ペネトレーションテスト・脆弱性診断とは？ぺねとれーしょんてすとぜいじゃくせいしんだん
脆弱性診断は、既知の弱点を網羅的に洗い出して一覧にする点検。ペネトレーションテストは、攻撃者の立場で実際に侵入を試み、どこまで到達できるかを実証する試験で、網羅性ではなく到達可能性を示すものになる。得られる成果物が一覧と実証で異なるため、発注時に目的・対象範囲・許可される手法・実施時間帯を契約で明示する必要がある。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
対策の一覧を積み上げても、それが実際の攻撃を止められるかは分からない。逆に侵入の実証だけでは、試されなかった経路が安全だという保証にならない。二つは代替ではなく、面で漏れを潰す点検と、線で通り抜けを確かめる試験という別々の問いに答える手段である。経営会議では、診断は健康診断、侵入テストは負荷をかけた実地試験にあたると説明すると、両方に費用を出す理由が伝わる。
具体例
新しい会員向けサイトの公開前に、まず自動ツールで全画面の脆弱性診断を行って既知の欠陥を潰し、その後に専門会社へ依頼して、公開サーバから社内の顧客データベースまで到達できるかを試す。ここで到達できてしまえば、個々の機器の対策ではなく、網の分離設計そのものを見直す判断材料になる。
試験での引っ掛け
侵入テストで問題が見つからなかったことを安全の証明として報告するのは誤りで、試した経路の範囲でしか言えない。また実施には対象の事業者と、クラウドやデータセンタ事業者の許可が要り、無断で行えば不正アクセス禁止法に触れる。委託先のシステムを対象にする場合は、契約に試験の許諾条項がないと実施できない点も見落とされやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。