公開日：2025.12.2
更新日：2025.12.2
ペネトレーションテストの必要性
脆弱性診断やセキュリティ対策の導入だけでは見つからない脆弱性があります。複数の脆弱性が組み合わさることで明らかになる問題や、設定ミスによって十分に機能していないセキュリティ対策などです。
表層で見える脆弱性の対策を行っていても、攻撃者視点で発見されるセキュリティ対策の不備が存在する場合、システムに侵入され掌握されるなど深刻な被害を受ける可能性があります。
ペネトレーションテストでは、攻撃者の視点から実際に攻撃を試行することで、これらの問題点を確認し、攻撃を受けた際の被害の影響範囲を把握することができます。
システムの運用開始後、定期的な実施（年に一度など）を推奨しています。
ペネトレーションテストとは
ペネトレーションテストは、実際の攻撃者と同様の手法を用いてシステムへの侵入を試み、セキュリティの実効性を評価するテストです。脆弱性の検出だけでなく、その悪用可能性や影響度合いを測定することで、ITシステム全般の耐性を評価します。 CTCでは3つの観点からシステムの耐性を総合的に評価します。
脆弱性診断との違い
脆弱性診断が「脆弱性の洗い出し」を目的とするのに対し、ペネトレーションテストは「実際の攻撃による侵入・情報奪取の可能性」を評価します。
サービス提供の流れ
お問合せから報告会実施までの流れは次の通りです。
お客様のシステムに応じて、最適なペネトレーションテストの実施内容を「シナリオ」としてすり合わせいたします。確定したシナリオの内容を基に、必要な機器の台数や実施時期などを「見積条件確認シート」にご記載いただきます。そのシナリオと見積条件確認シートを基に、提案書とお見積りをご提示いたします。
ペネトレーションテスト実施にあたり、IPアドレスやドメイン名、アカウントなどの具体的な情報を「ヒアリングシート」にご記載いただき、CTCに共有いただきます。共有いただいた内容を基に計画書を作成し「計画説明会」を実施いたします。
ペネトレーションテストを実行後は、テスト結果を分析し、検出された問題点と対策方法をまとめた「結果報告書」を作成・ご提示いたします。また報告書に基づき「報告会」を実施いたします。
※ リソース状況や対象サービスにより作業スケジュールは変動する可能性があります。
CTCの脆弱性診断サービスは経済産業省の定める「情報セキュリティサービス基準」に適合するサービスとして、IPA(独立行政法人情報処理推進機構)の公開する「情報セキュリティサービス基準適合サービスリスト」に登録されています。
ペネトレーションテスト
サービス登録番号：020-0016-20
関連記事
View All