ペネトレーションテスト

ペネトレーションテストの費用は、対象スコープ・日数・専門家の質によって大きく異なります。国内市場における一般的な相場は、Webアプリケーション単体で50〜200万円、ネットワーク・インフラを含む包括的なテストで200〜1,000万円以上とされています（2023〜2024年の国内ベンダーヒアリングに基づく概算）。この費用に対して投資対効果を得るには、発見された脆弱性を実際に修正し、再テストまで完結させる体制が必要です。

従業員300名未満・年間売上50億円未満の中小企業では、テスト費用の捻出よりも基礎的なセキュリティ対策（多要素認証、パッチ管理、EDR導入）の整備が優先事項となるケースが多いです。ペネトレーションテストは「守るべき資産」と「脅威モデル」が明確になってから実施することで初めて意味を持ちます。

一方、従業員1,000名以上の大企業や、金融・医療・製造業の重要インフラ事業者、上場企業では、年1回以上の定期実施が実質的なスタンダードになっています。セキュリティ専任チームが存在し、テスト結果を受けて脆弱性管理フローが動かせる組織であることが、投資対効果を最大化する条件です。

ペネトレーションテストの概念は、1960〜70年代の米国防総省によるコンピュータセキュリティ研究に端を発します。当初は「タイガーチーム」と呼ばれる内部専門家チームが自社システムの侵入を試みる形で始まりました。1990年代に入りインターネットの商業化が進むと、外部の攻撃脅威が急増し、民間企業でも専門セキュリティ会社に依頼する形が一般化しました。2000年代にはPCI DSS（2004年策定）がカード決済事業者に対してペネトレーションテストの定期実施を義務付けたことで、金融・EC業界を中心に普及が加速しました。OWASP Top 10（2003年初版）やMITRE ATT&CKフレームワーク（2013年公開）の整備により、テスト手法の標準化・体系化も進んでいます。

日本市場では、2000年代初頭に大手SIer系のセキュリティ子会社（NTTデータ先端技術、LAC、NRIセキュアテクノロジーズ等）が本格的なサービス提供を開始しました。2017年のCSIRT整備指針、2022年の金融庁サイバーセキュリティ方針改訂、2023年の経済安全保障推進法施行などを受け、規制業種を中心に実施が加速しています。日本特有の課題として、テスト後の脆弱性修正に向けた社内調整の長期化や、「外部業者に自社の弱点をすべて開示することへの抵抗感」が導入障壁として挙げられることがあります。