重要ポイント
専門的なペネトレーションテストの多くは5,000〜35,000米ドルの範囲です。範囲を限定したWebまたはAPIのテストは5,000〜10,000米ドル程度、複数システムにまたがる大規模案件は30,000米ドル以上になります。価格は範囲、深さ（手動か自動か）、複雑さで決まり、固定料率ではありません。
一般的な価格帯
公開されている市場の価格帯は出発点として有用ですが、見積もりは必ず範囲の確定を経るべきです。
- 範囲を限定したWebまたはAPIアプリケーションのテスト：約5,000〜10,000米ドル
- 外部ネットワークテスト：約5,000〜20,000米ドル
- 内部ネットワークテスト：約7,000〜35,000米ドル
- 標準的な案件全体：約10,000〜35,000米ドル
- レッドチーミングおよびOT・医療機器などの特殊領域：個別見積もり
価格を左右する要因
最大の要因は範囲です。対象となるアプリケーション数、IPレンジ、ユーザーロール、クラウドアカウント数が効いてきます。深さも重要で、手動主体のテストは自動スキャンより高額ですが、ツールが見逃すビジネスロジックやアクセス制御の欠陥を発見します。
複雑さは工数を増やします。シングルサインオン、決済フロー、複雑なAPI、独自技術はいずれも作業を長期化させます。再テストや証明書レターといったコンプライアンス要件も案件の形を左右します。
安価なスキャンと本物のテスト
数百ドルの自動スキャンはペネトレーションテストではありません。誤検知を含むノイズの多い一覧が出るだけで、悪用可能性の証明はありません。本物のテストには手動検証、攻撃の連鎖、優先順位付けされた修正指針が含まれます。
インドの規制対象企業では、通常は認定監査人と正式なレポートが求められます。これは安価なスキャンとはまったく異なる成果物です。
正確な見積もりを得るには
良い提供者は価格提示の前に範囲を確定します。資産一覧、対象となるロールと環境、コンプライアンス上の要件を共有すれば、推測ではなく確定見積もりが得られます。
IntelligenceXは各テストを貴社環境に合わせて設計し、修正後の再テストと証明書を含めます。見積もりはお問い合わせください。
よくある質問
範囲と深さが異なるからです。小規模なWebアプリ1つを手動でテストするなら数千ドルですが、多数のアプリ、複数クラウド、内部・外部を含み再テストも伴う大型案件はその10倍になり得ます。
はい、ただし別物です。スキャンは自動で安価ですが、誤検知が出て悪用可能性の証明はありません。ペネトレーションテストは熟練者の手動作業を加えるもので、実際のリスクの多くはそこで見つかります。