ペネトレーションテストとは？種類と実施の流れをわかりやすく解説

セキュリティ対策の提案や比較検討の場で「ペネトレーションテスト」という言葉を目にしたものの、脆弱性診断とは何が違い、実際に何をどこまでやるものなのかイメージが持てない、という方は多いのではないでしょうか。本記事では、ペネトレーションテストとは何か、どのような種類があるのか、どのような流れで進むのか、実施前に押さえておくべき注意点までを、社内説明にもそのまま使えるレベルで分かりやすく整理します。

1. ペネトレーションテストとは？

⑴一言でいうと何をするものか

ペネトレーションテストとは、攻撃者の視点に立って、実際にシステムへの侵入や被害の発生が可能かどうかを検証するテストです。例えるなら、泥棒の視点で自宅の防犯対策に本当に穴がないかを、実際に試してみるようなものです。鍵がかかっているかを見た目で確認するだけでなく、実際に開けられるか、窓から入れないかを試してみる、というイメージに近いといえます。

⑵何を明らかにするためのテストなのか

ペネトレーションテストが答えようとしているのは、「弱点があるかどうか」ではなく、「その弱点を使って実際に到達・突破できてしまうか」という、より実践的な問いです。理論上のリスクではなく、現実に成立する攻撃の道筋を確認することに主眼が置かれています。

⑶脆弱性診断との関係

脆弱性診断が既知の弱点を網羅的に洗い出すのに対し、ペネトレーションテストは、そうした弱点を実際に使って侵入できるかどうかを検証するものです。網羅性を重視するか、実践的な突破可否を重視するかという点で目的が異なります。脆弱性診断との詳しい違いや自社に合う選び方は、別記事[脆弱性診断とペネトレーションテストの違い｜目的別の選び方も解説]で詳しく解説しています。

2. ペネトレーションテストの種類

⑴外部からのテストと内部からのテスト

ペネトレーションテストは、どこを起点に攻撃を試すかによって大きく2種類に分けられます。外部テストは、インターネット上に公開されているサーバーやサービスに対して、社外の攻撃者と同じ立場から侵入を試みるものです。内部テストは、社内ネットワークに侵入できた、あるいは内部関係者が悪意を持った、という想定で、社内側からどこまで被害が広がるかを検証するものです。

⑵ブラックボックス・グレーボックス・ホワイトボックス

事前にどれだけ情報を与えるかによっても、テストの種類が分かれます。

• ブラックボックス：事前情報をほとんど与えず、外部の攻撃者と同じ条件でテストを行う方法です。実際の攻撃に近い状況を再現できますが、調査に時間がかかりやすい傾向があります。
• グレーボックス：ある程度の情報（アカウント権限やネットワーク構成の一部など）を事前に共有したうえで行う方法です。効率と実践性のバランスを取りたい場合に選ばれます。
• ホワイトボックス：ソースコードやネットワーク構成図など、内部情報をすべて開示したうえで行う方法です。短期間で網羅的に検証したい場合に向いています。

⑶それぞれが向いている場面

3. ペネトレーションテストはどう進む？シナリオ設計から報告まで

⑴ゴールとシナリオを決める

まず、「何が起きたら成功とみなすか」というゴールを具体的に定めます。たとえば「顧客情報データベースへの到達」「管理者権限の奪取」などです。あわせて、対象範囲やテスト期間、実施可能な時間帯などの条件も合意します。この工程には数日〜1週間程度かかることが一般的です。

⑵情報収集

対象となるシステムについて、公開情報やネットワーク構成、使用技術などを調査します。攻撃者が実際の攻撃前に行う下調べを再現する工程で、規模にもよりますが数日程度が目安です。

⑶侵入の試行

収集した情報をもとに、実際に脆弱性を突いて侵入を試みます。単一の弱点だけでなく、複数の弱点を組み合わせて権限を昇格させたり、他のシステムへ横展開したりする手法も試されます。対象規模により1〜2週間程度かかることが多い工程です。

⑷報告と提案改善

発見された問題点、実際に到達できた範囲、リスクの深刻度、優先的に対応すべき改善策を報告書にまとめます。専門用語を避け、経営層や非技術者にも伝わる形で説明されることが望ましいとされています。

4. レッドチーム演習との違い

⑴目的の違い

ペネトレーションテストが「特定のシステムへの侵入可否」を検証するのに対し、レッドチーム演習は、組織全体の検知・対応体制まで含めて試す、より実戦的で広範囲な演習です。ペネトレーションテストが技術的な弱点そのものに焦点を当てるのに対し、レッドチーム演習は「攻撃に気づけるか」「気づいた後にどう対応するか」まで含めて検証する点が大きな違いです。

⑵検知・対応体制まで試すかどうか

ペネトレーションテストは、事前に対象範囲やスケジュールが共有されていることが一般的で、検知や対応の巧拙そのものは主な評価対象になりません。一方レッドチーム演習は、社内のセキュリティ担当者にも予告せずに行われることが多く、実際の攻撃を想定して「気づけるか」「どう動くか」までを試します。

⑶比較表

5. 実施前に押さえておきたい3つの注意点

⑴脆弱性対策が一定できている前提で実施する

既知の脆弱性が放置されたままペネトレーションテストを行うと、本来確認したかった「実践的な防御力」を試す前の段階で、単純な弱点からあっさり侵入が成立してしまうことがあります。これでは限られた予算と時間をかけた意味が薄れてしまうため、基本的な脆弱性対策を済ませたうえで実施することが望ましいとされています。

⑵本番環境への影響と事前承認

実際に侵入を試みる性質上、テスト対象のシステムに負荷がかかったり、意図しない障害が発生したりするリスクがあります。実施前には、関係部署の承認を得たうえで、想定される影響範囲や緊急時の連絡体制を確認しておくことが重要です。

⑶クラウド事業者・委託先への連絡

AWSやAzureなどのクラウド環境を利用している場合、事業者によっては事前申請が必要なケースがあります。無断でテストを行うと、利用規約違反とみなされたり、不正アクセスと誤認されたりする可能性があるため、委託先やクラウド事業者への事前連絡・許可取得を忘れないようにしましょう。

6. ペネトレーションテストが必要になるのはどんな場合？

⑴必要性が高まるケース

以下のような場面では、ペネトレーションテストの実施を検討する価値が高まるとされています。

• 重要なシステムを新規リリースする前
• M&Aや組織再編など、大規模な組織変更を行った後
• 取引先や監査機関からセキュリティ対策の証跡を求められたとき
• 過去に類似業界でインシデントが発生し、自社の防御力を確認したいとき

⑵ISO27001・Pマークの運用との関係

ISO27001やPマークの運用においては、リスクアセスメントに基づいた継続的な改善が求められます。ペネトレーションテストの実施結果は、こうしたリスクアセスメントの裏付けや、審査時に「実効性のある対策を講じている」ことを示す材料の一つとして評価されることがあります。ただし、実施そのものが認証の必須要件というわけではなく、あくまで組織のリスクに応じた任意の取り組みという位置づけです。

7. よくある質問（FAQ）

⑴費用はどれくらいかかるか

対象範囲やテストの種類によって幅がありますが、一般的には数十万円〜数百万円程度が目安とされています。対象システムの規模や、ブラックボックスかホワイトボックスかといった条件によって変動する傾向があります。

⑵どのくらいの期間がかかるか

シナリオ設計から報告書提出まで含めると、2週間〜1か月程度かかることが多い傾向にあります。対象範囲が広い場合や、複数のシステムをまたぐ場合は、さらに期間が延びることもあります。

⑶中小企業でも実施する意味があるか

企業規模にかかわらず、取引先の一部としてサプライチェーンの一端を担っている場合や、顧客情報をはじめとした機密情報を扱っている場合には、実施する意味があるといえます。ただし予算に応じて、対象範囲を絞った小規模なテストから始めるという選択肢もあります。

⑷実施すれば安全と言えるのか

ペネトレーションテストは、あくまで実施時点での防御力を確認するものであり、これを実施したからといって将来にわたって安全であることを保証するものではありません。新たな脆弱性は日々発見されるため、継続的な対策の見直しと合わせて活用することが重要です。

8. まとめ

ペネトレーションテストとは、攻撃者の視点で実際に侵入できるかを検証する実践的なテストであり、脆弱性診断とは目的が異なります。外部・内部やブラックボックスなどの種類を理解し、シナリオ設計から報告までの流れと実施前の注意点を押さえておくことで、社内での検討や説明がスムーズに進められます。