- ペネトレーションテスト侵入テスト（Penetration Testing）
- 攻撃者と同じような方法で、実際にシステムへの侵入を試み、守りの弱いところを確かめる検査。依頼を受けた専門の事業者が行う。
このページの内容
意味
ペネトレーションテストは、システムの持ち主の依頼と合意のもとで、実際の攻撃を模した方法で侵入を試み、守りを回り込めるかを確かめる検査です（NIST の定義の要約）。脆弱性診断が「弱いところを見つける」ことを主とするのに対し、ペネトレーションテストは「実際に目的まで届くか」を確かめる点が違います。
| 観点 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 弱いところを洗い出す | 目的（データの取得など）まで届くかを確かめる |
| 進め方 | 決まった項目を広く調べる | 攻撃者の筋書きに沿って深く試す |
| 行う人 | 専門の事業者 | 専門の事業者 |
事件のときの見方
- 委託先の平時の質問票で「定期的なテストを行っているか」を聞くことがある。事件のときの照会とは分けて扱う
- 金融分野などでは、公的機関のガイドラインに定期的な検査の記載があることもある。業種の資料を確かめる
当社向けのサービスについて、外部の事業者によるペネトレーションテストまたは脆弱性診断の実施の有無と、直近の実施の時期をお知らせください。
secubell は行いません
secubell はペネトレーションテストを行いません。お客様のシステムに接続したり、調べたりすることはありません。公開情報をもとに、事件の要点・照会の文面・記録の型を届けるサービスです。ペネトレーションテストが要る場合は、専門の事業者にご相談ください。
しないことの一覧secubell がしないこと →
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- 米国立標準技術研究所（NIST）「Glossary: penetration testing」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。