ペネトレーションテストの費用相場はどれくらい？概要や各社のサービスを紹介
パソコンやシステムに脆弱性がある場合、外部からの攻撃によって個人情報や機密情報が漏洩する可能性があります。
万が一情報漏洩が起こった際は、企業の社会的信用の低下だけではなく、金銭的な損失につながりかねません。企業でシステム管理する担当者のなかには、自社システムの弱点や課題を知り、サイバーセキュリティの強化につなげたいと考える方も多いのではないでしょうか。
自社のシステムにどれほどの攻撃耐性があるか、どんな脆弱性があるか確認するためにはペネトレーションテストが有効です。
この記事では、ペネトレーションテストの概要や費用、メリットやデメリットなどを詳しく紹介します。自社システムをサイバー攻撃の脅威から守りたいと考えている方は、ぜひ最後までご覧ください。
目次
[ 開く ]
[ 閉じる ]
ペネトレーションテストとは
ペネトレーションテストは、別名侵入テストとも呼ばれており、システム全体のサイバー攻撃に対する耐性を確認するためのテストです。
実際のサイバー攻撃を想定し、現実で使用される手法を用いて社内システムに模擬的なハッキングを行います。あらゆるハッキング技術やツールを活用し、セキュリティ機能の回避もしくは無力化を行いながらシステム侵入を試み、起こり得る被害やリスクの洗い出しをします。
【関連記事】サイバー攻撃とは？手口の種類や事例、最近の動向と対策を詳しく紹介
【関連記事】ハッキングとは？代表的な手口と有効な7つの対策を詳しく紹介
重要性
現在、多くの企業はネットワークやコンピューターを主体としたシステムに依存しています。システムの安定した運用、不正アクセスや情報漏洩などのリスク対策は常に重要な課題です。また、近年ではテレワークの推進やクラウドサービスの利用など、業務の複雑化が進んでおり、適切なセキュリティ対策が必要になってきています。
ペネトレーションテストを実施すれば、企業のコンピューターシステムにおける具体的な問題点を洗い出すことが可能です。今後起こり得るリスクや被害の予想に役立ち、より効果的なセキュリティ対策をとれるようになります。
脆弱性診断との違い
ペネトレーションテストは脆弱性診断と同じにされがちですが、両者には明確な違いがあります。
脆弱性診断はシステムの問題点を把握することが主な目的ですが、具体的に起こり得る被害を想定することは困難であるといわれています。サイバー攻撃は複数の脆弱性を組み合わせて攻撃を仕掛ける特徴があり、一つの脆弱性を把握できたところで適切な対処ができない可能性があります。
一方、ペネトレーションテストでは、存在する脆弱性を利用した攻撃を実施した上で、起こり得る被害を明確にすることが可能です。より具体的な被害を想定することができるため、有効な対策を講じやすくなります。
ペネトレーションテストの詳しい概要については、こちらの記事で解説しています。興味がある方は、あわせてご覧ください。
ペネトレーションテストの費用相場
ペネトレーションテストの費用は、サービス内容や提供する企業によって大きく異なります。
現在は、数十万円〜数千万円がペネトレーションテストの費用相場といわれています。これはテストを実施する範囲や想定するシナリオによって大きく変動するため、自社の予算やニーズに合わせて選ぶことが大切です。
ペネトレーションテストのなかには、無料で利用できるものもあります。しかし、これはあくまで個人向けのものであり、基本的な項目の検証に留まります。そのため、より本格的なペネトレーションテストを行い、具体的なリスクや被害を把握したい場合は、有料サービスを利用するのが無難です。
ペネトレーションテストのサービス比較
ペネトレーションテストは各社から提供されています。
実施規模や想定するシナリオ、得意とする分野など、そのサービス内容はさまざまであるため、自社のニーズに合わせて自由に選択できます。
ここでは、ペネトレーションテストを提供している企業のサービスを3つ紹介します。
株式会社ラック
画像引用元：株式会社ラック
株式会社ラックが提供するペネトレーションテストは、あらゆる侵入経路から模擬ハッキングを行い、人の目で弱点を発見することが特徴です。
どこまで企業の深部へ侵入でき、どのような情報を持ち出せるかを調査し、対策の有効性の診断や被害範囲の想定を実施します。企業は自社システム全体の攻撃耐性を確認することができ、幅広い視点からサイバー攻撃のシナリオを検討することが可能です。ペネトレーションテストの費用は実施内容や期間によって変動しますが、およそ700万円〜1000万円程度で想定されます。
詳しい内容については公式サイトよりお問い合わせください。
NRIセキュアテクノロジーズ株式会社
画像引用元：NRIセキュアテクノロジーズ株式会社
NRIセキュアテクノロジーズ株式会社が提供するペネトレーションテストは、サイバー攻撃の調査活動に精通した専門コンサルタントによる分析が特徴です。
セキュリティ診断などで発見されたシステムの脆弱性を悪用された場合にどの程度の被害に繋がるかを確認・検証するために、疑似攻撃を行うことでシステムの安全性評価を行います。過去のセキュリティ診断結果やセキュリティ対策状況を踏まえて、今後の戦略を攻撃者目線で検討した上で提案します。
ペネトレーションテストの費用は700万円〜です。実施期間やオプションによって変動するため、詳しい内容は公式サイトよりお問い合わせください。
サイバートラスト株式会社
画像引用元：サイバートラスト株式会社
サイバートラスト株式会社のペネトレーションテストは、専門領域に特化したメニューが特徴です。社内システムやネットワークを総合的にテストするプランもあり、脆弱性の調査に効果的です。
詳細な費用については、公式サイトよりお問い合わせください。
ペネトレーションテストのメリット
ペネトレーションテストを実施することで、企業にとってメリットとなり得ます。
ここでは、ペネトレーションテストのメリットを3つ紹介します。
セキュリティホールの可視化
ペネトレーションテストを実施することで、安全にシステムの脆弱性調査が行えます。実際にシステムにハッキングを行い、侵入を試みますが、これはあくまで模擬的なものであり、被害が発生するものではありません。
ペネトレーションテストは攻撃者目線で実施されるため、より現実に近いシナリオで脆弱性の確認ができます。
システム環境に合わせたテストが可能
ペネトレーションテストを行う前に、まずはシステム環境の調査が行われます。システムの構成や使用しているソフトウェアのバージョンなどの細かい確認を行い、その結果に沿って適切なシナリオが作成されます。
各システムに合わせたテストが行われるため、より正確に脆弱性の調査を行うことが可能です。
報告書を基に対策を取れる
ペネトレーションテスト後は、実施した企業から詳細な報告書が提出されます。
報告書には、脆弱性の評価や起こり得るリスクなど、システム全体の調査概要が記載されます。また、企業によっては調査結果に関する報告会が行われる場合があり、実際にテストを行った担当者から詳細な報告を受けることが可能です。
報告書または報告会では、具体的な対策が提示されるため、脆弱性の課題解決に向けた行動ができるようになります。
ペネトレーションテストのデメリット
企業にとって多くのメリットがあるペネトレーションテストですが、デメリットも存在します。デメリットを正しく把握しておくことで、自社にとってペネトレーションテストが有用なものであるか判断できます。
ここでは、ペネトレーションテストのデメリットを2つ紹介します。
高額なコストがかかる可能性
ペネトレーションテストは想定するシナリオや規模、実施期間によって費用が大きく変動する特徴があります。内容によっては高額なコストがかかる可能性があります。
ペネトレーションテストによっては、テストする範囲を細かく設定できる場合もあるため、ニーズに合わせて調整可能です。
まずは、見積もりを依頼し、どれほどのコストがかかるのか確認しましょう。
実施者のスキルにより成果が異なる
ペネトレーションテストで得られる成果は、実際に侵入を試みる担当者のスキルに依存します。また、使用するツールの種類やアプローチ方法によっても調査結果にばらつきが出るため、注意が必要です。
ペネトレーションテストを依頼する際は、その企業の実績を確認してから行うことをおすすめします。
ぺネトレーションテストの流れ
ペネトレーションテストは主に3段階で行われる場合が多いです。
ペネトレーションテストの基本的な流れは以下の通りです。
- ヒアリング
- 侵入テスト
- 報告書の作成
ヒアリング
ペネトレーションテストの初期段階ではヒアリングを行い、テストを行うシステム環境の確認をします。
確認できた内容に基づき、実施計画の作成やテスト環境構築などの準備を行い、具体的なシナリオを決定することが一般的です。
侵入テスト
作成した計画に沿って、実際に侵入テストが実施されます。侵入テストでは、攻撃はもちろん、情報収集や分析も同時に行われます。
これは段階的に何度も繰り返されるため、より正確な調査結果を得ることが可能です。
報告書の作成
侵入テストで得た結果や情報を基に、報告書が作成されます。報告書のフォーマットはペネトレーションテストを行った企業によって異なり、場合によっては報告会が開催されるケースもあります。
報告を受けることで、より具体的な対策を検討することが可能です。
GMOサイバーセキュリティbyイエラエによるぺネトレーションテストを紹介
画像引用元：GMOサイバーセキュリティbyイエラエ
GMOサイバーセキュリティbyイエラエは、国内トップクラスのホワイトハッカーが在籍するサイバーセキュリティを専門とする企業です。
GMOサイバーセキュリティbyイエラエが提供するペネトレーションテストは、業務に影響がでない範囲で模擬攻撃を行い、セキュリティ体制のリスク評価を行うことが可能です。事前に設定したゴール（機密情報）まで到達が可能か検証し、どこまで防御できているか確認します。
正しく防御できている箇所と不足している箇所の確認ができるため、企業は今後のセキュリティコストを見積もりやすくなります。また、機密情報まで到達したという事実は、関係者へ心理的なインパクトを残すため、社内全体のセキュリティ意識向上にも効果的です。
まとめ
ネットワークにつながっていることが当たり前の現代では、いつサイバー攻撃の標的にされても不思議ではありません。適切にセキュリティ対策が講じられていなければ、個人情報や機密情報などが漏洩する恐れがあります。
自社のセキュリティが確かなものか確認するためには、ペネトレーションテストが効果的です。ペネトレーションテストを行うことで、自社のセキュリティで不足しているものが明確になるため、より適切な対策をとることができます。
サイバーセキュリティのプロフェッショナルである『GMOサイバーセキュリティbyイエラエ』では、自社の課題やニーズに合ったペネトレーションテストを提案します。
社内システムはもちろん、Webアプリケーションやネットワークの侵入テストに対応しているため、総合的なセキュリティ評価を行うことができます。
自社のセキュリティ体制に不安があるもしくは強化したいと考えている場合は、ぜひ『GMOサイバーセキュリティbyイエラエ』までお気軽にお問い合わせください。
文責：GMOインターネットグループ株式会社
