ペネトレーションテストの見積が変わる理由｜条件をそろえて比較する

ペネトレーションテストの見積書に差があるとき、名称だけで同じ依頼と考えると、目的、対象、合意した確認範囲、実施制約、報告条件の違いを見落とします。見積書の合計を先に並べても、何を確認するための依頼かがそろっていなければ比較できません。

結論から言うと、ペネトレーションテストの見積は、目的・対象・合意した確認範囲・報告条件が同じときにだけ比較します。各見積書の費目を、目的・対象表、実施条件表、報告・再確認表の同じ欄へ写し、前提差を質問として残します。

この記事では、見積が変わる前提条件、報告と再確認の条件、見積書を同じ条件に直す手順を整理します。依頼の目的を短い文で定義し、対象と制約を明確にしてから社内で判断しましょう。

本記事で分かること

• ペネトレーションテストでそろえる目的と対象
• 実施制約と対象外の整理
• 報告会・再確認を比較表へ入れる方法
• 見積書の条件差を質問する順番

結論：目的と確認条件をそろえて比較する（早見表）

ペネトレーションテストの見積は、目的・対象・合意した確認範囲・報告条件が同じときにだけ比較します。名称だけで同じ依頼と扱わず、何を確認したいか、どの範囲を対象にするか、結果をどう受け取るかを同じ表で確認します。

見積が変わる前提条件

名称ではなく、依頼の目的と対象を明確にします。目的、対象と除外範囲、実施制約を別の欄にし、各見積書がどの前提で作られているかを照合します。

確認の目的

確認の目的は、名称ではなく、何を確認し、誰へ説明するかを短い文で記載します。たとえば特定の業務機能、公開経路、取引先への説明など、依頼の背景を分けます。目的が複数ある場合は、一つの言葉にまとめず、どの対象と関係するかを整理します。

脆弱性診断とペネトレーションテストの違いを参照し、脆弱性診断とペネトレーションテストを名称だけで置き換えないようにします。依頼先へは、確認したい目的、対象、承諾範囲、成果物を伝え、見積書の条件と照合します。

対象と除外範囲

対象と除外範囲には、管理下にある資産、画面、機能、認証後の範囲、API、外部連携を記載します。対象に含める理由、管理者、承諾を得る窓口を対応付けます。自社が利用しているだけの外部サービスを、自社だけの判断で対象に含めません。

対象外にする範囲は、理由と見直す条件を残します。対象外を空欄にすると、見積書に含まれない部分と、今回確認しない部分を区別できません。各見積書に同じ対象表を渡し、対象の境界が異なる場合は比較前に質問します。

実施制約

実施制約には、対象環境、避ける時間帯、テスト用情報、通常時の連絡先、判断が必要な場合の相談先を記載します。いつでも実施できると仮定せず、通常利用、保守予定、連携先の制約を確認します。条件を対象表の外に置かず、比較表の項目にします。

対象となる版や連携先に変更予定がある場合は、変更を避ける期間と、変更が必要になった場合の連絡方法を決めます。変更を完全に止められない場合も、どの変更を共有するか、誰が対象への影響を判断するかを整理します。実施制約が違う見積書を同じ前提で比べません。

報告と再確認の条件

報告の粒度と修正確認の範囲を見積比較に含めます。報告書の対象記載、報告会の有無、修正後に再確認する範囲を、目的・対象表と対応付けます。

報告書の内容

報告書では、どの資産、機能、連携、対象外を確認したかが追えるかを確認します。発注時の対象表と照合できれば、今回確認していない範囲や対象時点を関係者で共有できます。成果物の名称だけでなく、対象・対象外・確認時点の記載を比較します。

報告書を受け取る担当と、修正に使う担当を分けます。管理・調達の担当が説明に使う情報と、開発・運用が対応に使う情報では、必要な粒度が異なる場合があります。見積書に記載がない場合は、対象と目的に結び付けて質問します。

報告会の有無

報告会を設ける場合は、誰が参加し、どの対象・結果について説明を受けるかを整理します。会議の有無だけを条件にせず、参加者、質問を受ける窓口、記録を残す担当を決めます。報告書と報告会の役割を分け、どちらで何を確認するかを比較表に記載します。

報告会を設けない場合も、質問をどのように整理し、誰が回答を受けるかを決めます。対象と関係のない質問を一律に集めず、対象表のどの行に関係するかを明確にします。共有方法が異なる見積書は、成果物と連絡条件の差として比較します。

再確認の条件

再確認では、どの指摘に関係する対象、どの版、どの環境を確認するか、結果をどのように受け取るかを決めます。修正担当と確認担当が異なる場合は、作業の窓口と完了を確認する担当を対応表に記載します。追加の変更があれば、当初の対象との差分を残します。

脆弱性診断の費用構造を参照し、対象、実施制約、成果物、再確認を同じ比較表で確認します。修正後の確認を発注時の条件に含めると、報告を受けた後の判断を進めやすくなります。

見積書を同じ条件に直して比べる

見積書に書かれた目的と条件を、社内の目的・対象表、実施条件表、報告条件表の同じ欄へ写します。各社の記載順が違っていても、比較表の順番を変えずに前提差を質問します。

目的と対象を同じ表へ写す

最初に、各見積書に書かれた確認目的、対象資産、対象外、承諾範囲を目的・対象表へ写します。一行に複数の条件が書かれている場合も、目的と対象の軸ごとに分けます。含まれるか分からない範囲は、同じ条件として扱わず質問事項にします。

目的・対象表の各行に、業務上の役割、管理者、確認する環境、承諾窓口を対応付けます。これにより、見積書の表現が異なっていても、同じ依頼を扱っているかを確認できます。変更予定がある場合は、対象表と見積書の前提を更新します。

条件差を質問する

実施環境、時間帯、テスト用情報、変更管理、報告会、報告書、再確認の条件に差がある場合は、比較表の該当欄ごとに質問します。質問は、どの前提で回答されているかを確認するために行います。回答を受けたら、目的・対象表と条件表の関係する行を更新します。

追加情報を渡す場合は、すべての依頼先に同じ情報を共有します。片方だけに詳細な対象表を渡すと、比較表の前提が変わります。質問と回答の履歴を残すことで、社内説明で条件差と判断理由を追いやすくなります。

社内説明に残す

社内説明には、確認目的、対象、実施制約、報告、再確認、未確認事項、判断した担当を記載します。見積書の合計を中心にせず、どの依頼がどの条件を含むかを目的・対象表から説明します。対象外と確認中の範囲も共有します。

セキュリティ診断の発注ガイドを参考に、目的、対象、期限、社内の担当をそろえます。判断後に条件が変わった場合は、何が変わり、誰が影響を確認したかを記録します。比較表を更新すれば、次の見積依頼にも同じ条件を使えます。

まとめ

ペネトレーションテストの見積は、目的、対象、実施制約、報告、再確認の条件を同じ表でそろえて比べます。見積書の費目を目的・対象・実施・報告・再確認の欄へ写し、条件差を質問として残すことで、社内の判断を共有しやすくなります。

ペネトレーションテストの見積条件は、脆弱性診断とペネトレーションテストの違いと、費用の記事一覧から確認できます。