ペネトレーションテストと脆弱性診断の違いと、自社で受けるか外注するか──情報セキュリティサービス基準で読む判断の表と説明の型

この記事は、ペネトレーションテストと脆弱性診断の違いと、制作会社がそれを自社で受託するか外注するかの判断を扱います。

「ペネトレーションテストもできますか」と聞かれたとき

「取引先の情報システム部から、ペネトレーションテストをやってほしいと言われた。うちでもできるだろうか」

サイトを作った会社だから、診断も頼みたい。顧客がそう考えるのは自然です。
けれど、言葉の意味をそろえないまま受けると、顧客が期待したものと、納品したものがずれます。

さらに、自社が作ったサイトを自社で試験すると、見落としが構造的に起きます。
受けるか、外に頼むか。その線を、先に決めておく必要があります。

ペネトレーションテストとは、攻撃者が実際に使う手法と同じ手法で、セキュリティ機能を回避して目的を達成できるかを試し、助言するサービスである

黒字化の外科医です。ペネトレーションテストと脆弱性診断の違いと、受託の判断を解剖します。

この定義は、経済産業省の「情報セキュリティサービス基準」（第4.1版、令和7年3月31日）によるものです。
同じ基準は、脆弱性診断サービスを「システムやソフトウェア等の脆弱性に関する一定の知見を有する者が行う」診断とし、Webアプリケーション、プラットフォーム、スマートフォン／タブレット端末アプリケーションの三つに分けています。ペネトレーションテストは、脆弱性診断の定義を満たすサービスのうちの一つ、という位置づけです。

違いを押さえるべき理由は、三つあります。

第一に、問いが違うから。
脆弱性診断は「弱いところはどこか」を洗い出します。ペネトレーションテストは「守りを越えて、目的まで届くか」を試します。顧客がどちらの問いに答えを求めているかで、頼む先が変わります。

第二に、求められる専門性が違うから。
基準は、診断を提供する者に、資格、講師経験、過去3年間の実績、研修の修了などのいずれかを満たす技術責任者を求めています。ペネトレーションテストにも、別に審査基準が置かれています。制作の腕とは、別の物差しです。

第三に、作った側が試すと、独立性が揺らぐから。
同じ基準は、案件に従事した者以外が報告書をレビューすることを、品質管理の要件にしています。作った人が自分の作ったものを試す形は、この考え方と逆向きです。

今すぐ試せる：顧客の「診断したい」を仕分けるプロンプト

私はWeb制作会社の経営者です。顧客から「〔ペネトレーションテスト／脆弱性診断／セキュリティチェック〕をしてほしい」と言われました。顧客が本当に求めているものを仕分けてください。

【前提】
・顧客の業種と、サイトの種類：〔　〕
・依頼のきっかけ（取引先の要求、監査、事故、リニューアルなど）：〔　〕
・顧客の担当部署：〔　〕
・当社がそのサイトを作ったか：〔はい／いいえ〕

1. 顧客の問いが「弱点の洗い出し」か「侵入できるかの試験」かを判定する材料を挙げる。
2. 顧客に確認すべき質問を7つ作る（目的、範囲、報告の提出先、期限など）。
3. 当社で受ける場合と、外部に頼む場合の、それぞれの注意点を整理する。

攻撃の具体的な手順は書かないこと。

受託判断工場：受けるか、外注するか

判断の表

【自社で受けてよい寄りの条件】
・顧客の目的が、納品前・改修後の基本的な確認である
・範囲が、自社で作ったものの、決まった項目の確認に限られる
・報告書を、作業した人以外がレビューできる
・顧客が「第三者の診断」を求めていない

【外注する寄りの条件】
・取引先や監査から「第三者による診断」を求められている
・顧客の目的が、侵入できるかの試験（ペネトレーションテスト）である
・会員情報、決済、業務システムとの連携がある
・自社に、基準の技術責任者の要件を満たす人がいない

迷ったら、外注に倒します。自社でやる場合も「セキュリティ診断」ではなく「納品前チェック」と呼び、期待をそろえます。

▶ 納品前のセキュリティチェックリスト、制作会社の標準化キット──確認項目表、レビューの手順、顧客向け「安全性の説明書」、AIレビュー用プロンプト

外注するときの、制作会社の役割

□ 顧客と診断会社の間で、目的と範囲を文書にそろえる
□ 対象の画面・機能、テスト用アカウント、検証環境を用意する
□ サーバーやクラウドの事業者の規約で、試験の扱いを確認する
□ 試験の日時と、止まったときの連絡先を三者で決める
□ 顧客の書面の許可を、診断会社に渡す
□ 指摘の修正を、別の見積もりとして出す

IPAの「情報セキュリティサービス基準適合サービスリスト」には、ペネトレーションテスト（侵入試験）サービスも掲載されています。IPAは、掲載サービスを保証するものではないとしています。選ぶ材料の一つとして使ってください。

外注先の比べ方と、自社にかかる手間の計算は、こちらで扱いました。

▶ 脆弱性診断の費用は「範囲・画面数・手法」で決まる──相見積もりの金額だけで選ばないための発注のしかたと、比べ方の表

顧客への説明の型

「脆弱性診断は、サイトの弱いところを洗い出す健康診断です。
ペネトレーションテストは、守りを越えて目的まで届くかを試す試験です。
御社のご要望は〔　〕なので、〔　〕をおすすめします。
当社が作ったサイトですので、試験は第三者の専門会社に依頼し、当社は準備と修正を担当します」

なお私は弁護士ではありません。試験の許可や責任の範囲は、実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

構造的なリスク

逆説を指摘しておきます。

外注に回すと、売上の一部が外に出ていくように見えます。
けれど、自社で受けて見落とせば、そのあとの事故対応と信頼の損失は、診断の売上よりずっと大きくなります。

外注しても、準備と修正は自社の仕事です。ここを「対応費」として見積もれば、利益は残ります。

よくあるQ&A

Q. 社内で診断の力をつけたい。どう始めるか？

まず自社が作るサイトの納品前チェックから始めます。IPAのサイトでは、中核人材育成プログラムの卒業プロジェクトが作成した「脆弱性診断内製化ガイド」が公開され、外部発注と内製の比較の章があります。

Q. 適合リストに載っていない会社は、頼んではいけないのか？

そうではありません。リストは選ぶ材料の一つです。範囲、手法、報告書、再診断の扱いを、同じ条件で比べてください。

Q. 自社の試験で問題が見つからなかった。安全と言ってよいか？

言わないでください。IPAの「ウェブ健康診断仕様」も、検査パターンを絞った診断は安全宣言にはつながらないと明記しています。「この範囲・この項目では、指摘はありませんでした」と書きます。

最後に

ペネトレーションテストと脆弱性診断は、問いが違います。

言葉の意味を顧客とそろえ、自社でやる線と外に頼む線を先に決めた会社だけが、診断の依頼を信頼の積み増しに変えられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #ペネトレーションテスト #脆弱性診断 #情報セキュリティ #外注 #受託開発 #制作会社経営 #中小企業 #経済産業省 #IPA