脆弱性診断とペネトレーションテストの違いとは？目的・手法・成果物と、自社に合う選び方

2026年秋は、Webサイトやアプリへの不正アクセスによる情報流出の公表が相次ぎ、「うちのシステムは大丈夫か調べたい」という相談が増えています。調べ始めると必ず出てくるのが、「脆弱性診断」と「ペネトレーションテスト」という2つの言葉です。

この記事では、両者の違いを目的・手法・成果物の観点で整理し、自社に合う選び方を、脆弱性診断・ペネトレーションテストを提供するサイバーセキュリティ総研（CSRI）の視点から解説します。

一言でいうと：「健康診断」と「実際の攻撃耐性の確認」

脆弱性診断は、システムに既知の脆弱性（セキュリティ上の弱点）がないかを、網羅的に洗い出してリスト化するものです。人間の健康診断と同じで、定期的に受けて異常を早く見つけることに向いています。

ペネトレーションテスト（侵入テスト）は、実際の攻撃者の手法を使って、システムに「本当に侵入できるか」「侵入されたらどこまで被害が広がるか」を、管理された許可環境で検証するものです。重要なシステムの攻撃耐性を確かめたいときに向いています。

比較表：脆弱性診断とペネトレーションテストの違い

具体例で考える：どちらを選ぶべき？

例1：会社のWebサイトとお問い合わせフォームを点検したい

公開しているWebサイトに古いソフトウェアや設定ミスがないかを確認したい場合は、脆弱性診断が適しています。WordPressで作られたサイトなら、プラグインやテーマの脆弱性の確認も重要です。

例2：会員向けのECサイトや業務システムを新しく公開する

ログイン機能や決済、管理画面を持つシステムでは、「一般ユーザーが他人のデータを見られないか」「仕様を悪用して不正な注文ができないか」といった、ツールだけでは見つけにくい問題が起こり得ます。重要なシステムのリリース前は、エンジニアが手動で検証するWebアプリケーションのペネトレーションテストが有効です。

例3：社内ネットワークに侵入されたら、どこまで広がるか知りたい

VPN機器などから侵入された場合に、権限を奪って他のサーバーへ広がれるかを確かめたいなら、ネットワーク侵入テストが適しています。ランサムウェア被害の多くは、最初の侵入から社内での横展開を経て拡大するためです。

サイバーセキュリティ総研の診断メニュー

サイバーセキュリティ総研では、目的と対象に合わせて、次のようなメニューを組み合わせて提供しています（詳しくはセキュリティ診断のサービスページ）。

費用と期間は、対象システムの規模・複雑さと診断範囲によって異なるため、内容に応じてお見積りしています。「どれが合うか分からない」という段階からご相談いただけます。

よくある質問

Q. 脆弱性診断だけで十分ですか？

定期的な点検としては有効です。ただし、ログイン後の権限の扱いや業務フローの欠陥など、システム固有の問題は手動の検証でないと見つけにくいことがあります。重要なシステムは、リリース前や大きな改修の際にペネトレーションテストを組み合わせるのがおすすめです。

Q. 本番環境でテストしても大丈夫ですか？

事前に十分な計画と安全対策を行い、業務への影響を最小限に抑えます。サイバーセキュリティ総研では、DoS攻撃などの高負荷テストは基本的に除外しており、ご要望に応じてステージング環境での実施も可能です。

Q. どのくらいの頻度で実施すべきですか？

最低年1回の定期実施と、システムの大規模改修時や新機能のリリース前の実施を推奨しています。「年1回＋都度」が理想的です。

まとめ：目的から選び、修正と再診断までやり切る

脆弱性診断は「広く浅く定期的に」、ペネトレーションテストは「重要なところを深く実戦的に」確かめるものです。まず守りたいシステムと目的を決め、それに合った診断を選びましょう。そして何より、見つかった問題を修正し、再診断で解消を確認するところまでが診断です。

参照：サイバーセキュリティ総研 セキュリティ診断／OWASP Top 10