脆弱性診断と侵入試験（ペネトレーションテスト）の違い

公開日：2026年10月10日（下書き）

公的な一覧での位置づけ

経済産業省の「情報セキュリティサービス基準」に適合したサービスを、 IPA が「情報セキュリティサービス基準適合サービスリスト」として公開しています。

このリストでは「脆弱性診断サービス」と「ペネトレーションテスト（侵入試験）サービス」が別々に掲載され、侵入試験は「脆弱性診断サービス」のオプションサービスと位置づけられています。

目的・進め方・結果の比較

観点	脆弱性診断	侵入試験（ペネトレーションテスト）
🎯 目的	対象にある弱点を、広く洗い出す	定めた目的（例：顧客情報に到達できるか）を、攻撃者の立場で達成できるかを確認する
🧭 進め方	決まった観点の一覧に沿って、画面・機器を一つずつ点検する	見つけた弱点を組み合わせ、攻撃の手順をたどって奥へ進む
📄 結果	弱点の一覧と、重大度・改善策	どこから・どの手順で・どこまで到達したかの記録
🏢 向く場面	Webサイトの公開前・改修の後・定期の点検	対策を一通り終えた組織が、守りの実力を確認したいとき

比較の表は、弊社による説明です。

どちらを選ぶかの考え方

弊社は、最初に脆弱性診断を行うことをお勧めしています。
弱点の一覧が手元に無い状態で侵入試験を行っても、見つかった入口から先の対策しか確認しられないためです。

脆弱性診断で見つかった弱点を直し、再診断で確認した後に、侵入試験で守りの実力を確認する、という順番をお勧めいたします。

SecureArc での扱い

SecureArc は脆弱性診断を基本のサービスとし、侵入試験はご要望に応じてご相談を承ります。
診断サービスの内容を見る