ペネトレーションテストと脆弱性診断の違いと選び方

Webサイトの安全確認では、検査名だけで選ぶと、自社の目的に対して範囲が広すぎたり、知りたい結果が得られなかったりすることがあります。

脆弱性診断とペネトレーションテストは、どちらが優れているかではなく、何を確認したいかによって使い分ける検査です。

この記事では、両者の違いと目的別の選び方、外部公開Web機能の弱点を修正してから次の検査を判断する流れをご紹介します。

セキュリティー診断さん

ペネトレーションテスト？ 脆弱性診断？ よくわからないなあ…どっちも同じようなものじゃないの？

何を知りたいかで検査を選ぼう

最初に、自社が知りたいことと、その後の行動を整理すると選びやすくなります。

家に例えると、脆弱性診断は窓やドアなど弱い場所を広く確認する健康診断、ペネトレーションテストは決めた場所まで侵入できるか確かめる実戦テストです。

この比喩で大枠をつかみ、実際の依頼では対象となるWeb機能と欲しい結果を伝えます。

企業サイト全体の弱点を把握したい場合は脆弱性診断が向いています。

顧客情報を扱うECサイトや会員向けWebアプリで、基本的な弱点を修正した後に重大な侵入経路を確かめたい場合は、目的を定めたペネトレーションテストを組み合わせます。

診断方法をさらに比較する場合は、自動・手動を含む脆弱性診断の種類と選び方も参考にしてください。

脆弱性診断は修正箇所を見つける検査

脆弱性診断は、Webサイト、Webアプリ、ECサイト、外部公開APIなどを広く確認し、修正すべき弱点を見つける検査です。

公開画面だけでなく、対象として指定したログイン画面、入力フォーム、管理機能なども確認し、見つかった問題、危険度、修正に必要な情報をレポートで把握します。

経営者が技術的な修正方法を考える必要はありません。

対象画面と指摘内容を制作会社やシステム会社へ渡せば、どこを優先して直すか相談する材料になります。

脆弱性診断の役割は、侵入の成否だけを判定することではなく、Web上の接点を広く確認し、放置したくない弱点を修正につなげることです。

画面が普段どおり動いていても、権限や入力処理など外見から判断しにくい問題を整理できます。

レポートを見るときは、問題名だけでなく、どの画面や機能で見つかったか、業務にどのような影響が考えられるか、どの順番で直すべきかを確認します。

危険度の高い指摘から修正担当へ渡せば、限られた担当者でも対応の優先順位を決めやすくなります。

制作会社へ依頼するときは、対象URL、問題の内容、危険度をレポートのまま共有します。

経営者が専門用語を覚えて説明するより、診断結果を共通資料にすることで、確認する場所と修正の目的をそろえられます。

対象が広い場合は、会社サイト、問い合わせフォーム、会員機能、外部公開APIなど、外部から利用できる機能を先に一覧にします。

誰が使う機能か、どの情報を扱うかまで伝えると、診断範囲を相談しやすくなります。

セキュリティー診断さん

なるほど、家のどこが壊れやすいかリストアップする感じか！ それならわかりやすいね！

ペネトレーションテストは決めた攻撃目的を検証する

ペネトレーションテストは、あらかじめ決めた攻撃目的が成立するかを、専門家がシナリオに沿って検証するテストです。

たとえば、顧客情報へ到達できるか、管理者権限を取得できるか、複数の弱点を組み合わせると重要な機能まで進めるか、といった目的を定めます。

目的を決めずにサイト全体を調べてもらうのではなく、守りたい情報、対象となるシステム、許可する操作、停止させてはいけない機能などの前提を依頼前に整理します。

専門家が手作業で攻撃経路を組み立てるため、負担は対象範囲、シナリオの内容、確認する経路の多さによって変わります。

費用や期間だけで比較せず、どの目的をどこまで確かめる契約なのかを確認することが大切です。

結果からは、成立した攻撃経路、到達できた情報、事業への影響を確認します。

脆弱性診断で基本的な弱点を把握して修正した後、残る重要な経路を深く確かめたい場合に役立ちます。

検証目的が曖昧なままでは、確認範囲が広がり、経営判断に必要な結果も分かりにくくなります。

「会員情報へ到達できるか」「管理機能を不正に操作できるか」のように、守りたい情報や業務から目的を決めることが重要です。

また、検証中に通常業務へ影響を出さないため、実施する時間帯、連絡担当者、問題が起きた場合の停止条件も事前に確認します。

これは技術担当者だけの話ではなく、事業への影響を管理する経営上の準備です。

セキュリティー診断さん

え、そんなにお金がかかるの！ ？ それに時間もものすごくかかるんだ…

自社の目的と利用場面から判断する

検査を選ぶ前に、経営者は次の点を依頼先や社内の担当者と確認します。

• 知りたいこと：弱点と修正箇所を広く把握したいのか、決めた攻撃目的の成立を確かめたいのか
• 対象Web機能：会社サイト、問い合わせフォーム、ECサイト、会員機能、外部公開APIのどれを確認するのか
• 修正担当：診断結果を受け取り、制作会社やシステム会社へ誰が修正を依頼するのか
• 外部からの指定：取引先や監査から、検査の種類、目的、対象範囲を指定されているか

一般的な会社サイトや問い合わせフォームで、現状の弱点が分からない場合は、脆弱性診断で修正箇所を把握するところから始めます。

ECサイトや会員向けWebアプリも、まず対象機能を広く確認し、見つかった弱点を修正します。

その後、顧客情報への到達など重要な目的を深く確かめる必要があれば、ペネトレーションテストを検討します。

すでに脆弱性診断を受けて基本的な問題を修正しており、重大な侵入経路を確かめたい場合は、検証目的を決めてペネトレーションテストを追加します。

取引先や監査からペネトレーションテストを指定されている場合は、自己判断で脆弱性診断へ置き換えません。

要求されている目的と対象範囲を確認し、指定に沿って依頼します。

反対に、検査名が指定されておらず「安全性を確認してほしい」とだけ求められている場合は、提出が必要な資料、対象となるシステム、確認期限を聞き取ります。

その条件が分かれば、脆弱性診断で足りるのか、特定目的の検証まで必要なのかを依頼先へ相談できます。

診断方法を決めた後に条件を確認する際は、セキュリティ診断の費用相場と見積もりを比較する方法も参考にしてみてください。

セキュリティー診断さん

ふむふむ、まずは健康診断（＝脆弱性診断）から始めるのが基本ってことか。 ヨシ、わかった！ (๑•̀ㅂ•́)و✧

まず外部公開Web機能の弱点を把握したい場合

自社サイトにどのような弱点があるか分からず、ペネトレーションテストで深く確かめる目的もまだ決まっていない場合は、まず脆弱性診断で現状を把握します。

『セキュリティー診断さん』は、Webサイト、Webアプリ、ECサイト、外部公開APIを対象に、外部から確認できる弱点を調べる脆弱性診断サービスです。

診断結果では、問題が見つかった場所、危険度、修正内容を確認できます。

経営者が専門用語を言い換えるのではなく、レポートを制作会社やシステム会社へ共有することで、修正対象と優先順位を相談しやすくなります。

サービスの役割は、本格的なペネトレーションテストの代わりに、決めた攻撃目的の成立を検証することではありません。

外部公開Web機能を広く確認し、基本的な弱点を修正して次の判断へ進むための材料をそろえることです。

修正後は、指摘された問題へ対応できたかを改めて確認します。

その結果と、自社が扱う情報の重要性、取引先や監査からの要求を踏まえて、さらに深い検証が必要かを判断できます。

弱点を修正してから次の検査を判断しよう

脆弱性診断はWebサイトやWeb機能の弱点と修正箇所を広く把握する検査、ペネトレーションテストは決めた攻撃目的が成立するかを深く検証するテストです。

目的が決まっていない段階で大規模なテストを発注するのではなく、まず外部公開Web機能を整理し、脆弱性診断で問題箇所と危険度を確認します。

『セキュリティー診断さん』の診断結果は、制作会社やシステム会社へ修正を依頼する共通資料として活用できます。

基本的な弱点を修正した後、その結果を踏まえてペネトレーションテストまで必要か判断しましょう。

自社に必要な検査を選ぶために、外部公開Web機能の弱点と修正箇所を把握することから始めてみませんか？

セキュリティー診断さん

診断って本当に大事なんだな…。 ヨシ！ まずは診断を申し込んで、レポートを見てみることから始めてみよう！