CompTIA PenTest+とは?
概要・難易度・実技試験ありの「実務直結型」ペネトレーションテスト資格を解説
CompTIA PenTest+の概要
CompTIA PenTest+は、米国の非営利業界団体CompTIA（Computing Technology Industry Association）が認定する、ペネトレーションテスト（侵入テスト）に特化した国際的な民間資格です。攻撃者の視点でシステムやネットワークの弱点を突く「攻めのセキュリティ」を扱う資格として、世界中のセキュリティエンジニアやコンサルタントに知られています。
※ ペネトレーションテストとは、実際に攻撃者が使う手法を模してシステムに侵入を試み、セキュリティ上の弱点を洗い出す診断手法のことです。「ペンテスト」と略されることもあります。
試験の出題範囲と形式
現行バージョンはV3（試験コードPT0-003）で、2024年12月17日から実施されています。試験は最大90問で構成され、多肢選択式の問題に加えて、実際の操作画面上で作業を行う「パフォーマンスベース問題」が混在するのが最大の特徴です。試験時間は165分、CBT（コンピューターベーステスト）形式でテストセンターや自宅受験環境から受験できます。
※ パフォーマンスベース問題とは、選択肢から答えを選ぶだけでなく、シミュレーション環境上でコマンドを実行したり設定を行ったりして、実技的なスキルそのものを評価する出題形式のことです。
受験資格・対象者
受験にあたって必須の前提資格はなく、誰でも申し込みが可能です。ただしCompTIAは推奨要件として、ペネトレーションテスター職務での3〜4年程度の実務経験と、Network+・Security+相当のネットワーク・セキュリティ知識を持っていることを挙げています。実務未経験でもチャレンジ自体はできますが、実技問題の性質上、ある程度の手を動かした経験があるほうが有利とされています。
「実務直結型」というポジション
ペネトレーションテスト系の資格としてよく比較されるのが、EC-CouncilのCEH（Certified Ethical Hacker）です。CEHが多肢選択式のみで知識を問う構成であるのに対し、PenTest+は実技問題を通じて「実際に手順を踏んで診断できるか」まで評価します。スコープ設定や法令・コンプライアンス面の考慮、脆弱性診断の実施、結果の分析、そして報告書の作成まで、ペンテストの一連の実務フローをカバーしている点が、この資格ならではの特徴です。
難易度・学習時間の目安
合格基準は100〜900点のスケールで750点以上とされています。多肢選択式の対策に加えて、実際にツールを操作した経験が問われるため、座学中心の学習だけでは対応しづらい試験です。前提知識としてNetwork+・Security+相当の内容を押さえたうえで、200時間前後の学習・演習時間を見込んでおくとよいでしょう。
学習の方向性としては、公式の試験目標（Exam Objectives）を軸にしながら、仮想環境やCTF（Capture The Flag）形式の演習でツールの操作に慣れておくことが効果的とされています。知識のインプットと同時に、実際にコマンドを打って手を動かす時間を確保できるかどうかが合否を分けるポイントです。
※ CTF（Capture The Flag）とは、意図的に脆弱性が仕込まれた環境に侵入して「フラグ」と呼ばれる文字列を見つけ出す、セキュリティ技術を競うゲーム形式の演習・競技のことです。
取得後に活かせる仕事・関連する職種
ペネトレーションテスター・脆弱性診断士
最も直結する職種が、企業のシステムやネットワークに対して許可を得たうえで模擬攻撃を行い、脆弱性を洗い出す専門職です。診断結果を報告書としてまとめ、改善提案まで行うところまでが仕事の範囲であり、PenTest+の出題範囲そのものと重なります。
セキュリティコンサルタント
クライアント企業のセキュリティ体制を診断し、リスクの大きさに応じた対策の優先順位づけを助言する仕事です。技術的な診断スキルに加えて、経営層にもわかる言葉でリスクを説明する力が求められる場面が多く、PenTest+で問われる「報告・コミュニケーション」の視点が活きてきます。
SOCアナリスト・レッドチームメンバー
攻撃側の視点を持つ人材として、社内のセキュリティ監視組織（SOC）や、組織内で攻撃役を担う「レッドチーム」の一員として活躍する道もあります。守る側だけでなく攻める側の手口を理解していることは、防御力を高めるうえでも大きな武器になります。
誕生の背景・歴史
2018年：実技評価を掲げて誕生
PenTest+は2018年に初版がリリースされました。当時すでにペネトレーションテストの世界にはいくつかの資格が存在していましたが、多くが多肢選択式の知識試験にとどまっていました。CompTIAはそこに「実技（パフォーマンスベース）問題」を組み込むことで、知識だけでなく実際に手を動かせるかどうかまで評価する試験を目指して設計したのが始まりです。
2024年：V3(PT0-003)への刷新
2024年12月17日には現行バージョンとなるV3（PT0-003）が開始されました。改訂のたびにクラウド環境への攻撃手法や、診断結果を組織にどう伝えるかという「マネジメント・コミュニケーション」の領域が強化されており、単なる技術試験から、実務で求められる一連のプロセスをより忠実に再現する試験へと進化してきています。
※ PT0-003とは、CompTIA PenTest+の現行バージョン（V3）を示す試験コードです。CompTIAの資格は改訂のたびにこうした試験コードが更新されます。
どんな人が、どんな目的で取得しているのか
インフラ・ネットワークエンジニアからのキャリアチェンジ志望者
ネットワークやサーバーの運用・構築を担当してきたエンジニアが、より専門性の高いセキュリティ分野へ進むための足がかりとして取得するケースが多く見られます。Network+やSecurity+で土台を固めたうえで、次のステップとしてPenTest+に挑戦する流れが一般的とされています。
すでに診断業務に携わる現役のセキュリティ担当者
実際にペネトレーションテストや脆弱性診断の業務に就いている人が、自分のスキルを客観的に証明するために取得することもあります。実技問題があるぶん「資格だけで実務経験がない」という評価を受けにくく、社内外への説得力あるアピール材料になります。
CEHなど他資格と併せて取得する人
すでにCEHなど他のホワイトハッカー系資格を持っている人が、実技評価もカバーする資格として追加で取得するケースもあります。知識試験と実技試験、両方の視点から自分のスキルを裏付けたいというニーズに応える組み合わせです。
豆知識：実技試験という”異色”のポジション
「報告書が書けるか」まで問われる珍しい資格
PenTest+の出題範囲には、脆弱性を見つける技術面だけでなく、スコープ設定（どこまで診断してよいかの取り決め）や法令・契約上のルール順守、そして診断結果をクライアントに伝わる報告書としてまとめる工程までが含まれています。「ハッキングの試験」と聞くと攻撃テクニックのイメージが先行しがちですが、実際には診断業務の始まりから終わりまでの一連の流れを体系的に問う設計になっている点が、この資格ならではの特徴です。
CEHとの立ち位置の違いがよく話題になる
セキュリティ業界では「CEHは知名度、PenTest+は実技」としばしば対比されます。CEHは多肢選択式のみで幅広い攻撃手法の知識を問うのに対し、PenTest+はパフォーマンスベース問題を通じて実際の操作スキルまで評価するため、採用担当者の間では「PenTest+保有者は現場で即戦力になりやすい」という評価がされることもあるようです。どちらが優れているというより、評価の切り口が異なる資格として並べて語られることが多い組み合わせです。
まとめ ― 「攻めのセキュリティ」を実技で証明する資格
こんな方にとくにおすすめ
- ネットワーク・インフラエンジニアからセキュリティ分野へ進みたい方
- 実技を伴う形でペネトレーションテストのスキルを証明したい方
- 診断業務の一連の流れ（スコープ設定〜報告書作成）を体系的に学びたい方
- すでにCEHなど知識系の資格を持っていて、実技面も補強したい方
取得に向けた第一歩
最初の一歩としては、CompTIAが公開している試験目標（Exam Objectives）に目を通し、Network+・Security+相当の基礎知識がどの程度身についているかを確認するのがおすすめです。そのうえで、仮想環境やCTF形式の演習を通じて実際にツールを操作する経験を積んでおくと、実技問題への対応力が着実に高まります。受験料は425米ドルで、合格後は3年間有効、更新にはCE（継続教育）プログラムで60CEUの取得が必要です（CE年会費は年50ドルまたは3年一括150ドル）。