ペネトレーションテストと脆弱性診断の違いと選び方

Webサイトの安全性を確認したいと思っても、「脆弱性診断とペネトレーションテスト、どちらを選べばいいの？」と迷ってしまいますよね。

名前だけを見ても違いがわかりにくく、自社にはどちらが合っているのか悩む方も多いはずです。

脆弱性診断とペネトレーションテストは、どちらが優れているというものではありません。

大切なのは、「何を確認したいのか」に合わせて選ぶことです。

この記事では、両者の違いや選び方、Webサイトの弱点が見つかった後の進め方まで、わかりやすくご紹介します。

セキュリティー診断さん

ペネトレーションテスト？ 脆弱性診断？ よくわからないなあ…どっちも同じようなものじゃないの？

何を知りたいかで検査を選ぼう

まずは、「自社が何を知りたいのか」から考えてみましょう。

目的が見えてくると、どちらの検査を選べばよいのかもわかりやすくなります。

家に例えると、脆弱性診断は、窓やドアなどに「侵入されやすい場所」がないか広く点検するイメージです。

ペネトレーションテストは、実際に狙った場所まで侵入できるかを試すテストと考えると、違いがつかみやすいでしょう。

会社のWebサイト全体にどのような弱点があるのか知りたい場合は、脆弱性診断が向いています。

ECサイトや会員向けWebアプリなどで、基本的な弱点を直したうえで重大な侵入経路まで確かめたい場合は、目的を決めてペネトレーションテストを組み合わせる方法があります。

診断方法をさらに比較したい方は、自動・手動を含む脆弱性診断の種類と選び方も参考にしてみてください。

セキュリティー診断さん

なるほど、家のどこが壊れやすいかリストアップする感じか！ それならわかりやすいね！

脆弱性診断は修正箇所を見つける検査

脆弱性診断は、WebサイトやWebアプリ、ECサイトなどを広く調べ、修正したほうがよい弱点を見つける検査です。

ログイン画面や入力フォームなども、対象に含めて確認できます。

Webサイトが普段どおり動いていても、外から見ただけでは気づきにくい弱点が隠れていることは珍しくありません。

レポートを確認し、修正につなげていきましょう。

また、レポートは制作会社やシステム会社へ渡せば、問題の場所や優先順位も伝えやすくなります。

診断を依頼する際は、会社サイトや問い合わせフォーム、会員機能など、調べてほしい範囲もあらかじめ確認しておくとスムーズです。

ペネトレーションテストは決めた攻撃目的を検証する

ペネトレーションテストは、あらかじめ目的を決め、実際に攻撃が成立するかを専門家が確かめるテストです。

たとえば、「顧客情報まで到達できるか」「管理機能を不正に操作できるか」といった目的を決めて調べます。

Webサイト全体を広く確認する脆弱性診断とは違い、特に守りたい情報や重要な経路を深く調べるのが特徴です。

そのため、依頼前には「何を確かめたいのか」をはっきりさせておくことが大切です。

専門家が手作業で攻撃経路を調べるため、費用や期間は対象範囲や内容によって変わります。

金額だけで比べず、どこまで確認してもらえるのかも見ておきましょう。

脆弱性診断で基本的な弱点を見つけて修正した後、「さらに重要な侵入経路まで確かめたい」という場合に役立ちます。

また、普段の業務に影響が出ないよう、実施する時間帯や問題が起きたときの連絡方法なども事前に確認しておくと安心です。

迷ったら4つのポイントを確認しよう

どちらの検査を選ぶか迷ったときは、依頼先や社内の担当者と次の4点を確認してみましょう。

• 知りたいこと：弱点と修正箇所を広く把握したいのか、決めた攻撃目的の成立を確かめたいのか
• 対象Web機能：会社サイト、問い合わせフォーム、ECサイト、会員機能、外部公開APIのどれを確認するのか
• 修正担当：診断結果を受け取り、制作会社やシステム会社へ誰が修正を依頼するのか
• 外部からの指定：取引先や監査から、検査の種類、目的、対象範囲を指定されているか

今どのような弱点があるのかわからない場合は、まず脆弱性診断から始めると考えやすいでしょう。

そこで見つかった弱点を修正したうえで、顧客情報への到達などをさらに深く確かめたい場合は、ペネトレーションテストを検討します。

取引先や監査から検査方法を指定されている場合は、その条件に沿って依頼しましょう。

費用などの条件を確認する際は、セキュリティ診断の費用相場と見積もりを比較する方法も参考にしてみてください。

Webサイトの弱点を広く確認したい場合の選択肢

「自社サイトにどんな弱点があるのかわからない」「ペネトレーションテストで何を確かめるべきかもまだ決まっていない」という場合は、まず脆弱性診断で今の状態を確認してみましょう。

『セキュリティー診断さん』では、WebサイトやWebアプリ、ECサイト、外部公開APIなどを対象に、外部から確認できる弱点を調べられます。

診断後のレポートを見れば、問題が見つかった場所や危険度、修正内容も確認できます。

制作会社やシステム会社へ共有すれば、どこから直すべきか相談するときの資料としても役立つでしょう。

まずは見つかった弱点を修正し、その結果をもとに、さらに深い検査まで必要か考えていく流れです。

脆弱性診断で現状を把握しておけば、ペネトレーションテストまで必要かどうかも判断しやすくなります。

弱点を修正してから次の検査を判断しよう

脆弱性診断とペネトレーションテストは、それぞれ確認できることや向いている場面が異なります。

自社サイトにどんな弱点があるのかまだ見えていないなら、脆弱性診断で問題箇所を確認し、必要な修正から進めていくとよいでしょう。

そのうえで、顧客情報への到達など特定のリスクをさらに深く確かめたい場合には、ペネトレーションテストを検討する流れがおすすめです。

Webサイトの弱点を確認したい場合は、診断結果を制作会社やシステム会社への修正依頼にも使える『セキュリティー診断さん』も活用してみてください。

大切なWebサイトを守るためにも、自社が今確認すべきことに合った検査から対策を進めていきましょう。

セキュリティー診断さん

診断って本当に大事なんだな…。 ヨシ！ まずは診断を申し込んで、レポートを見てみることから始めてみよう！