ペネトレーションテストとは？ぺねとれーしょんてすと
ペネトレーションテストとは、実際に侵入を試みることによって、アクセス制御や防御の仕組みが突破されないかを実証的に確かめるテスト。既知の弱点を機械的に洗い出す脆弱性診断と異なり、複数の弱点を組み合わせて目的の資産まで到達できるかという、実害に至る経路の有無に焦点を当てる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
個々の弱点が「あるかないか」の一覧だけでは、経営者に伝わるのは件数であって危険の実像ではない。単体では軽微な設定不備が連鎖して基幹データまで届くのか、その途中で検知の仕組みが働くのかは、実際に試みなければ分からない。監査人にとっては、対策の有効性を報告書の記載ではなく実証で確かめる手段であり、同時に実施範囲と停止条件を事前に合意しておくべき手続でもある。
具体例
外部に公開しているWebサーバへ擬似攻撃を行い、内部ネットワークへ到達できるか、その過程で監視の仕組みが検知するかを確かめる。監査では、実施範囲と停止条件が事前に文書で合意され、検出事項の是正が追跡されているかを確かめる。
試験での引っ掛け
脆弱性診断との違いを取り違えない。脆弱性診断は弱点の網羅的な一覧化、ペネトレーションテストは突破可否の実証であり、目的も報告の形も異なる。また侵入できなかったという結果は、その時点・その範囲で経路が見つからなかったという意味であって、脆弱性が無いことの証明ではない。
関連用語
出た過去問
出典：平成29年度 春期 システム監査技術者試験 午前Ⅱ 問21（IPA）
ペネトレーションテストに該当するものはどれか。
正解：ファイアウォールや公開サーバに侵入できないかどうかを確認する。
要点：ペネトレーションテストは実際に侵入を試み防御突破の可否を確認する
ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御機構を突破できるかどうかを確かめる検査である。ファイアウォールや公開サーバに対して既知の攻撃手法を適用し、脆弱性が実際に悪用可能かを実証的に確認する点に特徴がある。仕様との一致確認や処理性能の測定は別種のテストである。
出典：令和2年度 10月試験 システム監査技術者試験 午前Ⅱ 問4（IPA）
システム監査において、ペネトレーションテストが最も適合するチェックポイントはどれか。
正解：ネットワークへのアクセスコントロールが有効に機能しているか。
要点：ペネトレーションテストは擬似攻撃でアクセス制御の有効性を実証する
ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御機構が有効に働くかを実証的に確かめる技法である。したがってネットワークのアクセスコントロールが機能しているかというチェックポイントに最も適合する。物理的な入退室管理や入力データの正確性、性能記録の分析は、視察や突合、記録の閲覧など別の技法で確かめるのが自然である。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (1) セキュリティ評価基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。