導入 — なぜ中小企業にもペネトレーションテストが必要か
サイバー攻撃は規模の大小を問わず発生します。中小企業（SMB）は大企業に比べて予算や専門人材が限られるため、脆弱性を放置すると被害が致命的になりやすい特徴があります。本記事では、限られたリソースで効果的にペネトレーションテスト（以下、ペンテスト）を実施するための計画テンプレートと、投資判断に使える費用対効果（ROI）の計算方法を、手順と具体例で示します。
この記事を読むと：
- 現実的で再利用可能なペンテスト計画テンプレートが手に入ります。
- ペンテスト投資が正当化されるかを定量的に評価する方法を学べます。
- 優先事項の決め方や成果指標（KPI）の設計方法がわかります。
ペネトレーションテスト計画テンプレート（実務向け）
以下は中小企業が使えるシンプルかつ実務的なペンテスト計画テンプレートです。社内での合意形成や外部ベンダーへの発注時にそのまま使えます。
1. 基本情報
- プロジェクト名：（例）2026年Q1 内部・外部ペンテスト
- 目的：重要資産の脆弱性把握、対応優先度の決定、コンプライアンス対応
- 依頼元（責任者）：情報システム責任者（氏名・連絡先）
- 実施期間：YYYY-MM-DD 〜 YYYY-MM-DD
2. スコープ
対象を限定してコストを抑えることが中小企業では重要です。例：
- 対象サーバー：web01.example.local（パブリックIP: x.x.x.x）
- 対象アプリ：顧客ポータル v2.1（外部アクセスあり）
- 対象ネットワーク：DMZ、VPNエントリポイント
- 除外項目：物理侵入、従業員の個別端末（BYOD）
3. 目標と評価基準
- 重大度の評価基準：CVSS 9.0以上はクリティカル、7.0–8.9は高
- 合格基準：クリティカル脆弱性が0件、ハイは72時間以内に暫定対応
4. ルール・作業手順（Rules of Engagement）
- 実施時間帯（業務影響最小化のため夜間を指定する等）
- 通知先とインシデントのエスカレーションフロー
- 使用できる攻撃手法の制限（データ消失を伴うテストは禁止など）
5. 成果物
- 発見リスト（影響度、再現手順、推奨対応）
- 脆弱性優先度リスト（修正優先度）
- 最終報告書とハイレベル経営向け要約（Executive Summary）
6. スケジュールとマイルストーン
- 準備（要件定義） — 1週間
- 実施（検査） — 3営業日（対象と範囲による）
- 報告（ドラフト提出） — 実施後5営業日
- レビュー・フォローアップ — 30日以内に対策状況確認
7. 役割と責任
- 発注者：範囲決定、社内連絡調整
- ベンダー／内部チーム：テスト実施、報告作成
- 対応担当：検知された脆弱性の修正と検証
チェックリスト（簡易）
- スコープが明確に定義されている
- R.o.E（ルール）が合意されている
- バックアップ/復旧手順が確認済み
- インシデント対応窓口が設定されている
- 成果物（フォーマット・納期）が合意されている
費用対効果（ROI）の計算方法と意思決定の指標
投資判断においては定性的な利点だけでなく、期待損失低減の観点から数値で評価することが重要です。ここでは中小企業向けに簡潔な計算手順と具体例を示します。
基本概念と式
- 期待年損失（ALE：Annual Loss Expectancy） = 年間発生確率（P） × 1回あたりの損失金額（L）
- 年間削減効果（Savings） = ALE_before − ALE_after
- ROI = (年間削減効果 − ペンテスト費用) ÷ ペンテスト費用
- 回収期間（Payback） = ペンテスト費用 ÷ 年間削減効果
具体例（数値例）
仮定：
- 年間で発生する可能性のある深刻な情報漏洩の確率（P_before） = 10%（0.10）
- 1回あたりの平均損失（L） = ¥10,000,000（直接費・信用失墜等の概算）
- ペンテスト実施後、発生確率が3%（0.03）に低下すると予想
- ペンテスト費用 = ¥300,000（外部ベンダーによる1回の実施想定）
計算：
- ALE_before = 0.10 × ¥10,000,000 = ¥1,000,000
- ALE_after = 0.03 × ¥10,000,000 = ¥300,000
- 年間削減効果 = ¥1,000,000 − ¥300,000 = ¥700,000
- ROI = (¥700,000 − ¥300,000) ÷ ¥300,000 = 1.333 → 133.3%
- 回収期間 = ¥300,000 ÷ ¥700,000 ≈ 0.43年（約5ヶ月）
この例では、ペンテスト投資は短期間で回収でき、費用対効果が高いと評価できます。重要なのは、確率や損失額の推定に不確実性があるため、複数シナリオ（ベースライン・悲観・楽観）で感度分析を行うことです。
優先順位付けの実務指針
- EL（Expected Loss）＝P×L が高い資産からペンテストの対象にする
- コスト抑制のため、フェーズドアプローチ（重要資産→周辺）を採用
- 自社での修正可能な脆弱性は優先的に対応することで総コストを下げる
- 定期的（年1回〜年2回）＋重要な変更後の実施をルール化
測定すべきKPI
- 発見されたクリティカル/ハイの数と解決率（30/60/90日での修正率）
- 再検証での再現割合（修正後の残存率）
- 年間期待損失の推移（ALEの年次推移）
- インシデント発生件数の変化
まとめと次のステップ
中小企業では、限られた予算を有効に使うために、対象の選定とROI算出が重要です。まずは示したテンプレートで小さなパイロット（1〜2箇所）を実施し、実際の削減効果を計測してからスケールする方法が合理的です。外部ベンダーを使う場合は、成果物のフォーマット（再現手順、優先度、簡潔な経営向けサマリ）を契約に明記してください。
本テンプレートをコピーして社内の実情に合わせ、感度分析を行い、経営判断に役立ててください。必要であれば、具体的なスコープ案や見積もりテンプレートのカスタマイズも支援できます。