相談できますが、次の情報があると見積もりがスムーズです。
- 対象システム：Webアプリ、API、クラウド、社内ネットワークなど
- 対象規模：画面数、機能数、API数、IPアドレス数、サーバー数など
- 守りたい情報：顧客情報、決済情報、認証情報、設計データなど
- 確認したいリスク：外部侵入、権限昇格、情報持ち出し、横展開など
- 希望時期：公開日、監査日、システム変更日など
- 実施上の制約：本番環境、実施可能時間、停止条件、除外対象など
分からない項目は、問い合わせ時のヒアリングで確認できます。
まとめ
ペネトレーションテストの費用は、対象システム、範囲、攻撃シナリオ、検証の深さ、実施条件、報告内容によって決まります。公開料金だけで判断せず、自社が確認したいリスクに必要な作業が見積もりに含まれているかを確認することが重要です。
シースリーレーヴでは、Webアプリ・APIと外部ネットワークのペネトレーションテストを100万円〜提供しています。対象が決まっていない段階でも、守りたい情報とシステム構成から必要な範囲をご提案します。
よくある質問
Q. ペネトレーションテストの費用相場はいくらですか？
A. 対象と検証範囲によって異なります。シースリーレーヴの公開料金では、Webアプリ・APIと外部ネットワークは100万円〜、クラウドは150万円〜、内部ネットワークは160万円〜です。正式な費用は対象数や攻撃シナリオを確認して見積もります。
Q. なぜ会社によってペネトレーションテストの料金が違うのですか？
A. 対象範囲、手動検証の深さ、攻撃シナリオ、実施期間、報告書、説明会、再検査など、見積もりに含まれる作業が異なるためです。同じ条件にそろえて比較することが重要です。
Q. 脆弱性診断とペネトレーションテストでは費用が違いますか？
A. 一般にペネトレーションテストの方が高くなります。攻撃シナリオの設計や専門家による手動検証、侵入後の影響確認など、実践的な検証工数が必要になるためです。
Q. 見積もりには何が必要ですか？
A. 対象システム、画面・機能・API・IPアドレスなどの規模、守りたい情報、確認したいリスク、希望時期があるとスムーズです。詳細が不明な場合はヒアリングで一緒に確認できます。
Q. 対象範囲が決まっていなくても相談できますか？
A. はい。システム構成、守りたい情報、懸念している攻撃を伺い、優先すべき対象とテスト内容をご提案します。
Q. ペネトレーションテストの費用を抑える方法はありますか？
A. 重要情報を扱うシステムへ対象を絞る、構成図などの資料を準備する、広い範囲は脆弱性診断で確認して重要部分だけを深く検証する、といった方法があります。
ペネトレーションテストならシースリーレーヴ
シースリーレーヴでは、Webアプリ、API、モバイルアプリ、クラウド、オンプレミスサーバ、内部・外部ネットワーク、LLMを対象としたペネトレーションテストを提供しています。
攻撃シナリオと対象範囲の設計から、疑似攻撃、影響範囲の確認、報告、改善方法の説明まで支援します。対象や予算が決まっていない場合も、必要なテスト内容と費用を無料でご提案します。
相談・見積もりは無料です
自社に必要なテスト内容と費用をご提案します
対象範囲が決まっていなくても問題ありません。システム構成と確認したいリスクを伺い、料金と期間の目安をご案内します。
関連ページ
- 料金プラン一覧 — 対象別の料金と最短期間を比較できます
- ペネトレーションテストサービス — サービス内容と実施の流れを確認できます
- ペネトレーションテストとは — 脆弱性診断との違い、種類、流れを解説しています
- ペネトレーションテスト会社の選び方 — 会社比較で確認すべきポイントを解説しています
- Webアプリセキュリティ診断 — Webアプリ・APIの診断内容を確認できます
