ペネトレーションテストは、専門家が攻撃者の視点で、実際に侵入を試みる検査です。脆弱性診断が「弱点を網羅的に洗い出す」のに対し、ペネトレーションテストは「その弱点を組み合わせて、重要な情報やシステムまで到達できるか」を確かめます。
違いの整理
| 項目 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 弱点を網羅的に見つける | 目標に到達できるか確かめる |
| 範囲 | 決めた対象を広く | シナリオに沿って深く |
| 結果 | 弱点の一覧と深刻度 | 侵入の経路と、検知・対応できたかの評価 |
受ける前の準備
- 目的とシナリオ（例：社員のPCが乗っ取られた想定で、顧客DBに到達できるか）
- 対象範囲・期間・禁止事項を書面で合意
- 本番システムへの影響と、緊急時の連絡方法
- 基本的な脆弱性診断と対策を先に済ませておく