セキュリティの点検を外部に頼もうとすると、「脆弱性診断」と「ペネトレーションテスト（ペンテスト）」という二つの言葉に出会います。見積もりの金額も期間も違うのに、何が違うのかを説明できる人は多くありません。この記事では、二つの目的と方法、成果物の読み方、初めての会社がどちらから始めるべきか、依頼のときに決めておくことを整理します。
目的が違う
脆弱性診断は、対象のシステムに既知の弱点がないかを網羅的に調べるものです。古いソフトウェア、設定の誤り、Webアプリケーションの入力処理の不備などを、一覧にして報告します。健康診断に近く、「悪いところがないか一通り見る」作業です。
ペネトレーションテストは、攻撃者の立場で目標を達成できるかを試すものです。目標は「社内ネットワークに入る」「顧客データベースに到達する」「管理者の権限を取る」のように決めます。見つけた弱点を一つずつ報告するより、弱点をつなげて目標まで到達できるかどうかを確かめることに重きがあります。
同じ「調べる」でも、診断は広く浅く、ペンテストは狭く深く。この違いが、方法と費用の違いにつながります。
方法と範囲が違う
- *診断**は、ツールによる検査と人手による確認を組み合わせます。対象は、公開しているWebサイトやWebアプリケーション、サーバーやネットワーク機器（プラットフォーム診断）、スマートフォンアプリなどで、IPアドレスやURLの一覧で範囲を決めます。網羅性が大切なので、決めた範囲を漏れなく調べます。ツールで見つかる範囲と人手でしか分からない範囲があるのは、暗号スキャンツールの記事で書いたのと同じ構図です。
- *ペンテスト**は、人が攻撃のシナリオを組み立てて進めます。診断では「中程度」とされる弱点でも、設定の不備や別の弱点と組み合わせれば侵入に使えることがあります。その連鎖を実際に試すのがペンテストです。依頼によっては、社員へのフィッシングや物理的な侵入を含めることもあります。
費用と期間は、一般にペンテストのほうが大きくなります。診断は対象の数で見積もられ、ペンテストは目標と期間で見積もられることが多いためです。
成果物と、その読み方
- *診断の報告書**は、見つかった弱点の一覧です。項目ごとに深刻度（CVSSなど）、再現の手順、対策が書かれています。読むときの注意は、深刻度の数字をそのまま優先順位にしないことです。外部に公開していて認証なしで突ける弱点と、社内からしか届かない弱点では、同じ数字でも急ぎ方が違います。CVEとCVSSの記事で書いた「数字を自社の優先順位に翻訳する」作業が、ここで必要になります。
- *ペンテストの報告書**は、侵入の経路の記録です。どこから入り、何を使って権限を広げ、どこまで到達したか。そして、なぜ途中で止められなかったかが書かれています。個々の弱点より、「検知できなかった」「権限の区切りがなかった」といった構造の問題が指摘されることが多く、対策も設計や運用の見直しになります。
どちらも、報告を受け取って終わりにしないことが大切です。修正の担当と期限を決め、修正後に再度確認するところまでが一つの作業です。
どちらを先に頼むか
初めて外部の点検を受ける会社は、診断からです。理由は二つあります。公開している資産に既知の弱点が残っている状態でペンテストをしても、そこから入られて終わるだけで、得られることが少ないこと。そして、診断の結果は公開資産の棚卸しそのものになり、以後の対策の土台になることです。
ペンテストは、診断の指摘を直し、多要素認証やログの監視といった基本の対策を整えた後に、「それで本当に守れているか」を確かめる段階で意味を持ちます。重要なシステムの更改時や、取引先から求められた場合も対象になります。
頻度の目安は、診断が年に1回と大きな改修のたび、ペンテストが数年に1回か重要なシステムに絞って、というところです。近年は、公開資産を継続的に自動で点検するサービスもあり、年1回の診断の間を埋める使い方ができます。
依頼するときに決めておくこと
- 範囲。対象のURL・IPアドレス・アプリケーションの一覧。範囲から漏れた資産は調べられません。委託先やクラウド上のシステムを含める場合は、その事業者の許可や規約の確認が要ります
- 環境と時間帯。本番環境で行うのか検証環境か、業務時間外に行うか。診断の通信で動作が重くなることがあります
- 報告の形。報告書に加えて、報告会で説明を受けられるか。修正後の再診断が含まれるか
- 見積もりの比較の軸。対象の数、ツールだけか人手の確認を含むか、報告書の言語と形式。金額だけで比べると、ツールの出力をそのまま渡される診断と、人が確認した診断の違いが見えません
点検を受ける目的を「取引先に報告書を出すため」だけにしないことも大切です。見つかった弱点を直す計画と担当まで決めてから依頼すると、報告書が棚に入って終わることを防げます。
実務者の持ち帰り
- 初めてなら脆弱性診断から。公開しているWebサイトやサーバーの一覧を作り、それを範囲にして依頼する
- 診断の報告書は、深刻度の数字を外部からの到達可能性と業務への影響で読み替え、修正の担当と期限を決める
- ペンテストは、診断の指摘を直し基本の対策を整えた後に、守れているかを確かめる目的で検討する
