ペネトレーションテスト会社の選び方【2026年版】

概要

「おすすめのペネトレーションテスト会社が知りたい」というご要望は、「自社のテスト目的に合う会社をどう見極めればよいか」という視点に置き換えてみると整理しやすくなります。これは、ペネトレーションテストサービスの提供会社によって得意な領域やテスト手法、対応可能な範囲等が異なり、すべての目的に適した1社は存在しないためです。

そこでペネトレーションテスト会社を選定する際には、最初に自社がペネトレーションテストを実施する目的を明確化し、その目的に対して柔軟に対応可能な会社を複数の観点で評価して選定することが重要で、具体的には以下のような 5つの観点が有用ではないかと考えています。

1. 第三者によるサービス品質の客観的な評価 - 評価例: IPA「情報セキュリティサービス基準適合サービスリスト」への登録有無、等
2. 在籍技術者の実力 - 評価例: ペネトレーションテストの専門性を満たす資格と経産省が記載している資格の保持有無、バグバウンティや CTF における入賞実績、技術的なカンファレンスにおける登壇実績、等
3. サービスにおける対応の柔軟性 - 評価例: テスト目的や社内事情を加味したテスト範囲やテストシナリオの柔軟な提案や対応可否、コミュニケーションと対応力、等
4. 報告書の品質 - 評価例: 経営層向けエグゼクティブサマリの有無、検出された問題（例: 攻撃経路、ビジネスインパクト、対策）に関する適切な記載粒度と明快さ、等
5. テスト後の対策支援 - 評価例: 報告会の実施可否、テスト後の不明点に関する問合せ可否、再テストの対応可否、等

上記のような複数の観点でペネトレーションテスト会社を評価し、その評価値に対する費用対効果を考慮した上で最終的な決断を下すことで、より効果的なペネトレーションテストを実施してくれる会社を選定することが出来るのではないかと考えています。

会社選びの前に

本記事の主題は「ペネトレーションテスト会社の選び方」ですが、その前段階で整理しておいたほうが良いと考えている点について簡単に内容を記載させていただきます。

目的の整理

後述するように各ペネトレーションテスト会社が提供するペネトレーションテストサービスは、テストで用いる手法や対応可能範囲、各社の強みや弱み等々、様々な面で差異があることが想定されます。ただし、基本的にこれらの差異は優劣ではなく、テストを実施する目的によって適否が変わる性質だと考えています。

そのため、会社選定を行う事前準備として自社でペネトレーションテストを実施する目的を明確化し、どういったペネトレーションテスト会社が自分たちの目的に対して最も効果的であるかを見極める基準を作成しておくことをおすすめします。

ペネトレーションテストとは？

ここで少し話は逸れますが、改めてペネトレーションテストというセキュリティテストの位置づけを簡単に触れておきます。

ペネトレーションテストとは、セキュリティエンジニアが実際の攻撃者と同様の手法を用いて組織の情報システムに侵入を試みることで、そのシステムの攻撃耐性を検証するサイバーセキュリティの評価手法の一つです。

対象システムにおけるセキュリティ上の問題点を網羅的に洗い出すことを目的とした脆弱性診断とは異なり、対象システムに対する不正侵入成否や、対象組織における機微な情報の窃取成否といった、問題の悪用可否に焦点を当てている点が特徴です。

「目的の整理」でも触れましたが、昨今ペネトレーションテスト以外にも様々なセキュリティテストが存在しており、定義が近いものも多く、違いを把握することは容易ではありません。そのため、まずは自分たちがどういったテストを求めているのかを整理しておくことが、会社選定において有用ではないかと考えています。

もし、セキュリティテストの種別が多すぎて判断がつかない場合には、確認したいことや懸念している事象をセキュリティベンダーに伝えた上で、適したテストの提案を依頼してみるのも一つの手だと思います。

失敗しない会社選びの5つのポイント

ペネトレーションテスト会社を選定する際、各社から提示された見積もり価格だけでは会社選定に難航することがあるかもしれません。例えば、各ペネトレーションテスト会社から提出されたテストの実施内容や手法といった提案内容に統一性がなく、その良し悪しを価格だけでは見極めづらい、ということもあるのではないかと思います。

提案内容にばらつきが生まれるのは、ペネトレーションテストには業界共通で一律に義務付けられた統一のテスト手法や規格というものが存在せず、会社によってテストに用いる手法や対応可能な実施期間、対象範囲、テストシナリオ等々、様々な要素が異なるためだと考えています。しかし、見方を変えると、そうした事情からペネトレーションテスト会社毎の強みや弱みが生まれているとも言えます。

こうした事情を踏まえた上で、ペネトレーションテスト会社を選定する段階で重要なことは、自分たちがペネトレーションテストを実施する目的を整理した上で、その目的にどこまで追従したペネトレーションテストを実施できる事業者はどこなのかを見極めることだと考えています。

ペネトレーションテスト会社を選ぶ段階では価格だけではなく、少なくとも以下のような 5つの観点から評価することが有用ではないかと考えています。

1. 第三者によるサービス品質の客観的な評価
2. 在籍技術者の実力
3. サービスにおける対応の柔軟性
4. 報告書の品質
5. テスト後の対策支援

以降に、これらの各観点について簡単に説明を記載いたします。

1. 第三者によるサービス品質の客観的な評価

対象のペネトレーションテスト会社が提供するサービス品質を測るために収集する基本的な情報として、政府等の信頼できる第三者機関が公開している情報や、各社にて公開している診断実績が挙げられます。

こうした情報を通して対象ペネトレーションテスト会社の強み、得意とするシステムや業種、成果物の品質を推し量る手がかりといった、ある種客観的な観点からサービスの品質に関する基本的な情報を収集することができます。

また、サービス品質に関する有用な公開情報のひとつとして、IPA が公開している「情報セキュリティサービス基準適合サービスリスト」が挙げられます。

当該リストには経済産業省が情報セキュリティサービスの品質維持を目的として策定した「情報セキュリティサービス基準」に適合するサービスの提供企業がまとめられているため、最初に当該リストで経済産業省が定めた基準に適合していることを確認することも有用ではないかと思います。

2. 在籍技術者の実力

ペネトレーションテストは必ずしも網羅的に多くの脆弱性を検出することを目的としたテストではありませんが、質の高いペネトレーションテストを実施するためには、テストを実施する技術者がどれだけ多角的な観点と高い技術力を元に、様々な手法と経路でテスト中に攻撃を試行できるか、それが非常に重要な要素になります。

このような理由から、ペネトレーションテスト会社を選定する際には在籍する技術者の実力（技術力）を確認することをおすすめします。とはいえ、在籍する技術者の実力は、外部から測ることは容易ではないかと思いますので、客観的に確認するために有用な情報の一例として以下のような内容を確認されることをおすすめします。

• 対外的なカンファレンスの登壇実績
• 在籍する技術者の保有資格
  • ペネトレーションテストに有用な資格例:
    • 経済産業省「情報セキュリティサービスにおける技術及び品質の確保に資する取組の例示」において資格要件の例示項目に記載されている資格の保有状況
    • その他、実技試験を伴うオフェンシブセキュリティの関連資格
• 対外的な活動実績
  • 活動実績例:
    • 脆弱性報告実績 - 検索箇所例: JVN 脆弱性対策情報データベース
    • バグバウンティの活動実績
    • CTFの活動実績

最後に補足となりますが、上記に記載されているような実績がなくても凄腕の技術者というのは世の中に多く存在します。上記はあくまでも直接的な接点がない場合に確認すると良い情報の一例ですので、ご認識おきください。

3. サービスにおける対応の柔軟性

ペネトレーションテストを実施すると言っても、ペネトレーションテスト会社によって提供しているサービス内容は異なっていることが想定されるため、各社が提供しているサービスの対応に関する柔軟性を確認されることをおすすめします。

ペネトレーションテストはテスト対象システムに対する擬似的なサイバー攻撃を実施する、というアプローチこそ共通していますが、テスト手法について業界共通で統一された実施方法が定められているわけではないため、サービス全体で考えると各ペネトレーションテスト会社で実施するサービス内容に違いが発生しやすいと言えるのではないかと思います。主に違いが生まれやすい例として以下のような箇所が挙げられます。

• 対応可能なテスト対象範囲
  • 例: 予め定義されたホストのみ、外部に公開されているホストのみ、組織が所有するホストを全て、等
• テストの深さ
  • 例: 攻撃目標の達成を目的とした一連の攻撃実施、検出された問題を利用した攻撃対象ホストに対する侵入実施、等
• 対応可能なシナリオ
  • 例: 内部ネットワークの重要ホストを掌握、指定されたホストの管理者権限を掌握、重要情報窃取の外部持出し、等
• 対応可能な攻撃対象
  • 例: 制御システム (OT)、IoT・組み込み機器、クラウド環境、オンプレ環境、無線機器、ハードウェア、等
• コミュニケーション
  • 例: チャットツール等を用いた非定期的なやり取りの対応可否、週次報告の対応可否、等

上記はあくまで一例となりますが、各項目に優劣があるというよりも、目的によって適否が変わる性質があります。重要なことは自分たちがペネトレーションテストを実施する目的を整理した上で、その目的に対応可能なサービスを提供しているペネトレーションテスト会社を選定することだと考えています。

4. 報告書の品質

ペネトレーションテストを実施後、最終的に依頼者の手元に残る主たるものは、各社が提供するサービスの成果物です。そして、この成果物は多くの場合、「ペネトレーションテスト結果報告書」となるのではないかと思います。

この報告書の品質が低いと、いざ報告書を元にセキュリティ対策に着手しようとしてみたが内容をいまいちよく理解できず、必要な対策が行えない、あるいは対策したつもりが十分な対策が行えていない、ということになってしまいかねません。

このような状況に陥ることを防ぐため、ペネトレーションテスト会社を選定する際には、選定する段階で最終的な成果物となる報告書の品質を確認されることをおすすめします。

報告書全体で一貫して内容が理解しやすいことも重要ですが、報告書の品質に関しては、ペネトレーションテストを実施する本来の目的に対し、重要な情報が適切な粒度で記載されていることも重要であると考えています。

報告書に記載されている内容や記載粒度について確認すると良いと考えている箇所の一例を以下に記載致しますので、報告書の品質を評価する際にチェックする観点の例として活用して頂ければと思います。

• エグゼクティブサマリ等、ペネトレーションテスト結果に関する経営層向けの説明有無
• ペネトレーションテストを実施した結果判明した以下のような項目の記載有無
  • 最終的にテストで実証された攻撃経路
  • テスト結果から想定されるビジネスインパクト
• ペネトレーションテストで検出された各問題に関する以下のような項目の記載有無、及び、記載粒度
  • 問題内容 (概要/詳細)
  • 再現手順
  • 影響範囲
  • 推奨対策

5. テスト後の対策支援

ペネトレーションテスト結果の報告書を受領後、テストで検出された指摘事項を依頼者が対策することを支援するために、サービスに含まれるテスト後の支援内容について確認されることをおすすめします。

というのも、ペネトレーションテストの指摘事項は、その内容や対策方法が容易なものから非常に難解なものまで様々です。報告書に記載されている内容だけでは判断に迷う状況や、社内への説明や対策の実施にあたって迷いが生じる場面もあるかと思います。

また、テスト実施後に報告書を閲覧していたところ、ある程度の時間が経過してから生まれてくる疑問や、より効果的な対策を実施するため、少し期間が空いたがテストを実施したペネトレーションテスト会社に質問したい、ということもあるのではないかと思います。

こうした不安や懸念を可能な限り払拭するため、ペネトレーションテスト会社を選定する段階で、テスト実施後の支援内容について確認されることをおすすめします。以下に対策支援の例を記載させていただきますので参考にして頂ければ幸いです。

• ペネトレーションテスト後の問合せ可否、及び、問合せ可能期間
• 報告会の実施可否、及び、実施回数
• 再テストの実施可否
• 追加情報提供依頼の可否

上記はあくまで一例です。もし、上記以外にもペネトレーションテスト会社に対応して欲しい具体的な支援内容が存在する場合には、直接問合せを行ったり、 RFP 等で対応可否の回答を依頼する、等も良いのではないかと思います。

まとめ

本記事では、ペネトレーションテスト会社の選び方について弊社なりの考え方をご紹介しました。改めて整理すると、大きく以下の 3ステップになります。

1. 事前準備として自社がペネトレーションテストの実施を依頼する目的を整理する
2. 各社が提供するサービス全体の品質を複数の観点で評価する
3. 目的や品質を踏まえて価格を含めた費用対効果を確認し、最終的に依頼する会社を選定する

補足 : サイバーディフェンス研究所のペネトレーションテスト

弊社は設立当時から「人間がもたらす脅威には、人間しか対処できない」を理念に掲げるセキュリティ専門企業です。攻撃手法は常に変化し続けますが、どういう手段で、どこを狙うか、という判断には、今なお人間の関与が必要とされています。だからこそ、それを検証する側にも同じ判断が必要だと考えています。

弊社のペネトレーションテストは、ツールによる網羅的なスキャンを主軸としません。対象システムの構成情報に加え、それを運用・利用する人の動きまで含めて攻撃経路を検討し、テストの過程で得られた情報を元に、次にどこを狙うかをその都度判断しながら進めていきます。当初想定していなかった経路が見つかれば、そちらへ方針を切り替えることもあります。

本記事でも述べたとおり、ペネトレーションテストは会社によってサービス内容が異なります。弊社のアプローチが必ずしもすべての目的に適するとは限りませんので、まずは弊社サイトの「ネットワークペネトレーションテストサービスの詳細」をご覧いただければと思います。ご興味がございましたら、相談を含めてお気軽にご連絡ください。

また、ネットワークペネトレーションテスト以外にも、弊社では以下のように様々なセキュリティテストサービスを展開しております。興味がございましたら、こちらについてもお気軽にご連絡ください。

• Webアプリケーション脆弱性診断(セキュリティ診断)
• 組み込み機器・IoTセキュリティ診断
• 制御システムペネトレーションテスト
• レッドチーム演習

出典・参考

• IPA（情報処理推進機構）「情報セキュリティサービス基準適合サービスリスト」
  https://www.ipa.go.jp/security/service_list.html
• 経済産業省「情報セキュリティサービス審査登録制度」
  https://www.meti.go.jp/policy/netsecurity/shinsatouroku/touroku.html
• NIST SP 800-115「Technical Guide to Information Security Testing and Assessment」
  https://csrc.nist.gov/pubs/sp/800/115/final
• MITRE ATT&CK
  https://attack.mitre.org/
• 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月）
  https://www.fsa.go.jp/news/r6/sonota/20241004/18.pdf
• FISC（金融情報システムセンター）「金融機関等におけるTLPT実施にあたっての手引書」
  https://www.fisc.or.jp/publication/pubcat/tlpt/