ペネトレーションテスト

ペネトレーションテストでは、「社外から顧客の情報に届くか」「一台の端末から社内の管理者の権限を取れるか」といった目的を決め、技術者が実際の攻撃の手口を組み合わせて試みます。個々の弱点を洗い出す脆弱性診断に対し、弱点をつないで目的に届くかを確かめる点が違います。

重要な情報を扱う会社や、対策をひととおり整えた会社が、その効き目を確かめるために行います。侵入に気づく仕組みや、担当者の対応が働くかを、あわせて確かめることもあります。攻撃の手口に通じた技術者が行うため、専門の会社に依頼するのが一般的です。

攻撃に近いことを実際に行うため、範囲、日時、使ってよい手口、中止するときの連絡の方法を書面で取り決めます。クラウドのサービスでは、事業者の決まりで許される範囲を確かめます。費用も期間も脆弱性診断より大きくなりやすいため、目的に合うほうを選びます。