ペネトレーションテスト費用計算ツール
約1分でペネトレーションテストの費用と工数を試算できます。市場相場に基づく目安で、メールアドレスの登録は不要です。
ペネトレーションテストの費用は一般的に$5,000から$30,000の範囲です。中程度の複雑さのWebアプリケーション1件であれば、通常は4〜8コンサルタント日で$8,000から$20,000、本格的なレッドチーム演習では$50,000を超えることもあります。価格は対象資産の数、その複雑さ、そして再テストが含まれるかどうかによって決まります。
テスト費用を試算する
顧客向けまたは社内向けのWebアプリを、OWASP Top 10に基づいてテストします。
この種類のアプリケーション、IPレンジ、クラウドアカウントの数。
目安の価格帯
$10,000 – $24,000
推定工数: 5–9.5 コンサルタント日
市場ベンチマークに基づく目安の試算であり、見積書ではありません。
正式な見積もりを取得価格を提示する前に、まず適切にスコープを策定します。ご依頼の義務はありません。
ペネトレーションテストの一般的な費用
中程度の複雑さの資産1件を、本番環境のみでテストした場合の目安です。ご自身のスコープについては、上の計算ツールをご利用ください。
| テスト対象 | 標準的な工数 | 費用の目安 |
|---|---|---|
| Webアプリケーション顧客向けまたは社内向けのWebアプリを、OWASP Top 10に基づいてテストします。 | 4–8 日 | $8,000 – $20,000 |
| モバイルアプリケーションiOSまたはAndroidのアプリと、それが連携するAPIを、OWASP MASVSに基づいてテストします。 | 5–9 日 | $10,000 – $22,500 |
| APIRESTまたはGraphQLのAPIを、OWASP API Security Top 10に基づいてテストします。 | 3–6 日 | $6,000 – $15,000 |
| 外部ネットワークインターネットに公開されたインフラと、外部からの攻撃対象領域。 | 2.5–6 日 | $5,000 – $15,000 |
| 内部ネットワークADを含む、境界内部からの侵害前提（Assumed Breach）テスト。 | 5–10 日 | $10,000 – $25,000 |
| クラウド環境AWS、AzureまたはGCPのアカウントを、CISベンチマークに基づいてレビューします。 | 4–9 日 | $8,000 – $22,500 |
| レッドチーム演習人・プロセス・技術を対象とした、目的達成型の攻撃者エミュレーション。 | 12.5–24 日 | $25,000 – $60,000 |
これらは公開されている業界ベンチマークから引用した市場の価格帯であり、IntelligenceXの価格表ではありません。実際の価格はスコープによって異なり、作業開始前に必ずお客様と確認いたします。
価格を実際に左右する要因
対象資産の数
最も影響の大きい単一の要因です。方法論、ツール、レポートの準備は一度で済むため、2件目以降のアプリ、API、ネットワークは1件目より費用が抑えられます。
規模ではなく複雑さ
決済を扱う小さなアプリは、大規模な紹介サイトよりも時間がかかります。ページ数よりも、ロール、ビジネスロジック、機微データのほうが工数を左右します。
テストの深さ
自動スキャンはペネトレーションテストではありません。手動でエクスプロイトを軸に進めるテストは費用が高くなりますが、ビジネスロジックの欠陥を見つけられるのはこれだけです。
再テスト
修正を確認しないテストは、結果ではなくレポートしか残しません。再テストの予算も見込んでください。通常、当初の案件費用の20%程度です。
ペネトレーションテストの費用：よくある質問
多くのペネトレーションテストは$5,000から$30,000の範囲に収まります。中程度の複雑さのWebアプリケーション1件は通常$8,000から$20,000、外部ネットワークのテストは$5,000から$15,000、本格的なレッドチーム演習は$25,000から$60,000以上です。金額を最も大きく左右するのは、対象資産の数とその複雑さです。
「ペネトレーションテスト」という言葉が、自動スキャンから、シニアコンサルタントによる数週間の手動・エクスプロイト主導のテストまで、あらゆるものを指すからです。安価な見積もりは、たいていレポートを付けただけのスキャンです。コンサルタント日が何日含まれるか、そのうちどれだけが手動テストかを必ず確認してください。
ほぼ常にコンサルタント日単位です。お客様の環境に何日分のテストが必要かをスコープとして算定し、それに日単価を掛けます。シニアの攻撃的セキュリティコンサルタントの場合、日単価は通常$2,000から$2,500です。スコープを定める前に金額を提示する業者は、当て推量をしています。
ほとんどありません。おおよそ$4,000を下回ると、手動テストを行うだけのコンサルタントの時間を確保できないため、実質的に自動スキャンを購入していることになります。それにも役割はありますが、アクセス制御の不備やビジネスロジックの欠陥は見つけられません。実際の侵害はまさにそこから始まります。
テスト自体は、スコープにもよりますが通常1〜3週間かかります。事前のスコープ策定と事後のレポート作成に、さらに1週間程度を見込んでください。修正後の再テストには、通常さらに2〜3日かかります。
必ずしも含まれるとは限らないため、確認すべきです。IntelligenceXでは再テストを標準で含めています。修正されたと確認できていない調査結果は、まだ解消された調査結果とは言えないからです。
どちらの標準もペネトレーションテストを必須の管理策として挙げてはいませんが、いずれも技術的脆弱性を評価することを求めており、監査人はその証拠としてペネトレーションテストを日常的に受け入れています。実際には、どちらかの認証を目指す組織の多くが年に1回実施しています。
価格帯ではなく、具体的な金額を知りたいですか？
現在の構成をお聞かせいただければ、適切にスコープを策定します。多くの場合、2営業日以内に見積もりをお返しします。