ペネトレーションテストとは？

01ペネトレーションテストでできること・できないこと

ペネトレーションテスト（侵入テスト）は、専門家が攻撃者と同じやり方で実際に侵入を試み、守りの穴を確かめる調査です。経済産業省の「情報セキュリティサービス基準」は、脆弱性診断の定義を満たすサービスのうち、攻撃者が実際に侵入するときと同じ手法で、アプリケーション・システム・ネットワークのセキュリティ機能を回避して攻撃の目的を達成できるかの観点から試験し、その結果をもとに助言するサービス、と定義しています。

脆弱性診断との違いは、問いの立て方です。

IPAの基準適合リストでも、ペネトレーションテストは脆弱性診断のオプションの位置づけです。一方で、目的に関係しない弱点をすべて洗い出すものではありません。結果は「その目的に対して、その時点で」の評価です。

02どんな会社に必要か

基本的な対策と脆弱性診断をひととおり済ませた会社が、次の段階で使うものです。たとえば、次のような問いに答えを出したいときです。

• VPN機器などの入口を突破されたら、どこまで広がるか
• 社員のパソコン1台が乗っ取られたら、重要なデータに届くか
• 入れている監視の製品やサービスが、実際の攻撃を見つけられるか

JPCERT/CCは、侵入型ランサムウェアの代表的な侵入口として、リモートアクセスの出入口、外部から接続できるシステムの脆弱性、運用保守の業者（MSP）の回線、マルウェアに感染した端末を挙げています。テストの目的を決めるときの参考になります。

03選ぶとき・頼むときに見ること

• 目的と範囲を一緒に決めてくれるか。何を「攻撃の目的」とするかで、テストの中身が変わります。
• IPAの基準適合リストの「ペネトレーションテスト」の区分に載っているか。
• 本番の環境で行うときの取り決め。止まっては困るシステム、実施する時間帯、緊急時の連絡先を事前に決めます。
• 報告書に、たどった攻撃の手順と、どこで止められたかが書かれるか。

依頼先はペネトレーションテストの一覧から探せます。

04よくある誤解

• 「侵入されなかった＝安全」ではない。テストの期間と範囲、目的の中での結果です。
• 社内に知らせずに行うものとは限らない。見張りの担当に知らせるかどうかも、目的に合わせて決めます。